IMA5 2020/2021 P3 - Historique des versions

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T18:55:57Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T18:14:27Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T18:11:32Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T18:10:37Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T17:28:20Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T17:17:14Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T17:17:04Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alertes avec Splunk */

2021-01-21T15:49:21Z

‎Mise en forme des alertes avec Splunk

Psanchez : /* Mise en forme des alrtes avec Splunk */

2021-01-21T15:45:14Z

‎Mise en forme des alrtes avec Splunk

Psanchez : /* Mise en place du monitoring */

2021-01-21T15:32:02Z

‎Mise en place du monitoring

← Version précédente		Version du 21 janvier 2021 à 18:55
Ligne 184 :		Ligne 184 :

	Par exemple sur l'image du dessus nous ajoutons le filtre "sourcetype=amanite_auth_log" et le mot "failure", ce qui nous permet de ne récupérer que les alertes de ssh infructueux sur la machine amanite. Et comme nous pouvons le constater les tentatives sont nombreuses environs 10 par minutes. Notre machine amanite possède une ip routée, nous pouvons donc voir ici l'intérêt de ne pas utiliser un mot de passe bidon ou facilement trouvable dans les dictionnaires.		Par exemple sur l'image du dessus nous ajoutons le filtre "sourcetype=amanite_auth_log" et le mot "failure", ce qui nous permet de ne récupérer que les alertes de ssh infructueux sur la machine amanite. Et comme nous pouvons le constater les tentatives sont nombreuses environs 10 par minutes. Notre machine amanite possède une ip routée, nous pouvons donc voir ici l'intérêt de ne pas utiliser un mot de passe bidon ou facilement trouvable dans les dictionnaires.
		+
		+	Nous pouvons voir que beaucoup d'évènements sont disponibles mais la mise en page n'est pas très visuel, nous allons donc tracer un graphique, pour ce faire nous appuyons sur "Statistiques" puis "Pivot". Cette fonction nous permet de tracer des multitudes de graphiques en fonction de nos besoins en isolant par exemple les machines depuis lesquels sont faites les connexions ou combien de requêtes sont émises.
		+
		+	[[Fichier:search_and_reporting4.png\|1600px\|"Page de recherche Splunk 3"]]
		+
		+	Sur l'image du dessus nous pouvons voir le nombre colossale de tentatives infructueuse de connexion en ssh par jour. Ce sont en faites des bots qui tente de se connecter a notre machine en essayant des mots de passes basique issus de dictionnaires. Pour mieux visualiser cela nous pouvons afficher le nombre de requêtes par rhost (adresse ip de la machine tentant de se connecter).
		+
		+	[[Fichier:search_and_reporting5.png\|1600px\|"Page de recherche Splunk 4"]]
		+
		+	Nous pouvons voir qu'environs une cinquantaine de bots ont tenté de se connecter dans la journée en faisant environs une trentaine de tentatives de connexion chacune. Lors d'une tentative, il faut que le mot de passe soit faux trois fois d'affilé pour que la connexion soit fermé, nous pouvons donc en déduire que les bots tentent environs une centaine de mots de passe chacun.
		+
		+	[[Fichier:search_and_reporting6.png\|1600px\|"Page de recherche Splunk 5"]]
		+
		+	Le graphique du dessus nous semble être le plus pertinent celui-ci nous montre le nombres de bots tentant de se connecter a notre machine.

	==Familiarisation des failles de sécurité==		==Familiarisation des failles de sécurité==

← Version précédente		Version du 21 janvier 2021 à 18:14
Ligne 182 :		Ligne 182 :

	[[Fichier:search_and_reporting3.png\|1600px\|"Page de recherche Splunk 2"]]		[[Fichier:search_and_reporting3.png\|1600px\|"Page de recherche Splunk 2"]]
		+
		+	Par exemple sur l'image du dessus nous ajoutons le filtre "sourcetype=amanite_auth_log" et le mot "failure", ce qui nous permet de ne récupérer que les alertes de ssh infructueux sur la machine amanite. Et comme nous pouvons le constater les tentatives sont nombreuses environs 10 par minutes. Notre machine amanite possède une ip routée, nous pouvons donc voir ici l'intérêt de ne pas utiliser un mot de passe bidon ou facilement trouvable dans les dictionnaires.

	==Familiarisation des failles de sécurité==		==Familiarisation des failles de sécurité==

@@ Ligne 177 : / Ligne 177 : @@
 Pour pouvoir mettre en forme les alertes avec Splunk il faut tout d'abord envoyer les fichiers de logs a monitorer. Il faut ensuite se rendre sur l'onglet de recherche des alertes sur Splunk "Search and reporting", dans cette onglet nous pouvons sélectionner des filtres permettant d'affiner nos recherches sur les alertes qui nous intéressent.
-[[Fichier:search_and_reporting2.png|1600px|"Page d'authentification sur splunk"]]
+[[Fichier:search_and_reporting2.png|1600px|"Page de recherche Splunk"]]
 La liste des filtres nous permettant d'affiner notre recherche ce forme toute seule mais nous pouvons également créer nos propres filtres grâce avec des expressions régulières et leur donner un nom afin de les appeler dans notre recherche. Comme nous pouvons le voir sur la photo beaucoup d'évènements sont renvoyés lors d'une connexion ssh, les filtres nous permettent donc de réduire notre champs de vision est de nous concentrer par exemple que sur les tentatives infructueuse.
 ==Familiarisation des failles de sécurité==

← Version précédente		Version du 21 janvier 2021 à 18:10
Ligne 178 :		Ligne 178 :

	[[Fichier:search_and_reporting2.png\|1600px\|"Page d'authentification sur splunk"]]		[[Fichier:search_and_reporting2.png\|1600px\|"Page d'authentification sur splunk"]]
		+
		+	La liste des filtres nous permettant d'affiner notre recherche ce forme toute seule mais nous pouvons également créer nos propres filtres grâce avec des expressions régulières et leur donner un nom afin de les appeler dans notre recherche. Comme nous pouvons le voir sur la photo beaucoup d'évènements sont renvoyés lors d'une connexion ssh, les filtres nous permettent donc de réduire notre champs de vision est de nous concentrer par exemple que sur les tentatives infructueuse.

	==Familiarisation des failles de sécurité==		==Familiarisation des failles de sécurité==

@@ Ligne 177 : / Ligne 177 : @@
 Pour pouvoir mettre en forme les alertes avec Splunk il faut tout d'abord envoyer les fichiers de logs a monitorer. Il faut ensuite se rendre sur l'onglet de recherche des alertes sur Splunk "Search and reporting", dans cette onglet nous pouvons sélectionner des filtres permettant d'affiner nos recherches sur les alertes qui nous intéressent.
-[[Fichier:search_and_reporting.png|800px|"Page d'authentification sur splunk"]]
+[[Fichier:search_and_reporting2.png|1600px|"Page d'authentification sur splunk"]]
 ==Familiarisation des failles de sécurité==

← Version précédente		Version du 21 janvier 2021 à 17:17
Ligne 176 :		Ligne 176 :

	Pour pouvoir mettre en forme les alertes avec Splunk il faut tout d'abord envoyer les fichiers de logs a monitorer. Il faut ensuite se rendre sur l'onglet de recherche des alertes sur Splunk "Search and reporting", dans cette onglet nous pouvons sélectionner des filtres permettant d'affiner nos recherches sur les alertes qui nous intéressent.		Pour pouvoir mettre en forme les alertes avec Splunk il faut tout d'abord envoyer les fichiers de logs a monitorer. Il faut ensuite se rendre sur l'onglet de recherche des alertes sur Splunk "Search and reporting", dans cette onglet nous pouvons sélectionner des filtres permettant d'affiner nos recherches sur les alertes qui nous intéressent.
		+
		+	[[Fichier:search_and_report.png\|800px\|"Page d'authentification sur splunk"]]

	==Familiarisation des failles de sécurité==		==Familiarisation des failles de sécurité==

← Version précédente		Version du 21 janvier 2021 à 15:49
Ligne 174 :		Ligne 174 :

	==== Mise en forme des alertes avec Splunk ====		==== Mise en forme des alertes avec Splunk ====
		+
		+	Pour pouvoir mettre en forme les alertes avec Splunk il faut tout d'abord envoyer les fichiers de logs a monitorer. Il faut ensuite se rendre sur l'onglet de recherche des alertes sur Splunk "Search and reporting", dans cette onglet nous pouvons sélectionner des filtres permettant d'affiner nos recherches sur les alertes qui nous intéressent.

	==Familiarisation des failles de sécurité==		==Familiarisation des failles de sécurité==

← Version précédente		Version du 21 janvier 2021 à 15:45
Ligne 173 :		Ligne 173 :


−	==== Mise en forme des ~~alrtes~~ avec Splunk ====	+	==== Mise en forme des alertes avec Splunk ====

	==Familiarisation des failles de sécurité==		==Familiarisation des failles de sécurité==

@@ Ligne 171 : / Ligne 171 : @@
   TCP TTL:51 TOS:0x0 ID:8369 IpLen:20 DgmLen:40
   *******F Seq: 0xE478719E  Ack: 0x0  Win: 0x400  TcpLen: 20
 ==Familiarisation des failles de sécurité==