Sommaire de la documentation
AarSOC · Fonctionnement
Ce que nous collectons
Les sources qu'AarSOC ingère, par agent ou depuis votre SIEM, comment les journaux sont normalisés, et ce que nous ne conservons pas.
Sur cette page
Par agent
Notre agent de collecte, installé sur chaque machine, transmet ses évènements de sécurité à nos serveurs de collecte, par le tunnel de votre organisation.
- Systèmes Linux et Windows : journaux système, Sysmon, intégrité des fichiers, inventaire, vulnérabilités.
- Journaux d’applications lus localement : syslog, JSON, journaux d’évènements Windows.
Par le réseau
Des collecteurs réseau (sonde de détection d’intrusion et autres sources réseau), authentifiés par certificat client (TLS mutuel). Le collecteur sur site avec détection réseau fait partie de l’offre Gardien.
Depuis votre outil existant
- Par API : alertes de Wazuh, Elastic Security, Splunk, IBM QRadar, Microsoft Sentinel, Graylog et OpenSearch.
- Par lecture directe dans un Elastic, un OpenSearch ou un Wazuh.
Nous n’avons pas de récepteur syslog réseau : un équipement réseau est collecté par un agent ou un relais qui lit ses journaux.
Normalisation
- Les décodeurs de notre moteur de détection extraient les champs (horodatage, machine, utilisateur, adresses, identifiant d’évènement), puis les règles qualifient l’évènement.
- L’alerte est enrichie d’une géolocalisation des adresses publiques, calculée sur nos serveurs (base DB-IP mise à jour chaque mois, sans appel à un service externe).
- Elle est rangée dans les index de votre organisation.
- Les alertes reçues d’un SIEM tiers sont converties vers un schéma commun avant enregistrement.
Une application au format propriétaire
Nous écrivons un décodeur et des règles pour notre moteur de détection à partir d’un échantillon de vos journaux. Le délai dépend du format et de sa documentation. Les sources identifiées au cadrage entrent dans le périmètre initial ; celles découvertes après le démarrage font l’objet d’un avenant.
Volume
La plateforme n’applique aucun plafond de volume et ne tronque jamais vos données. Le périmètre couvert (machines et sources) est défini au contrat ; son extension se fait par avenant.
Ce que nous ne conservons pas
Les journaux bruts qui ne déclenchent aucune règle.