L'utilisation de l'HIDS Wazuh basé sur les signatures et du machine learning d'Elastic facilite la détection des menaces en ligne et améliore l'efficacité des a

<html><head></head><body>La <a href="/fr/products">Suite Elastic</a> propose des fonctions d&apos;analyse de la s&#xE9;curit&#xE9; qui sont largement utilis&#xE9;es en mati&#xE8;re de d&#xE9;tection des menaces, de visibilit&#xE9; et de r&#xE9;ponse aux incidents. La vitesse et l&apos;&#xE9;chelle en fonction desquelles Elasticsearch est capable d&apos;indexer et de rechercher des informations de s&#xE9;curit&#xE9; rendent le travail des analystes de s&#xE9;curit&#xE9; plus efficace, tandis que les tableaux de bord Kibana offrent une visibilit&#xE9; &#xE9;largie et permettent de d&#xE9;busquer les menaces interactives. En outre, le moteur de <a href="/fr/products/stack/machine-learning">machine learning</a> est capable d&apos;automatiser l&apos;analyse d&apos;ensembles complexes de donn&#xE9;es, et permet ainsi d&apos;identifier des intrus qui seraient autrement pass&#xE9;s inaper&#xE7;us.
Les syst&#xE8;mes populaires de d&#xE9;tection d&apos;intrusion (IDS), tels que <a href="https://wazuh.com/">Wazuh</a> ou Suricata, utilisent une approche bas&#xE9;e sur les signatures pour d&#xE9;tecter les menaces. Autrement dit, ils comparent les mod&#xE8;les identifi&#xE9;s dans les fichiers, les logs et le trafic r&#xE9;seau &#xE0; une base de donn&#xE9;es de mod&#xE8;les connus et associ&#xE9;s &#xE0; des activit&#xE9;s malveillantes, puis alertent l&apos;utilisateur lorsqu&apos;une correspondance est &#xE9;tablie. Ces syst&#xE8;mes proposent des ensembles de r&#xE8;gles utiles pour analyser et mettre en corr&#xE9;lation les donn&#xE9;es, et g&#xE9;n&#xE8;rent g&#xE9;n&#xE9;ralement des milliers ou des millions d&apos;alertes par jour dans un environnement de production.
Tendre un vaste filet permet d&apos;intercepter la totalit&#xE9; des &#xE9;v&#xE9;nements de s&#xE9;curit&#xE9;, mais cela implique de devoir trier des milliers (voire des millions) d&apos;alertes par jour. Les fonctionnalit&#xE9;s de machine learning d&apos;Elastic permettent de r&#xE9;duire ce bruit de fond en identifiant automatiquement les comportements inhabituels. Ce cas d&apos;utilisation met en &#xE9;vidence la compl&#xE9;mentarit&#xE9; des technologies bas&#xE9;es sur les anomalies et celles bas&#xE9;es sur les signatures, facilitant ainsi la d&#xE9;tection des menaces tout en rendant les analyses plus efficaces.
Fr&#xE9;quemment d&#xE9;ploy&#xE9; avec la Suite Elastic, <a href="https://github.com/wazuh/wazuh">Wazuh</a> est un syst&#xE8;me open source de d&#xE9;tection d&apos;intrusion bas&#xE9; sur l&apos;h&#xF4;te (HIDS). Il permet d&apos;analyser les logs, de monitorer l&apos;int&#xE9;grit&#xE9; des fichiers, de d&#xE9;tecter les rootkits et les vuln&#xE9;rabilit&#xE9;s, d&apos;&#xE9;valuer les configurations et de r&#xE9;pondre aux incidents. L&apos;architecture de la solution Wazuh repose sur des agents multiplateformes de transfert l&#xE9;ger. Ces agents s&apos;ex&#xE9;cutent sur des syst&#xE8;mes monitor&#xE9;s et communiquent avec un serveur centralis&#xE9; sur lequel les donn&#xE9;es sont analys&#xE9;es. En outre, ce syst&#xE8;me propose un plug-in Kibana complet pour g&#xE9;rer la configuration, monitorer les statuts, effectuer des recherches et visualiser les donn&#xE9;es d&apos;alerte.
D&apos;autre part, <a href="https://suricata-ids.org/">Suricata</a> est un moteur open source de d&#xE9;tection de menace r&#xE9;seau, capable de d&#xE9;tecter les intrusions r&#xE9;seau (NIDS) en temps r&#xE9;el, de pr&#xE9;venir les intrusions en ligne (NIPS), de monitorer la s&#xE9;curit&#xE9; r&#xE9;seau (NSM) et d&apos;utiliser pcap hors ligne. Suricata examine le trafic r&#xE9;seau en appliquant ses r&#xE8;gles et sa langue de signature pour identifier les menaces connues, les violations de politique et les comportements malveillants. La prise en charge des scripts lui permet de d&#xE9;tecter des menaces complexes.
Dans cet article de blog, nous nous pencherons sur la d&#xE9;tection d&apos;intrusions en int&#xE9;grant Wazuh et Suricata aux t&#xE2;ches de machine learning d&apos;Elastic pour classer les analyses par ordre de priorit&#xE9;.
<h2>Int&#xE9;gration de Wazuh, de Suricata et de la Suite Elastic</h2>Pour les besoins de cet article, nous avons configur&#xE9; un environnement lab dans lequel les agents Wazuh ont &#xE9;t&#xE9; d&#xE9;ploy&#xE9;s dans plusieurs serveurs connect&#xE9;s &#xE0; Internet pour monitorer les logs syst&#xE8;me et d&apos;applications, l&apos;int&#xE9;grit&#xE9; des fichiers ainsi que les appels syst&#xE8;me.
De plus, nous utilisons un capteur Suricata charg&#xE9; de monitorer le trafic r&#xE9;seau. Ce capteur est g&#xE9;n&#xE9;ralement configur&#xE9; de fa&#xE7;on &#xE0; monitorer le trafic au moyen d&apos;un TAP r&#xE9;seau, d&apos;un port de mise en miroir ou d&apos;un port SPAN (Switched Port Analyzer), mais il peut aussi &#xEA;tre d&#xE9;ploy&#xE9; directement dans vos serveurs.
Pour b&#xE9;n&#xE9;ficier au maximum de ces deux outils, nous avons d&#xE9;cid&#xE9; d&apos;analyser les alertes de Suricata en appliquant les r&#xE8;gles de Wazuh pour unifier le format des alertes, effectuer des corr&#xE9;lations (avec des sources de Threat Intelligence, par exemple) et d&#xE9;clencher des r&#xE9;ponses automatiques.
Cette int&#xE9;gration a &#xE9;t&#xE9; obtenue en configurant un agent Wazuh pour qu&apos;il puisse lire les fichiers JSON produits par Suricata. Cet agent fait office de collecteur. Il transmet les alertes NIDS de Suricata au serveur Wazuh pour les traiter conform&#xE9;ment aux r&#xE8;gles d&apos;analyse de logs de Wazuh et ainsi produire de nouveaux &#xE9;v&#xE9;nements de s&#xE9;curit&#xE9; enrichis.
R&#xE9;sultat&#xA0;: les alertes NIDS et HIDS sont envoy&#xE9;es &#xE0; Elasticsearch par l&apos;interm&#xE9;diaire de Filebeat (configur&#xE9; pour lire les alertes Wazuh) et Logstash (&#xE9;galement utilis&#xE9; pour enrichir les donn&#xE9;es de g&#xE9;olocalisation). C&apos;est l&#xE0; que nous utiliserons les t&#xE2;ches de machine learning pour d&#xE9;tecter les anomalies et les comportements inhabituels.
Voici l&apos;exemple d&apos;un d&#xE9;ploiement de technologies IDS h&#xF4;te et r&#xE9;seau combin&#xE9;es &#xE0; la Suite Elastic&#xA0;:
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt69bd38c77bdaac5e/5c583b764651cff70b650fc7/wazuh.png" data-sys-asset-uid="blt69bd38c77bdaac5e" alt="Analyse de s&#xE9;curit&#xE9; avec la Suite Elastic et Wazuh" style="display: block; margin: auto;"><h2>D&#xE9;tection d&apos;acteurs malveillants gr&#xE2;ce aux t&#xE2;ches de machine learning</h2>Apr&#xE8;s avoir activ&#xE9; la totalit&#xE9; des r&#xE8;gles dans notre environnement lab, nous avons constat&#xE9; que notre agent Wazuh produit entre 4&#xA0;000 et 10&#xA0;000&#xA0;alertes IDS par jour pour un seul serveur Web connect&#xE9; &#xE0; Internet. Ces alertes sont pour la plupart li&#xE9;es &#xE0; des attaques Web, &#xE0; des &#xE9;checs d&apos;authentification, &#xE0; des probl&#xE8;mes de configuration (d&#xE9;tect&#xE9;s gr&#xE2;ce aux v&#xE9;rifications de s&#xE9;curit&#xE9; renforc&#xE9;e), &#xE0; des variations de l&apos;int&#xE9;grit&#xE9; des fichiers ou &#xE0; des logiciels vuln&#xE9;rables.
Pour faciliter le travail des analystes de s&#xE9;curit&#xE9;, des m&#xE9;tadonn&#xE9;es, telles que les <a href="https://documentation.wazuh.com/3.x/user-manual/manager/alert-threshold.html">valeurs de niveau</a> ou les <a href="https://documentation.wazuh.com/3.x/user-manual/agents/grouping-agents.html">groupes</a>, enrichissent les alertes IDS de Wazuh pour qu&apos;elles puissent &#xEA;tre filtr&#xE9;es par priorit&#xE9; ou par type. En outre, le plug-in Kibana de Wazuh propose des tableaux de bord pr&#xE9;configur&#xE9;s qui contiennent des informations utiles sur le statut de l&apos;agent, la configuration et les alertes. Examinez la capture d&apos;&#xE9;cran ci-dessous&#xA0;:
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltaeded6e5f42e8008/5c583b6f713ebdec0ba0724b/wazuh_1.jpg" data-sys-asset-uid="bltaeded6e5f42e8008" alt="" style="display: block; margin: auto;">L&apos;information fournie par Wazuh est certes utile, mais ne met pas le doigt sur les comportements inhabituels. C&apos;est l&#xE0; que les t&#xE2;ches de machine learning d&apos;Elastic entrent en sc&#xE8;ne.
Le machine learning d&apos;Elastic nous offre la possibilit&#xE9; de cr&#xE9;er plusieurs types de &quot;t&#xE2;ches&quot;. La t&#xE2;che est l&apos;&#xE9;l&#xE9;ment de base de l&apos;analyse par le machine learning. Dans le cas qui nous int&#xE9;resse, nous avons d&#xE9;cid&#xE9; de cr&#xE9;er une &quot;analyse de population&quot;. Nous avons demand&#xE9; au moteur de machine learning de construire un mod&#xE8;le de r&#xE9;f&#xE9;rence du comportement type des adresses IP sur une p&#xE9;riode donn&#xE9;e pour identifier celles qui se comportent de fa&#xE7;on anormale par rapport au reste de la population.
Pour &#xEA;tre plus pr&#xE9;cis, nous souhaitons identifier les adresses IP sources qui, lorsqu&apos;elles sont compar&#xE9;es &#xE0; toutes les autres adresses IP, sont &#xE0; l&apos;origine d&apos;un nombre inhabituellement &#xE9;lev&#xE9; de types d&apos;alertes. La cr&#xE9;ation de tableaux d&apos;agr&#xE9;gation ne suffit pas pour obtenir un tel r&#xE9;sultat, car les anomalies se produisent &#xE0; un moment pr&#xE9;cis que notre analyste de s&#xE9;curit&#xE9; ne connait pas. Aussi, nous disposons de plus de 60&#xA0;jours d&apos;alertes (nous avons d&#xE9;tect&#xE9; des attaques qui duraient moins de deux minutes).
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt5f3853bf1907d6b8/5c583b698c741b010cbf6cf2/wazuh_2.png" data-sys-asset-uid="blt5f3853bf1907d6b8" alt="" style="display: block; margin: auto;">Suite &#xE0; cette analyse de population, nous avons identifi&#xE9; plusieurs comportements anormaux (sous la forme d&apos;une liste d&apos;adresses IP) que nous avons d&#xE9;cid&#xE9; d&apos;analyser. Nous avons utilis&#xE9; l&apos;&quot;Anomaly Explorer&quot; pour savoir quand chacun de ces acteurs potentiellement malveillants a attaqu&#xE9; notre environnement.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltc441190af1573bef/5c583b644651cff70b650fc1/wazuh_3.png" data-sys-asset-uid="bltc441190af1573bef" alt="" style="display: block; margin: auto;"><h2>Analyse d&apos;une tentative d&apos;intrusion</h2>Attardons-nous sur l&apos;une des adresses IP identifi&#xE9;es par la t&#xE2;che de machine learning. Cette adresse IP a &#xE9;t&#xE9; &#xE0; l&apos;origine de plusieurs alertes NIDS et HIDS en moins d&apos;une minute. Cela a d&#xE9;clench&#xE9; une action Wazuh automatique qui a bloqu&#xE9; l&apos;adresse IP dans le pare-feu local de notre serveur Web.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt9943893542e7e7f3/5c583b5edfaabbd40b9c2c0c/wazuh_4.jpg" data-sys-asset-uid="blt9943893542e7e7f3" alt="" style="display: block; margin: auto;">Comme l&apos;illustre la capture d&apos;&#xE9;cran ci-dessus, le NIDS Suricata a d&#xE9;tect&#xE9; du trafic malveillant provenant des adresses IP sp&#xE9;cifi&#xE9;es. Le trafic entrant a permis de v&#xE9;rifier quatre r&#xE8;gles et est &#xE0; l&apos;origine des alertes suivantes&#xA0;:
<ul>
	<li>ET DROP Dshield Block Listed Source group 1</li>
	<li>ET CINS Active Threat Intelligence Poor Reputation IP group 77</li>
	<li>SURICATA HTTP URI terminated by non-compliant character</li>
	<li>SURICATA HTTP METHOD terminated by non-compliant character</li>
</ul>Les deux premi&#xE8;res r&#xE8;gles appartiennent &#xE0; l&apos;ensemble de r&#xE8;gles <a href="http://doc.emergingthreats.net/">Emerging Threats</a>. Elles indiquent que l&apos;adresse IP source a mauvaise r&#xE9;putation d&apos;apr&#xE8;s les sources de Threat Intelligence (TI)&#xA0;: <a href="https://www.dshield.org/">Dshield</a> et <a href="https://sentinelips.com/cins/">Active Threat Intelligence</a>.
De plus, deux autres signatures ont d&#xE9;tect&#xE9; une activit&#xE9; HTTP anormale provenant de la m&#xEA;me adresse IP source, probablement dans le cadre d&apos;une phase d&apos;analyse durant laquelle l&apos;assaillant recueille des informations pour identifier les vuln&#xE9;rabilit&#xE9;s potentielles.
Le composant HIDS de Wazuh a &#xE9;galement g&#xE9;n&#xE9;r&#xE9; diff&#xE9;rentes alertes suite &#xE0; l&apos;analyse des logs d&apos;acc&#xE8;s au serveur Web. Cette approche qui se diff&#xE9;rencie compl&#xE8;tement de l&apos;inspection des paquets r&#xE9;seau a permis de g&#xE9;n&#xE9;rer les alertes suivantes&#xA0;:
<ul>
	<li>IP address found in AlienVault reputation database</li>
	<li>Host Blocked by firewall-drop.sh Active Response</li>
	<li>Host Unblocked by firewall-drop.sh Active Response</li>
</ul>La premi&#xE8;re alerte indique que l&apos;adresse IP source est &#xE9;galement signal&#xE9;e par une autre source de Threat Intelligence (TI)&#xA0;: la base de donn&#xE9;es de r&#xE9;putation IP <a href="https://otx.alienvault.com/">AlienVault OTX</a>.
Les deux alertes suivantes ont &#xE9;t&#xE9; d&#xE9;clench&#xE9;es par le module Wazuh Active Response qui, suite aux alertes d&#xE9;j&#xE0; mentionn&#xE9;es, a automatiquement ajout&#xE9; une r&#xE8;gle de pare-feu pour bloquer le trafic provenant de cette adresse IP source pendant exactement 60&#xA0;secondes (ceci est configurable). Cette action a suffi &#xE0; bloquer les activit&#xE9;s d&apos;analyse de l&apos;acteur malveillant qui a imm&#xE9;diatement cess&#xE9; sa tentative d&apos;intrusion.
<h2>Conclusion</h2>Avec des technologies comme Wazuh, Suricata et le machine learning d&apos;Elastic, l&apos;utilisation des techniques de d&#xE9;tection d&apos;intrusion bas&#xE9;es sur les signatures et les anomalies permettent de simplifier la d&#xE9;tection des menaces et de rendre leur analyse plus efficace.
D&apos;autre part, l&apos;int&#xE9;gration d&apos;un IDS h&#xF4;te (pour monitorer les syst&#xE8;mes au niveau de l&apos;h&#xF4;te) et d&apos;un IDS r&#xE9;seau (pour inspecter le trafic r&#xE9;seau) permet aussi d&apos;am&#xE9;liorer la d&#xE9;tection des menaces et la visibilit&#xE9; en mati&#xE8;re de s&#xE9;curit&#xE9;. Wazuh simplifie tout cela, car il permet d&apos;int&#xE9;grer les syst&#xE8;mes IDS h&#xF4;te et r&#xE9;seau &#xE0; la Suite Elastic, et est en mesure de fournir des m&#xE9;canismes pour d&#xE9;clencher des r&#xE9;ponses automatiques et bloquer des attaques en temps r&#xE9;el.
 </body></html>

ML_IDS_2000x415a.jpg

Blog.jpg

Improve Security Analytics with the Elastic Stack, Wazuh, and IDS

Améliorer l'analyse de la sécurité avec la Suite Elastic, Wazuh et un IDS

Santiago Bassett

Articles By

Register to Attend

Sign In to Attend

Register to Watch

You'll also receive an email with related content

Watch Now

Learn More

Contact Info

See All Posts

What to explore next...

Load more news

Load more press releases

Load More

View more learning opportunities

More

Date

Location

Agenda

Hosted by

Related workshops

Translate Content

Articles by Santiago Bassett

Améliorer l'analyse de la sécurité avec la Suite Elastic, Wazuh et un IDS

Produits

Entreprise

Ressources