LUMEN — traducteur universel de journaux

On colle un journal brut, illisible, de n'importe quelle source. LUMEN le restitue en JSON standardisé et lisible, et met en évidence ce qui mérite qu'on s'y arrête.

Le problème

Un pare-feu, un EDR, un serveur web et un annuaire décrivent le même événement — une connexion — avec quatre noms de champs, quatre formats de date et quatre façons de dire « refusé ». Devant un journal inconnu, l’analyste perd d’abord du temps à comprendre ce qu’il lit, avant de pouvoir juger ce qui s’est passé.

Ce que fait l’outil

On injecte un journal brut, quelle que soit sa source.
LUMEN le traduit en un JSON standardisé : chaque champ nommé clairement, horodatage normalisé, acteur, action, cible, résultat.
Il signale le suspect : ce qui, dans l’événement, mérite l’attention — commande encodée, compte à privilèges, destination inhabituelle, échec répété — avec la raison du signalement.

Pourquoi OCSF

Le format de sortie suit OCSF (Open Cybersecurity Schema Framework), un vocabulaire commun aux événements de sécurité porté par plusieurs éditeurs. Une fois normalisé, un événement se recherche et se corrèle de la même manière, quelle que soit sa provenance — et un schéma ouvert survit aux outils.

État

En cours de construction.