- : Dans cette leçon,
nous allons nous concentrer sur la surveillance et l'audit.
Commençons par le contrôle.
Lorsque nous parlons de surveillance,
l'une des principales tâches d'un analyste de la sécurité
consiste à surveiller le réseau.
Nous sommes comme des détectives.
Nous essayons d'éliminer
tout ce qui ne semble pas correct, ce
qui peut être fait manuellement ou par des moyens automatisés.
Aujourd'hui, syslog est un protocole permettant à différents appareils
et applications logicielles de transmettre leurs journaux ou
enregistrements d'événements à un serveur centralisé.
Maintenant, syslog va suivre un modèle client-serveur standard.
Il s'agit de la norme de facto pour l'enregistrement d'événements
provenant de systèmes distribués sur un réseau.
Vous verrez que syslog est utilisé dans un grand nombre de systèmes sur lesquels
vous travaillerez quotidiennement.
Aujourd'hui, syslog fonctionne sur la plupart des systèmes d'exploitation
et sur la plupart des équipements de réseau.
Ainsi, que vous utilisiez un routeur Cisco,
une machine Windows ou un serveur Linux, tous peuvent
utiliser syslog.
Lorsque nous renvoyons ces messages,
à quoi ressemble un message syslog ?
Un message syslog contient plusieurs éléments.
Il contient un code PRI, qui est un code de priorité.
Il contient un en-tête et une partie du message.
Parlons de chacun d'entre eux.
Tout d'abord, nous avons ce code PRI, cette priorité,
qui sera calculée en fonction de l'établissement
et du niveau de gravité des données.
Ensuite, nous avons un en-tête
qui va contenir l'horodatage de l'événement
et le nom de l'hôte.
Nous savons donc d'où il vient et à quelle heure il est arrivé.
Enfin, nous avons la partie message, qui contient
le processus source de l'événement et le contenu
connexe, c'est-à-dire les données qui se sont produites et ce dont vous
voulez nous parler.
C'est l'idée de la partie message.
C'est la viande et les pommes de terre de ce message.
Lorsque nous avons abordé la question
de syslog, il y a quelques inconvénients dans la version originale.
Le protocole d'origine reposait sur le protocole UDP.
Cela peut entraîner des problèmes de livraison dans les réseaux
encombrés, car UDP est un protocole "feu et oubli".
Il l'envoie et n'attend pas de réponse
ni d'accusé de réception.
Il suppose donc qu'il est arrivé là.
Si votre réseau est encombré, il
se peut que des données soient perdues et que,
par conséquent, vos informations ne parviennent pas au serveur
d'enregistrement et ne soient pas enregistrées.
Au début, cela pouvait être acceptable, car les gens supposaient
que tous les membres du réseau étaient
dignes de confiance, mais aujourd'hui, ce
n'est plus le cas.
Nous voulons nous assurer que nos données y parviennent.
Nous allons donc devoir trouver une solution à ce problème.
Deuxièmement, il n'y a pas beaucoup
de contrôles de sécurité de base.
Il n'y avait rien de tel que le cryptage ou l'authentification
inclus par défaut avec syslog.
Et c'est là encore un autre inconvénient.
Dans les implémentations modernes de syslog, nous avons
donc corrigé ces problèmes.
Aujourd'hui, en raison de ces problèmes de
sécurité, nos nouvelles implémentations syslog ont ajouté de nombreuses
fonctionnalités et capacités différentes.
Nous allons en évoquer quelques-uns ici.
Tout d'abord, les implémentations les plus récentes utilisent le protocole
TCP pour une distribution cohérente.
Ainsi, si le réseau est encombré et que le message
n'arrive pas à destination, il
le transmettra à nouveau, encore et encore,
parce qu'il utilise TCP.
La deuxième amélioration, les implémentations les
plus récentes, peut utiliser TLS, ou sécurité de la couche transport,
pour crypter vos messages envoyés aux serveurs.
De cette manière, les données en transit ne peuvent
pas être lues par quelqu'un d'autre sur le réseau.
Il ne peut être lu que par le point de terminaison
qui l'a envoyé et le serveur qui le reçoit.
Enfin, les implémentations
les plus récentes utilisent également MD5 et SHA1 pour assurer l'authentification
et l'intégrité.
De cette manière, les messages peuvent être authentifiés et intègres
lorsqu'ils transitent sur votre réseau, afin de s'assurer
qu'ils ne sont pas manipulés par quelqu'un d'autre.
Là encore, de nombreuses autres fonctionnalités sont disponibles.
Je ne me concentre pas trop sur cet ensemble, car les trois
principaux éléments qui nous intéressent sont les suivants
: nous sommes passés à TCP pour une livraison cohérente.
Nous sommes passés à TLS pour le cryptage et
nous avons commencé à utiliser MD5 et SHA1 pour
l'authentification et l'intégrité.
Cette nouvelle version du serveur
est généralement appelée syslog-ng, pour syslog next generation,
ou rsyslog.
La dernière chose que je voudrais mentionner à propos
de syslog est que syslog est souvent utilisé pour signifier trois choses.
Il peut s'agir du protocole par lequel nous envoyons les données.
Il peut faire référence au serveur, comme dans le cas d'un serveur
syslog, ou aux entrées de journal elles-mêmes, comme
dans le cas des données syslog.
Souvent, les gens disent simplement "syslog"
alors qu'ils veulent dire les trois, ou l'un des trois,
selon le contexte.
Il faut donc faire attention
lorsque l'on entend les gens parler de
l'industrie et s'assurer
que l'on comprend bien de laquelle des trois
il s'agit : SNMP est la prochaine.
SNMP est le protocole de gestion de réseau simple.
Il s'agit d'un protocole TCP qui facilite la surveillance
des appareils et des ordinateurs connectés au réseau.
SNMP est incorporé dans les systèmes de gestion et de surveillance
des réseaux et est largement utilisé dans le concept
de gestion et de surveillance.
SNMP se décompose en trois éléments.
Il y a les appareils gérés, l'agent et les
systèmes de gestion de réseau eux-mêmes.
Nous parlons de dispositifs gérés.
Il s'agit d'ordinateurs et d'autres dispositifs reliés
au réseau qui sont surveillés par un système
de gestion de réseau au moyen d'agents.
Les agents sont des logiciels chargés sur un appareil géré.
Cela nous permet de rediriger les informations
vers le système de gestion du réseau qui
assurera la surveillance.
Un système de gestion de réseau, ou NMS, est
le logiciel exécuté sur un ou plusieurs serveurs
qui contrôle la surveillance
de tous les appareils et ordinateurs connectés au
réseau.
SNMP est la colle qui permet à ces trois éléments
de communiquer entre eux, en utilisant le protocole SNMP.
À quoi cela ressemble-t-il à l'intérieur du réseau ?
Ici, à l'écran, vous pouvez voir un bref diagramme.
Nous avons à gauche notre station de gestion du réseau,
ou NMS, qui fait partie de notre système de gestion du réseau.
Il va agir en tant que gestionnaire et va
envoyer et recevoir des messages à tous
les dispositifs gérés à travers le réseau, vos routeurs,
vos commutateurs et vos serveurs, n'est-ce pas ?
Lorsqu'il souhaite obtenir des
informations, il envoie une requête
"get", et les appareils concernés renvoient les informations
à l'aide d'une requête "set".
Il existe également ce que l'on appelle une demande de piège,
qui va recevoir des informations non sollicitées de la part
de ces dispositifs de gestion, qui envoient
simplement des informations en fonction des besoins,
à intervalles périodiques.
Ainsi, lorsque vous gérez votre réseau à l'aide de SNMP, vous disposez
de deux options pour l'envoi des données.
Vous pouvez l'envoyer sur le réseau que vous utilisez,
ce qui est connu sous le nom de communication intra-bande,
ou vous pouvez l'envoyer hors bande.
Lorsque l'on parle de bande passante,
cela signifie que l'on va envoyer ces données de gestion
sur le même réseau que celui qui transporte les informations
et les données normales de l'entreprise.
C'est moins cher, plus facile, mais moins sûr.
Pour plus de sécurité,
vous devez créer un réseau hors bande.
Il s'agit d'un réseau secondaire sur lequel
s'effectue toute la gestion, mais vous disposez
toujours du réseau primaire en bande sur lequel s'effectuent
toutes les données que les utilisateurs vont recevoir.
La gestion devrait toujours être effectuée
sur un réseau hors bande, car cela augmente la sécurité et retire
la fonction de gestion de l'endroit où les utilisateurs peuvent
la toucher ou la voir.