2. Mécanismes de sécurité et de défense

Configuration de Suricata IDS/IPS

• Mode opérationnel : Suricata est activé en mode Inline IPS (netmap) pour bloquer les menaces. Pour des raisons de stabilité, le type d'adaptateur de la machine virtuelle a été défini sur E1000 avec le mode Promiscuous mode activé.
• Jeux de règles : L'inspection approfondie des paquets (DPI) est appliquée à l'aide des ensembles de règles emerging-exploit, emerging-scan et emerging-malware.
• Règle personnalisée : Si 20+ tentatives de connexion SYN vers la cible sont détectées en 10 secondes, une alerte « Nmap Scan » est déclenchée et l'adresse IP de l'attaquant (192.168.20.50) est automatiquement ajoutée à la liste « Block Offenders ».

SIEM (Elastic Stack) et gestion des journaux

• Transfert de journaux : Les journaux pfSense sont transférés via Remote Syslog vers le serveur 192.168.10.55 sur le port 5140. Les journaux Suricata sont exportés au format EVE JSON et ingérés dans ELK via Filebeat.
• Stratégie d'audit Windows : « Audit Logon Events » (Event ID 4625) a été activé sur la machine Windows pour permettre le suivi des tentatives de connexion échouées (Brute-Force) dans le SIEM.

3. Tests, validation et dépannage

Les principaux défis et solutions mises en œuvre lors de la configuration du laboratoire incluent :

• Problème : Les attaques n'étaient pas visibles dans le pare-feu ou Suricata.
  • Solution : L'attaquant (Kali) et la victime (Windows) étaient sur le même sous-réseau, empêchant le trafic de passer par le pare-feu. Kali a été déplacé vers une interface isolée séparée (OPT1).
• Problème : Les attaques par force brute n'apparaissaient pas dans le SIEM.
  • Solution : Les stratégies d'audit ont été activées dans la stratégie de sécurité locale de Windows pour garantir la génération des journaux Event ID 4625.
• Problème : Le serveur ELK plantait lors de l'afflux de données.
  • Solution : L'allocation de RAM de la machine hôte et de la machine virtuelle Java (JVM) pour Elasticsearch a été augmentée à 2-4 Go.

4. Scénarios de vérification du projet

1. Connectivité réseau : Le routage a été vérifié via pfSense, confirmant le trafic inter-réseaux et les règles d'isolation.
2. Simulation d'attaque : Les scans nmap -sS depuis Kali Linux ont été instantanément détectés par pfSense, et l'adresse IP de l'attaquant a été bloquée avec succès.
3. Supervision : Les simulations de force brute avec Hydra et les alertes Suricata ont été suivies en temps réel via le tableau de bord Kibana.

Remarque : Ce projet est un environnement de laboratoire de cybersécurité complet, conçu strictement à des fins éducatives et pratiques.