Table des Matières

1. Objectifs et Présentation de la Leçon

2. Introduction à la Surveillance et au Logging
    2.1. Pourquoi surveiller et logger dans un environnement DevSecOps ?
    2.2. Importance de la détection précoce des menaces

3. Présentation des Solutions de Monitoring et Logging
    3.1. ELK Stack (Elasticsearch, Logstash, Kibana)
    3.2. Prometheus et Grafana
    3.3. Autres solutions : Wazuh, Splunk

4. Détection des Menaces et des Intrusions
    4.1. Introduction à Falco : Concepts et Fonctionnalités
    4.2. Utiliser Wazuh pour la détection d’intrusions et la gestion des alertes

5. Mise en Place et Configuration des Outils
    5.1. Déployer et configurer ELK Stack pour centraliser les logs
    5.2. Mettre en place Prometheus pour la surveillance des métriques
    5.3. Configurer Falco pour la détection en temps réel d’activités suspectes
    5.4. Intégration de Wazuh pour une surveillance renforcée

6. Intégration dans un Pipeline CI/CD
    6.1. Intégrer la collecte et l’analyse des logs dans les jobs CI/CD
    6.2. Exemple d’automatisation via des scripts et des webhooks

7. Études de Cas et Retours d’Expérience
    7.1. Application de l’ELK Stack dans une entreprise e-commerce
    7.2. Utilisation de Prometheus et Falco dans une infrastructure bancaire

8. Exercices Pratiques et Corrigés Détaillés
    8.1. Exercice 1 : Configurer un cluster ELK et centraliser les logs d’une application
    8.2. Exercice 2 : Déployer Prometheus et Grafana pour surveiller un environnement Kubernetes
    8.3. Exercice 3 : Configurer Falco pour détecter des comportements suspects sur un nœud Linux

9. Quiz de Révision

10. Conclusion et Prévisualisation de la Leçon 16

1. Objectifs et Présentation de la Leçon

Objectifs :

• Comprendre l’importance du monitoring et du logging pour la sécurité opérationnelle.

• Savoir déployer et configurer des outils de surveillance (ELK, Prometheus) pour collecter et visualiser les logs et métriques.

• Mettre en place des outils de détection d’intrusions (Falco, Wazuh) pour identifier en temps réel des comportements anormaux.

• Intégrer ces solutions dans des pipelines CI/CD pour assurer une surveillance continue et proactive.

• Utiliser les rapports et dashboards générés pour prendre des mesures correctives rapidement.

Présentation :

Dans cette leçon, nous explorerons la surveillance et le logging comme piliers indispensables d’une stratégie DevSecOps. Vous apprendrez à centraliser les logs, surveiller les ressources et détecter des intrusions ou anomalies grâce à des outils éprouvés. Nous aborderons à la fois les aspects techniques (installation, configuration, utilisation) et les enjeux stratégiques (réduction des temps de réponse, conformité et audit).

2. Introduction à la Surveillance et au Logging

2.1. Pourquoi surveiller et logger dans un environnement DevSecOps ?

• Visibilité Totale : La collecte centralisée des logs permet d’avoir une vue complète sur l’état de vos applications et de l’infrastructure.

• Détection Précoce des Intrusions : Les outils de surveillance et de détection permettent d’identifier rapidement toute activité anormale ou suspecte.

• Audit et Conformité : Les logs jouent un rôle crucial dans la réalisation d’audits et le respect des normes de sécurité (RGPD, PCI-DSS, etc.).

• Réduction des Temps de Réaction : Un monitoring efficace permet de déclencher des alertes et d’agir avant qu’un incident ne se propage.

2.2. Importance de la Détection des Menaces

• Détecter rapidement des comportements suspects peut limiter l’impact d’une intrusion.

• L’analyse des logs et la mise en place de dashboards permettent de suivre les KPI de sécurité en continu.

3. Présentation des Solutions de Monitoring et Logging

3.1. ELK Stack (Elasticsearch, Logstash, Kibana)

• Elasticsearch : Moteur de recherche et d’analyse des données.

• Logstash : Outil de collecte et de traitement des logs.

• Kibana : Interface de visualisation pour créer des dashboards interactifs.

• Cas d’usage : Centralisation des logs d’applications et des événements de sécurité ; création de tableaux de bord pour l’analyse en temps réel.

3.2. Prometheus et Grafana

• Prometheus : Système de monitoring et de collecte de métriques avec un langage de requête puissant (PromQL).

• Grafana : Outil de visualisation qui se connecte à Prometheus pour créer des dashboards dynamiques.

• Cas d’usage : Surveillance des métriques système et application, détection des anomalies de performance et suivi des indicateurs de sécurité.

3.3. Autres Outils

• Wazuh : Plateforme de détection d’intrusions open source, surveillance des logs, et gestion des compliance.

• Splunk : Solution commerciale pour la centralisation et l’analyse des logs avec des capacités étendues de machine learning (optionnel).

4. Détection des Menaces et Intrusions

4.1. Introduction à Falco

• Falco est un outil open source de détection d’activités suspectes sur des systèmes Linux, spécialement conçu pour des environnements conteneurisés.

• Fonctionnalités :

  • Surveille le comportement des conteneurs et des nœuds.

  • Détecte automatiquement des anomalies (ex. accès non autorisé, modifications critiques).

  • Envoie des alertes en temps réel pour permettre une réaction immédiate.

4.2. Utilisation de Wazuh pour la Détection

• Wazuh combine la surveillance de logs, l’analyse d’événements et le contrôle d’accès pour offrir une solution complète de détection d’intrusions.

• Cas d’usage : Surveillance continue de l’infrastructure et conformité aux normes de sécurité.

5. Mise en Place et Intégration dans un Pipeline CI/CD

5.1. Automatisation de la Collecte et de l’Analyse des Logs

• Centralisation : Configurer les agents pour envoyer les logs vers une solution centralisée (ELK, Splunk ou Wazuh).

• Script d’automatisation : Un job CI/CD qui collecte les rapports et met à jour un dashboard.

5.2. Exemples d’Intégration

Exemple d’Intégration avec Prometheus et Grafana

• Configuration d’un job CI pour exporter des métriques de sécurité et actualiser un dashboard Grafana.

• Exemple d’extrait de configuration avec Prometheus se connectant à divers endpoints pour récupérer des métriques système.

Exemple d’Intégration avec ELK

• Utilisation de Logstash pour traiter et envoyer des logs de sécurité vers Elasticsearch.

• Création de dashboards Kibana pour visualiser les incidents et les alertes.

6. Études de Cas Professionnels

Exemple 1 : Surveillance d’une Application dans une Entreprise E-commerce

• Contexte : Collecte des logs applicatifs et infrastructurels via ELK pour surveiller les incidents de sécurité.

• Mise en œuvre : Déploiement d’agents Logstash sur les serveurs, centralisation des logs dans Elasticsearch, création d’un dashboard Kibana pour suivre les alertes critiques.

• Impact : Réduction des temps de détection et réponse aux incidents.

Exemple 2 : Détection d’Intrusions dans une Infrastructure Bancaire

• Contexte : Utilisation de Prometheus et Falco pour surveiller les comportements anormaux au niveau des conteneurs et du système.

• Mise en œuvre : Configuration de Prometheus pour collecter des métriques système, déploiement de Falco pour détecter en temps réel des comportements suspects.

• Impact : Amélioration de la sécurité opérationnelle et réponse rapide aux alertes d’intrusion.

7. Exercices Pratiques et Corrigés Détaillés

Exercice 1 : Configurer un Cluster ELK pour la Collecte des Logs

Consigne :

• Installer ELK Stack sur un environnement de test.

• Configurer Logstash pour collecter des logs d’application (ex. logs Apache ou application DevSecOps).

• Créer un dashboard Kibana pour visualiser les logs.

Corrigé :

• Guide d’installation avec Docker ou installation native des trois composants.

• Extrait de configuration Logstash pour traiter des logs simples.

• Exemple de dashboard Kibana avec des filtres et des graphiques.

Exercice 2 : Déployer Prometheus et Grafana pour la Surveillance

Consigne :

• Installer Prometheus et Grafana sur un cluster Kubernetes ou une VM.

• Configurer Prometheus pour collecter des métriques d’un service simulé.

• Créer un dashboard Grafana affichant ces métriques.

Corrigé :

• Instructions d’installation de Prometheus et Grafana (via Helm sur Kubernetes ou Docker).

• Exemple de configuration Prometheus.yml pour surveiller un service HTTP.

• Capture d’écran (schématique) d’un dashboard Grafana avec graphiques de performance.

Exercice 3 : Configurer Falco pour la Détection en Temps Réel

Consigne :

• Installer Falco sur un nœud Linux ou dans un cluster Kubernetes.

• Configurer une règle pour détecter l’exécution d’un processus en mode privilégié.

• Simuler une attaque pour vérifier que l’alerte Falco est bien déclenchée.

Corrigé :

• Commande d’installation de Falco via package manager ou Docker.

• Exemple d’une règle Falco personnalisée :

  yaml

  Copier

  - rule: Detect Privileged Process Execution
desc: "Un processus en mode privilégié a été exécuté"
condition: evt.type = execve and proc.info.privileged=true
output: "Processus privilégié exécuté: %proc.name, utilisateur: %user.name"
priority: WARNING


• Explication des étapes pour simuler l’exécution d’un processus et vérifier l’alerte.

8. Quiz de Révision

1. Quels sont les avantages de centraliser les logs dans une solution comme ELK ?

2. Quel outil vous permet de créer des dashboards dynamiques pour surveiller les métriques en temps réel ?

3. Expliquez le rôle de Falco dans la détection des intrusions.

4. Comment Prometheus collecte-t-il les métriques ?

5. Quels sont les bénéfices d’intégrer ces outils dans un pipeline CI/CD ?

9. Conclusion et Prévisualisation de la Leçon 16

Conclusion de la Leçon 15 :
Vous avez découvert comment mettre en place une infrastructure de surveillance et de détection en utilisant des outils tels qu’ELK Stack, Prometheus, Grafana, Falco et Wazuh. Ces solutions permettent de centraliser les logs, d’analyser les métriques en temps réel et de détecter rapidement des intrusions ou anomalies, contribuant ainsi à un environnement DevSecOps résilient et proactif.

Prévisualisation de la Leçon 16 :
Dans la prochaine leçon, nous aborderons les Tests d’Intrusion Automatisés et l’Intégration de ces tests dans la pipeline CI/CD. Vous apprendrez à automatiser des scans de sécurité avec des outils tels qu’OWASP ZAP, Nikto et Burp Suite, et à prioriser les vulnérabilités pour une réponse proactive.