Network Security Data
Maitriser les sources de donnees de securite reseau, les fichiers journaux, les outils d'analyse et les fonctions SIEM pour une surveillance efficace.
- Comprendre Syslog et ses variantes (syslog-ng)
- Maitriser les journaux Windows (Application, System, Setup, Security)
- Connaitre NetFlow et Cisco AVC
- Differencier les types de donnees de securite (session, statistique, alerte)
- Utiliser les outils d'analyse (Sguil, Wireshark, Cisco Prime)
- Comprendre NBA/NBAD et les fonctions SIEM
📋 25.1 — Syslog et journalisation centralisee
Syslog est la technologie standard utilisee pour la journalisation centralisee des evenements. Quand le personnel de nuit d'un datacenter doit examiner les logs des serveurs, c'est Syslog qui centralise et rend accessibles ces journaux.
Architecture Syslog
| Composant | Role | Exemple |
|---|---|---|
| Syslog Client | Genere et envoie les messages de log | Routeur, serveur, firewall |
| Syslog Server | Recoit et stocke les messages | rsyslog, syslog-ng, Graylog |
| Transport | Protocole de transmission | UDP 514 (classique), TCP 514 ou TCP 6514 (TLS) |
Syslog-ng : protection contre les exploits
L'approche recommandee pour prevenir l'exploitation de Syslog est d'utiliser syslog-ng. Cette implementation amelioree offre :
- Transport TCP fiable (au lieu d'UDP non fiable)
- Chiffrement TLS des communications
- Filtrage avance et classification des messages
- Stockage structure (bases de donnees, fichiers)
- Meilleure gestion de la charge et de la fiabilite
Horodatage Syslog et NTP
Dans un message Syslog, un point (.) ou asterisque (*) avant le timestamp dans le champ HEADER indique un probleme avec le protocole NTP. Cela signifie que l'horloge du systeme n'est pas synchronisee et que l'horodatage peut etre imprecis.
🪟 25.2 — Journaux Windows (Event Logs)
Windows organise ses journaux en quatre categories principales, chacune contenant des types d'evenements specifiques :
| Journal | Contenu | Exemples d'evenements |
|---|---|---|
| Application Logs | Evenements generes par les applications | Crash d'application, erreurs de base de donnees, avertissements Office |
| System Logs | Evenements lies aux drivers, processus et materiels | Erreur de driver, service demarre/arrete, timeout materiel |
| Setup Logs | Informations sur l'installation et les mises a jour de logiciels | Windows Update, installation de programmes, patches |
| Security Logs | Evenements lies aux tentatives de connexion et operations sur les fichiers | Login reussi (4624), echec login (4625), acces fichier, changement de privileges |
Processus Windows et detection de malware
La connaissance de l'emplacement normal des processus Windows critiques est essentielle pour la detection de malwares :
| Processus | Emplacement normal | Si trouve ailleurs |
|---|---|---|
| lsass.exe | C:\Windows\System32\ | Probablement un malware — supprimer |
| svchost.exe | C:\Windows\System32\ | Suspect si dans un autre repertoire |
| csrss.exe | C:\Windows\System32\ | Malware si localisation non standard |
| explorer.exe | C:\Windows\ | Malware si dans System32 ou autre |
C:\Windows\System32\, il doit le supprimer car c'est probablement un malware. Le vrai lsass.exe (Local Security Authority Subsystem Service) ne se trouve JAMAIS dans Program Files.
📊 25.3 — NetFlow et Cisco AVC
Cisco NetFlow
Cisco NetFlow fournit des informations sur les heures de pointe et le routage du trafic reseau. Il collecte des metadonnees sur les flux (IP source/dest, ports, protocole, octets, duree) sans capturer le contenu des paquets.
| Information fournie | Description |
|---|---|
| Peak hours | Heures de pointe du trafic reseau |
| Traffic routing | Chemins empruntes par le trafic |
| Top talkers | Hotes generant le plus de trafic |
| Protocol distribution | Repartition par protocole (TCP, UDP, ICMP) |
NetFlow dans Cisco AVC
Dans l'architecture Cisco AVC (Application Visibility and Control), NetFlow est deploye au niveau de la collecte de metriques (metrics collection). AVC se compose de :
| Composant AVC | Role |
|---|---|
| Application Recognition | Identifier les applications (NBAR2) |
| Metrics Collection | NetFlow / IPFIX — collecter les metriques de flux |
| Control Module | Appliquer les politiques QoS et filtrage |
| Administration & Reporting | Cisco Prime, dashboards de reporting |
Lecture d'un output NetFlow
Lors de l'analyse d'un output NetFlow, il faut identifier :
- Le protocole (TCP/UDP) selon le champ protocol
- Le port source et destination pour identifier le service
- La direction du flux (client → serveur ou reponse)
📦 25.4 — Types de donnees de securite reseau
Les donnees de securite reseau se classent en plusieurs types, chacun offrant une perspective differente :
| Type de donnees | Description | Exemple |
|---|---|---|
| Session Data | Enregistrement des conversations entre hotes du reseau | Flux NetFlow : IP src/dst, ports, duree, octets |
| Statistical Data | Donnees creees en analysant d'autres formes de donnees | Moyennes, tendances, distributions, anomalies calculees |
| Alert Data | Notifications generees par les systemes de detection | Alertes IDS/IPS, alertes SIEM, regles de correlation |
| Transaction Data | Details des echanges individuels | Requetes/reponses DNS, HTTP, SMTP individuelles |
| Full Packet Capture | Capture complete de tous les paquets | Fichiers PCAP de Wireshark |
Statistical data = "creees en analysant d'autres formes de donnees"
🛠️ 25.5 — Outils d'analyse de securite reseau
Sguil
Sguil est une application qui fournit une interface pour rendre les alertes Snort lisibles et interrogeables (searchable). C'est une console SOC open source qui integre :
- Affichage en temps reel des alertes Snort/Suricata
- Correlation avec les captures de paquets (PCAP)
- Capacite de recherche et de pivot dans les evenements
- Interface de triage pour les analystes SOC
Outils de capture et d'analyse de paquets
Les deux outils GUI qui permettent d'afficher et d'analyser des captures de paquets completes sont :
| Outil | Type | Description |
|---|---|---|
| Wireshark | GUI open source | Analyseur de protocoles reseau — capture et decode les paquets en temps reel |
| Cisco Prime Network Analysis | GUI commerciale | Plateforme Cisco d'analyse reseau avec visualisation avancee des captures |
📈 25.6 — NBA, NBAD et telemetrie avancee
Deux methodes de surveillance de securite reseau utilisent l'analyse de telemetrie avancee :
| Methode | Nom complet | Description |
|---|---|---|
| NBA | Network Behavior Analysis | Analyse le comportement du reseau pour detecter les anomalies (trafic inhabituel, DDoS, worms) |
| NBAD | Network Behavior Anomaly Detection | Detection specifique des anomalies comportementales du reseau (deviations par rapport a la baseline) |
Ces deux methodes vont au-dela de la simple detection basee sur les signatures en analysant les patterns de trafic, les flux et les comportements pour identifier les menaces inconnues (zero-day).
🧩 25.7 — Fonctions SIEM essentielles
Un SIEM (Security Information and Event Management) effectue plusieurs fonctions cles sur les logs collectes :
| Fonction SIEM | Description | Exemple |
|---|---|---|
| Correlation | Lier les logs de systemes disparates pour identifier des patterns d'attaque | Lier un echec de login (firewall) + scan de ports (IDS) + acces fichier (serveur) = attaque coordonnee |
| Aggregation | Reduire les donnees en regroupant les doublons | 10 000 alertes identiques → 1 alerte avec count = 10 000 |
| Normalization | Mapper les logs vers un modele commun (champs uniformes) | Unifier "src_ip" (Cisco) + "SourceAddress" (Windows) + "srcip" (Palo Alto) → champ unique "source_ip" |
Aggregation = reduire les doublons.
Normalization = mapper vers un modele commun.
📂 25.8 — Catégories de données NSM en profondeur
Le NSM (Network Security Monitoring) repose sur quatre catégories de données complémentaires. Comprendre leurs différences est essentiel pour choisir la bonne source selon la question d'analyse.
| Catégorie | Description | Outil typique | Volume | Quand l'utiliser |
|---|---|---|---|---|
| Full-Content Data (PCAP) | Capture intégrale de chaque paquet réseau (headers + payload) | Wireshark, tcpdump, NetworkMiner | Très élevé | Investigation approfondie d'un incident spécifique — reconstituer exactement ce qui s'est passé |
| Session Data | Résumé de chaque flux réseau (IP src/dst, ports, durée, octets) | NetFlow, IPFIX, Zeek (conn.log) | Moyen | Identifier les communications suspectes (qui a parlé à qui, quand, combien) |
| Statistical Data | Agrégations et tendances du trafic réseau | SIEM dashboards, NBAD, Cisco AVC | Faible | Détecter les anomalies de volume, les tendances inhabituelles |
| Alert Data | Événements générés par les IDS/IPS quand une règle matche | Snort, Suricata, Sguil | Variable | Point de départ d'une investigation — « quelque chose de potentiellement malveillant s'est passé » |
Métadonnées et données de transaction
| Type | Description | Exemple |
|---|---|---|
| Metadata | Données sur les données — contexte sans le contenu | En-têtes email (From, To, Date), en-têtes HTTP (User-Agent, Host), infos DNS (domaine, type, TTL) |
| Transaction Data | Échanges applicatifs individuels enregistrés | Requêtes DNS complètes, transactions HTTP (URL, status code), logs de session |
📝 25.9 — Quiz de revision
Points cles du Module 25
- Syslog est la technologie de journalisation centralisee ; syslog-ng previent les exploits syslog
- Un point/asterisque avant le timestamp syslog indique un probleme NTP
- Les journaux Windows : Application (apps), System (drivers/hardware), Setup (installations), Security (login/fichiers)
- lsass.exe hors de System32 = probablement un malware
- NetFlow fournit les heures de pointe et le routage du trafic ; deploye comme metrics collection dans Cisco AVC
- Session data = conversations entre hotes ; Statistical data = creees en analysant d'autres donnees
- Sguil rend les alertes Snort lisibles et interrogeables
- Wireshark et Cisco Prime Network Analysis sont des outils GUI pour l'analyse de paquets complets
- NBA et NBAD utilisent l'analyse de telemetrie avancee
- Fonctions SIEM : Correlation (lier), Aggregation (reduire), Normalization (mapper)
- Les 4 catégories NSM : Full-Content (PCAP), Session (NetFlow), Statistical, Alert (IDS)
- Workflow d'investigation : Alert → Session → Full-Content