Un accès valide.
Ne dit pas tout.
40 signaux dans un même référentiel pour comprendre les usages, rapprocher les indices et éclairer la réponse de votre défense.
Relier le WAF, les identités, les endpoints et les données dans une réponse sous mandat. Du premier signal jusqu’à la vérification de son effet.
dans un même référentiel
Le bon mot de passe.
Le mauvais comportement.
Qui se connecte ? À quelle heure ? Depuis quel appareil ? Pour accéder à quoi ? RookGuard rapproche les observations pour donner du sens à ce qui se passe.
Pris séparément, des événements.
Reliés, une situation à traiter.
Suivez une tentative de collecte nocturne.
Chaque étape explique le rôle des signaux.
dans le profil de travail.
ne suffisent pas.
La session est valide.
Son usage reste à comprendre.
Le compte est reconnu. Mais une connexion à 3 heures du matin doit être rapprochée du profil de la ressource, de ses horaires et des éventuelles interventions autorisées.
Scénario illustratif, sans connexion à votre infrastructure. La décision dépend des sources raccordées, des règles et du mandat autorisé. Les horaires et volumes présentés ne constituent pas une mesure de performance.
Derrière chaque signal,
un comportement à comprendre.
Un accès, un geste, un écart.
Voyez ce que chaque signal révèle
et ce qui permet de le qualifier.
Terminal inhabituel
Connexion depuis un poste nouveau ou inconnu.
Vérifier l’inventaire et un éventuel remplacement autorisé.
Créneau d’accès atypique
Accès à une heure inhabituelle ou hors plage permise.
Tenir compte du fuseau, des astreintes et des exceptions.
Activité anormale
Signalement d’un capteur à relier aux faits observés et à sa règle.
Un traitement exceptionnel peut l’expliquer.
Collecte massive de données
Lecture ou récupération inhabituelle de données par volume ou sensibilité.
Distinguer sauvegarde et collecte suspecte.
Export contraire aux autorisations
Export tenté ou réalisé hors des droits applicables.
Vérifier la dérogation éventuelle et si le transfert a abouti.
Processus malveillant
Détection associée à un processus : examiner son origine, sa filiation et ses actes, y compris les outils d’audit autorisés.
Rupture d’isolement d’un leurre
Flux ou action franchissant une frontière isolée du leurre.
Distinguer ce franchissement d’un simple contact entrant.
Réseau différent du référentiel validé
Connexion depuis un réseau absent du référentiel validé.
Vérifier les changements de VPN, de proxy ou d’accès Internet.
Activités liées sur plusieurs terminaux
Événements reliés entre postes par une session, un artefact ou une séquence.
Écarter un déploiement centralisé autorisé.
Authentifications échouées en série
Échecs répétés sur un compte ou plusieurs ressources.
Examiner les sources, les motifs et une éventuelle réussite suivante.
Demandes ou refus MFA répétés
Demandes, refus ou expirations MFA en série.
Rechercher une approbation inattendue et dédupliquer les retransmissions.
Réutilisation suspecte d’un jeton
Usage d’un même jeton dans des contextes incompatibles ou après révocation.
Une adresse IP différente ne suffit pas.
Provenance géographique ou réseau atypique
Origine de connexion inhabituelle signalée par un capteur.
Vérifier le terminal, les déplacements et les sorties VPN.
Acquisition imprévue de privilèges
Obtention inattendue de droits supplémentaires.
Contrôler l’auteur, la portée, la durée et l’approbation de l’élévation.
Accès suspect aux secrets d’authentification
Tentative d’accès à un coffre ou magasin de secrets sans usage expliqué.
Vérifier les droits et le résultat, sans exposer le secret.
Tentative de neutraliser une protection
Arrêt, désinstallation ou modification d’une protection ou de ses journaux.
Vérifier son état et la maintenance autorisée.
Enchaînement suspect de processus
Chaîne parent-enfant inhabituelle entre applications, scripts et outils système.
Relier chaque étape à une observation.
Création atypique d’archives
Regroupement de fichiers en archives hors des usages connus.
Examiner contenu, volume, emplacement et tâche autorisée.
Altérations destructrices de fichiers
Suppression, écrasement ou chiffrement rendant des fichiers inutilisables.
Distinguer l’attaque d’une purge ou migration validée.
Volume sortant anormal
Trafic sortant supérieur au profil comparable de l’actif.
Relier volume et destinations à une sauvegarde ou tâche métier.
Destination sortante inhabituelle
Connexion vers une destination nouvelle ou peu habituelle.
Identifier le processus émetteur et le service attendu.
Déplacements latéraux suspects
Accès ou action distante entre actifs hors de l’administration attendue.
Distinguer tentative, réussite et télémaintenance.
Activité DNS anormale
Profil inhabituel de requêtes ou réponses DNS.
Examiner domaines, fréquence et service émetteur avant de conclure à un tunnel.
Contact d’un appât sur un actif réel
Ouverture ou utilisation d’un appât placé sur un actif réel.
Identifier l’initiateur et écarter indexation ou contrôle autorisé.
Création ou modification d’un mécanisme de persistance
Tâche planifiée, service ou démarrage automatique non expliqué.
Vérifier l’auteur, la commande et le changement approuvé.
Injection de code dans un autre processus
Opérations d’un processus sur la mémoire ou l’exécution d’un autre.
Distinguer une injection d’un débogage autorisé.
Activation non approuvée d’une capture réseau
Capture de paquets ou miroir de trafic sans usage approuvé.
Examiner l’initiateur, la portée et la destination des captures.
Exploration anormale des services internes
Tentatives dispersées sur des hôtes ou ports internes.
Vérifier le rôle de la source et les scans d’inventaire autorisés.
Ajout inattendu d’un moyen d’authentification
Nouvel appareil MFA, clé ou identifiant cloud sans autorisation établie.
Contrôler le parcours d’enrôlement ou de rotation.
Création d’un transfert automatique de courrier externe
Règle envoyant automatiquement des messages vers une adresse externe non prévue.
Vérifier l’auteur et la délégation validée.
Ajout d’un certificat racine non validé
Ajout ou remplacement d’une ancre de confiance non approuvée.
Vérifier l’origine et les déploiements PKI ou proxy autorisés.
Partage ou copie d’une sauvegarde cloud vers un compte tiers
Snapshot ou sauvegarde partagé avec un compte tiers sans justification.
Contrôler destination, périmètre et plan de reprise.
Franchissement de la frontière conteneur-hôte
Accès effectif d’un conteneur à des ressources hôte hors du périmètre permis.
Distinguer un agent privilégié approuvé.
Manipulation discrète de données métier sensibles
Modification sensible hors du parcours de validation, par exemple un bénéficiaire de paiement.
Vérifier auteur et approbation.
Utilisation CPU ou GPU incompatible avec les travaux autorisés
Calcul soutenu sans travail autorisé correspondant.
Identifier processus et tâche ; un entraînement IA prévu est légitime.
Passage inattendu d’une ressource privée à un accès public
Changement de droits exposant une ressource privée au public.
Vérifier la classification et l’autorisation de publication.
Tentative d’accès à un objet d’un autre tenant
Accès demandé à un objet d’un autre client sans autorisation serveur.
Vérifier le mandat MSP et le cloisonnement des clients.
Instruction hostile dans une donnée analysée par Arthur
Texte non fiable cherchant à modifier le mandat, la conclusion ou l’action d’Arthur.
Le traiter comme une donnée à analyser.
Appel d’outil d’un agent hors du mandat autorisé
Outil demandé au-delà du client, de l’objet ou de l’effet autorisé.
Le contrôle de permission doit rester extérieur au modèle.
Échec d’intégrité ou de provenance d’une preuve de défense
Signature, empreinte, producteur ou fraîcheur d’une preuve non valides.
Vérifier aussi les rotations de clés et erreurs de transport.
Aucun signal trouvé.
Essayez un autre mot, ou revenez à l’ensemble du référentiel.
Un référentiel transparent. Les signaux 01–24 constituent le socle documenté. Les extensions 25–36 et les contrôles de chaîne 37–40 sont identifiés comme proposés, à instrumenter et à qualifier. La couverture effective dépend des capteurs et des intégrations raccordés à votre parc.
Comprendre ce qui se passe.
Garder la maîtrise de la suite.
Les observations nourrissent la décision d’Arthur. Le mandat encadre l’action. La vérification d’effet et les preuves permettent d’en rendre compte.
Chaque composant voit.
La boucle rapproche.
Arthur relie le contexte. Votre mandat fixe les limites. Les points de contrôle appliquent les mesures. La remesure ferme la boucle.
Arthur
Contexte · décision · suivi
Sous votre mandatQuatre étages de défense.
Noyau nftables, frontal nginx, moteur RookGuard et pièges souverains : des fonctions complémentaires pour filtrer, décider, appliquer et qualifier les signaux.
Explorer le WAFUn leurre attire vers du contenu factice isolé. Il ne justifie jamais de laisser l’attaquant accéder aux données métier. Un contact de balise enrichit l’enquête ; il ne bloque pas, à lui seul, une extraction.
Une situation concrète.
Chaque décision se comprend.
Choisissez un scénario, puis avancez dans la réponse. La zone de lecture explique ce qui est observé, autorisé et vérifié.
Appareil connu · horaire inhabituel
À examinerSession du poste Finance
Contrôle à déciderDonnées et effets simulés. Les scénarios montrent une logique de décision ; ils ne constituent pas une mesure de délai ni une connexion à votre parc.
Le client d’abord.
Le collectif, avec contrôle.
Une protection qualifiée doit pouvoir profiter aux autres périmètres, tout en respectant le mandat de chacun.
Explorer le bouclier collectifIllustration : chaque destinataire vérifie le mandat, la compatibilité, l’application et son effet. Un indicateur isolé ne suffit pas à déclencher une interdiction collective.
Décider plus tôt.
Expliquer précisément.
Retrouver ensemble l’identité, la ressource, les signaux et le mandat qui ont conduit à la mesure.
Choisir le périmètre sensible et les mesures automatiques, avec un réexamen nominatif.
Distinguer la mesure décidée, l’application déclarée et le contrôle d’effet réellement obtenu.
Comprendre
avant d’activer.
Une nouvelle IP signifie-t-elle toujours une attaque ?
Non. Un VPN, un réseau mobile ou un déplacement peuvent l’expliquer. Le mode strict permet néanmoins de suspendre préventivement un accès sensible jusqu’à vérification, selon votre mandat. Sur les autres ressources, les signaux doivent être replacés dans leur contexte.
Que se passe-t-il si personne ne répond la nuit ?
Les mesures préautorisées peuvent être exécutées par les contrôles raccordés. Une suspension reste en place jusqu’au réexamen approprié. L’expiration du délai de réexamen ne lève pas automatiquement la quarantaine.
Où intervient Phénix ?
La protection cherche à empêcher ou contenir l’incident. Phénix traite la continuité et la reprise des activités si un service devient indisponible. Le dossier doit permettre de relier la mesure de sécurité, son impact métier et les moyens de secours.
Un mot de passe correct suffit-il à établir la confiance ?
L’authentification est un point de départ. L’autorisation dépend aussi de la ressource, du terminal et du contexte. Cette distinction rejoint les principes décrits par le NIST dans Zero Trust Architecture.