Snort : le moteur de signature open source qui a nommé la catégorie

Points clés

1. Le langage des règles est toujours la lingua franca : une règle nomme un protocole, un modèle de trafic (ports) et des options de détection (correspondances de contenu, PCRE, direction du flux), identifiés par sid/rev ; les connaissances de milliers d'équipes sont écrites dans cette syntaxe, et Suricata en lit la plupart de manière native, ce qui permet de conserver les compétences portables.
2. Les sources de règles forment une réalité à trois niveaux : l'ensemble de règles communautaire gratuit avec un décalage de 30 jours, l'ensemble enregistré avec un délai plus court après l'inscription et l'ensemble d'abonnés avec les informations les plus récentes ; un pare-feu sans règles Snort est une décoration, donc la sélection de la source est la première décision opérationnelle.
3. Snort 3 a comblé l'écart de modernisation : traitement de paquets multithread, configuration de règles basée sur LuaJIT et composants internes de correspondance de classe Hyperscan, au prix d'un modèle de configuration dont la courbe d'apprentissage diffère de Snort 2 ; les nouveaux déploiements en 2026 devraient commencer directement avec Snort 3.
4. Deux postures de déploiement sont importantes : IDS (surveillance passive sur un port miroir/span, alertes uniquement) et IPS (en ligne, blocage) ; IPS a besoin d'un couplage HA et de décisions d'ouverture/fermeture en cas d'échec, de sorte que la plupart des domaines exécutent IDS en premier et font une promotion prudente.
5. Le travail de réglage est la véritable discipline : référencez votre trafic, supprimez les faux positifs par règle/side (pas en désactivant la règle) et ajustez les seuils sur les horaires bruyants ; un Snort non réglé inonde les canaux d'alerte ou est désactivé silencieusement par le personnel, les deux sont pires qu'un ensemble de règles plus petit et bien réglé.
6. Là où Snort se situe par rapport au reste de notre catégorie d'outils de sécurité : il s'agit d'une détection basée sur la signature (Suricata couvre le même terrain avec différents composants internes, NSM de classe Zeek offre une journalisation plus riche et les scanners de vulnérabilités comme notre article OpenVAS couvrent différentes questions), la posture correcte est l'IDS comme une seule couche, jamais comme l'ensemble du périmètre.

Note de terrain

Un capteur Snort dont nous avons hérité avait été désactivé discrètement deux ans auparavant parce que personne ne l'avait réglé ; le canal d'alerte était un numéro que personne ne lisait. Nous l'avons reconstruit avec une base de référence par domaine et des suppressions, et la première véritable capture en un mois a été une machine compromise qui s'appelait. Beats réglés installés.

Questions fréquentes