Ein erheblicher Teil der in journald beobachteten Ereignisse stand im Zusammenhang mit einem Reverse-Proxy-Server und einem Agenten für Scans der Anwendungssicherheit.

Der AppSec-Agent scannt Webanwendungen kontinuierlich auf Schwachstellen und Schwachstellen-Angriffspunkte. Die Anzahl der Scans beeinflusst unmittelbar die vom Reverse Proxy erzeugten nachgelagerten und vorgelagerten Ereignisse.

Ort des Ereignisses

Standort: journald

Die meisten relevanten Ereignisse standen im Zusammenhang mit einem Reverse-Proxy-Server.

Aktivität des Agenten für Anwendungssicherheit

Der Reverse Proxy wird durch die Aktivität eines Agenten im Zusammenhang mit AppSec, also Anwendungssicherheit, beeinträchtigt.

Dieser Agent führt kontinuierlich Schwachstellen-Scans gegen Webanwendungen durch und versucht, Schwachstellen-Angriffspunkte zu identifizieren.

Da das Scannen kontinuierlich erfolgt, kann es ein erhebliches Maß an Anwendungs- und Reverse-Proxy-Aktivität erzeugen.

Auswirkungen auf nachgelagerte und vorgelagerte Ereignisse

Die Anzahl der nachgelagerten und vorgelagerten Ereignisse wird von der Anzahl der vom AppSec-Agenten erzeugten Scans beeinflusst.

Das Volumen kann je nach den gescannten Webanwendungen und der Anzahl der gegen diese Anwendungen erzeugten Scans variieren.

Das bedeutet, dass Änderungen der AppSec-Scanaktivität auch das Volumen der vom Reverse Proxy erfassten journald-Ereignisse verändern können.

Die Anomalie verstehen

Ohne den Kontext der Scans kann ein Anstieg der Reverse-Proxy-Ereignisse ungewöhnlich erscheinen.

In diesem Fall wurde die Ereignisaktivität durch den Scanprozess der Anwendungssicherheit selbst erklärt.

Der AppSec-Agent prüfte aktiv Webanwendungen auf Schwachstellen und Angriffspunkte, und diese Scans erzeugten die über journald beobachteten nachgelagerten und vorgelagerten Ereignisse.

Betrieblicher Kontext

Dieser Fall zeigt, wie wichtig es ist, die von Sicherheitswerkzeugen erzeugten Ereignisse zu verstehen, wenn Überwachungsanomalien analysiert werden.

Eine Sicherheitskontrolle, die kontinuierlich Schwachstellen-Scans durchführt, kann selbst zu einer wichtigen Telemetriequelle werden.

Fazit

Die meisten relevanten journald-Ereignisse wurden von einem Reverse-Proxy-Server erzeugt und von einem AppSec-Agenten beeinflusst, der Webanwendungen kontinuierlich auf Schwachstellen und Angriffspunkte scannte.

Die Anzahl der nachgelagerten und vorgelagerten Ereignisse variierte daher je nach Umfang der Scanaktivität und den gescannten Webanwendungen.