Journal des accès internet¶

1. Objectif du cours¶

Comprendre le rôle des journaux (logs) d'accès internet, les obligations légales, et savoir mettre en place et centraliser la journalisation via un portail captif (ex. PfSense) et un serveur Syslog.

2. Notions et définitions essentielles¶

Log / journal : fichier texte horodaté retraçant événements, URL, identifiants, adresses, commandes.
Journalisation : enregistrement continu des interactions utilisateurs/processus.
Accès internet : moyen de connexion (Wi‑Fi, ADSL, fibre, mobile, RTC).
Portail captif : application gérant l'authentification et l'enregistrement des connexions sur un réseau Wi‑Fi.
Centralisation des logs : regroupement des journaux sur une plateforme unique pour analyse et conservation.
Syslog : protocole/format de collecte et centralisation des logs (port UDP/TCP 514).

3. Fonctionnement et principes¶

Les logs constituent une traçabilité indispensable pour situer responsabilités, identifier composants touchés, cerner la nature d'attaques et appliquer des correctifs.
La loi LCEN impose la conservation des données de connexion pour faciliter enquêtes (application élargie depuis 2006 aux professionnels fournissant un accès public).
Un portail captif facilite l'écriture et le stockage structurés des logs (classement en colonnes : IP, MAC, utilisateur, date/heure, actions).
La centralisation évite la perte locale des logs, facilite l'analyse (IDS, forensic), le diagnostic de crashs et la génération de graphes/alertes.
Syslog collecte et normalise les messages (date, hostname, motif, priorité, pid, corps du message) et permet alertes.

4. Commandes et manipulations¶

Installation/configuration d'un portail captif (PfSense) :
Ouvrir l'interface Web (adresse depuis la console PfSense) et s'authentifier.
Services → Portail Captif → Ajouter : renseigner nom/description → Enregistrer et poursuivre.
Modifier le portail créé → Cocher « Activer le portail captif » → remplir au minimum « Interface » et « Serveur d'authentification ».
Consultation des logs PfSense : accéder au menu État → Journaux système ; État → Portail Captif (gestion des sessions et déconnexions).
Centralisation (procédure, regroupement de manipulations) :
Étape 1 : s'assurer que tous les systèmes génèrent les logs voulus (calibrage pour éviter saturation).
Étape 2 : configurer la plateforme de collecte (serveur Syslog) et le transport sécurisé des logs entre sites (prise en compte DMZ, liens distants, capacité).
Étape 3 : filtrer/présenter les données pour le monitoring.
Étape 4 : produire graphes, rapports et alertes.
Mise en place d'un serveur Syslog sous Windows (procédure succincte) : télécharger TFTPD32 (édition ZIP si incertain), configurer le firewall Windows pour autoriser l'exécution et les domaines nécessaires, ouvrir tftpd32.exe « en tant qu'administrateur », et utiliser la fonction serveur TFTP (ne pas exposer le domaine public).

5. Sécurité et bonnes pratiques¶

Respecter les obligations légales : conservation limitée (généralement 6 à 12 mois ; précision : 1 an en France).
Ne collecter que les données nécessaires (IP, date, heure nominative minimum).
Informer les utilisateurs de la mise en place d'un dispositif de journalisation.
Garantir l'intégrité des dispositifs de journalisation (sécuriser équipements) et intégrer des mécanismes d'alerte.
Envoyer des rapports réguliers à la CNIL en cas de violations recensées.
Centraliser pour prévenir perte/suppression locale et faciliter le forensic.
Calibrer la production de logs pour éviter saturation et choisir la quantité à conserver localement vs envoyer à un serveur externe.
Sécuriser le serveur de centralisation (Syslog) et limiter son exposition publique.

6. Points essentiels à retenir pour le TSSR¶

La journalisation est une obligation pour tout professionnel fournissant un accès public ; elle facilite les poursuites et le diagnostic.
Un log contient au minimum : IP, date, heure ; d'autres éléments (MAC, nom utilisateur, actions) complètent la trace.
Le portail captif simplifie la collecte des logs Wi‑Fi et permet de gérer/déconnecter des sessions.
La centralisation des logs est essentielle pour IDS, forensic, analyses statistiques, diagnostic et résilience.
Syslog est le protocole standard de centralisation (port 514 UDP/TCP) et normalise le format des messages.
Sur Windows, Snare est une alternative pour interfacer Event Log avec une solution Syslog.
Il faut calibrer la génération des logs pour préserver les performances du système.
Les logs doivent être protégés, utilisés uniquement pour la sécurité du réseau et conservés selon la durée légale.
La présentation (graphiques, rapports) et les alertes facilitent la détection rapide d'anomalies.
Vérifier régulièrement l'intégrité et l'accessibilité des fichiers centralisés.

7. Tableau récapitulatif¶

Élément	Usage principal	Avantage	Limite
Stockage local	Conservation immédiate sur machine	Accès rapide	Risque de suppression/perte
Centralisation (Syslog)	Regrouper tous les logs	Analyse globale, forensic	Nécessite infrastructure et sécurité
Portail captif (PfSense)	Collecte des logs Wi‑Fi/gestion sessions	Authentification utilisateur, tableau structuré	Dépend configuration et interface
Syslog (protocole)	Transport et format standard	Normalisation, alertes	Port exposé à protéger (514)
Snare (Windows)	Interface Event Log → Syslog	Intégration Windows facilitée	Outil additionnel requis

8. Vérifications pratiques¶

Vérifier dans le portail captif la présence des colonnes de logs attendues (IP, MAC, nom d'utilisateur, date/heure, actions) et la possibilité de forcer la déconnexion d'un utilisateur.
Contrôler dans la plateforme centralisée que les logs provenant de plusieurs machines sont bien reçus et présentés (filtrage/rapports disponibles).
Confirmer la réception de messages Syslog avec format attendu (date, hostname, priorité, pid, message) et l'exemple de ligne fourni (ex. « Sep 26 15:08:07 machine_de_test service dhcp [critical] 100 corps du message »).
Vérifier la génération de graphes/rapports et la mise en place d'alertes sur événements critiques.
S'assurer que la durée de conservation appliquée correspond à la règle légale en vigueur.

9. Flashcards Anki¶

Qu'est‑ce qu'un log ? :: Un fichier chronologique horodaté enregistrant événements, URL, identifiants et adresses.
Quelle loi oblige à conserver les données de connexion depuis 2004 ? :: La Loi pour la Confiance dans l'Économie Numérique (LCEN).
Quel outil logiciel cité permet d'installer un portail captif ? :: PfSense.
Quelles colonnes retrouve‑t‑on dans le tableau d'un portail captif ? :: IP, MAC, nom d'utilisateur, date/heure de début, actions.
Quel protocole est utilisé pour centraliser des logs ? :: Syslog (port UDP/TCP 514).
Quel est le rôle d'un IDS mentionné dans le cours ? :: Détecter les comportements suspects en s'appuyant sur les logs.
Combien de niveaux de priorité comporte Syslog ? :: Huit niveaux (0 à 7).
Quelle alternative à Syslog est recommandée pour Windows ? :: Snare.
Durée légale de conservation des logs en France (mentionnée) :: 1 an.
Pourquoi centraliser les logs ? :: Pour faciliter forensic, détection IDS, analyse statistique et protection contre suppression locale.