# szi-rule-9-2

## Суть задания
Нужно написать не более трех правил Suricata, которые обнаруживают весь вредоносный HTTP-трафик из стенда и не дают ложных срабатываний на легитимные запросы.

## Идея решения

При этом нормальные запросы не содержат ни `--`, ни `'1'='1'`. Одиночная кавычка сама по себе не подходит, потому что есть легитимные `O'Reilly`, `O'Connor` и `id='1'`.

## Рабочее правило Suricata

```suricata
alert http any any -> any any (pcre:"/(?:--|'1'='1')/"; sid:1; rev:1;)
```

## Почему это работает
Правило покрывает все вредоносные `id = 1..10`:

- `id = 1, 2, 4, 5, 6, 7, 8, 9, 10` содержат `--`;
- `id = 3` содержит `'1'='1'`.

## Итог

Флаг: `vsosh{r3crut3_g0l3m_s3ttings}`
