L’analyse des fichiers logs est essentielle pour la sécurité et la performance des systèmes, mais elle peut être complexe.
Une mauvaise gestion des logs peut entraîner des failles de sécurité et des inefficacités opérationnelles majeures.
Cet article vous guide à travers l’analyse des logs, en couvrant les étapes d’importation et d’indexation pour maximiser la sécurité et la performance.
Maîtrisez les fonctionnalités de base dans l'analyse de logs avec Splunk
Analyse des fichiers logs essentiels
Nous disposons de trois fichiers logs qui reflètent différents systèmes
- Access Today Log :Ce fichier contient des logs relatifs à un serveur web. Il enregistre les requêtes HTTP échangées entre les utilisateurs et le serveur sur une période de 30 jours.
- DB Audit CSV :Ce fichier représente les logs d’audit d’une base de données. Il inclut des informations sur les accès, modifications et écritures effectuées au sein de la base.
- Linux Secure Log :Ce fichier contient des logs de sécurité d’un serveur Linux, particulièrement ceux liés aux connexions via le protocole SSH.
Indexation efficace des logs serveur web
Accéder à l'outil d'indexation
Commencez par vous connecter à votre plateforme d’analyse, avec vos identifiants. Accédez à l’option Ajouter des données , puis sélectionnez Envoyer pour importer les fichiers. Notez que la taille maximale de chaque fichier est de 500 Mo, configurable selon les besoins.
Importer le fichier "Access Today Log"
- Téléchargez le fichier log relatif au serveur web.
- Définissez son type (source type) comme « access combine cookies » pour assurer une indexation appropriée.
- Examinez les métadonnées et les champs extraits automatiquement, notamment les requêtes HTTP, pour analyser les événements.
En fait, vous avez les différentes catégories de log que vous pouvez récupérer s’il n’arrive pas à les identifier de manière native. Il y a une panoplie de types de log, Comme vous pouvez le voir, ça peut être des mesures, des log mailles, des log génériques, des bases de données, des log applicatifs ou encore réseau et sécurité des log structurés par exemple en JSON qu’on peut exploiter et ainsi de suite.
Une fois effectuée, en clique sur Suivant. Donc là, à partir de là, on peut choisir une valeur de lot relativement auquel on a récupéré, lire les logs. Donc à ce moment-là, ça peut être une expression régulière aussi, ou encore un segment. Donc non, dans notre cas, on va le nommer par exemple serveur web, qui est notre machine hôte en fait, à partir de laquelle on a récupéré ces logs-là.
Donc là voilà, serveur web et en bas, vous pouvez aussi choisir l’index, les index comme on a spécifié. C’est eux qui vont se charger de stocker les différentes données sous format d’événement et qui vont avoir ce qu’on appelle un index qui va pouvoir pointer sur une donnée.
par défaut, on a un index qui s’appelle default. Donc ça c’est l’index par défaut qui va être créé. On a aussi trois index qui sont donc natifs, que vous retrouvez dans tous les cinq. C’est history pour l’historique.
L’index main, c’est là où vous allez retrouver en fait votre index par défaut, le même index que par défaut qui va être utilisé et vous avez aussi le summary ou l’index summary. C’est l’index en fait où vous allez pouvoir retrouver les résultats des différents rapports programmés. Donc on va laisser pour l’instant par défaut, mais je peux aussi cliquer sur Créer un nouvel index et choisir d’en créer.
Dans notre cas, nous n’allons pas utiliser cette fonctionnalité-là.
Je clique ensuite sur Résumé, donc tout simplement qui va reprendre tout le paramètre ou tout le paramétrage qu’on a mis en place. Voilà, terminé. Et donc là, il est en train de charger notre fichier.
En cliquant sur Lancer la recherche, nous pouvons tomber sur l’élément suivant. Je vais cliquer sur Ignorer. Et en fait, on a réussi évidemment à charger nos logs. Vous remarquerez ici que de facto, il nous a choisis au niveau où après notre recherche, la source spécifique à notre fichier qu’on vient de plaider
vous pouvez choisir la plage de temps souhaitée. Donc là vous pouvez voir tout ça en temps réel. Ça, c’est très intéressant lorsque vous faites de l’analyse en temps réel, sinon de manière relative, et vous pouvez même avoir tout simplement des périodes bien spécifiques que vous pouvez spécifier une période définie par une date.
Donc ici, vous pouvez choisir la plage de temps souhaitée. Donc là vous pouvez voir tout ça en temps réel. Ça, c’est très intéressant lorsque vous faites de l’analyse en temps réel, sinon de manière relative, et vous pouvez même avoir tout simplement des périodes bien spécifiques que vous pouvez spécifier une période définie par une date, le temps réel par exemple, selon des secondes, des minutes ou encore des heures, donc, ou encore même de manière encore plus précise.
Indexer le fichier "DB Audit CSV"
- Chargez le fichier CSV contenant les logs d’audit.
- Vérifiez que les champs essentiels, tels que les timestamps, les types de requêtes et leur durée d’exécution, sont correctement identifiés.
Créez un modèle (source type) pour faciliter la reconnaissance automatique des futures structures similaires.
Ce que je vais faire, c’est cliquer sur Enregistrer sous et lui donner un nom. Donc DB audit. Donc là on a créé un nouveau step qui s’appelle The Body, qui va être en fait tout simplement log db ou base de données BDD. Donc postgres, voilà, outil en fait, c’est on va spécifier que c’est des logs de base de données.
Ce que je vais faire, c’est cliquer sur Enregistrer sous et lui donner un nom. Donc DB audit. Donc là on a créé un nouveau step qui s’appelle The Body, qui va être en fait tout simplement log db ou base de données BDD. Donc postgres, voilà, outil en fait, c’est on va spécifier que c’est des logs de base de données.
cette base de données et ici c’est des données, donc système parfait. Et en fait ici c’est tout simplement l’approche qui nous permet de créer donc un sous type selon une extraction qui a été faite pour que pour les prochaines fois, ils puissent reconnaître automatiquement ces types de structures en tant que DB audit. Donc c’est à dire que là on a un fichier CSV, on a une structure bien spécifique, et là, grâce à ces structures, on va créer un moule, en fait, qui à chaque fois, qui va pouvoir repérer les mêmes champs dans un autre fichier CSV ou autre, il va pouvoir automatiquement l’assigner à cette catégorie de type de source, c’est à dire de source type.
Importer le fichier "Linux Secure Log"
- Ajoutez le fichier contenant les logs de sécurité Linux.
- Si le type de log n’est pas détecté automatiquement, sélectionnez manuellement « Système d’exploitation > Logs Linux Secure ».
- Analysez les données SSH extraites pour détecter les connexions suspectes ou autres événements notables.
Je reviens sur ce bloc entreprise. Ensuite je vais cliquer sur Ajouter des données envoyer. Maintenant, je vais passer à mon troisième fichier, donc mes logs ou Linux suivant. Et là, à partir de là, je remarque qu’il n’a pas récupéré grand-chose.
En fait, on a des événements, on sait que c’est des logs système Linux, plus précisément ce qu’on retrouve dans le var log secure. Donc c’est des logs ssh, mais ici je n’arrive pas à récupérer ce que c’est effectivement. Et ça c’est un petit peu embêtant et je me demande comment je peux faire.
ça c’est les logs relatifs à la sécurité d’une machine Linux. Plus précisément, dans notre cas, tout ce qui va toucher a laissé SH. En fait, je peux cliquer dessus et il va automatiquement reconnaître la structure. À ce moment-là, je vais cliquer sur Suivant.
Donc là, je vais nommer serveur Linux. Suivant Soumettre. Et là, on lance la recherche. Comme vous pouvez le voir, on aura récupéré les différentes informations avec les champs à gauche, comme vous pouvez le voir avec les différentes valeurs qui nous intéressent. Et ça sera donc la troisième importation à partir d’un fichier.
Formez-vous gratuitement avec Alphorm !
Maîtrisez les compétences clés en IT grâce à nos formations gratuites et accélérez votre carrière dès aujourd'hui.
FAQ
Quels types de fichiers logs peuvent être analysés?
Comment importer un fichier 'Access Today Log'?
Comment configurer l'indexation pour les logs de base de données?
Comment analyser les logs de sécurité Linux?
Quels sont les avantages d'une analyse en temps réel des logs?
Conclusion
En maîtrisant l’analyse des fichiers logs, vous renforcez la sécurité et l’efficacité de vos systèmes. Quelles stratégies utilisez-vous pour optimiser vos analyses de logs?
