Cyber Shelf

// Comparaison

Linux Firewalls vs The Practice of Network Security Monitoring : lequel lire ?

Deux livres de cybersécurité sur Networking, comparés honnêtement : à qui s'adresse chacun, ce que chacun fait de mieux, et lequel lire en premier.

Intermédiaire
4/52007
Linux Firewalls

Attack Detection and Response with iptables, psad, and fwsnort

Michael Rash

Michael Rash, auteur de psad et fwsnort, sur la construction et l'exploitation d'un filtrage de paquets Linux-natif et d'un tooling de réponse aux intrusions. Pré-nftables en détail mais conceptuellement durable.

Intermédiaire
5/52013
The Practice of Network Security Monitoring

Understanding Incident Detection and Response

Richard Bejtlich

Le playbook NSM de Richard Bejtlich : comment déployer les sensors de collecte, valider que vous voyez réellement ce que vous pensez voir, et construire des workflows de détection autour d'outils open-source.

À lire si

Administrateurs Linux et praticiens défensifs qui ont besoin de configurer réellement un firewall, pas juste de comprendre le concept. La couverture iptables de Rash reste l'introduction pratique la plus nette ; psad et fwsnort pour le côté réponse active.
Tout analyste SOC et détection engineer. Le texte fondateur de Bejtlich sur le NSM : collect-everything, alert-on-narrow, investigate-broadly. Définit le vocabulaire que le champ détection moderne utilise encore.

À éviter si

Lecteurs entièrement sur nftables / firewalld / security groups cloud-native, ou quiconque voulant un traité niveau architecture. Le livre est règles iptables hands-on et analyse, pas un cadre stratégique.
Lecteurs voulant les spécificités de tooling SIEM actuel. Le livre précède l'EDR-par-défaut et la télémétrie cloud-native moderne ; les principes se transfèrent, les spécificités tooling non.

Points clés

  • iptables reste le modèle mental fondamental ; même dans des environnements nftables-ou-eBPF, comprendre les chaînes match-and-target est requis pour lire les rule sets que le champ expédie encore.
  • La réponse active est une vraie option défensive qu'il est facile de surestimer ; le chapitre du livre sur les compromis est convenablement prudent.
  • La détection de port scanning (psad) et le blocking signature-based (fwsnort) sont encore des primitives utiles qui frappent au-dessus de leur poids dans les environnements à budget contraint.
  • La détection sans prévention est un choix stratégique, pas un repli ; Bejtlich a été des années en avance pour défendre cela et le livre reste l'argumentation la plus claire.
  • Les quatre types de données (full content, session, transactional, statistical) sont encore le bon framework pour penser la couverture détection.
  • La plupart des échecs SOC sont organisationnels et procéduraux, pas tooling ; les chapitres du livre sur workflows, runbooks et croissance d'analyste sont encore les meilleurs en imprimé.

Comment ils se comparent

Nous notons The Practice of Network Security Monitoring plus haut (5/5 contre 4/5 pour Linux Firewalls). Pour la plupart des lecteurs, The Practice of Network Security Monitoring est le choix principal et Linux Firewalls un complément utile.

Les deux livres ciblent un public de niveau intermédiaire : le choix se fait sur la thématique, pas la difficulté.

Linux Firewalls et The Practice of Network Security Monitoring couvrent tous les deux Networking, Defensive : les lire dans l'ordre renforce les mêmes notions sous des angles différents.

Continuer la lecture

Linux Firewalls

→ Alternatives à Linux Firewalls→ Que lire après Linux Firewalls

The Practice of Network Security Monitoring

→ Alternatives à The Practice of Network Security Monitoring→ Que lire après The Practice of Network Security Monitoring

Thématiques liées

NetworkingDefensive