Réserve Centrale de Bananes

Panique au Pays des Singes

Wazuh et la Réponse Active au Service des Bananes

Acte I : L'Équilibre, la Menace et la Défense Locale

Réserve Centrale de Bananes

Panique au Pays des Singes

Wazuh et la Réponse Active au Service des Bananes

Présentation de l'Orateur

🦧💻

Romain Therrat

POCKOST

Administration GNU/Linux

Automatisation (Ansible, Terraform)

BananaOps & Cloud-Native

Basé à Clermont-Ferrand

Le Vol (L'Attaque par Force Brute)

🌙

☀️

Réserve Centrale de Bananes

🥷

🍌🍌🍌

🐒❗

🐒❓

🐒‼️

La Recherche de Solution (Les Oracles)

🦍👑

BananaPT v4.0

"Vos portes tiennent un registre précis..."

FAIL2BAN

< LE GARDIEN ANCESTRAL >

Tout se Passe Bien (La Victoire Éphémère)

Réserve Centrale

🥷

FAIL2BAN

🐒🎉

🐒🍌

Acte II : La Croissance et la Surcharge

🔥 Surcharge !

Réserve Centrale

La Seconde Consultation (La Fragmentation)

Réserve A

FAIL2BAN

Réserve B

🍌🍌

Réserve C

Gardiens (Fail2ban)

🛡️🙈 Gardien A

🛡️🙈 Gardien B

Aucune communication !

La Seconde Consultation (Les Oracles)

🦍👑

BananaPT v5.0

"Analysez le comportement global..."

S.I.E.M.

< LE CHEF D'ORCHESTRE >

La Mise en Place de Wazuh

MANAGER

🐒🛡️

Réserve A

🐒🛡️

Réserve B

🐒🛡️

Réserve C

La Réponse Active (L'Arme)

Armement de la défense dans ossec.conf :

                    <ossec_config>

                      <active-response>

                        <disabled>no</disabled>

                        <command>firewall-drop</command>

                        <location>local</location>

                        <rules_id>5763</rules_id>

                        <timeout>180</timeout>

                      </active-response>

                    </ossec_config>

Command : Script exécuté (iptables/firewalld)

Rules_id : Identifiant précis de l'alerte (ex: Brute force SSH)

Timeout : Riposte "Stateful". Blocage de 3 minutes puis auto-guérison.

Le Pouvoir Ultime (La Défense Distribuée)

<location>local all</location>

Réserve A

Réserve B

Réserve C

Acte III : Déploiement Massivement Parallèle

ANSIBLE

Réserve A

Réserve B

Réserve C

Automatisation Idempotente

                    - name: Deploy custom Active Response

                      ansible.builtin.copy:

                        src: custom-ar.py

                        dest: /var/ossec/active-response/bin/

                        owner: root

                        group: wazuh

                        mode: '0750'

Acte IV : L'Infiltration Furtive (FIM)

Réserve B

🥷

🍌

[FIM DETECT] new file
SHA256: 8a4b...f9c2

Configuration Syscheck

Fichier : /var/ossec/etc/ossec.conf

                    <syscheck>

                      <directories>/etc,/usr/bin,/usr/sbin</directories>

                      <directories>/opt/banana</directories>

                    </syscheck>

Le module surveille les dossiers critiques en temps réel et génère une alerte dès qu'un binaire suspect apparaît.

Orchestration : L'Oracle VirusTotal

integratord

VirusTotal

{ "positives": 68, "total": 72, "verdict": "MALICIOUS" }

Module d'Intégration API

Fichier : /var/ossec/etc/ossec.conf

                    <integration>

                      <name>virustotal</name>

                      <api_key>B4N4N4_K3Y</api_key>

                      <group>syscheck</group>

                      <alert_format>json</alert_format>

                    </integration>

Dès qu'une alerte FIM survient, le Manager consulte automatiquement la Threat Intelligence pour confirmer la menace.

La Riposte Foudroyante (SOAR)

1. Isolation Réseau (Stateful)

                    <active-response>

                      <command>host-quarantine</command>

                      <location>local</location>

                      <rules_id>87105</rules_id>

                      <timeout_allowed>yes</timeout_allowed>

                      <timeout>3600</timeout>

                    </active-response>

2. Notification Slack

Wazuh Alerts

🚨 Malicious File Detected
Agent: Reserve-B
Action: 🛡️ Host isolated.

Zero-Touch Remediation (Échec et Mat)

Réserve B

🥷

[ THREAT NEUTRALIZED ]

L'Avertissement de Sécurité (Garde-Fou)

⚠️

                    <global>

                      <white_list>192.168.1.1</white_list>

                    </global>

Évitez l'Auto-Déni de Service (Self-DoS) en protégeant vos accès critiques.

🐒🪚🌿

Vers une Infrastructure Résiliente

L'automatisation de la réponse active est un pouvoir immense, mais il ne vaut rien sans une fondation solide.

Haute Disponibilité (HA)

Sécuriser un village, c'est aussi s'assurer que si un gardien tombe, les bananes restent protégées. Mais Wazuh a ses propres fragilités...

Architecture Résiliente & Haute Disponibilité

AGENTS 🐒🛡️ 🐒🛡️ 🐒🛡️

LOAD BALANCER

MASTER

WORKER
1514

OS Node 1

OS Node 2

OS Node 3

INTERNET

DASHBOARD

Scaling Horizontal (TCP 1514)
Le trafic massif des agents est réparti sur les Workers. Le Master (1515) reste l'unique cerveau d'état.

Indexation Redondante (OpenSearch)
Cluster multi-nœuds pour garantir la disponibilité des alertes même en cas de perte matérielle d'un disque.

Visualisation Unifiée
Le Dashboard interroge l'API du cluster pour offrir une vue globale sur l'ensemble de la forêt de singes.

Conclusion et Synthèse

🛡️🌐

1. Défense Globale

Passer de la protection locale (Fail2ban) à une visibilité SIEM centralisée (Wazuh).

🤖⚡

2. Action Automatisée

Réponse Active "Zero-Touch" orchestrée via Ansible et Threat Intelligence.

🏗️💎

3. Résilience HA

Une infrastructure distribuée sans SPOF pour une défense indestructible.

Questions ?

🥼🐒

🍌❓

www.pockost.com

Panique au Pays des Singes

Acte I : L'Équilibre, la Menace et la Défense Locale

Panique au Pays des Singes

Présentation de l'Orateur

Romain Therrat

Le Vol (L'Attaque par Force Brute)

La Recherche de Solution (Les Oracles)

Tout se Passe Bien (La Victoire Éphémère)

Acte II : La Croissance et la Surcharge

La Seconde Consultation (La Fragmentation)

Gardiens (Fail2ban)

La Seconde Consultation (Les Oracles)

La Mise en Place de Wazuh

La Réponse Active (L'Arme)

Le Pouvoir Ultime (La Défense Distribuée)

Acte III : Déploiement Massivement Parallèle

Automatisation Idempotente

Acte IV : L'Infiltration Furtive (FIM)

Configuration Syscheck

Orchestration : L'Oracle VirusTotal

Module d'Intégration API

La Riposte Foudroyante (SOAR)

1. Isolation Réseau (Stateful)

2. Notification Slack

Zero-Touch Remediation (Échec et Mat)

L'Avertissement de Sécurité (Garde-Fou)

Vers une Infrastructure Résiliente

Architecture Résiliente & Haute Disponibilité

Conclusion et Synthèse

1. Défense Globale

2. Action Automatisée

3. Résilience HA

Questions ?

Notes de l'orateur