# suricata.rules - Règles Suricata pour détecter EternalRomance & DoublePulsar
# À utiliser UNIQUEMENT dans un lab sécurisé (article 323-1 CP)
# Par Platon-Y pour PCtamalou.fr

"""
Ces règles Suricata surveillent le trafic SMB (port 445) pour détecter :
- EternalRomance (CVE-2017-0144) : Buffer overflow via NT Trans
- DoublePulsar : Backdoor via Trans2 ping codé
Elles génèrent des alertes dans /var/log/suricata/fast.log pour analyse.
"""

# Règle 1 : Détection d'EternalRomance (CVE-2017-0144)
alert tcp any any -> any 445 (
    msg:"ETERNALROMANCE - SMB Exploit Attempt";
    flow:established;  # Vérifie les connexions TCP établies
    content:"NT Trans"; depth:50;  # Recherche la commande NT Trans
    content:"MaxParameterCount"; distance:0;  # Champ vulnérable
    reference:cve,2017-0144;  # Lien CVE
    sid:1000001;  # ID unique
    rev:1;  # Version de la règle
)

# Règle 2 : Détection de DoublePulsar (Backdoor)
alert tcp any any -> any 445 (
    msg:"DOUBLEPULSAR - Backdoor Attempt";
    flow:established;
    content:"|0B|";  # Opcode Trans2 (0x0B)
    content:"|01 00 00 00|"; distance:0;  # Ping codé (knock)
    sid:1000002;
    rev:1;
)

# Instructions d'utilisation
"""
1. Configure Suricata dans ton lab (voir Étape 1 de index.html) :
   - Installe : sudo apt install suricata
   - Configure : /etc/suricata/suricata.yaml
2. Copie ces règles dans /etc/suricata/rules/local.rules
3. Ajoute dans /etc/suricata/suricata.yaml :
   rule-files:
     - local.rules
4. Teste avec un PCAP capturé (ex. : via Wireshark) :
   sudo suricata -c /etc/suricata/suricata.yaml -r /tmp/smb.pcap
5. Ou surveille en live :
   sudo suricata -c /etc/suricata/suricata.yaml -i eth0
6. Vérifie les alertes :
   cat /var/log/suricata/fast.log
"""

# Dépannage
"""
- Pas d'alertes ?
  - Vérifie la config : /etc/suricata/suricata.yaml
  - Confirme le trafic SMB : wireshark -i eth0 -f "tcp port 445"
  - Teste les règles : suricata -T
- Erreur de syntaxe ?
  - Vérifie l'indentation YAML
  - Relance Suricata
"""

# Avertissement éthique
"""
Ces règles sont pour l'apprentissage en lab sécurisé.
Toute utilisation hors lab est illégale (7 ans de prison, 100 000 € d’amende).
Signe le contrat éthique : /nsa-reverse/contrat_ethique.txt
"""

# "One shot, one kill : sois précis, sois éthique." - Platon-Y