Analyse des journaux de sécurité avec Splunk

Que fait Analyse des journaux de sécurité avec Splunk ?

Quand l'utiliser

• Enquêter sur un incident de sécurité nécessitant une corrélation entre plusieurs sources de journaux
• Traquer des activités adverses en utilisant des TTP et IOCs connus
• Construire des règles de détection pour des schémas d'attaque spécifiques
• Reconstruire la chronologie d'un incident à partir de sources de journaux disparates
• Analyser des anomalies d'authentification, des mouvements latéraux ou des patterns d'exfiltration de données

Ne pas utiliser pour une analyse de paquets en temps réel ; utiliser Wireshark ou Zeek pour l'analyse complète des paquets.

Prérequis

• Splunk Enterprise ou Splunk Cloud avec l'application Enterprise Security (ES) installée
• Sources de journaux ingérées : journaux des événements Windows (via Splunk Universal Forwarder ou WEF), pare-feu, proxy, DNS, EDR, passerelle email
• Modèles de données CIM (Common Information Model) de Splunk configurés pour des noms de champs normalisés
• Maîtrise du SPL de niveau intermédiaire ou supérieur
• Accès basé sur les rôles avec les capacités search et accelerate_search dans Splunk

Workflow

Étape 1 : Définir le périmètre de l'enquête dans Splunk

Définir les paramètres de recherche en fonction des données de triage de l'incident :

| Configurer le périmètre d'investigation initial
index=windows OR index=firewall OR index=proxy
  earliest="2025-11-14T00:00:00" latest="2025-11-16T00:00:00"
  (host="WKSTN-042" OR src_ip="10.1.5.42" OR user="jsmith")
| stats count by index, sourcetype, host
| sort -count

Cette requête établit quelles sources de journaux contiennent des données pertinentes pour la fenêtre d'investigation et les actifs concernés.

Étape 2 : Analyser les événements d'authentification

Enquêter sur les schémas d'authentification suspects à l'aide des journaux d'événements de sécurité Windows :

| Détecter les attaques par force brute et credential stuffing
index=windows sourcetype="WinEventLog:Security" EventCode=4625
  earliest=-24h
| stats count as failed_attempts, values(src_ip) as source_ips,
  dc(src_ip) as unique_sources by TargetUserName
| where failed_attempts > 10
| sort -failed_attempts

| Détecter le pass-the-hash (Type de connexion 9 - NewCredentials)
index=windows sourcetype="WinEventLog:Security" EventCode=4624
  Logon_Type=9
| table _time, host, TargetUserName, src_ip, LogonProcessName

| Détecter un mouvement latéral via RDP
index=windows sourcetype="WinEventLog:Security" EventCode=4624
  Logon_Type=10
| stats count, values(host) as targets by TargetUserName, src_ip
| where count > 3
| sort -count

Étape 3 : Tracer l'exécution des processus

Utiliser les journaux Sysmon pour reconstruire les chaînes d'exécution des processus :

| Création de processus avec chaîne parent (Sysmon Event ID 1)
index=sysmon EventCode=1 host="WKSTN-042"
  earliest="2025-11-15T14:00:00" latest="2025-11-15T15:00:00"
| table _time, ParentImage, ParentCommandLine, Image, CommandLine, User, Hashes
| sort _time

| Détecter une exécution PowerShell suspecte
index=sysmon EventCode=1 Image="*\\powershell.exe"
  (CommandLine="*-enc*" OR CommandLine="*-encodedcommand*"
   OR CommandLine="*downloadstring*" OR CommandLine="*iex*")
| table _time, host, User, ParentImage, CommandLine
| sort _time

| Détecter le vol de credentials LSASS
index=sysmon EventCode=10 TargetImage="*\\lsass.exe"
  GrantedAccess=0x1010
| table _time, host, SourceImage, SourceUser, GrantedAccess

Étape 4 : Analyser l'activité réseau

Corréler les journaux réseau avec les événements du poste de travail :

| Détecter les patterns de beaconing C2
index=proxy OR index=firewall dest_ip="185.220.101.42"
| timechart span=1m count by src_ip
| where count > 0

| Détecter le tunneling DNS (volume de requêtes élevé vers un seul domaine)
index=dns
| rex field=query "(?<subdomain>[^\.]+)\.(?<domain>[^\.]+\.[^\.]+)$"
| stats count, avg(len(query)) as avg_query_len by domain, src_ip
| where count > 500 AND avg_query_len > 40
| sort -count

| Détecter les transferts de données volumineux (exfiltration potentielle)
index=proxy action=allowed
| stats sum(bytes_out) as total_bytes by src_ip, dest_ip, dest_host
| eval total_MB=round(total_bytes/1024/1024,2)
| where total_MB > 100
| sort -total_MB

Étape 5 : Construire la chronologie de l'incident

Reconstruire une chronologie unifiée à partir de toutes les sources de journaux :

| Chronologie d'incident unifiée
index=windows OR index=sysmon OR index=proxy OR index=firewall
  (host="WKSTN-042" OR src_ip="10.1.5.42" OR user="jsmith")
  earliest="2025-11-15T14:00:00" latest="2025-11-15T16:00:00"
| eval event_summary=case(
    sourcetype=="WinEventLog:Security" AND EventCode==4624, "Connexion : ".TargetUserName." depuis ".src_ip,
    sourcetype=="WinEventLog:Security" AND EventCode==4625, "Échec de connexion : ".TargetUserName,
    sourcetype=="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" AND EventCode==1,
      "Processus : ".Image." par ".User,
    sourcetype=="proxy", "Web : ".http_method." ".url,
    1==1, sourcetype." : ".EventCode)
| table _time, sourcetype, host, event_summary
| sort _time

Étape 6 : Créer des règles de détection

Convertir les résultats de l'enquête en recherches de corrélation persistantes dans Splunk :

| Recherche de corrélation : PowerShell lancé par des applications Office
index=sysmon EventCode=1
  Image="*\\powershell.exe"
  (ParentImage="*\\winword.exe" OR ParentImage="*\\excel.exe"
   OR ParentImage="*\\outlook.exe")
| eval severity="high"
| eval mitre_technique="T1059.001"
| collect index=notable_events

Concepts clés

Terme	Définition
SPL (Search Processing Language)	Langage de requête de Splunk pour rechercher, filtrer, transformer et visualiser des données machine
CIM (Common Information Model)	Norme de normalisation des champs de Splunk qui mappe les noms de champs spécifiques aux fournisseurs vers des noms communs pour les requêtes inter-sources
Événement notable (Notable Event)	Événement dans Splunk Enterprise Security signalé pour examen par l'analyste suite à une correspondance avec une recherche de corrélation
Modèle de données (Data Model)	Représentation structurée des données indexées dans Splunk permettant des recherches accélérées et une analyse basée sur des pivots
Sourcetype	Étiquette de classification dans Splunk qui définit le format et les règles d'analyse pour un type de journal spécifique
Recherche de corrélation (Correlation Search)	Recherche Splunk planifiée qui s'exécute en continu et génère des événements notables lorsque les conditions sont remplies
Timechart	Commande SPL qui crée des visualisations de séries temporelles pour identifier des patterns, anomalies et tendances

Outils et systèmes

• Splunk Enterprise Security (ES) : Application SIEM premium fournissant des recherches de corrélation, des alertes basées sur le risque et un poste de travail d'investigation
• Splunk SOAR : Plateforme d'orchestration intégrée à Splunk ES pour des playbooks de réponse automatisée
• Sysmon : Outil de surveillance système Microsoft fournissant des informations détaillées sur les processus, le réseau et les modifications de fichiers, ingérées dans Splunk
• Splunk Attack Analyzer : Analyse automatisée des menaces qui exécute des fichiers et URLs suspects et alimente Splunk avec les résultats
• BOSS of the SOC (BOTS) : Jeu de données d'entraînement SANS/Splunk pour pratiquer les requêtes SPL d'investigation d'incidents

Scénarios courants

Scénario : Enquête sur un credential stuffing menant à un vol de compte

Contexte : Les opérations de sécurité reçoivent une alerte pour plusieurs connexions réussies sur un même compte à partir d'adresses IP géographiquement dispersées dans une fenêtre de 30 minutes.

Approche :

1. Interroger l'Event ID 4624 pour le compte concerné afin de cartographier toutes les sources et heures de connexion
2. Corréler les IP de connexion avec les flux de renseignements sur les menaces à l'aide d'une table de correspondance Splunk
3. Vérifier les journaux proxy pour toute activité suspecte provenant des sessions authentifiées
4. Rechercher un mouvement latéral à partir du compte compromis (Event ID 4624 Type 3 vers d'autres hôtes)
5. Construire une chronologie montrant les tentatives de credential stuffing, la connexion réussie et l'activité post-compromission
6. Créer une recherche de corrélation pour détecter des schémas similaires sur d'autres comptes

Pièges :

• Rechercher uniquement les dernières 24 heures alors que le credential stuffing peut avoir eu lieu sur plusieurs semaines
• Ne pas vérifier les journaux VPN qui pourraient montrer le même compte s'authentifiant depuis des distances de déplacement impossibles
• Ne pas normaliser les horodatages entre les sources de journaux dans des fuseaux horaires différents

Format de sortie

RAPPORT D'INVESTIGATION SPLUNK
==============================
Incident :        INC-2025-1547
Analyste :        [Nom]
Période d'investigation : 2025-11-14 00:00 UTC - 2025-11-16 00:00 UTC

PÉRIMÈTRE DE RECHERCHE
Index :           windows, sysmon, proxy, firewall, dns
Hôtes :           WKSTN-042, SRV-FILE01
Utilisateurs :    jsmith, svc-backup
IP sources :      10.1.5.42, 10.1.10.15

CONSTATATIONS CLÉS
1. [horodatage] - Compromission initiale via phishing (Sysmon Event 1)
2. [horodatage] - Établissement du C2 (journaux proxy, pattern de beaconing détecté)
3. [horodatage] - Vol de credentials (Sysmon Event 10, accès LSASS)
4. [horodatage] - Mouvement latéral vers SRV-FILE01 (Event 4624 Type 3)
5. [horodatage] - Préparation et exfiltration des données (anomalie bytes_out dans les journaux proxy)

REQUÊTES SPL UTILISÉES
[liste numérotée des requêtes clés avec descriptions]

LACUNES DE DÉTECTION IDENTIFIÉES
- Aucun déploiement Sysmon sur SRV-FILE01 (angle mort)
- Journaux proxy sans inspection SSL pour le domaine C2
- Journalisation ScriptBlock PowerShell non activée

DÉTECTIONS RECOMMANDÉES
1. Recherche de corrélation pour PowerShell lancé par Office
2. Alerte de seuil pour les patterns d'accès LSASS
3. Règle comportementale pour le trafic réseau à intervalle de beaconing