Mise en oeure d'un systeme de monitoring pour la cyber securite

Abstract

With the increase of cyber threats and the limitations of traditional monitoring means the use of network telescope systems has become a necessity in order to obtain reliable and timely information to counter cyber threats. The present study describes the design and deployment of the first network telescope in Algeria and the analysis of data collected by this telescope. Data collected over a period of one month is stored using the Elasticsearch-Logstash-Kibana (ELK) stack which facilitates the analysis of large datasets. This work presents several types of analyzes of collected data, namely: preliminary analysis using NIDS, data profiling, temporal analysis using KIBANA and in-depth analysis using clustering. Collected traffic is explored in detail and highlighted. A discussion of observed traffic is also presented. A new approach to classifying traffic and detecting unusual activities is proposed. Clustering results have shown the effectiveness of the proposed approach, and provide information on known threats and other unknowns. Keywords: Cyber, Darknet, Network Telescope, Threats, Security, Intelligence, CyberThreats, NIDS, Clustering, ELK Avec l'augmentation des cybermenaces et les limites des moyens de monitoring traditionnels l'utilisation des systèmes de télescope réseau est devenue une nécessité afin d'obtenir des informations fiables et au bon moment pour contrecarrer les cybermenaces. La présente étude décrit la conception et le déploiement du premier télescope réseau en Algérie et l’analyse de données collectées par ce télescope. Les données collectées sur une période d'un mois sont stockées en utilisant le stack ELK(Elasticsearch-Logstash-Kibana) qui facilite l’analyse de grands ensembles de données. Ce travail présente plusieurs types d'analyses des données collectées à savoir : une analyse préliminaire en utilisant les NIDS, le profilage de données, une analyse temporelle en utilisant KIBANA et une analyse approfondie en utilisant le clustering. Le trafic collecté est exploré en détail et mis en évidence. Une discussion relative au trafic observé est également présentée. Une nouvelle approche pour classifier le trafic et détecter les activités inhabituelles est proposé. Les résultats du clustering ont montré l’efficacité de l’approche proposée, et donnent des informations sur des menace connus et d'autres inconnues. Mots clés : Cyber, Darknet, télescope réseau, Menaces, Sécurité, Intelligence, Cybermenaces, NIDS,Clustering, ELK