20ebe7240e
Nouvelles vues de détection (sql/views.sql) : - Identification hosts par IP/JA4 (view_host_identification, view_host_ja4_anomalies) - Détection brute force POST et query params variables - Header fingerprinting (ordre, headers modernes manquants, Sec-CH-UA) - ALPN mismatch detection (h2 déclaré mais HTTP/1.1 parlé) - Rate limiting & burst detection (50 req/min, 20 req/10s) - Path enumeration/scanning (paths sensibles) - Payload attacks (SQLi, XSS, path traversal) - JA4 botnet detection (même fingerprint sur 20+ IPs) - Correlation quality (orphan ratio >80%) ClickHouse (sql/init.sql) : - Compression ZSTD(3) sur champs texte (path, query, headers, ja3/ja4) - TTL automatique : 1 jour (raw) + 7 jours (http_logs) - Paramètre ttl_only_drop_parts = 1 Shutdown simplifié (internal/app/orchestrator.go) : - Suppression ShutdownTimeout et logique de flush/attente - Stop() = cancel() + Close() uniquement - systemd TimeoutStopSec gère l'arrêt forcé si besoin File output toggle (internal/config/*.go) : - Ajout champ Enabled dans FileOutputConfig - Le sink fichier n'est créé que si enabled && path != '' - Tests : TestValidate_FileOutputDisabled, TestLoadConfig_FileOutputDisabled RPM packaging (packaging/rpm/logcorrelator.spec) : - Changelog 1.1.18 → 1.1.22 - Suppression logcorrelator-tmpfiles.conf (redondant RuntimeDirectory=) Nettoyage : - idees.txt → idees/ (dossier) - Suppression 91.224.92.185.txt (logs exemple) Co-authored-by: Qwen-Coder <qwen-coder@alibabacloud.com>
2.5 KiB
2.5 KiB
time log_date
src_ip
- ip source de la connexion src_port
- port source de la connexion dst_ip
- ip de destination de la connexion dst_port
- port de destination de la connexion
src_asn
- Numero d'AS de l'ip source src_country_code
- Code Pays de l'ip source src_as_name
- Nom de l'AS de l ip source src_org
- Organisation de l AS source src_domain
- domaine de l'AS de l ip source
method
- Methode HTTP [GET, POST, ... ] scheme
- Type de connexion http [http, https] host
- Hostname demandé dans l'url path
- Path demandé dans l'url query
- Query demandé dans l'url http_version
- Version du protocol http utilisé
orphan_side
- Indique si le log HTTP a pu etre enrichi avec les informations ip_, tcp, ja3_ et ja4_
- "A" indique que seul le log HTTP est present, sans enrichissement correlated
- l'algorithm de correlation log http + parametres tcp a il réussi (tcp + ja4/3) keepalives
- Numero de desquance dans une connexion http avec keepalive. a_timestamp b_timestamp conn_id
ip_meta_df
- Flag dont fragement ip_meta_id
- id du packet ip ip_meta_total_length
- Taille des metadata dans pe packet ip ip_meta_ttl
- TTL du packet ip vu par le serveur destinataire du packet
tcp_meta_options
- options du packet TCP vu par le serveur destinataire du packet tcp_meta_window_size
- TCP window size vu par le serveur destinataire du packet tcp_meta_mss
- TCP mss vu par le serveur destinataire du packet tcp_meta_window_scale
- TCP windows scale vu par le serveur destinataire du packet syn_to_clienthello_ms
- durée en ms entre le 1er packet SYN et le ClienHello du TLS
tls_version
- Version de TLS negocié avec le serveur destinataire du packet tls_sni
- SNI, nom de domaine demandé pour le cerificat TLS tls_alpn
- ALPN annoncé lors du TLS ja3
- liste des agos utiliés pour la signature ja3 ja3_hash
- hash ja3 ja4
- hash ja4
client_headers
- liste des headers envoyés par le client http sous forme de liste Header,Header2,Header3,...
header_user_agent
- Header HTTP User-Agent header_accept
- Header HTTP Accept header_accept_encoding
- Header HTTP Accept-Encoding header_accept_language
- Header HTTP Accept-Language header_content_type
- Header Content-Type header_x_request_id
- Header X-Request-ID header_x_trace_id
- Header X-Trace-ID header_x_forwarded_for
- Header X-Forwarded-For header_sec_ch_ua
- Header Sec-Ch-UA header_sec_ch_ua_mobile
- Header -Sec-Ch-UA-Mobile header_sec_ch_ua_platform
- Header Sec-Ch-UA-Plateform header_sec_fetch_dest
- Header -Sec-Fetch-Dest header_sec_fetch_mode
- Header Sec-Fetch-Mode header_sec_fetch_site
- Header Sec-Fetch-Site