Salut à tous,  
 
j'aimerais savoir si certains d'entre vous avaient déjà mis en plice des outils de collecte et d'analyse de logs dans le but de remonter les évènements intéressants sur un réseau type d'entreprise. Sur quels logs me conseilleriez-vous de me baser, quels logs devrais-je prendre en compte (logs systèmes, logs BdD, logs NTFS...) pour détecter les évènements suspects et des comportements étranges (intrusion, usurpation de droits...)
 
Merci à vous pour toute info ou expérience sur le sujet

J'intègre une solution d'un éditeur français, issu du monde de la BI. La partie corrélation est vraiment l'axe central et ça marche très bien. Les clients installés sont ravis.
 
Pour plus d'infos, MP

bah logparser bien sûr
C'est marrant, j'ai la même problématique en ce moment
 
récupérer les logs des serveurs et des stations à distance
mise en forme (avec le parser)
analyse des données
 
UN GROS GROS taf de mise en place....

Alors moi je souhaiterais :
 
- scanner les postes XP et les serveurs du domaine
- récupérer les 3 journaux d'événements des XP (je pense copie en local, sur mon poste)
- récupérer les journaux d'événements des serveurs (ainsi que DHCP,tache planifiées...).
- parser toutes ces données
- filtrer les données interessantes uniquement ! (le gros du taf à mon
avis)
 
Qu'en pense tu ?
 
Ya donc logparser 2.2 (gratuit) :
http://www.microsoft.com/downloads [...] laylang=en
 
ainsi qu'un GUI : Log Parser Lizard GUI 1.0 (gratuit)
http://www.lizardl.com/PageHtml.as [...] tItemId=17
 
Le forum de discussion :
http://forums.iis.net/default.aspx?GroupID=51

1/ pas de corrélation
2/ pas de support, exploitation fastidieuse
3/ pas de reporting
 
bref tout sauf une solution pro.

 
1/ bah justement c'est le but de tout ça !
2/ et avec des filtrages bien sélectionnés.
3/ bah tu peux automatiser tout le truc, et donc faire un reporting ensuite.
 
en gros tu pense que c'est complètement inutile, ou tu pense que ya d'autres solutions plus élaborées ?
Je recherche un truc open source, et gratuit (même si y a du dév à faire....).
 
 

Je trouve que c'est un peu le syndrome de la roue : réinventer ce qui existe déjà.  
D'une part c'est long et fastidieux, d'autre part ce n'est pas si simple que ça.
 
Mais effectivement, le libre et gratuit séduit toujours, après il y a un ratio à faire entre CapEx et OpEx