La gestion des logs, une nécessité stratégique pour les RSSI et administrateurs

La gestion des informations et événements de sécurité est une préoccupation importante pour beaucoup d’entreprises. RSSI et équipes opérationnelles visent l’optimisation des ressources mises en œuvre pour assurer la défense des actifs informationnels, la mesure dans le temps de l’efficacité de la politique de sécurité, ainsi que l’analyse détaillée des origines et causes des incidents, pendant et après une crise.

Dans le domaine de la sécurité applicative, les données d’exploitation des pare-feux dédiés aux applications et services Web constituent une véritable mine d’or d’informations, parfois non exploitée. En prise directe avec le trafic Internet entrant, les WAFs et Firewalls XML capturent en effet des données concernant les attaques, mais aussi le temps de réponse et les erreurs des serveurs, l’origine géographique et la nature des requêtes, etc.

Pour faciliter l’accès et l’exploitation de ses informations par les différentes équipes responsables de la sécurité et de la performance des applications, DenyAll a choisi de créer une application Splunk, en complément des possibilités de reporting présentes au sein de ses produits. Logiciel d’agrégation et de corrélation de logs apprécié des entreprises dans le monde entier, « Splunk a été choisi en raison de son ergonomie, de ses capacités de recherche approfondie et de la possibilité de packager une application répondant précisément aux besoins de nos utilisateurs » explique Renaud Bidou, Directeur Technique.

DenyAll Application Security Dashboard, un outil opérationnel transversal

L’application Splunk de DenyAll est un tableau de bord complet et ergonomique, destiné à la fois au RSSI, aux personnes en charge de l’administration des firewalls applicatifs DenyAll mais aussi aux équipes métiers, responsables de la performance et de l’exploitation des applications. Elle permet d’analyser facilement les logs générés par les produits de la plateforme DASP 4.x (DenyAll Application Security Platform), que sont sProxy, rXML et rWeb. Elle donne une visibilité accrue sur l’activité d’ensemble des applications, dont leur performance et leur santé, qui intéressera les équipes métiers, infrastructure et sécurité, et permettra de renforcer la coopération interne en vue d’accélérer la résolution des problèmes qui impactent le business.

L’application DenyAll Application Security Dashboard propose les vues et fonctions suivantes :

– Un tableau de bord général, présentant l’état de l’infrastructure applicative sur les principaux métriques que sont le trafic, le temps de réponse des applications, les erreurs, les attaques, les évènements système, sur une plage horaire donnée ;

– Un onglet sécurité, qui permet de rentrer dans les détails des attaques, des modules de sécurité qui ont permis de les bloquer, des applications ciblées, des sources et de leur géo-localisation ;

– Plusieurs vues par application, présentant en détail les métriques Sécurité et Activité, les messages d’erreurs des serveurs Web et le log détaillé du trafic pour chaque application ;

– Une vue par système, qui présente l’évolution du trafic, les évènements opérationnels, liés à la disponibilité et activités des administrateurs (login, etc) ;

– La possibilité d’effectuer une recherche approfondie, en cliquant à l’intérieur des vues prédéfinies ou en utilisant la fonction recherche, qui combine un langage simple et la possibilité de sélectionner à la souris les critères de filtrage, et la possibilité de générer le rapport ainsi customisé au format PDF.

L’application se télécharge en quelques clics depuis Splunk Base, sur lequel on trouvera des applications similaires, développées par d’autres éditeurs et constructeurs. L’application DenyAll est fournie gratuitement et peut être modifiée librement. La version d’évaluation gratuite de Splunk, disponible depuis le site de l’éditeur, permet de gérer jusqu’à 500 Mo de données par jour. Au-delà, il convient de contacter Splunk pour acquérir une licence.