Découverte de modèles d’attaque complexes par la corrélation des journaux d’événements

Découverte de modèles d’attaque complexes par la corrélation des journaux d’événements

Les journaux sont le fil d’Ariane de l’activité réseau et contiennent des détails précis sur toutes les opérations des utilisateurs et du système dans le réseau. L’analyse de base des journaux aide à trier facilement des millions de lignes de journal, repérer celles qui indiquent une activité suspecte et identifier celles anormales qui ne correspondent pas à l’activité réseau habituelle.

Souvent, un journal pris isolément peut sembler tout à fait normal mais, examiné avec une série d’autres journaux connexes, il peut révéler un modèle d’attaque. Les solutions SIEM, qui collectent des données d’événement de diverses sources dans le réseau, détectent les incidents suspects au sein de l’environnement.

Dans EventLog Analyzer le moteur de corrélation détecte des séries de journaux, provenant des appareils du réseau, qui révèlent de possibles attaques et avertit rapidement de la menace. L’adoption de solides moyens d’analyse et de corrélation des journaux d’événements aide à prendre des mesures proactives contre les attaques du réseau.

Corrélation de journaux avec EventLog Analyzer

Le puissant moteur de corrélation d’événements d’EventLog Analyzer identifie efficacement des modèles d’attaque définis dans les journaux. Son module de corrélation offre plusieurs fonctions utiles, notamment :

• Règles prédéfinies: utilisez plus de 30 règles de corrélation SIEM prédéfinies qu’intègre le produit.
• Tableau de bord général: parcourez le tableau de bord de corrélation convivial, qui offre des rapports détaillés pour chaque type d’attaque ainsi qu’un rapport récapitulatif de toutes les attaques détectées, facilitant une analyse précise.
• Aperçu chronologique: affichez un diagramme contenant la série chronologique des journaux pour chaque modèle d’attaque identifié.
• Détection des menaces: identifiez une activité réseau suspecte menée par des acteurs malveillants connus.
• Générateur de règles intuitif : définissez de nouveaux modèles d’attaque avec cette fonction pratique, qui fournit une liste par catégorie des opérations réseau et permet de les faire glisser et les déplacer dans l’ordre souhaité.
• Filtres basés sur des champs: définissez des contraintes de champs de journal pour un contrôle affiné des types d’attaque définis.
• Alertes instantanées: configurez des notifications par courrier ou SMS pour être immédiatement averti lorsque le système détecte un modèle suspect.
• Gestion des règles: activez, désactivez, supprimez ou modifiez des règles et leurs notifications dans le même écran.
• Sélecteur de colonnes: contrôlez le contenu qu’affiche chaque rapport en choisissant les colonnes requises et les renommant, au besoin.
• Rapports planifiés: établissez des calendriers pour générer et diffuser les rapports de corrélation requis.

Création de règles de corrélation personnalisées via une interface intuitive

L’interface d’EventLog Analyzer facilite la création de modèles d’attaque :

• Définissez de nouveaux modèles d’attaque avec plus d’une centaine d’événements réseau.
• Faites glisser et déplacez des règles pour réorganiser les actions qui composent un modèle et leur ordre.
• Limitez certaines valeurs de champ de journal avec des filtres.
• Indiquez les valeurs de seuil pour déclencher des alertes, comme le nombre d’occurrences d’un événement ou la période entre des événements.
• Ajoutez un nom, une catégorie et une description pour chaque règle.
• Modifiez des règles existantes pour affiner les alertes. Si vous notez qu’une règle donnée génère trop de faux positifs ou ne parvient pas à détecter une attaque, vous pouvez facilement modifier la définition de cette règle selon vos besoins.

Rapports de corrélation d’événements

EventLog Analyzer offre des rapports de corrélation prédéfinis qui couvrent plusieurs types d’attaque bien connus, comme :

• Menaces de compte d’utilisateur: protégez les comptes d’utilisateur contre la compromission en vérifiant les modèles d’activité suspecte, comme les tentatives de force brute ou de modification de mots de passe et les échecs de connexion.
• Menaces de serveur Web: analysez le trafic Web entrant pour déceler des tentatives de piratage, comme des requêtes URL malveillantes ou des injections SQL.
• Menaces de base de données : évitez les violations de données en détectant une activité anormale des bases de données, comme une suppression en masse ou une sauvegarde non autorisée.
• Ransomware: détectez les risques de type ransomware en vérifiant si un même processus effectue plusieurs modifications de fichier.
• Menaces à l’intégrité des fichiers: protégez les fichiers et les dossiers sensibles contre une tentative d’accès ou de modification non autorisée avec des rapports sur l’activité suspecte.
• Menaces Windows et Unix: identifiez l’activité anormale des systèmes Windows et Unix comme la présence de ver, l’installation de malware, les tentatives de modification de registre non autorisée, l’exécution de commande sudo imprévue, etc.
• Menaces liées aux cryptomonnaies: protégez les ressources du réseau contre l’usage pour un cryptominage non autorisé en vérifiant des pics anormaux de la température d’une machine ou de l’utilisation du CPU.

Rapports disponibles

Lancement de logiciel de portefeuille de cryptomonnaie | Lancement de logiciel d’extraction de cryptomonnaie | Cryptominage : utilisation élevée prolongée du CPU | Cryptominage : alertes de température de machine élevée | Nouveaux systèmes ajoutés au réseau | Activité de sauvegarde SQL suspecte | Service suspect installé | Installation de logiciel suspect | Redémarrages de service Syslog | Échecs répétés de commandes SUDO | Arrêts imprévus | Blocages de compte notables | Journaux d’événements effacés | Échecs répétés de sauvegarde Windows | Excès d’incidents d’application | Risque d’activité de ver | Modifications répétées de stratégie d’audit système | Échecs répétés d’entrée de registre | Échecs d’accès aux fichiers | Modifications répétées de stratégie d’audit des objets | Modifications répétées d’autorisations de fichiers | Excès de suppression de fichiers | Accès suspect aux fichiers | Risque d’activité de ransomware | Détections de ransomware | Tentatives répétées d’injection SQL dans base de données | Suppression de plusieurs tables | Tentatives d’injection SQL répétées | Demandes d’URL malveillantes | Modifications de compte d’utilisateur anormales | Excès d’échecs de modification de mot de passe | Excès d’échecs de connexion | Force brute

Prévenir les attaques grâce à la corrélation d’événements

Les règles de corrélation prédéfinies permettent de détecter divers indices d’attaque. Par exemple, on peut détecter un malware qui se dissimule sous forme de services d’arrière-plan dans le réseau. Regardez la vidéo pour comprendre comment EventLog Analyzer permet de détecter l’installation d’un programme suspect.

Besoins fonctionnels ? Parlons-en.

Si vous souhaitez voir d’autres fonctionnalités intégrées à EventLog Analyzer, n’hésitez pas à nous en faire part. Cliquez ici pour continuer