TP : Détecter une attaque par force brute avec Elastic Security

Ce que vous allez apprendre dans ce TP

• Produire des événements ECS
• Écrire une règle de seuil
• Écrire une règle EQL
• Trier et investiguer

Introduction #

Ce que vous allez apprendre dans cette section

• Produire des événements ECS
• Écrire une règle de seuil
• Écrire une règle EQL
• Trier et investiguer

Contexte. Un serveur exposé subit des tentatives de connexion. Vous écrivez les règles qui détectent la rafale d'échecs puis la connexion réussie qui la suit.

Prérequis : le labo start-local du TP précédent, jq  ·  Durée estimée : 40 min

Licence : ce TP fonctionne aussi avec la licence Basic gratuite : règles de seuil et EQL, alertes, timelines et cases y sont inclus. Seules les règles de type machine learning et les notifications vers des outils externes (Slack, Jira…) demandent un abonnement ou l'essai.

Mise en place #

Étapes guidées, avec leur correction.

1. 1. Des événements d'authentification

   Pourquoi ? Les règles d'Elastic Security s'appuient sur ECS : event.category, event.outcome, source.ip, user.name.

2. 2. Une règle de seuil

   Créez une règle qui alerte au-delà de 10 échecs depuis une même adresse IP.

3. 3. Une règle EQL

   Pourquoi ? Une rafale d'échecs suivie d'un succès pour le même compte est bien plus grave qu'une rafale seule : la séquence EQL l'exprime directement.

4. 4. Les alertes

   Attendez une minute, puis listez les alertes produites.

5. 5. Trier et investiguer

   Dans Security › Alerts, ouvrez l'alerte critique, examinez la séquence dans une timeline, ajoutez-la à un case, puis passez l'alerte en « Acknowledged ».

Niveau de difficulté : ●●●○○ (3/5)