Webinar Security Monitoring 23 septembre 2022

Le 23 septembre 2022, Lionel Porcheron a présenté comment monitorer la sécurité de son infrastructure avec l’outil de monitoring qu’on utilise déjà : quels éléments superviser, quels indicateurs remonter, et comment centraliser la santé de l’infrastructure — sécurité comprise — au même endroit. Le webinar s’adressait à toute personne ayant des connaissances générales d’infrastructure et de DevOps ; le replay et les slides sont disponibles ci-dessous.

Ce que couvrait le webinar

Pourquoi monitorer la sécurité

Les systèmes sont de plus en plus exposés à Internet et de plus en plus complexes, les failles se multiplient, et tout est devenu logiciel : téléphone, poste de travail, VPN, point d’accès wifi. Dans une démarche DevSecOps, chaque équipe intègre la sécurité dès la conception : le pare-feu d’entreprise ne suffit plus à la garantir. Les SIEM (Splunk, Elastic…) centralisent les événements pour détecter les incidents ; l’idée du webinar était d’en construire une version simple dans l’outil de monitoring.

Quoi surveiller, couche par couche

• Systèmes : utilisation des ressources (CPU, mémoire, I/O, disque), nombre de mises à jour de sécurité en attente, validité des certificats SSL.
• Réseau, même dans le cloud : bande passante des équipements, trafic inattendu, CPU et mémoire des équipements réseau, collectés en SNMP.
• Logs : taux d’erreurs, volume de lignes, échecs d’authentification, en transformant les logs en métriques à l’aide d’expressions régulières.
• Disponibilité externe : une sonde hors de votre réseau, qui voit le service comme vos utilisateurs.

S’appuyer sur l’écosystème Prometheus

Des exporters Prometheus existent pour la plupart des briques de sécurité : Suricata et Snort (détection d’intrusion réseau), CrowdSec (détection d’intrusion sur l’hôte), pfSense et OPNsense (pare-feu), SNMP — et en écrire un soi-même est simple. L’exemple détaillé était CrowdSec, qui détecte les comportements malveillants et bloque les adresses concernées en s’appuyant sur une base de réputation communautaire : son endpoint Prometheus expose notamment le nombre de scénarios déclenchés et le nombre d’IP bannies.

Réutiliser dashboards et alerting

Les golden signals restent la meilleure source d’alertes, et la règle ne change pas : une alerte signifie qu’une action humaine immédiate est nécessaire. Le reste — la vue d’ensemble de la santé et de la sécurité de l’infrastructure — relève du dashboard.

Aller plus loin

• Monitoring CrowdSec with Bleemeo (article en anglais).
• Logs monitoring with mtail : créer des métriques à partir de ses logs (article en anglais).
• How to monitor SSL/TLS certificates (article en anglais).
• Monitoring réseau : vos équipements supervisés en SNMP.
• Gestion centralisée des logs.

Replay

Voir le replay sur la chaîne Youtube de Bleemeo:

Slides

Les slides présentés lors de ce webinar: