SOC Dashboard

# monitoring_gen.py — structure générique
import json, re, subprocess
from datetime import datetime, timedelta
from pathlib import Path

LOG_FILES    = ['/var/log/nginx/access.log', '/var/log/nginx/access.log.1']
OUTPUT       = Path('/var/www/monitoring/monitoring.json')
HONEYPOT_PATHS = ['/wp-admin', '/wp-login.php', '/.env', '/cgi-bin/', '/xmlrpc.php']

LOG_RE = re.compile(
    r'(?P<ip>\S+) \S+ \S+ \[(?P<time>[^\]]+)\] '
    r'"(?P<method>\S+) (?P<path>\S+)[^"]*" (?P<status>\d{3}) (?P<size>\d+)'
)

def classify_kill_chain(entries):
    chain = {"recon": set(), "scan": set(), "exploit": set(), "brute": set()}
    status_count = {}
    for e in entries:
        ip, path, status = e['ip'], e['path'].lower(), int(e['status'])
        status_count.setdefault(ip, {}).setdefault(status, 0)
        status_count[ip][status] += 1
        if any(x in path for x in ['.env', 'robots.txt', '/.git', 'sitemap']):
            chain['recon'].add(ip)
        if any(x in path for x in ['/wp-admin', '/cgi-bin', '/.php', 'xmlrpc']):
            chain['exploit'].add(ip)
    # Brute force = 401 répétés sur même IP
    for ip, counts in status_count.items():
        if counts.get(401, 0) >= 5:
            chain['brute'].add(ip)
    return {k: list(v) for k, v in chain.items()}

def check_ssl_expiry(domain):
    result = subprocess.run(
        ['openssl', 's_client', '-connect', f'{domain}:443', '-servername', domain],
        capture_output=True, text=True, timeout=5, input=''
    )
    # parse not_after date — retourne nb jours restants
    ...

# Monitoring JSON — toutes les 5 minutes
*/5 * * * * /opt/scripts/monitoring.sh >> /var/log/monitoring.log 2>&1

# Synchronisation CVE NVD — 3x par jour
0 6,13,21 * * * /opt/scripts/cron-cve-fetch.sh >> /var/log/cve-fetch.log 2>&1

# Rapport SOC quotidien — 08h00 UTC
0 8 * * * /opt/scripts/soc-daily-report.py >> /var/log/soc-report.log 2>&1

# Mise à jour GeoIP MaxMind — quotidien 03h00
0 3 * * * /usr/bin/geoipupdate >> /var/log/geoipupdate.log 2>&1

# Snapshot UFW — état pare-feu horodaté (toutes les 6h)
0 */6 * * * /opt/scripts/ufw-snapshot.sh >> /var/log/ufw-snapshot.log 2>&1

# Threat Intel — flux menaces externes
0 3 * * * /opt/scripts/threat-fetch.sh >> /var/log/threat-fetch.log 2>&1

# Proto-live — analyse protocoles réseau temps réel
*/1 * * * * /opt/scripts/proto-live.py >> /var/log/proto-live.log 2>&1

# Nettoyage logs rotatifs — hebdomadaire
0 2 * * 0 /opt/scripts/log-rotate-clean.sh >> /var/log/log-clean.log 2>&1

// fetch JSON avec If-Modified-Since — dashboard SOC
let _lastModified = null;

async function fetchMonitoring() {
  const headers = {};
  if (_lastModified) headers['If-Modified-Since'] = _lastModified;

  const res = await fetch('/monitoring.json', { headers });

  // 304 = fichier inchangé — rien à re-parser ni à re-rendre
  if (res.status === 304) return;

  _lastModified = res.headers.get('Last-Modified');
  const data = await res.json();

  // Différer le rendu pendant un créneau idle du navigateur
  if ('requestIdleCallback' in window) {
    requestIdleCallback(() => render(data), { timeout: 2000 });
  } else {
    setTimeout(() => render(data), 0);   // fallback navigateurs anciens
  }
}

// Refresh toutes les 60s
setInterval(fetchMonitoring, 60_000);
fetchMonitoring(); // premier appel immédiat

Contexte : SOC Dashboard — analyse de sécurité automatique
Données disponibles : trafic nginx 24h, décisions CrowdSec, jails fail2ban,
                      Kill Chain actif, top IPs, scores protocoles

Analyse la situation sécurité actuelle :
- Y a-t-il des menaces actives à traiter en priorité ?
- Quels scénarios CrowdSec dominent ?
- Y a-t-il des anomalies dans le trafic HTTP ?
- Recommande des actions concrètes si nécessaire.

Format : 3-5 lignes concises, niveau [NOMINAL/MODÉRÉ/ÉLEVÉ/CRITIQUE],
         action si requise.