Comment surveiller vos équipements #3 – DSM personnalisé

Nous voici déjà dans le troisième volet de cette série autour de la collecte de logs. Après avoir établi les bases de la collecte, à savoir :

1. Mettre en place l'outil de collecte et les premières configurations sur cet outil
2. Mettre en place la collecte sur les équipements informatiques usuels : Windows, Linux

Nous allons voir comment il est possible de collecter des équipements non standards. Avant d'aller plus dans les détails il faut parler rapidement de ce qu'est un DSM pour "Device Support Module", c'est un bout de code qui va analyser les événements reçus pour en extraire les champs standards en fonction du type d'équipement qui envoie les logs.

Il existe un DSM pour chaque type d'équipement collecté, par exemple il en existe un pour Linux OS, un autre pour Apache2… Malheureusement, il n'existe pas de DSM pour tout, et c'est là qu'il faut se mettre au travail et en faire un personnalisé.

Nous allons, non seulement, récupérer les logs correctement (le parsing), mais également leur attribuer des événements associés en fonction de plusieurs paramètres (le mapping).

...

Comment surveiller vos équipements #2 – Premières collectes

Ça y est votre QRadar est fonctionnel, nous allons maintenant mettre en place la surveillance sur des équipements classique que sont :

• Une machine Windows
• Une machine Linux
• Un serveur Apache2 (très pratique quand on a un petit blog 😏)

Pour cela vous pouvez utiliser des machines virtuelles ou des machines existantes parmi vos équipements personnels.

Dans mon cas je vais mettre en place la surveillance sur ma machine Windows personnel et mon VPS Linux hébergé dans le cloud. Et oui ! vous pouvez surveiller vos équipements en dehors de chez vous, pour cela il faudra juste vous armez de votre "Le Réseau pour les Nuls" et faire quelques configurations sur votre box internet.

...

Comment surveiller vos équipements #1 – Mise en place

Qui n'a jamais rêvé d'être Big Brother et de pouvoir surveiller tous ses équipements informatiques, quand est-ce que l'on, ou quelqu'un d'autre, s'est connecté, depuis où… et cætera.

Outre le fait de passer pour un fou l'espace d'un instant, la récupération de toutes ces informations est beaucoup plus utile qu'il n'y paraît. En effet, cette récupération, ainsi que le traitement que l'on peut y faire permet d'avoir une meilleure visibilité sur tout ce qui se passe mais également de pouvoir trouver la source d'un problème quand il y en a un, ou encore de détecter des actions qui ne devraient pas avoir lieu.

...