Flotte et défense collective
Vue depuis un seul poste, une attaque coordonnée ne ressemble à rien : trois sondes trop discrètes pour déclencher quoi que ce soit, un indice que personne d'autre n'a relevé. Mettez plusieurs agents Lynxis sur le même réseau, laissez-les mettre ces bribes en commun, et ce qui passait pour du bruit de fond devient une détection.
Rien de collectif ne fonctionne sans une clé partagée, la même sur tous les postes, qui chiffre et authentifie les échanges en AES-256-GCM et empêche qu'on les rejoue. Ce n'est pas une formalité : sans authentification, n'importe qui sur le réseau pourrait glisser de faux indices et retourner votre flotte contre vous. Tant que la clé n'est pas posée, les postes se voient mais ne se disent rien.
Tout ce qui suit passe par le canal chiffré. Sans clé de flotte commune sur les postes, rien de tout cela n'existe.
Dès qu'une machine confirme une menace, elle la transmet à ses voisines. Chacune peut alors la placer sous surveillance et, s'il s'agit d'une adresse, la bloquer avant même de l'avoir rencontrée. Une seule détection protège tout le parc en quelques secondes.
Chaque poste signale les sources d'attaque qu'il aperçoit. Quand plusieurs d'entre eux repèrent la même dans un court intervalle, la flotte conclut à un balayage. Aucune machine n'aurait pu le dire seule : chacune n'en voyait qu'un fragment.
Un poste qui acquiert la certitude d'être compromis alerte ses voisins, qui affichent alors une mise en garde nommant la machine concernée. Une intrusion réussie annonce presque toujours les tentatives suivantes.
Il arrive qu'un poste ait déjà repéré, de son côté, ce qu'un voisin vient de lui signaler. Deux machines sont donc arrivées au même constat sans rien savoir l'une de l'autre : l'alerte passe en critique.
Depuis une console, un opérateur qui a passé le verrou administrateur peut demander à toute la flotte de bloquer une adresse. Les ordres ne durent qu'un temps et ne s'empilent pas.
Un poste n'exécute un ordre venu de la flotte que si vous l'avez explicitement autorisé dans ses réglages. Recevoir une consigne et l'appliquer restent deux décisions séparées.
Un attaquant qui sonde trente postes répartit ses tentatives. Chaque machine n'en reçoit qu'une poignée, bien en dessous de ce qui déclenche une alerte.
Trois gestes pour passer d'un poste à une flotte.
Réglages, niveau de réponse, exclusions, listes locales, seuils d'algorithmes. Prenez le temps de le faire une fois, correctement.
Le bundle exporté s'applique aux autres postes, ce qui garantit une politique homogène plutôt que trente configurations légèrement différentes.
C'est ce qui active le canal chiffré et, avec lui, l'ensemble des fonctions collectives. Chaque poste choisit ensuite quelles actions de flotte il accepte.
La défense collective est pair à pair sur le réseau local. Elle ne couvre pas un parc multi-sites : une console centrale vers laquelle les agents remonteraient alertes et inventaire reste à construire. L'API de supervision et l'export de configuration en constituent les fondations, mais le maillon central n'existe pas aujourd'hui.
Un agent seul protège déjà une machine. Deux agents qui se parlent voient ce qu'aucun des deux ne voyait. Il suffit de la même clé de flotte sur chacun.