# Pour CHAQUE VM (SOC et cible) :
# VM Settings → Network Adapter → NAT
# VMware attribue les IPs automatiquement via DHCP
# Le sous-réseau NAT est visible dans :
# Edition → Virtual Network Editor → VMnet8

# Après démarrage de chaque VM, récupérer l'IP réelle :
ip a | grep "inet 192"
# Noter les deux IPs — elles serviront dans TOUT le TP

# Récupérer l'IP de l'interface NAT VMware
ip a | grep "inet 192"
# Exemple de résultat : inet 192.168.91.10/24 brd 192.168.91.255
# → Votre IP SOC est 192.168.91.10 (adapter selon votre résultat)

hostname -I   # Méthode alternative

# Récupérer l'IP de l'interface NAT VMware
ip a | grep "inet 192"
# Exemple de résultat : inet 192.168.91.20/24
# → Votre IP cible est 192.168.91.20 (adapter selon votre résultat)

# Depuis la VM SOC, pinguer la VM cible
ping -c 4 192.168.91.20

# Résultat attendu : 4 packets transmitted, 4 received, 0% packet loss

# Depuis la VM cible, pinguer la VM SOC
ping -c 4 192.168.91.10

sudo apt update
sudo apt install -y apache2

# Vérifier qu'Apache fonctionne
sudo systemctl status apache2
curl -s http://localhost | head -5

# Activer le module de log complet
sudo a2enmod rewrite
sudo systemctl restart apache2

# Générer quelques accès pour pré-remplir les logs
for i in {1..10}; do curl -s http://localhost > /dev/null; done
curl -s http://localhost/pagequiexistepas > /dev/null  # Génère un 404

# Vérifier que les logs sont générés
tail -5 /var/log/apache2/access.log

# Autoriser les ports de collecte depuis la VM cible
# Autoriser le sous-réseau NAT VMware entier (adapter 192.168.91 à votre sous-réseau)
sudo ufw allow from 192.168.91.0/24 to any port 5514 proto tcp  # Logstash
sudo ufw allow from 192.168.91.0/24 to any port 514  proto tcp  # rsyslog
sudo ufw allow from 192.168.91.0/24 to any port 9997 proto tcp  # Splunk Forwarder
sudo ufw allow from 192.168.91.0/24 to any port 1514 proto udp  # Wazuh (Jour 3)

# Autoriser l'accès web à Splunk depuis votre machine hôte
sudo ufw allow 8000/tcp

sudo ufw enable
sudo ufw status

sudo apt update

# Ajouter le dépôt officiel Elastic
wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch \
  | sudo gpg --dearmor -o /usr/share/keyrings/elasticsearch-keyring.gpg

echo "deb [signed-by=/usr/share/keyrings/elasticsearch-keyring.gpg] \
  https://artifacts.elastic.co/packages/8.x/apt stable main" \
  | sudo tee /etc/apt/sources.list.d/elastic-8.x.list

sudo apt update && sudo apt install -y elasticsearch

# IMPORTANT : désactiver la sécurité ET le SSL pour le TP
# Elasticsearch 8.x active sécurité + SSL par défaut
# Il faut désactiver les TROIS paramètres sinon le démarrage échoue
sudo tee -a /etc/elasticsearch/elasticsearch.yml << 'EOF'
xpack.security.enabled: false
xpack.security.transport.ssl.enabled: false
xpack.security.http.ssl.enabled: false
EOF

# Vérifier l'absence de doublons (erreur fréquente)
grep -c "xpack.security.enabled" /etc/elasticsearch/elasticsearch.yml
# Doit retourner 1 — si 2, ouvrir le fichier et supprimer la ligne en double :
# sudo nano /etc/elasticsearch/elasticsearch.yml

sudo systemctl enable --now elasticsearch

# Vérifier (attendre ~30 secondes après démarrage)
curl -s http://localhost:9200 | python3 -m json.tool

# Le dépôt Elastic est déjà ajouté — installer directement
sudo apt install -y logstash

# Vérifier la version
/usr/share/logstash/bin/logstash --version

# Ne pas démarrer maintenant — d'abord créer la configuration

# Transférer TOUS les logs vers Logstash sur la VM SOC
# @@ = TCP (fiable) · Un seul @ = UDP (perte silencieuse — interdit)
# Remplacer 192.168.91.10 par l'IP réelle de votre VM SOC

# Format JSON structuré — plus facile à parser pour Logstash
# Créer le fichier via bash heredoc pour éviter les guillemets typographiques
# Remplacer 192.168.91.10 par l'IP réelle de votre VM SOC

sudo bash -c 'cat > /etc/rsyslog.d/50-soc.conf' << 'ENDOFFILE'
template(name="LogstashJSON" type="string" string="{"@timestamp":"%timereported:::date-rfc3339%","host":"%hostname%","facility":"%syslogfacility-text%","severity":"%syslogseverity-text%","program":"%programname%","pid":"%procid%","message":"%msg:::json%"}\n")

*.*  @@192.168.91.10:5514;LogstashJSON
ENDOFFILE

# Vérifier l'absence de guillemets typographiques
cat -A /etc/rsyslog.d/50-soc.conf | head -2

# Valider la configuration (dry-run)
sudo rsyslogd -N1

# Si "Config validation run succeeded" → redémarrer
sudo systemctl restart rsyslog
sudo systemctl status rsyslog

# Injecter un log de test horodaté
logger -p auth.warning "TEST_SOC_TP1_$(date +%H%M%S)"

# Vérifier que le log est bien présent dans le journal local
grep "TEST_SOC_TP1" /var/log/auth.log

# Générer quelques tentatives SSH échouées (pour les exercices SPL)
for i in {1..6}; do
  ssh utilisateurquiexistepas@192.168.91.10 2>/dev/null || true
done

input {
  # Recevoir les logs rsyslog JSON depuis la VM cible
  tcp {
    port  => 5514
    codec => "json"
    type  => "syslog"
  }
}

filter {

  if [type] == "syslog" {

    # ── Événements SSH ──────────────────────────────────────
    if [program] == "sshd" {
      grok {
        match => { "message" => [
          # Échec de connexion
          "%{DATA:ssh_action} password for (invalid user )?%{DATA:ssh_user} from %{IP:src_ip} port %{NUMBER:src_port}",
          # Connexion réussie
          "Accepted %{DATA:ssh_method} for %{DATA:ssh_user} from %{IP:src_ip} port %{NUMBER:src_port}",
          # Utilisateur inexistant
          "Invalid user %{DATA:ssh_user} from %{IP:src_ip}"
        ]}
        add_tag => ["ssh_event"]
      }
    }

    # ── Fail2ban (prépare le Jour 2) ────────────────────────
    if [program] == "fail2ban.actions" {
      grok {
        match => { "message" => "%{DATA:f2b_action} %{IP:banned_ip}" }
        add_tag => ["fail2ban_event"]
      }
    }

    # ── Normalisation commune ────────────────────────────────
    mutate {
      remove_field => ["@version", "port"]
    }

    # Géolocaliser l'IP source si elle est présente
    if [src_ip] and [src_ip] != "127.0.0.1" {
      geoip { source => "src_ip" target => "geoip" }  # target obligatoire en Logstash 8.x (ECS)
    }

  }
}

output {

  # Index Elasticsearch nommé par type et par date
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "syslog-%{+YYYY.MM.dd}"
  }

  # Afficher dans le terminal pour déboguer (à retirer en production)
  stdout { codec => rubydebug }

}

# 1. Valider la syntaxe de tous les fichiers .conf (dry-run)
sudo /usr/share/logstash/bin/logstash \
  --config.test_and_exit \
  -f /etc/logstash/conf.d/

# 2. Démarrer Logstash si "Configuration OK"
# Autoriser la création automatique des index Logstash dans Elasticsearch 8.x
curl -X PUT "http://localhost:9200/_cluster/settings" \
  -H 'Content-Type: application/json' \
  -d '{"persistent":{"action.auto_create_index":"syslog-*,*"}}'

sudo systemctl enable --now logstash

# 3. Suivre les logs de démarrage (attendre ~60 secondes)
sudo journalctl -u logstash -f

# 4. Depuis la VM CIBLE : injecter un nouveau log de test
#    logger -p auth.warning "TEST_LOGSTASH_ACTIF"

# 5. Depuis la VM SOC : vérifier l'arrivée dans Elasticsearch
curl -s "http://localhost:9200/syslog-*/_search?q=TEST_LOGSTASH_ACTIF&pretty" \
  | python3 -m json.tool | grep -A2 '"message"'

# Lire le fichier de logs Apache et le transférer au SOC
# imfile = module de lecture de fichier
module(load="imfile")

input(type="imfile"
  File="/var/log/apache2/access.log"
  Tag="apache_access"
  Facility="local6"
  Severity="info"
)

# Envoyer les logs Apache vers Logstash (même destination)
if $syslogtag == 'apache_access' then @@192.168.91.10:5514
& stop

sudo systemctl restart rsyslog

# Générer du trafic Apache pour tester
for i in {1..15}; do curl -s http://localhost > /dev/null; done
curl -s http://localhost/admin > /dev/null          # → 404
curl -s http://localhost/../../../etc/passwd > /dev/null  # → tentative LFI

    # ── Logs Apache ─────────────────────────────────────────
    if [syslogtag] == "apache_access" {
      grok {
        match => { "message" => "%{COMBINEDAPACHELOG}" }
        add_tag => ["apache_access"]
      }
      mutate {
        # Harmoniser le nom du champ IP source
        rename => { "clientip" => "src_ip" }
        # Convertir le code HTTP en entier pour filtrer dans SPL
        convert => { "response" => "integer" }
      }
    }

sudo systemctl restart logstash
# Attendre ~60s, puis vérifier l'index Apache
curl -s "http://localhost:9200/syslog-*/_search?q=apache_access&pretty" | grep '"hits"'

# Télécharger (remplacer par le lien fourni)
wget -O splunk.deb "LIEN_FOURNI_PAR_ENSEIGNANT"

# Installer
sudo dpkg -i splunk.deb

# Premier démarrage + acceptation de la licence
# → définir un mot de passe admin (min 8 caractères, noté quelque part)
sudo /opt/splunk/bin/splunk start --accept-license --run-as-root
# → Définir le mot de passe admin (min. 8 caractères) quand demandé
# → Message "Running Splunk as root is deprecated" = normal, pas une erreur

# Activer le démarrage automatique
sudo /opt/splunk/bin/splunk enable boot-start --run-as-root

# Vérifier que Splunk est accessible
ss -tlnp | grep 8000
# Doit afficher LISTEN sur *:8000 — c'est suffisant pour confirmer que Splunk tourne

Settings → Indexes → New Index

  Index Name : security
  Max Size   : 5000 MB
  Retention  : 30 days

→ Save

Settings → Data Inputs → TCP → New Local Input

  Port        : 9514
  Source Type : syslog
  Index       : security

→ Next → Review → Submit

sudo ufw allow from 192.168.91.0/24 to any port 9514 proto tcp  # Adapter le sous-réseau NAT au vôtre

# Envoyer vers Splunk sur la VM SOC — remplacer 192.168.91.10 par votre IP SOC réelle
# Splunk parse nativement le format syslog — pas besoin de JSON
*.*  @@192.168.91.10:9514

sudo systemctl restart rsyslog

# Injecter un log de test pour Splunk
logger -p auth.info "TEST_SPLUNK_ACTIF_$(date +%H%M%S)"

index=security "TEST_SPLUNK_ACTIF"

index=security

# ❓ Combien de sourcetypes différents voyez-vous (panneau gauche) ?
# ❓ Quel champ contient l'hostname de la VM cible ?
# ❓ Quel programme génère le plus de logs ?

index=security
| stats count by sourcetype
| sort -count

# ❓ Modifier pour ne voir que les événements de sshd

# Générer d'abord des tentatives depuis la VM cible :
# ssh [email protected]  (refuser 6 fois)

index=security "Failed password"
| rex "from (?<src_ip>\d+\.\d+\.\d+\.\d+)"
| stats count as nb_echecs by src_ip
| where nb_echecs >= 3
| sort -nb_echecs

# ⭐ LIVRABLE : Screenshot de ce résultat → binome_tp1_ssh.png
# ❓ Quelle IP a le plus de tentatives échouées ?
# ❓ Pourquoi ce seuil de 3 et pas 10 ou 100 ?

index=security
| timechart span=5m count

# Visualization → Line Chart
# Save As → Report → "TP1_Volume_Par_Minute"

# ❓ Y a-t-il un pic correspondant à vos tentatives SSH ?
# ❓ Comment exploiter ce graphique en SOC au quotidien ?

# Générer du trafic Apache depuis la VM cible d'abord :
# for i in {1..20}; do curl -s http://localhost > /dev/null; done

index=security sourcetype=syslog "apache_access"
| rex "(?<http_method>GET|POST|PUT|DELETE) (?<uri>\S+)"
| stats count by http_method, uri
| sort -count

# ❓ Quelles URI ont été accédées le plus souvent ?
# ❓ Retrouvez-vous la tentative d'accès à /admin et à /../etc/passwd ?