Una parte significativa de los eventos observados en journald estaba vinculada a un servidor proxy inverso y a un agente utilizado para el análisis de seguridad de aplicaciones.
El agente AppSec analiza continuamente las aplicaciones web en busca de vulnerabilidades y puntos débiles. El número de análisis influye directamente en los eventos descendentes y ascendentes que genera el proxy inverso.
Ubicación del evento
Ubicación: journald
La mayoría de los eventos relevantes estaban asociados a un servidor proxy inverso.
Actividad del agente de seguridad de aplicaciones
El proxy inverso se ve afectado por la actividad de un agente relacionado con AppSec, o seguridad de aplicaciones.
Este agente realiza continuamente análisis de vulnerabilidades contra las aplicaciones web e intenta identificar puntos débiles.
Como la actividad de análisis es continua, puede generar una cantidad significativa de actividad de aplicación y de proxy inverso.
Impacto en los eventos descendentes y ascendentes
El número de eventos descendentes y ascendentes depende del número de análisis que genera el agente AppSec.
El volumen puede variar según las aplicaciones web analizadas y el número de análisis generados contra ellas.
Esto significa que los cambios en la actividad de análisis AppSec también pueden modificar el volumen de eventos de journald recopilados del proxy inverso.
Comprender la anomalía
Sin el contexto de los análisis, un aumento de los eventos del proxy inverso puede parecer inusual.
En este caso, la actividad de eventos se explicaba por el propio proceso de análisis de seguridad de aplicaciones.
El agente AppSec estaba comprobando activamente las aplicaciones web en busca de vulnerabilidades y puntos débiles, y esos análisis generaron los eventos descendentes y ascendentes observados a través de journald.
Contexto operativo
Este caso demuestra la importancia de comprender los eventos generados por las herramientas de seguridad al analizar anomalías de monitorización.
Un control de seguridad que realiza análisis continuos de vulnerabilidades puede convertirse en sí mismo en una fuente importante de telemetría.
Conclusión
La mayoría de los eventos de journald relevantes fueron generados por un servidor proxy inverso y estuvieron influenciados por un agente AppSec que analizaba continuamente las aplicaciones web en busca de vulnerabilidades y puntos débiles.
Por tanto, el número de eventos descendentes y ascendentes varió según la cantidad de actividad de análisis y las aplicaciones web analizadas.
