Een aanzienlijk deel van de in journald waargenomen gebeurtenissen hing samen met een reverse-proxyserver en een agent die wordt gebruikt voor scans op applicatiebeveiliging.

De AppSec-agent scant webapplicaties continu op kwetsbaarheden en zwakke plekken. Het aantal scans heeft rechtstreeks invloed op de stroomafwaartse en stroomopwaartse gebeurtenissen die de reverse proxy genereert.

Locatie van de gebeurtenis

Locatie: journald

De meeste relevante gebeurtenissen waren gekoppeld aan een reverse-proxyserver.

Activiteit van de agent voor applicatiebeveiliging

De reverse proxy wordt beïnvloed door de activiteit van een agent die verband houdt met AppSec, oftewel applicatiebeveiliging.

Deze agent voert continu kwetsbaarhedenscans uit op webapplicaties en probeert zwakke plekken te identificeren.

Omdat de scanactiviteit continu is, kan zij een aanzienlijke hoeveelheid applicatie- en omgekeerde-proxyactiviteit genereren.

Effect op stroomafwaartse en stroomopwaartse gebeurtenissen

Het aantal stroomafwaartse en stroomopwaartse gebeurtenissen wordt beïnvloed door het aantal scans dat de AppSec-agent genereert.

Het volume kan variëren afhankelijk van de gescande webapplicaties en het aantal scans dat tegen die applicaties wordt gegenereerd.

Dit betekent dat wijzigingen in de AppSec-scanactiviteit ook het volume van de journald-gebeurtenissen kunnen veranderen die van de reverse proxy worden verzameld.

De anomalie begrijpen

Zonder de context van de scans kan een toename van gebeurtenissen van de reverse proxy ongebruikelijk lijken.

In dit geval werd de gebeurtenisactiviteit verklaard door het scanproces voor applicatiebeveiliging zelf.

De AppSec-agent controleerde actief webapplicaties op kwetsbaarheden en zwakke plekken, en die scans genereerden de stroomafwaartse en stroomopwaartse gebeurtenissen die via journald werden waargenomen.

Operationele context

Dit geval toont het belang aan van inzicht in de gebeurtenissen die door beveiligingstools worden gegenereerd bij het analyseren van monitoringanomalieën.

Een beveiligingsmaatregel die continu kwetsbaarhedenscans uitvoert, kan zelf een belangrijke bron van telemetrie worden.

Conclusie

De meeste relevante journald-gebeurtenissen werden gegenereerd door een reverse-proxyserver en werden beïnvloed door een AppSec-agent die webapplicaties continu scande op kwetsbaarheden en zwakke plekken.

Het aantal stroomafwaartse en stroomopwaartse gebeurtenissen varieerde daarom met de hoeveelheid scanactiviteit en de gescande webapplicaties.