In logs we trust
Dans cet article nous allons parler de l’extension Pulse sur QRadar. Cette extension permet de manipuler les données pour les afficher sous différentes formes. Elle peut également interagir avec différentes sources comme l’API QRadar, des recherches AQL ou encore des scripts.
Dans cet article, nous allons voir comment il est possible de d’envoyer vers QRadar (quasiment) tous les logs qu’une machine Windows récupère. Vous avez vu précédemment comment mettre en place la collecte d’une machine Windows via un agent Wincollect, mais nous n’avions pas creusé ce qui est récupéré par cet agent.
Pour mieux comprendre la suite, il faut d’abord savoir que :
Dans le dernier article de la série autour de la création d’un mini-SOC, nous avons vu comment créer des règles de détection pour pouvoir détecter les méchantes personnes qui veulent du mal à vos pauvres machines ou sites web.
Néanmoins dans l’article, je vous présentais directement une solution fonctionnelle sans plus de tests que cela. C’est parce que j’ai préféré réserver tout un article sur la face cachée derrière le développement d’une règle de détection, les tests, les ajustements, les échecs… parce que oui parfois, ce que l’on pense être correct s’avère ne pas l’être et il faut pouvoir analyser pourquoi ?
Pour répondre à cette question, il existe plusieurs moyens et je ne vais pas tous vous les décrire pour la simple et bonne raison que je ne les ai pas tous assez éprouvés pour être en mesure de les juger. De plus, le moyen que j’ai choisi est souvent, de mon expérience, négligé par les utilisateurs de la solution QRadar.
Ce moyen n’est autre que l’extension "Experience Center". Rentrons tout de suite dans le vif du sujet avec l’installation.
La mise en place d’un .htaccess permet de nombreuses choses, dans notre cas il permet principalement de protéger l’accès à une ressource pour pouvoir avancer dans le développement de celle-ci. Il permet également de :
Il existe évidemment des dizaines et des dizaines de tutos expliquant comment configurer un .htaccess, vous trouverez ici un exemple simple de mise en place sans configuration avancée.
Trêve de prose, passons à la technique et mettons en place ce fichier.