Utilisation de Splunk pour la Sécurité des Données

Study Notes

L'objectif est d'analyser les incidents de sécurité détectés.
Splunk est un outil d'investigation.
Les méthodes d'investigations incluent l'utilisation de frises chronologiques, de mots clés et de requêtes SPL.
Il est possible de rechercher un utilisateur suspect, et d'analyser les requêtes et actions menées par l'utilisateur.
Les outils SIEM comme Splunk, IBM QRADAR, SOLARWINDS et ELK permettent de réaliser des analyses de sécurité en temps réel.
Les données de journalisation de multiples sources peuvent être collectés.
Splunk permet d'afficher les événements sous forme de graphiques ou de diagrammes avec des étiquettes interactives.
Les résultats sont issus de requêtes écrites en langage SPL.
Des mots clés comme "Fail*", "invalid*", "password*", "temp*" et "test*" peuvent être utilisés pour cibler des événements spécifiques.
Il est possible d'identifier les connexions en dehors des heures normales de travail en utilisant des requêtes SPL.
La plage de recherche peut être affinée en réduisant la plage de recherche.
L'utilisation de requêtes SPL permet la détection d'activité suspecte ou malveillante.
Les requêtes SPL peuvent être utilisées pour cibler les actions de l'utilisateur suspect.
Les identifiants de session (Token ID) peuvent être vérifiés pour confirmer si la session est utilisée pour une activité malveillante.

Outils SIEM pour l'analyse de sécurité en temps réel.
Collecte d'événements de sécurité et de données de journalisation à partir de sources multiples.
Les rôles SIEM inclus la gestion des informations de sécurité (SIM), et la gestion des événements de sécurité (SEM).
Exemples d'outils SIEM : ELK, IBM QRADAR, SOLARWINDS et SPLUNK.