Graylog Forensics

Définition

Graylog Forensics désigne l'usage de Graylog, plateforme open-source de gestion et d'analyse centralisée de journaux (log management), pour conduire des investigations forensiques à partir de l'agrégation de logs collectés à travers l'infrastructure d'une organisation, offrant une alternative économique et souveraine aux solutions SIEM commerciales pour les organisations disposant de compétences techniques internes suffisantes pour son exploitation et sa maintenance. La plateforme s'appuie sur Elasticsearch pour l'indexation et la recherche rapide de volumes de logs importants, et sur MongoDB pour la gestion de sa configuration et de ses métadonnées, offrant une architecture éprouvée et largement documentée. Les pipelines de parsing configurables permettent de normaliser et d'enrichir automatiquement les logs bruts issus de sources hétérogènes — pare-feux, serveurs, applications, équipements réseau — en extrayant des champs structurés exploitables pour la recherche et la corrélation, une étape indispensable lorsque les formats de journalisation varient considérablement d'une source à l'autre. Le système d'alertes permet de définir des règles de détection déclenchant une notification automatique lorsqu'un motif suspect est identifié dans le flux de logs entrant, tandis que les dashboards de corrélation offrent une visualisation exploitable par les analystes pour reconstituer la chronologie d'un incident. Bien que moins riche en fonctionnalités de détection avancée que des SIEM commerciaux établis.