# Tentatives SSH échouées (alimente linux_secure et fail2ban)
for i in {1..8}; do
  ssh -o ConnectTimeout=2 -o StrictHostKeyChecking=no \
    scantest@192.168.91.10 2>/dev/null || true
  sleep 1
done

# Trafic Apache (alimente access_combined)
for i in {1..15}; do curl -s http://localhost > /dev/null; done
curl -s http://localhost/.env > /dev/null
curl -s http://localhost/admin > /dev/null
curl -s http://localhost/wp-login.php > /dev/null

# Scan Nmap vers la VM SOC (alimente suricata)
nmap -sS -p 1-500 192.168.91.10

Dashboard Title : SOC_Vue_Operationnelle
Dashboard ID    : soc_vue_operationnelle  (auto-rempli)
Description     : Vue temps réel — Alertes Suricata, SSH, Fail2ban, Wazuh
Shared in App   : Search (ou All Apps)

→ Create Dashboard (Classic Dashboards)

index=security
  (sourcetype=suricata event_type=alert)
  OR (sourcetype=linux_secure "Failed password")
  OR (sourcetype=fail2ban "Ban")
  OR (sourcetype=wazuh)
| eval outil=case(
    sourcetype=="suricata",    "Suricata",
    sourcetype=="linux_secure","SSH Echecs",
    sourcetype=="fail2ban",    "Fail2ban",
    sourcetype=="wazuh",       "Wazuh")
| timechart span=15m count by outil

# Title: "Alertes par outil — 24h"
# Time range: Last 24 hours

index=security sourcetype=suricata event_type=alert
| spath output=src_ip path=src_ip
| spath output=signature path=alert.signature
| where isnotnull(src_ip) AND src_ip!="127.0.0.1"
| stats count as nb_alertes by src_ip
| sort -nb_alertes
| head 10

# Title: "Top 10 IPs suspectes (Suricata)"
# Visualization: Bar Chart (nb_alertes en Y, src_ip en X)

index=security sourcetype=wazuh
| spath output=level path=rule.level
| spath output=description path=rule.description
| spath output=agent path=agent.name
| where level >= 7
| eval criticite=case(level>=12,"CRITIQUE",level>=9,"HAUTE",level>=7,"MOYENNE")
| table _time, criticite, level, agent, description
| sort -level, -_time

# Title: "Alertes Wazuh — Niveau ≥ 7"
# Visualization: Table
# Time range: Last 24 hours

index=security sourcetype=fail2ban "Ban"
| rex "NOTICE \[(?<jail>\w+)\] Ban (?<banned_ip>\d+\.\d+\.\d+\.\d+)"
| where isnotnull(banned_ip)
| stats count as total_bans, dc(banned_ip) as ips_distinctes

# Title: "IPs bannies — Aujourd'hui"
# Visualization: Single Value
# Time range: Today

index=security
| stats count by sourcetype
| sort -count

# Title: "Répartition des événements par source"
# Visualization: Pie Chart
# Time range: Last 7 days

<!-- Trouver la balise <dashboard> en haut du XML et modifier ainsi -->
<dashboard version="1.1" theme="dark" refresh="60">

<!-- refresh="60" = rafraîchissement automatique toutes les 60 secondes -->
<!-- ⚠️ Ne pas ajouter refreshType="delay" — non reconnu par Splunk Enterprise 9.x -->

Serveur de messagerie (SMTP) : [hôte SMTP de votre fournisseur]
Port                         : 587  (TLS/STARTTLS) ou 465 (SSL)
Sécurité de connexion        : TLS
Nom d'utilisateur            : [votre identifiant email]
Mot de passe                 : [mot de passe ou token d'application]
Adresse d'envoi              : [votre adresse email]

# Dans Splunk : Paramètres → Paramètres du serveur → Paramètres de messagerie
# → Remplir les champs → cliquer "Envoyer un e-mail de test"
# → Vérifier la réception dans votre boîte mail

# Test alternatif depuis la ligne de commande de la VM SOC :
curl -s --ssl-reqd \
  --mail-from "expediteur@domaine.com" \
  --mail-rcpt "destinataire@domaine.com" \
  --url "smtps://[VOTRE_SERVEUR_SMTP]:587" \
  --user "identifiant@domaine.com:MOT_DE_PASSE" \
  -T /dev/null \
  && echo "SMTP OK" || echo "SMTP ERREUR"

index=security sourcetype=linux_secure "Failed password"
| rex "from (?<src_ip>\d+\.\d+\.\d+\.\d+)"
| where isnotnull(src_ip)
| stats count as nb_echecs by src_ip
| where nb_echecs >= 5

Alert name    : Brute Force SSH Detecte
Description   : Une IP a généré 5+ tentatives SSH échouées en 5 minutes
Alert type    : Scheduled
Schedule      : Run every 5 minutes   (Cron : */5 * * * *)
Time range    : Last 5 minutes

Trigger condition : Number of Results > 0
                    (la recherche retourne des lignes seulement si nb_echecs >= 5)

Déclencher    : "Pour chaque résultat" (pas "Une fois")
               → Ce choix fait apparaître le champ de throttle par valeur

Throttle      : ✅ Supprimer les déclenchements pendant  60  minutes
                Supprimer les résultats contenant la valeur de champ : src_ip
                (Dans l'interface Splunk FR : "Supprimer les résultats contenant la valeur de champ")
                (évite le spam — 1 alerte max par IP par heure)

# Action OBLIGATOIRE — Splunk refuse de sauvegarder sans au moins une action
Ajouter aux alertes déclenchées
  → Mode: Pour chaque résultat   (= Per-Result)
  → Gravité: Élevée              (= High — brute force SSH = menace sérieuse)

# Action OPTIONNELLE — nécessite SMTP configuré (voir section dédiée ci-dessous)
Envoyer un e-mail
  → À: votre@email.com
  → Objet: [SOC ALERTE] Brute Force SSH détecté — $result.src_ip$
  → Message: IP $result.src_ip$ a effectué $result.nb_echecs$ tentatives SSH

# Générer 8 tentatives SSH échouées (dépasse le seuil de 5)
for i in {1..8}; do
  ssh -o ConnectTimeout=2 -o StrictHostKeyChecking=no \
    alertetest@192.168.91.10 2>/dev/null || true
  sleep 0.5
done
echo "8 tentatives envoyées — attendre 5 min max pour l'alerte"

Activity → Triggered Alerts
# → Doit afficher "Brute Force SSH Detecte" avec l'heure du déclenchement

# Ou forcer l'exécution immédiate :
# Alerts → "Brute Force SSH Detecte" → Run Now (icône ▶)

index=security sourcetype=suricata event_type=alert
| spath output=signature path=alert.signature
| spath output=src_ip path=src_ip
| where match(signature, "SCAN|scan|nmap|Nmap")
| stats count as nb_alertes, values(signature) as signatures by src_ip
| where nb_alertes >= 3

Alert name    : Scan Reseau Detecte
Schedule      : Every 5 minutes — Last 5 minutes
Trigger       : Number of Results > 0
Throttle      : 30 minutes, group by : src_ip
Action        : Add to Triggered Alerts (severity: Medium)

index=security sourcetype=wazuh
| spath output=level path=rule.level
| spath output=description path=rule.description
| spath output=agent path=agent.name
| where level >= 9
| table _time, agent, level, description

Alert name    : Wazuh Alerte Critique
Schedule      : Every 5 minutes — Last 5 minutes
Trigger       : Number of Results > 0
Throttle      : 60 minutes, group by : agent
Action        : Add to Triggered Alerts (severity: Critical)

index=security earliest=-7d latest=now
| eval outil=case(
    sourcetype=="suricata" AND event_type="alert", "Suricata (NIDS)",
    sourcetype=="linux_secure" AND match(_raw,"Failed password"), "SSH Echecs",
    sourcetype=="fail2ban" AND match(_raw,"Ban"), "Fail2ban Bans",
    sourcetype=="wazuh", "Wazuh (HIDS)",
    true(), "Autre")
| where outil!="Autre"
| stats
    count as total_evenements,
    dc(host) as nb_hotes_impliques
    by outil
| sort -total_evenements
| addcoltotals total_evenements label="TOTAL"

index=security sourcetype=suricata event_type=alert earliest=-7d
| spath output=src_ip path=src_ip
| spath output=signature path=alert.signature
| spath output=severity path=alert.severity
| stats
    count as nb_alertes,
    dc(signature) as signatures_distinctes
    by src_ip
| sort -nb_alertes
| head 10
| rename src_ip as "IP Source",
         nb_alertes as "Nb Alertes",
         signatures_distinctes as "Signatures distinctes"

Schedule Report : ✅ Schedule Report

Run on cron schedule : 0 8 * * 1
# → Chaque lundi à 08h00
# Décomposition : 0=minute 8=heure *=jour *=mois 1=lundi

Time Range : Last 7 days

# Remplir les champs de la planification :
Planifier le rapport : ✅ Planifier le rapport

Cron schedule : 0 8 * * 1
# → Chaque lundi à 08h00

Plage de temps : 7 derniers jours

# Section "Envoyer un e-mail" (si SMTP configuré) :
À       : rssi@entreprise.com, soc-team@entreprise.com
Objet   : [SOC] Rapport hebdomadaire de sécurité
Inclure :
  ✅ Joindre PDF          (= Format PDF — la case à cocher, pas un menu séparé)
  ✅ Lier à Rapport
  ✅ Lien vers les résultats

→ Enregistrer

index=security earliest=-7d latest=now
| eval
    date=strftime(_time,"%Y-%m-%d %H:%M"),
    outil=case(
        sourcetype=="suricata","Suricata",
        sourcetype=="linux_secure","SSH",
        sourcetype=="fail2ban","Fail2ban",
        sourcetype=="wazuh","Wazuh",
        true(),"Autre")
| table date, outil, sourcetype, host, _raw
| rename
    date as "Date/Heure",
    outil as "Outil",
    sourcetype as "Type",
    host as "Hôte",
    _raw as "Événement brut"
| sort -"Date/Heure"