Journalisation et supervision des événements de sécurité
Détecter une intrusion exige de collecter les bons journaux, de les corréler et de traiter les alertes. Sources prioritaires, SIEM, cas d'usage concrets et organisation : une approche progressive.
Aucune protection n'est parfaite : la question n'est pas seulement d'empêcher les intrusions, mais de les détecter rapidement. Une compromission découverte en quelques heures a des conséquences sans commune mesure avec une compromission qui dure des mois. La détection repose sur la journalisation, la corrélation et une organisation capable de traiter les alertes.
Objectif : identifier les sources de journaux prioritaires, comprendre le rôle d'un SIEM, définir des cas d'usage de détection concrets et organiser leur traitement. Les aspects d'exploitation (formats, rotation, centralisation) sont détaillés dans Analyse et gestion des journaux système.
Commencer par les bonnes sources
Tout journaliser coûte cher et noie l'information. Priorisez selon la valeur pour la détection :
| Priorité | Source | Ce qu'elle révèle |
|---|---|---|
| 1 | Annuaire et authentification (contrôleurs de domaine, fournisseur d'identité) | Connexions, échecs, verrouillages, modifications des groupes à privilèges |
| 1 | Accès distants (VPN, bastion, accès cloud) | Connexions externes, géographie, horaires |
| 1 | Pare-feu périmétriques | Flux entrants et sortants autorisés et refusés |
| 1 | Protection des postes et serveurs (EDR, antivirus) | Détections de menaces, comportements suspects |
| 2 | DNS | Domaines consultés, tunnels, domaines malveillants |
| 2 | Proxy web et messagerie | Téléchargements, liens, pièces jointes |
| 2 | Serveurs critiques (journaux système, sudo, auditd, journaux de sécurité Windows) |
Actions privilégiées, création de comptes, services |
| 3 | IDS/IPS | Signatures d'attaques, anomalies réseau |
| 3 | Équipements réseau | Connexions administratives, modifications de configuration |
| 3 | Applications métiers | Accès aux données sensibles |
Événements Windows particulièrement utiles
- 4624 / 4625 : ouverture de session réussie / échouée (avec le type de connexion) ;
- 4672 : ouverture de session avec privilèges spéciaux ;
- 4720 : création d'un compte ;
- 4728 / 4732 / 4756 : ajout d'un membre à un groupe de sécurité ;
- 4740 : compte verrouillé ;
- 1102 : effacement du journal de sécurité (très suspect).
La stratégie d'audit avancée doit être configurée par stratégie de groupe : par défaut, une partie de ces événements n'est pas enregistrée. L'outil Sysmon de Microsoft enrichit considérablement la visibilité (création de processus, connexions réseau).
Le rôle d'un SIEM
Un SIEM (Security Information and Event Management) :
- collecte les journaux de nombreuses sources ;
- les normalise dans un format commun (horodatage, utilisateur, source, destination, action) ;
- les corrèle selon des règles ;
- génère des alertes et fournit des outils d'investigation ;
- conserve les données pour l'analyse a posteriori.
Des solutions libres (Wazuh, pile OpenSearch/Elastic avec règles de détection, Graylog) et commerciales existent. Le choix dépend du volume, des compétences et du budget, mais l'outil ne fait rien sans cas d'usage ni personnes pour les traiter.
Définir des cas d'usage de détection
Un cas d'usage décrit une menace, les données nécessaires pour la détecter, la logique de détection et la réponse attendue. Commencez par une dizaine de cas à forte valeur :
| Cas d'usage | Logique | Sources |
|---|---|---|
| Force brute ou pulvérisation de mots de passe | Nombreux échecs sur un compte, ou un échec sur de nombreux comptes depuis une même source | Annuaire, VPN |
| Connexion réussie après une série d'échecs | Succès faisant suite à N échecs | Annuaire, VPN |
| Ajout à un groupe à privilèges | Tout ajout aux groupes d'administration | Annuaire |
| Connexion VPN depuis un pays inhabituel | Géolocalisation hors liste attendue | VPN |
| « Déplacement impossible » | Deux connexions d'un même compte depuis des lieux trop éloignés dans un délai trop court | VPN, fournisseur d'identité |
| Effacement de journaux | Événement 1102, arrêt du service de journalisation | Windows, Linux |
| Requêtes DNS anormales | Noms très longs, volume inhabituel, domaines récents | DNS |
| Flux sortants vers des destinations malveillantes | Correspondance avec une liste de renseignement sur les menaces | Pare-feu, proxy, DNS |
| Désactivation de la protection des postes | Arrêt de l'EDR, exclusion ajoutée | EDR |
| Modification de configuration d'un équipement hors fenêtre de changement | Changement détecté sans ticket associé | Équipements réseau, sauvegarde des configurations |
La base MITRE ATT&CK aide à structurer ces cas d'usage en fonction des techniques d'attaque connues et à évaluer la couverture de détection.
Rédiger des règles qui fonctionnent
- Tester sur des données réelles avant la mise en production, pour mesurer le volume d'alertes.
- Exclure le légitime connu (comptes de service, scanners de vulnérabilités autorisés) de manière précise et documentée.
- Enrichir les alertes : nom de la machine, propriétaire, criticité de l'actif, géolocalisation.
- Associer une procédure à chaque alerte : que doit vérifier l'analyste, qui prévenir, quand escalader.
- Mesurer : taux de faux positifs, délai de traitement, alertes non traitées.
Le format ouvert Sigma permet d'écrire des règles de détection indépendantes du SIEM, puis de les convertir.
Organiser le traitement des alertes
Une alerte non traitée n'a aucune valeur. Selon la taille de l'organisation :
- petite structure : quelques alertes critiques envoyées à l'équipe d'exploitation, avec une procédure claire ;
- structure moyenne : un responsable de la détection, des revues quotidiennes, une astreinte pour les alertes critiques ;
- grande structure : un centre opérationnel de sécurité (SOC), interne ou externalisé.
Le traitement suit un cycle : qualification (vrai ou faux positif), investigation, décision (clôture, surveillance, escalade vers la réponse à incident), amélioration de la règle.
Protéger la journalisation elle-même
Un attaquant expérimenté cherche à effacer ses traces :
- centraliser rapidement les journaux hors des machines qui les produisent ;
- restreindre l'accès au SIEM et aux serveurs de collecte ;
- alerter sur l'interruption d'une source (une machine qui cesse d'envoyer ses journaux) ;
- synchroniser les horloges (NTP) pour une corrélation fiable ;
- garantir l'intégrité : stockage en écriture seule ou mécanismes d'horodatage et de signature lorsque nécessaire.
Conservation et cadre juridique
La durée de conservation doit concilier les besoins d'investigation (certaines compromissions sont découvertes des mois plus tard), les obligations sectorielles et la protection des données personnelles. Les journaux contiennent des informations personnelles : définissez une finalité, limitez les accès, documentez la durée de conservation et respectez les règles applicables à votre organisation.
Erreurs courantes
- Collecter tout sans cas d'usage, puis ne rien en faire.
- Audit Windows non configuré, rendant les événements clés absents.
- Alertes trop nombreuses, ignorées par fatigue.
- Sources qui cessent d'envoyer des journaux sans que personne ne s'en aperçoive.
- Horloges désynchronisées.
Conclusion
Une détection efficace commence petit : quelques sources prioritaires, une dizaine de cas d'usage bien réglés, une procédure de traitement et une amélioration continue. Le SIEM est un outil ; la valeur vient des cas d'usage et des personnes qui traitent les alertes.
