Flotte et défense collective
Un poste isolé ne voit qu'une fraction d'une attaque coordonnée : quelques sondes sous son propre seuil, un indicateur qu'il est le seul à avoir vu. Plusieurs agents Lynxis sur le même réseau mettent ces fragments en commun, et ce qui était du bruit devient une détection.
Les fonctions collectives ne fonctionnent qu'avec une clé partagée, identique sur tous les postes, qui chiffre et authentifie le canal en AES-256-GCM avec protection contre le rejeu. Ce n'est pas une contrainte administrative : sans authentification, n'importe qui sur le réseau pourrait injecter de faux indicateurs et retourner la flotte contre son propre réseau. Sans clé, la découverte reste en clair et toutes les fonctions collectives sont désactivées.
Six comportements collectifs, tous conditionnés au canal chiffré.
Quand un poste confirme un indicateur malveillant, il le diffuse aux autres. À la réception, un pair peut l'ajouter à sa surveillance et, pour une IP, la bloquer préventivement. La détection d'une seule machine protège tout le parc en quelques secondes.
Chaque poste signale les sources d'attaque qu'il aperçoit. Quand plusieurs agents distincts observent la même source dans une fenêtre de temps, la flotte confirme un balayage qu'aucune machine ne pouvait qualifier seule, chacune n'en recevant qu'une fraction.
Un poste qui confirme sa propre compromission par un signal décisif prévient ses voisins, qui lèvent une alerte de vigilance nommant la machine touchée. Une compromission est un indice fort que les autres sont visées ensuite.
Si un poste avait déjà marqué de son côté l'indicateur qu'un pair lui signale, les deux détections indépendantes concordent et l'alerte est élevée en critique.
Depuis une console, un opérateur ayant passé le verrou administrateur peut ordonner à toute la flotte de bloquer une IP attaquante. Les ordres sont éphémères et dédupliqués.
Un poste n'applique un ordre de flotte que s'il a explicitement activé cette acceptation dans ses réglages. Recevoir une directive et l'exécuter sont deux décisions distinctes.
Un attaquant qui sonde trente postes répartit ses tentatives. Chaque machine n'en reçoit qu'une poignée, bien en dessous de ce qui déclenche une alerte.
Trois gestes pour passer d'un poste à une flotte.
Réglages, niveau de réponse, exclusions, listes locales, seuils d'algorithmes. Prenez le temps de le faire une fois, correctement.
Le bundle exporté s'applique aux autres postes, ce qui garantit une politique homogène plutôt que trente configurations légèrement différentes.
C'est ce qui active le canal chiffré et, avec lui, l'ensemble des fonctions collectives. Chaque poste choisit ensuite quelles actions de flotte il accepte.
La défense collective est pair à pair sur le réseau local. Elle ne couvre pas un parc multi-sites : une console centrale vers laquelle les agents remonteraient alertes et inventaire reste à construire. L'API de supervision et l'export de configuration en constituent les fondations, mais le maillon central n'existe pas aujourd'hui.