Infrastructure Graylog
Mise en place d'un serveur de centralisation des journaux (Syslog) pour assurer la traçabilité des événements et faciliter l'audit de sécurité.
Pourquoi Graylog ?
Dans un parc informatique hétérogène, consulter les logs machine par machine est impossible en cas d'incident de sécurité. J'ai déployé Graylog pour agréger tous les journaux (Windows Events, Syslog Linux, Firewall) en un point unique.
(onglet "Search") avec logs entrants
Architecture & Collecte
Collecte Windows (Sidecar & NXLog)
Pour les serveurs Windows (AD, Fichiers), j'utilise l'agent Graylog Sidecar qui pilote NXLog. Il filtre les événements critiques (ex: ID 4624 Logins, ID 4740 Compte verrouillé) et les envoie au serveur.
Streams & Pipelines
J'ai configuré des Streams pour séparer les logs "Sécurité", "Système" et "Applications". Cela permet d'appliquer des règles de rétention différentes et de créer des alertes spécifiques.
(ex: "Windows Security Logs")
Collecte Linux (rsyslog)
Les serveurs Linux envoient leurs logs via rsyslog en UDP/TCP vers Graylog. Configuration simple et fiable pour les logs système et applicatifs.
Dashboards & Alertes
Tableaux de Bord
Visualisation en temps réel des événements critiques.
Alerting
Notifications automatiques par email.