Una parte significativa degli eventi osservati in journald era collegata a un server proxy inverso e a un agente utilizzato per la scansione di sicurezza delle applicazioni.

L'agente AppSec analizza continuamente le applicazioni web alla ricerca di vulnerabilità e punti deboli. Il numero di scansioni influenza direttamente gli eventi a valle e a monte generati dal proxy inverso.

Posizione dell'evento

Posizione: journald

La maggior parte degli eventi rilevanti era associata a un server proxy inverso.

Attività dell'agente di sicurezza delle applicazioni

Il proxy inverso è interessato dall’attività di un agente legato a AppSec, ovvero sicurezza delle applicazioni.

Questo agente esegue continuamente scansioni di vulnerabilità sulle applicazioni web e cerca di individuarne i punti deboli.

Poiché l'attività di scansione è continua, può generare una quantità significativa di attività applicativa e di proxy inverso.

Impatto sugli eventi a valle e a monte

Il numero di eventi a valle e a monte è influenzato dal numero di scansioni generate dall'agente AppSec.

Il volume può variare in base alle applicazioni web analizzate e al numero di scansioni generate contro tali applicazioni.

Ciò significa che le variazioni dell'attività di scansione AppSec possono modificare anche il volume degli eventi journald raccolti dal proxy inverso.

Comprendere l'anomalia

Senza il contesto delle scansioni, un aumento degli eventi del proxy inverso può apparire insolito.

In questo caso, l'attività di eventi era spiegata dal processo di scansione di sicurezza delle applicazioni stesso.

L'agente AppSec stava verificando attivamente le applicazioni web alla ricerca di vulnerabilità e punti deboli, e tali scansioni hanno generato gli eventi a valle e a monte osservati tramite journald.

Contesto operativo

Questo caso dimostra l'importanza di comprendere gli eventi generati dagli strumenti di sicurezza quando si analizzano le anomalie di monitoraggio.

Un controllo di sicurezza che esegue scansioni continue delle vulnerabilità può diventare esso stesso un'importante fonte di telemetria.

Conclusione

La maggior parte degli eventi journald rilevanti è stata generata da un server proxy inverso ed è stata influenzata da un agente AppSec che analizzava continuamente le applicazioni web alla ricerca di vulnerabilità e punti deboli.

Il numero di eventi a valle e a monte è quindi variato in funzione della quantità di attività di scansione e delle applicazioni web analizzate.