Une part importante des événements observés dans journald était liée à un serveur de proxy inverse et à un agent utilisé pour l’analyse de sécurité applicative.

L'agent AppSec analyse en continu les applications web à la recherche de vulnérabilités et de points faibles. Le nombre d'analyses influe directement sur les événements en aval et en amont générés par le proxy inverse.

Emplacement de l'événement

Emplacement : journald

La plupart des événements concernés étaient associés à un serveur proxy inverse.

Activité de l'agent de sécurité applicative

Le proxy inverse est affecté par l’activité d’un agent lié à AppSec, ou sécurité des applications.

Cet agent effectue en continu des analyses de vulnérabilités sur les applications web et tente d'identifier les points faibles.

L'analyse étant continue, elle peut générer une quantité importante d'activité applicative et de proxy inverse.

Impact sur les événements en aval et en amont

Le nombre d'événements en aval et en amont dépend du nombre d'analyses générées par l'agent AppSec.

Le volume peut varier selon les applications web analysées et le nombre d'analyses générées contre ces applications.

Cela signifie que les variations de l'activité d'analyse AppSec peuvent également modifier le volume d'événements journald collectés depuis le proxy inverse.

Comprendre l'anomalie

Sans le contexte d'analyse, une hausse des événements du proxy inverse peut sembler inhabituelle.

Dans ce cas, l'activité d'événements s'expliquait par le processus d'analyse de sécurité des applications lui-même.

L'agent AppSec vérifiait activement les applications web à la recherche de vulnérabilités et de points faibles, et ces analyses ont généré les événements en aval et en amont observés via journald.

Contexte opérationnel

Ce cas démontre l'importance de comprendre les événements générés par les outils de sécurité lors de l'analyse d'anomalies de surveillance.

Un contrôle de sécurité qui effectue une analyse de vulnérabilités continue peut lui-même devenir une source importante de télémétrie.

Conclusion

La plupart des événements journald concernés ont été générés par un serveur proxy inverse et influencés par un agent AppSec analysant en continu les applications web à la recherche de vulnérabilités et de points faibles.

Le nombre d'événements en aval et en amont a donc varié selon le volume d'activité d'analyse et les applications web analysées.