Analyse des logs d'un firewall-

Génération d'un compte-rendusous forme de pages HTML

Projet technique – 2004-2005Responsable : Philippe DUMONT

Franck BARBIEU – Romain GARDON

Plan

État de l’art

Changements d’objectifs

Notre solution

Conclusion

Plan

Introduction – État de l’art – Objectifs – Solution – Conclusion

État de l’art

Projet technique – 2004-2005

Analyse des logs d'un firewall

Génération d'un compte-rendu sous forme de pages HTML

Traitement des logs

Outils Soit gratuits et trop génériques Soit professionnels et trop onéreux

Exemples LogSurfer

Abandonné Trop peu pertinent

NetSecure Log Prix

Traitement

FWAnalog

Autres parsers

Ulog PHP

Introduction – État de l’art – Objectifs – Solution – Conclusion

Firewall Eyes

FWAnalog

2001

Code non optimisé

Parsing Lourd et inadapté aux logs de firewall Logs transformés en logs de serveur Web Conséquence sur le temps de traitement

Présentation Absence de lisibilité

Traitement

FWAnalog

Autres parsers

Ulog PHP

Firewall Eyes

Introduction – État de l’art – Objectifs – Solution – Conclusion

Autres parsers

2000 – 2004

Nombreux petits projets

Aucun ne donnait satisfaction

Abandonnés

Traitement

FWAnalog

Autres parsers

Ulog PHP

Firewall Eyes

Introduction – État de l’art – Objectifs – Solution – Conclusion

Ulog PHP

Monitoring en temps réel

Requêtes ciblées

Présentation à revoir

Non repris Trouvé trop tard

Traitement

FWAnalog

Autres parsers

Ulog PHP

Firewall Eyes

Introduction – État de l’art – Objectifs – Solution – Conclusion

Firewall Eyes

Projet professionnel Développé pour les clients de la société Creabilis Sortie en licence GPL fin 2004

Produit satisfaisant Portabilité : PHP Nombreuses fonctionnalités

Analyse à posteriori Fichier par fichier Traitement et résultat non stockés

Traitement

FWAnalog

Autres parsers

Ulog PHP

Firewall Eyes

Introduction – État de l’art – Objectifs – Solution – Conclusion

Firewall EyesTraitement

FWAnalog

Autres parsers

Ulog PHP

Firewall Eyes

Introduction – État de l’art – Objectifs – Solution – Conclusion

Changement d’objectifs

Projet technique – 2004-2005

Analyse des logs d'un firewall

Génération d'un compte-rendu sous forme de pages HTML

IPTables

Uniquement un firewall Élément inactif Filtre selon ses règles Log de manière « brute »

Objectif Informations loggées moindres Moins de possibilités de détection d’attaques

IPTables

Données

Statistique

Non loggé

ICMP

Database

Objectifs

Introduction – État de l’art – Objectifs – Solution – Conclusion

Introduction – État de l’art – Objectifs – Solution – Conclusion

Données non loggées

Seules les en-têtes sont loggées Contenu des paquets non conservé

Attaques Analyse de fonctionnement d’IDS Attaques majoritairement basées sur le contenu

Objectifs Se contenter des attaques visibles dans les en-têtes

IPTables

Données

Statistique

Non loggé

ICMP

Database

Objectifs

Analyse statistique

Paquets attendus et dans le bon ordre

Procédés Pour chaque triplet ( @IPsrc , @IPdst , service )

Bon ordre de réception des paquets Bon ordre de log des ports

Résultat Lourdeur du code Lourdeur de l’exécution

Objectifs Analyse statistique difficile

IPTables

Données

Statistique

Non loggé

ICMP

Database

Objectifs

Introduction – État de l’art – Objectifs – Solution – Conclusion

Paquets non loggés

Rejets de paquets Paquets trop longs Paquets malformés

Attaques d’un pirate Erreur de transmission

Exemple Numéro de séquence invalide

Objectifs Analyse statistique impossible

IPTables

Données

Statistique

Non loggé

ICMP

Database

Objectifs

Introduction – État de l’art – Objectifs – Solution – Conclusion

ICMP

Quelles attaques dans les en-têtes ? 5 à 8 sur 6 000

Attaques Détection de fausses attaques Absence de détection de vraies attaques

Objectifs Oublier les attaques ICMP

IPTables

Données

Statistique

Non loggé

ICMP

Database

Objectifs

Introduction – État de l’art – Objectifs – Solution – Conclusion

Base de données ?

Inconvénients Lenteur d’insertion Copie regrettable du fichier de logs

Effectuer un pré-traitement

Avantages Rapidité d’affichage Simplicité de filtrage

Utilisation d’une base de données Similaire au fichier de logs

IPTables

Données

Statistique

Non loggé

ICMP

Database

Objectifs

Introduction – État de l’art – Objectifs – Solution – Conclusion

Objectifs

Revus à la baisse

Firewall ≠ IDS Attaques très difficilement détectables Nécessité d’une IA

Travailler majoritairement sur la présentation

Existant intéressant en PHP Développer en PHP

Utilisation d’une base de données

IPTables

Données

Statistique

Non loggé

ICMP

Database

Objectifs

Introduction – État de l’art – Objectifs – Solution – Conclusion

Notre solution

Projet technique – 2004-2005

Analyse des logs d'un firewall

Génération d'un compte-rendu sous forme de pages HTML

Outils utilisés

Système Windows XP Pro

Easy PHP Apache MySQL

Graphes JPGraph 1.17

Outils utilisés

Général

Insertion

Lecture

Protocole

TTL

Introduction – État de l’art – Objectifs – Solution – Conclusion

Aspect général

Insertion des logs dans la base de données

Lecture des logs Possibilité d’effectuer un filtrage

Accès aux services Choix du service

Statistiques Dynamisées selon les filtres

Outils utilisés

Général

Insertion

Lecture

Protocole

TTL

Introduction – État de l’art – Objectifs – Solution – Conclusion

Insertion des logs

Choix Fichier, mois, année

Message de confirmation ou d’erreur Ici : nombre de logs insérés

Outils utilisés

Général

Insertion

Lecture

Protocole

TTL

Introduction – État de l’art – Objectifs – Solution – Conclusion

Lecture des logs

Choix du nombre de logs par page

Navigation page précédente / suivante

Résolutions IP et service

Outils utilisés

Général

Insertion

Lecture

Protocole

TTL

Introduction – État de l’art – Objectifs – Solution – Conclusion

Protocole

Graphe camembert filtré sur l’année 2004

Outils utilisés

Général

Insertion

Lecture

Protocole

TTL

Introduction – État de l’art – Objectifs – Solution – Conclusion

TTL

Filtrage sur l’année 2004

Graphes Année, et chaque mois de l’année

Outils utilisés

Général

Insertion

Lecture

Protocole

TTL

Introduction – État de l’art – Objectifs – Solution – Conclusion

Conclusion

Projet technique – 2004-2005

Analyse des logs d'un firewall

Génération d'un compte-rendu sous forme de pages HTML

Conclusion

Nécessité de beaucoup de recherches

Trop ambitieux Changements d’objectifs

Solution proposée Logs de forme fixe Interface entièrement développée Interface optimisée en traitement Tous les graphes ne sont pas générés

Conclusion

Introduction – État de l’art – Objectifs – Solution – Conclusion