Niveau 1 · Découvrir
Vous apprenez à lire l'écran principal et à retrouver vos sites. Aucune modification n'est faite à ce niveau.
1.1 Se connecter et lire le tableau de bord
- Vous connecter au panel et choisir la langue.
- Lire les cartes du tableau de bord.
- Reconnaître les éléments de la barre du haut.
- Ouvrez l'adresse de votre panel, communiquée par Kokiris, entrez votre Nom d'utilisateur et votre Mot de passe, puis cliquez sur Se connecter.
- Le panel s'affiche dans la langue de votre navigateur. Pour en changer, cliquez sur le drapeau 🇫🇷 ou 🇺🇸 en haut à droite : le choix est mémorisé dans votre navigateur.
- Choisissez la période d'observation : 1h, 6h, 12h ou 24h.
Écran de connexion. Il s'affiche en français si votre navigateur est réglé en français, sinon en anglais, ou dans la langue choisie la dernière fois avec les drapeaux.
Tableau de bord. En quelques heures, des robots ont déjà tenté de lire des fichiers sensibles et d'injecter du code : chaque carte dit quoi, d'où, et par quelle règle.
Ce que vous voyez
| Zone | Ce qu'elle indique |
|---|---|
| Bloqués | Nombre de requêtes bloquées sur la période, avec une mini-courbe. |
| Catégories d'attaques | Les familles d'attaques détectées : lecture de fichier (LFI), protocole, XSS, scanner… |
| Règles les plus déclenchées | Les identifiants des règles qui réagissent le plus, par nœud ou pour tout le cluster. |
| IP les plus attaquantes | Les adresses qui cumulent le plus de détections, avec leur réseau (AS). |
| AS les plus attaquants | Les réseaux (hébergeurs, opérateurs, fournisseurs de cloud) d'où viennent le plus de détections. Un clic ouvre le réseau dans le radar des menaces (chapitre 4.2). |
| Corps trop grands | Les envois plus gros que la taille inspectée : refusés, passés ou envois de fichiers, et les chemins les plus touchés (chapitre 3.3). |
| Blocages récents | Le détail requête par requête sur toute la période choisie, filtrable par IP, site, chemin et score minimal. À côté du score, l'issue de la requête : BLOQUÉE, ou le code HTTP que le site a renvoyé quand elle est passée. L'AS de chaque adresse a sa colonne. |
Un compte revendeur ou membre voit le même tableau de bord, limité à ses sites.
La barre du haut
- Arrêt d'urgence : fait passer tous les sites en détection seule (voir le chapitre 4.3). Ce bouton n'apparaît que pour un compte qui a ce droit, en principe un administrateur.
- La cloche : compte les nouvelles protections Kokiris que vous n'avez pas encore vues.
- 🐕 En garde : l'état de kokiGUARD. Au survol, il détaille l'état de HAProxy, de Coraza et de la base de données.
- Documentation : ouvre ce guide dans un nouvel onglet.
- Connecté à node-1 : le nœud du cluster qui vous répond.
Par défaut, elle se ferme après 8 heures sans activité, et dans tous les cas 24 heures après la connexion, même si vous travaillez dessus. Reconnectez-vous : vous revenez sur la page où vous étiez. Le panel s'utilise aussi sur un téléphone : les tableaux défilent dans leur carte.
Vous voulez savoir quelle adresse IP attaque le plus vos sites depuis ce matin. Où regardez-vous ?
1.2 Trouver vos sites
- Comprendre d'où viennent les sites de la liste.
- Lire l'état du WAF pour chaque site.
La page Sites liste chaque domaine protégé. kokiGUARD lit les configurations Apache du serveur et ajoute automatiquement les sites qu'il y trouve. Un site hébergé chez Kokiris apparaît donc sans action de votre part.
La liste des sites. Un badge signale un site en mode Détecter, Bloquer ou Challenge ; un site sans badge est en mode Bannir. Ici, l'espace pro est encore en Détecter : c'est un site en phase de rodage.
| Colonne | Signification |
|---|---|
| WAF | Interrupteur du WAF et mode actif (Détecter, Bloquer, Challenge ou Bannir). |
| Paranoïa | Niveau de sévérité des règles, de PL1 (minimal) à PL4 (paranoïaque). |
| Catégories | Nombre de familles de règles CRS actives sur le site. |
| Exclusions | Nombre de corrections de faux positifs propres au site. |
Elle s'applique à toute requête dont le nom de domaine ne correspond à aucun site déclaré, par exemple un robot qui appelle le serveur par son adresse IP. Dans les formulaires, ne confondez pas « * » et Global (tous les sites) : une règle globale vaut pour tous vos sites, une règle sur « * » seulement pour ces requêtes sans site.
- Les sites hébergés sur le serveur apparaissent tout seuls.
- Un site listé n'est pas forcément protégé : regardez l'interrupteur WAF.
- Lire le tableau de bord : ce qui a été bloqué, par quelle règle, depuis quelles adresses.
- Reconnaître l'état de kokiGUARD dans la barre du haut.
- Retrouver chaque site et savoir s'il est protégé, et dans quel mode.