TP05 - Exploitation des journaux EVE JSON avec jq

Objectif : interroger le journal eve.json avec jq pour trier les alertes, extraire des métadonnées réseau et reconstituer l’historique d’une connexion grâce au flow_id.

Prérequis :

• TP04 terminé : règles locales chargées et alertes générées.
• jq installé (TP01).

Actions à réaliser :

1. Inventorier les types d’événements.

   sudo jq -r '.event_type' /var/log/suricata/eve.json | sort | uniq -c | sort -rn

2. Afficher les alertes sous une forme compacte.

   sudo jq -c 'select(.event_type=="alert") | {timestamp, src_ip, dest_ip, sid: .alert.signature_id, sig: .alert.signature}' /var/log/suricata/eve.json

3. Classer les signatures les plus fréquentes. C’est la première requête à lancer lors d’une revue d’alertes :

   sudo jq -r 'select(.event_type=="alert") | .alert.signature' /var/log/suricata/eve.json | sort | uniq -c | sort -rn | head

4. Extraire des métadonnées sans alerte. Noms d’hôtes HTTP demandés et noms de serveurs TLS contactés :

   sudo jq -r 'select(.event_type=="http") | .http.hostname' /var/log/suricata/eve.json | sort | uniq -c
   sudo jq -r 'select(.event_type=="tls") | .tls.sni' /var/log/suricata/eve.json | sort | uniq -c

5. Suivre une connexion de bout en bout. Relevez le flow_id d’une alerte « LAB User-Agent curl », puis affichez tous les événements de ce flux (remplacez FLOW_ID par la valeur relevée) :

   sudo jq -c 'select(.event_type=="alert" and .alert.signature_id==1000004) | .flow_id' /var/log/suricata/eve.json | tail -n 1
   sudo jq -c 'select(.flow_id==FLOW_ID) | {event_type, timestamp}' /var/log/suricata/eve.json

Vérification / résultat attendu :

• L’inventaire fait apparaître au moins les types alert, flow, dns, http, tls et stats.
• Le classement des signatures place en tête les règles déclenchées pendant les TP précédents.
• Pour le flux suivi, vous obtenez l’alerte, la transaction http associée et, une fois la connexion terminée, l’événement flow qui la résume.

Pour aller plus loin : rédigez un petit script qui produit chaque matin le classement des dix signatures les plus fréquentes de la veille. En production, ces requêtes se font dans un SIEM : le journal EVE s’intègre directement dans les plateformes de collecte de journaux.