Sources connectées

Une source connectée fait entrer dans AarView les alertes d’un SIEM, dans le format natif de ce SIEM. AarView les convertit en une forme commune et elles rejoignent les incidents, les tableaux de bord et les règles SOAR.

Produits reconnus

Produit	Envoi (push)	Lecture (pull)
Wazuh	oui	oui
Elastic Security	oui	oui
OpenSearch Security Analytics	oui	oui
Splunk	oui	non
IBM QRadar	oui	non
Microsoft Sentinel	oui	non
Graylog	oui	non
Format générique AarView (JSON)	oui	non

Le format générique sert à tout outil capable d’envoyer du JSON : voir API machine.

Créer une source

Dans AarView, menu Sources connectées, créez une source pour votre produit. Seul le super administrateur crée, modifie, renouvelle ou supprime une source, avec une connexion de moins de 10 minutes. La création demande la licence ; la réception, jamais.

Chaque source appartient à un client : ses alertes ne vont qu’à lui. Le client n’est jamais lu dans le contenu reçu, il est fixé par la source.

Mode envoi (push)

Le SIEM envoie ses alertes à AarView.

1. À la création, AarView fournit une adresse de réception et un identifiant client avec son secret. Le secret n’est affiché qu’une fois.
2. Renseignez-les dans le webhook ou le transfert de votre SIEM.
3. Vous pouvez limiter la source à certains réseaux d’origine : une requête venue d’ailleurs est refusée.

L’adresse de réception est https://<votre domaine>/api/v1/ingest/source. L’identifiant et le secret s’envoient dans les en-têtes X-AarView-Client-Id et X-AarView-Client-Secret, ou en authentification HTTP Basic :

curl -sS https://aarview.example.org/api/v1/ingest/source \
  -H "X-AarView-Client-Id: avc_..." \
  -H "X-AarView-Client-Secret: avs_..." \
  -H "Content-Type: application/json" \
  --data @alerte.json

Le secret peut être renouvelé à tout moment. Supprimer une source arrête son identifiant ; les alertes déjà reçues restent.

Ce que la réception accepte

• Une alerte, une liste d’alertes, ou l’enveloppe propre au produit (par exemple la liste d’alertes d’un connecteur Elastic ou le value d’une réponse Sentinel).
• 100 alertes au plus par envoi, et 5 Mo au plus par requête.
• Un plafond de volume par source : 1 000 évènements par minute par défaut, réglable sur la carte de la source. Un envoi qui dépasserait le plafond est refusé en entier (code HTTP 429, avec le délai avant nouvel essai) et compté sur la carte.

La réponse indique ce qui a été reçu, créé, reconnu comme doublon, filtré ou rejeté.

Mode lecture (pull)

AarView lit lui-même les nouvelles alertes dans un SIEM basé sur Elasticsearch ou OpenSearch : Elastic Security, OpenSearch Security Analytics, Wazuh.

Réglage	Valeur
Adresse	l’URL du moteur de recherche
Index	par défaut .alerts-security.alerts-default (Elastic), .opensearch-sap-*-findings* (OpenSearch), wazuh-alerts-4.x-* (Wazuh)
Champ de date	par défaut @timestamp (Elastic) ou timestamp (OpenSearch, Wazuh)
Authentification	identifiant et mot de passe, ou clé d’API
Vérification du certificat	activée par défaut ; la carte avertit si elle est coupée
Intervalle	de 30 secondes à 1 heure
Historique à importer	aucun, 24 heures ou 7 jours

• Tester la connexion avant de créer la source : en cas d’échec, AarView donne la raison renvoyée par le moteur (mot de passe, certificat refusé, index absent, délai dépassé).
• Le secret de connexion est stocké chiffré, lié à sa source.
• La connexion d’une source se modifie sans la supprimer.
• La lecture s’arrête deux minutes avant l’instant présent : une alerte indexée en retard par votre SIEM n’est pas sautée.

Sévérité

AarView range chaque alerte sur quatre niveaux : faible, moyen, élevé, critique.

• Une sévérité inconnue devient moyen, jamais faible.
• Pour Wazuh : niveau 7 et plus, moyen ; 12 et plus, élevé ; 15 et plus, critique.
• Chaque source a une sévérité minimale : en dessous, l’alerte est filtrée et comptée.

Doublons et observables

• La référence d’une alerte est l’identifiant donné par le produit, ou à défaut une empreinte du contenu. Un nouvel envoi de la même alerte ne crée pas de second incident.
• Les observables (adresses, domaines, empreintes, comptes) sont extraits, bornés et dédoublonnés. Aucun n’est marqué comme indicateur de compromission automatiquement : c’est la décision d’un analyste.

Aperçu et santé

• Aperçu : collez un échantillon et voyez ce qu’AarView en ferait, sans rien enregistrer. Pour une source en lecture, test de lecture : une lecture, sans rien enregistrer.
• Chaque source affiche son état :

État	Signification
saine	des alertes arrivent
en attente	rien reçu pour l’instant
silencieuse	rien depuis trop longtemps : 24 heures pour une source en envoi, trois tours manqués pour une source en lecture
en erreur	le dernier évènement est une erreur, avec sa raison
désactivée	la source est coupée

Une source silencieuse signale le plus souvent un transfert cassé. L’équipe peut être prévenue quand une source tombe en erreur ou devient silencieuse (Paramètres, Notifications).