SOC — le centre d'opérations de sécurité 🛡️

EN | FR | 🟡 WALL | une page, toutes les vues de sécurité

À quoi ça sert

Le SOC (/soc/, paquet secubox-soc) rassemble sur une page les informations de sécurité qui étaient parsemées sur plusieurs pages d'administration : le tableau Guardian, les mesures réseau en direct, le pare-feu (WAF-FR), le trafic (DPI-Vivant), le renseignement (Actor-Intelligence-FR) et les écrans de veille de la box. C'est un consommateur en lecture seule : il ne possède aucune donnée et ne change rien.

Les onglets

Les onglets sont groupés ; l'onglet par défaut est Guardian.

Groupe	Onglet	Contenu	Source
(aucun)	Guardian	Sept tuiles (menaces vues, appareils, connexions, protocoles, pays, critiques, écartées), carte des attaques, évolution, catégories, derniers événements, usages, appareils principaux, leurres, et le mode Guardian	page guardian.html du SOC
(aucun)	Réseau en direct	Débit par interface et paquets écartés par le pare-feu	page reseau.html du SOC
Pare-feu	Menaces · Attaquants · Campagnes · Surfaces · Visites · Historique	Les vues du WAF	pages /waf/
Réseau & acteurs	Trafic (DPI)	La vue d'ensemble du DPI	/dpi/vue.html
Réseau & acteurs	Renseignement	Actor Intelligence	/actor-intelligence/
Poste	Vigie	WAF, métriques, profils, sentinelle GSM sur un écran	sources vivantes
Poste	Meta-metrics	La box qui se regarde : modules, dormeurs, vhosts, certificats	sources vivantes
Poste	Centrale d'alertes	Alertes réseau et radio sur un même ruban chronologique	sources vivantes

Les tuiles de mode de Guardian (observer, simulation, atténuer, bloquer) montrent le mode lu sur le WAF (/api/v1/waf/enforcement/mode), jamais un mode supposé. Le mode se change dans la console d'administration, jamais depuis le SOC.

Une seule source, encadrée

Les onglets Pare-feu, Trafic et Renseignement ne sont pas des copies : chacun encadre la vraie page dans une iframe de même origine (?embed=1). Une correction de la page du WAF se voit donc aussitôt dans le SOC, et la page annonce sa hauteur au cadre. C'est pourquoi le SOC dépend des paquets qui portent ces pages.

secubox-soc dépend de	Pour
secubox-waf-ng (>= 1.29.0)	les six onglets du pare-feu (/waf) et le service Actor
secubox-dpi (>= 1.11.2)	l'onglet Trafic (/dpi)
secubox-webos (>= 1.9.7)	la page Renseignement (/actor-intelligence)

Sans eux un onglet serait vide (#2358) : le profil lite (Profils) les embarque donc tous les trois par le SOC, avec leurs dépendances.

Réseau en direct

Juste après Guardian, Réseau en direct montre deux choses sur 24 h.

• Le débit entrant et sortant de chaque interface, courbes à échelle commune groupées Interfaces / Tunnels / Conteneurs ; les interfaces au repos sur 24 h sont repliées.
• Les paquets écartés par le pare-feu (nftables), par catégorie.

Quatre tuiles résument : entrant maintenant, sortant maintenant, interfaces actives, paquets écartés (avec la catégorie principale). Les données viennent du hub, lues en session :

Route	Contenu
GET /api/v1/hub/netstats/summary	dernier instantané : catégories, interfaces, network_drops, drapeau stale
GET /api/v1/hub/netstats/series?window=86400&step=300	séries de débit et d'écarts (fenêtre de 5 min à 7 jours)

Les mesures sont relevées par un collecteur root lancé par la minuterie secubox-netstats (environ toutes les deux minutes) dans un instantané et une petite base SQLite ; les écarts viennent de compteurs nftables nommés (liste noire, quarantaine, limitation du WAF, politique d'entrée ; la détection DoH est comptée mais pas comme écart). Un bandeau apparaît si le collecteur est arrêté. Une mesure absente s'affiche « — », jamais 0.

Le style des pages

Toutes les pages suivent le style Aurora : ?embed=1 pour une colonne encadrée, ?demo=1 pour des données de démonstration annoncées par un bandeau, « — » sans mesure, une source périmée ou illisible dite à voix haute au lieu d'un zéro rassurant.

Le module Threats

secubox-threats (le tableau des menaces, /threats/) est la page de renseignement sur les indicateurs : alertes sur 24 h, IOC actifs, incidents ouverts, sources, score de risque, chronologie 24 h par gravité, flux de renseignement et rapports. Son webui a été refait au style Aurora (lecture seule, ?embed=1, ?demo=1). Il porte aussi l'ancien composant AI-insights. C'est un module à part, à côté du SOC.

Bannir 30 jours (secubox-threats 1.5.0) : la page propose un bouton par adresse publique des alertes et des indicateurs IP, avec une confirmation intégrée à la page (jamais confirm()). Il appelle le POST /api/v1/waf/ban existant (durée 30d), validé par wafctl, qui refuse toujours les adresses privées et locales ; un refus du serveur ou une session manquante sont dits tels quels et le bouton reste utilisable. Aucune adresse privée n'est proposée. C'est la seule écriture de la page.

La page Interceptor-FR la complète avec des cartes des destinations de sortie et de l'origine des visiteurs.

Voir aussi

WAF-FR · Interceptor-FR · Actor-Intelligence-FR · DPI-Vivant · Profils · Cartes-du-Hall · SOC