Cet article a pour but de vous présenter comment un système d’analyse de données machine tel que Splunk peut être utile pour réagir efficacement à une attaque en cours. Nous prenons l’exemple pour lequel Brian Krebs a servi de preuve de concept pour le botnet Mirai avant que ce dernier attaque les serveurs DNS de Dyn empêchant l’accès à des sites connus tels que GitHub, Twitter, Netflix ou encore Airbnb.
À partir de fin septembre 2016, un botnet prénommé Mirai avait pour originalité de s’en prendre aux systèmes embarqués, utilisés dans ce qui s’appelle maintenant l’Internet des objets (IoT pour Internet of Things en anglais). Vous savez la petite caméra de surveillance, votre frigo, thermostat qui embarque le plus souvent un système Linux qui n’est jamais mis à jour ?
Nous souhaiterions savoir s’il est possible d’utiliser Splunk afin de détecter les traces potentielles d’attaques sur votre réseau.
1. Splunk dans les grandes lignes
Nous sommes en 2016, les machines génèrent énormément de données, que ce soit des applications système avec syslog sous Linux, Windows Event Log pour Windows, des données mises en base de données, des logs d’applications métier ou encore du trafic réseau. Il y a deux questions fondamentales que l’on se pose lorsque l’on veut maîtriser son système d’information :
- Comment collecter ce volume...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première