20ebe7240e
Nouvelles vues de détection (sql/views.sql) : - Identification hosts par IP/JA4 (view_host_identification, view_host_ja4_anomalies) - Détection brute force POST et query params variables - Header fingerprinting (ordre, headers modernes manquants, Sec-CH-UA) - ALPN mismatch detection (h2 déclaré mais HTTP/1.1 parlé) - Rate limiting & burst detection (50 req/min, 20 req/10s) - Path enumeration/scanning (paths sensibles) - Payload attacks (SQLi, XSS, path traversal) - JA4 botnet detection (même fingerprint sur 20+ IPs) - Correlation quality (orphan ratio >80%) ClickHouse (sql/init.sql) : - Compression ZSTD(3) sur champs texte (path, query, headers, ja3/ja4) - TTL automatique : 1 jour (raw) + 7 jours (http_logs) - Paramètre ttl_only_drop_parts = 1 Shutdown simplifié (internal/app/orchestrator.go) : - Suppression ShutdownTimeout et logique de flush/attente - Stop() = cancel() + Close() uniquement - systemd TimeoutStopSec gère l'arrêt forcé si besoin File output toggle (internal/config/*.go) : - Ajout champ Enabled dans FileOutputConfig - Le sink fichier n'est créé que si enabled && path != '' - Tests : TestValidate_FileOutputDisabled, TestLoadConfig_FileOutputDisabled RPM packaging (packaging/rpm/logcorrelator.spec) : - Changelog 1.1.18 → 1.1.22 - Suppression logcorrelator-tmpfiles.conf (redondant RuntimeDirectory=) Nettoyage : - idees.txt → idees/ (dossier) - Suppression 91.224.92.185.txt (logs exemple) Co-authored-by: Qwen-Coder <qwen-coder@alibabacloud.com>
112 lines
2.5 KiB
Markdown
112 lines
2.5 KiB
Markdown
time
|
|
log_date
|
|
|
|
src_ip
|
|
- ip source de la connexion
|
|
src_port
|
|
- port source de la connexion
|
|
dst_ip
|
|
- ip de destination de la connexion
|
|
dst_port
|
|
- port de destination de la connexion
|
|
|
|
src_asn
|
|
- Numero d'AS de l'ip source
|
|
src_country_code
|
|
- Code Pays de l'ip source
|
|
src_as_name
|
|
- Nom de l'AS de l ip source
|
|
src_org
|
|
- Organisation de l AS source
|
|
src_domain
|
|
- domaine de l'AS de l ip source
|
|
|
|
method
|
|
- Methode HTTP [GET, POST, ... ]
|
|
scheme
|
|
- Type de connexion http [http, https]
|
|
host
|
|
- Hostname demandé dans l'url
|
|
path
|
|
- Path demandé dans l'url
|
|
query
|
|
- Query demandé dans l'url
|
|
http_version
|
|
- Version du protocol http utilisé
|
|
|
|
orphan_side
|
|
- Indique si le log HTTP a pu etre enrichi avec les informations ip_, tcp, ja3_ et ja4_
|
|
- "A" indique que seul le log HTTP est present, sans enrichissement
|
|
correlated
|
|
- l'algorithm de correlation log http + parametres tcp a il réussi (tcp + ja4/3)
|
|
keepalives
|
|
- Numero de desquance dans une connexion http avec keepalive.
|
|
a_timestamp
|
|
b_timestamp
|
|
conn_id
|
|
|
|
ip_meta_df
|
|
- Flag dont fragement
|
|
ip_meta_id
|
|
- id du packet ip
|
|
ip_meta_total_length
|
|
- Taille des metadata dans pe packet ip
|
|
ip_meta_ttl
|
|
- TTL du packet ip vu par le serveur destinataire du packet
|
|
|
|
tcp_meta_options
|
|
- options du packet TCP vu par le serveur destinataire du packet
|
|
tcp_meta_window_size
|
|
- TCP window size vu par le serveur destinataire du packet
|
|
tcp_meta_mss
|
|
- TCP mss vu par le serveur destinataire du packet
|
|
tcp_meta_window_scale
|
|
- TCP windows scale vu par le serveur destinataire du packet
|
|
syn_to_clienthello_ms
|
|
- durée en ms entre le 1er packet SYN et le ClienHello du TLS
|
|
|
|
tls_version
|
|
- Version de TLS negocié avec le serveur destinataire du packet
|
|
tls_sni
|
|
- SNI, nom de domaine demandé pour le cerificat TLS
|
|
tls_alpn
|
|
- ALPN annoncé lors du TLS
|
|
ja3
|
|
- liste des agos utiliés pour la signature ja3
|
|
ja3_hash
|
|
- hash ja3
|
|
ja4
|
|
- hash ja4
|
|
|
|
client_headers
|
|
- liste des headers envoyés par le client http sous forme de liste Header,Header2,Header3,...
|
|
|
|
header_user_agent
|
|
- Header HTTP User-Agent
|
|
header_accept
|
|
- Header HTTP Accept
|
|
header_accept_encoding
|
|
- Header HTTP Accept-Encoding
|
|
header_accept_language
|
|
- Header HTTP Accept-Language
|
|
header_content_type
|
|
- Header Content-Type
|
|
header_x_request_id
|
|
- Header X-Request-ID
|
|
header_x_trace_id
|
|
- Header X-Trace-ID
|
|
header_x_forwarded_for
|
|
- Header X-Forwarded-For
|
|
header_sec_ch_ua
|
|
- Header Sec-Ch-UA
|
|
header_sec_ch_ua_mobile
|
|
- Header -Sec-Ch-UA-Mobile
|
|
header_sec_ch_ua_platform
|
|
- Header Sec-Ch-UA-Plateform
|
|
header_sec_fetch_dest
|
|
- Header -Sec-Fetch-Dest
|
|
header_sec_fetch_mode
|
|
- Header Sec-Fetch-Mode
|
|
header_sec_fetch_site
|
|
- Header Sec-Fetch-Site
|