Franck BARBIEU – Romain GARDON

Présentation au sujet: "Franck BARBIEU – Romain GARDON"— Transcription de la présentation:

1 Franck BARBIEU – Romain GARDON
Analyse des logs d'un firewall - Génération d'un compte-rendu sous forme de pages HTML Franck BARBIEU – Romain GARDON Projet technique – Responsable : Philippe DUMONT

2 Introduction – État de l’art – Objectifs – Solution – Conclusion
Plan Plan État de l’art Changements d’objectifs Notre solution Conclusion Introduction – État de l’art – Objectifs – Solution – Conclusion

3 État de l’art Analyse des logs d'un firewall
Génération d'un compte-rendu sous forme de pages HTML État de l’art Projet technique –

4 Introduction – État de l’art – Objectifs – Solution – Conclusion
Traitement des logs Traitement FWAnalog Outils Soit gratuits et trop génériques Soit professionnels et trop onéreux Exemples LogSurfer Abandonné Trop peu pertinent NetSecure Log Prix Autres parsers Ulog PHP Firewall Eyes Introduction – État de l’art – Objectifs – Solution – Conclusion

5 Introduction – État de l’art – Objectifs – Solution – Conclusion
FWAnalog Traitement FWAnalog 2001 Code non optimisé Parsing Lourd et inadapté aux logs de firewall Logs transformés en logs de serveur Web Conséquence sur le temps de traitement Présentation Absence de lisibilité Autres parsers Ulog PHP Firewall Eyes Introduction – État de l’art – Objectifs – Solution – Conclusion

6 Introduction – État de l’art – Objectifs – Solution – Conclusion
Autres parsers Traitement FWAnalog 2000 – 2004 Nombreux petits projets Aucun ne donnait satisfaction Abandonnés Autres parsers Ulog PHP Firewall Eyes Introduction – État de l’art – Objectifs – Solution – Conclusion

7 Introduction – État de l’art – Objectifs – Solution – Conclusion
Ulog PHP Traitement FWAnalog Monitoring en temps réel Requêtes ciblées Présentation à revoir Non repris Trouvé trop tard Autres parsers Ulog PHP Firewall Eyes Introduction – État de l’art – Objectifs – Solution – Conclusion

8 Introduction – État de l’art – Objectifs – Solution – Conclusion
Firewall Eyes Traitement FWAnalog Projet professionnel Développé pour les clients de la société Creabilis Sortie en licence GPL fin 2004 Produit satisfaisant Portabilité : PHP Nombreuses fonctionnalités Analyse à posteriori Fichier par fichier Traitement et résultat non stockés Autres parsers Ulog PHP Firewall Eyes Introduction – État de l’art – Objectifs – Solution – Conclusion

9 Introduction – État de l’art – Objectifs – Solution – Conclusion
Firewall Eyes Traitement FWAnalog Autres parsers Ulog PHP Firewall Eyes Introduction – État de l’art – Objectifs – Solution – Conclusion

10 Changement d’objectifs
Analyse des logs d'un firewall Génération d'un compte-rendu sous forme de pages HTML Changement d’objectifs Projet technique –

11 Introduction – État de l’art – Objectifs – Solution – Conclusion
IPTables IPTables Données Uniquement un firewall Élément inactif Filtre selon ses règles Log de manière « brute » Objectif Informations loggées moindres Moins de possibilités de détection d’attaques Statistique Non loggé ICMP Database Objectifs Introduction – État de l’art – Objectifs – Solution – Conclusion

12 Introduction – État de l’art – Objectifs – Solution – Conclusion
Données non loggées IPTables Données Seules les en-têtes sont loggées Contenu des paquets non conservé Attaques Analyse de fonctionnement d’IDS Attaques majoritairement basées sur le contenu Objectifs Se contenter des attaques visibles dans les en-têtes Statistique Non loggé ICMP Database Objectifs Introduction – État de l’art – Objectifs – Solution – Conclusion

13 Introduction – État de l’art – Objectifs – Solution – Conclusion
Analyse statistique IPTables Données Paquets attendus et dans le bon ordre Procédés Pour chaque triplet , service ) Bon ordre de réception des paquets Bon ordre de log des ports Résultat Lourdeur du code Lourdeur de l’exécution Objectifs Analyse statistique difficile Statistique Non loggé ICMP Database Objectifs Introduction – État de l’art – Objectifs – Solution – Conclusion

14 Introduction – État de l’art – Objectifs – Solution – Conclusion
Paquets non loggés IPTables Données Rejets de paquets Paquets trop longs Paquets malformés Attaques d’un pirate Erreur de transmission Exemple Numéro de séquence invalide Objectifs Analyse statistique impossible Statistique Non loggé ICMP Database Objectifs Introduction – État de l’art – Objectifs – Solution – Conclusion

15 Introduction – État de l’art – Objectifs – Solution – Conclusion
ICMP IPTables Données Quelles attaques dans les en-têtes ? 5 à 8 sur 6 000 Attaques Détection de fausses attaques Absence de détection de vraies attaques Objectifs Oublier les attaques ICMP Statistique Non loggé ICMP Database Objectifs Introduction – État de l’art – Objectifs – Solution – Conclusion

16 Introduction – État de l’art – Objectifs – Solution – Conclusion
Base de données ? IPTables Données Inconvénients Lenteur d’insertion Copie regrettable du fichier de logs Effectuer un pré-traitement Avantages Rapidité d’affichage Simplicité de filtrage Utilisation d’une base de données Similaire au fichier de logs Statistique Non loggé ICMP Database Objectifs Introduction – État de l’art – Objectifs – Solution – Conclusion

17 Introduction – État de l’art – Objectifs – Solution – Conclusion
IPTables Données Revus à la baisse Firewall ≠ IDS Attaques très difficilement détectables Nécessité d’une IA Travailler majoritairement sur la présentation Existant intéressant en PHP Développer en PHP Utilisation d’une base de données Statistique Non loggé ICMP Database Objectifs Introduction – État de l’art – Objectifs – Solution – Conclusion

18 Notre solution Analyse des logs d'un firewall
Génération d'un compte-rendu sous forme de pages HTML Notre solution Projet technique –

19 Introduction – État de l’art – Objectifs – Solution – Conclusion
Outils utilisés Outils utilisés Général Système Windows XP Pro Easy PHP Apache MySQL Graphes JPGraph 1.17 Insertion Lecture Protocole TTL Introduction – État de l’art – Objectifs – Solution – Conclusion

20 Introduction – État de l’art – Objectifs – Solution – Conclusion
Aspect général Outils utilisés Général Insertion des logs dans la base de données Lecture des logs Possibilité d’effectuer un filtrage Accès aux services Choix du service Statistiques Dynamisées selon les filtres Insertion Lecture Protocole TTL Introduction – État de l’art – Objectifs – Solution – Conclusion

21 Introduction – État de l’art – Objectifs – Solution – Conclusion
Insertion des logs Outils utilisés Général Choix Fichier, mois, année Message de confirmation ou d’erreur Ici : nombre de logs insérés Insertion Lecture Protocole TTL Introduction – État de l’art – Objectifs – Solution – Conclusion

22 Introduction – État de l’art – Objectifs – Solution – Conclusion
Lecture des logs Outils utilisés Général Choix du nombre de logs par page Navigation page précédente / suivante Résolutions IP et service Insertion Lecture Protocole TTL Introduction – État de l’art – Objectifs – Solution – Conclusion

23 Introduction – État de l’art – Objectifs – Solution – Conclusion
Protocole Outils utilisés Général Graphe camembert filtré sur l’année 2004 Insertion Lecture Protocole TTL Introduction – État de l’art – Objectifs – Solution – Conclusion

24 Introduction – État de l’art – Objectifs – Solution – Conclusion
TTL Outils utilisés Général Filtrage sur l’année 2004 Graphes Année, et chaque mois de l’année Insertion Lecture Protocole TTL Introduction – État de l’art – Objectifs – Solution – Conclusion

25 Conclusion Analyse des logs d'un firewall
Génération d'un compte-rendu sous forme de pages HTML Conclusion Projet technique –

26 Introduction – État de l’art – Objectifs – Solution – Conclusion
Nécessité de beaucoup de recherches Trop ambitieux Changements d’objectifs Solution proposée Logs de forme fixe Interface entièrement développée Interface optimisée en traitement Tous les graphes ne sont pas générés Introduction – État de l’art – Objectifs – Solution – Conclusion