O parte semnificativă din evenimentele observate în journald a fost asociată unui server reverse proxy și unui agent utilizat pentru scanarea de securitate a aplicațiilor (Application Security).

Agentul AppSec scanează continuu aplicațiile web pentru vulnerabilități și puncte slabe. Numărul de scanări influențează direct evenimentele downstream și upstream generate de reverse proxy.

Localizarea evenimentului

Locație: journald

Cele mai multe dintre evenimentele relevante au fost asociate unui server reverse proxy.

Activitatea agentului de securitate a aplicațiilor

Reverse proxy-ul este afectat de activitatea unui agent legat de AppSec, adică Application Security.

Acest agent efectuează continuu scanări de vulnerabilități împotriva aplicațiilor web și încearcă să identifice puncte slabe.

Deoarece activitatea de scanare este continuă, aceasta poate genera o cantitate semnificativă de activitate la nivelul aplicațiilor și al reverse proxy-ului.

Impactul asupra evenimentelor downstream și upstream

Numărul de evenimente downstream și upstream este influențat de numărul de scanări generate de agentul AppSec.

Volumul poate varia în funcție de aplicațiile web scanate și de numărul de scanări generate împotriva acelor aplicații.

Acest lucru înseamnă că modificările în activitatea de scanare AppSec pot modifica și volumul de evenimente journald colectate de la reverse proxy.

Înțelegerea anomaliei

Fără contextul scanării, o creștere a evenimentelor reverse proxy poate părea neobișnuită.

În acest caz, activitatea de evenimente a fost explicată chiar de procesul de scanare Application Security.

Agentul AppSec verifica activ aplicațiile web pentru vulnerabilități și puncte slabe, iar acele scanări au generat evenimentele downstream și upstream observate prin journald.

Contextul operațional

Acest caz demonstrează importanța înțelegerii evenimentelor generate de instrumentele de securitate atunci când se analizează anomalii de monitorizare.

Un control de securitate care efectuează scanări continue de vulnerabilități poate deveni el însuși o sursă importantă de telemetrie.

Concluzie

Majoritatea evenimentelor journald relevante au fost generate de un server reverse proxy și au fost influențate de un agent AppSec care scanează continuu aplicațiile web pentru vulnerabilități și puncte slabe.

Numărul de evenimente downstream și upstream a variat, prin urmare, în funcție de cantitatea activității de scanare și de aplicațiile web scanate.