ELK (Elasticsearch / OpenSearch)

Objectif : recoupe l'usage réel des comptes (connexions effectives observées) et apporte une preuve d'usage réel des chemins d'administration — jamais d'événement unitaire rapatrié, uniquement des faits agrégés.

Champ	Type	Description
Endpoint	Texte	Port inclus. Le compte de service n'a besoin d'aucun droit cluster, seulement read/view_index_metadata sur les index configurés.
Mode d'authentification	Choix	Basic auth ou clé API — exclusif.
Utilisateur / Mot de passe	Texte / Mot de passe	Affichés et utilisés seulement en mode Basic auth.
Clé API	Mot de passe	Affichée et utilisée seulement en mode clé API.
Index patterns	Texte (liste)	Défaut logs-*.
Correspondance de champs	JSON	Nécessaire seulement si les index ne suivent pas la convention ECS standard.
Certificat CA	Texte (PEM)	Nécessaire seulement si le certificat est signé par une CA privée.
Mode de requête	Choix	ES|QL (Elasticsearch 8.11+) ou _search (OpenSearch ou version antérieure).
Fenêtre d'historique	Nombre (jours, 1-90)	Défaut 30.
Intervalle de synchronisation	Nombre (minutes, 15-1440)	Défaut 240.
Vérifier le certificat TLS	Case à cocher	À décocher uniquement en test.
Collecter les compteurs de détection	Case à cocher	Désactivé par défaut. Ajoute des compteurs agrégés (connexions et échecs par heure, volumes par jour) pour les signaux de détection.
Fuseau horaire	Texte	Nom IANA (Europe/Paris). Sert aux heures de connexion de la règle « connexion de nuit ».
Historique initial	Nombre (jours, 2-120)	Défaut 30. Les synchronisations suivantes relisent les trois derniers jours.
Index des journaux d'accès des applications	Texte (liste)	Facultatif, mode ES|QL. Active la règle de volume anormal.
Activer le connecteur	Case à cocher	Décoché : sync retirée.