Architecture SIEM : ingestion, analyse et corrélation des journaux

Une plateforme de Security Information and Event Management (SIEM) agrège les données de journaux provenant de l’ensemble de l’infrastructure d’une organisation et les analyse pour détecter les signes d’incidents de sécurité. Un SIEM associe deux capacités : la Security Information Management (SIM), qui consiste à stocker et analyser les données historiques des journaux, et la Security Event Management (SEM), qui assure la surveillance et la génération d’alertes en temps réel. Ensemble, elles offrent aux équipes de sécurité une visibilité sur tout l’environnement depuis une interface unique.

Un SIEM ingère les journaux provenant de sources diverses : pare-feu et IDS/IPS, systèmes d’exploitation (journaux d’Event Windows et syslog Linux), systèmes d’authentification (Active Directory, RADIUS et Okta), points de terminaison (agents EDR), plateformes cloud (AWS CloudTrail et Azure Activity Log), applications (serveurs Web et bases de données) et équipements réseau (commutateurs, routeurs et passerelles VPN). L’étendue de l’ingestion détermine la couverture de détection du SIEM.

Les journaux Raw arrivent dans différents formats : CEF (Common Event Format), LEEF (Log Event Extended Format), syslog, JSON, XML Windows et formats propriétaires. L’analyseur du SIEM extrait du texte Raw des champs structurés (horodatage, adresse IP source, adresse IP de destination, utilisateur et type d’Event). La normalisation associe ces champs à un schéma commun afin que les requêtes et les règles puissent fonctionner uniformément sur toutes les sources de journaux, quel que soit leur format d’origine.

La corrélation des Event consiste à combiner des Event associés provenant de plusieurs sources afin d’identifier des schémas révélateurs d’un incident de sécurité. Un seul échec de connexion constitue du bruit ; 50 échecs de connexion sur 10 comptes en 5 minutes depuis la même adresse IP constituent une attaque par force brute. Les moteurs de corrélation appliquent des règles basées sur des fenêtres temporelles aux flux d’Event, regroupent les Event associés et génèrent des alertes lorsque des schémas suspects émergent du bruit.

Les plateformes SIEM se déclinent principalement selon deux architectures. Les SIEM sur site (Splunk Enterprise, IBM QRadar et ArcSight) offrent un contrôle complet des données, mais nécessitent une infrastructure importante ainsi qu’une lourde charge d’exploitation. Les SIEM natifs du cloud (Microsoft Sentinel, Google Chronicle et Elastic SIEM) permettent une mise à l’échelle élastique, réduisent la charge d’exploitation et s’intègrent nativement aux services cloud. De nombreuses organisations utilisent des architectures hybrides, avec un SIEM cloud pour les journaux cloud et un SIEM sur site pour les données sensibles qui ne peuvent pas quitter l’environnement.

Les SIEM organisent les données ingérées en index ou en tables, selon le type de journal ou la période. Les pipelines de données prétraitent les journaux avant leur stockage : filtrage du bruit (exclusion des requêtes de contrôle d’état), enrichissement des champs (ajout de la géolocalisation aux adresses IP) et acheminement des journaux à fort volume vers des niveaux de stockage moins coûteux. Les politiques de conservation déterminent la durée de conservation des journaux ; les exigences de conformité imposent souvent 12 mois en ligne, auxquels s’ajoute un archivage pendant 7 ans.

Les plateformes SIEM utilisent des langages de requête spécialisés pour rechercher des données dans les journaux. Le Splunk SPL (Search Processing Language) utilise une syntaxe fondée sur les tubes. Microsoft Sentinel utilise KQL (Kusto Query Language). Elastic utilise EQL (Event Query Language) et Lucene. Ces langages permettent aux analystes de filtrer, d’agréger, de joindre et de visualiser les données des journaux afin d’enquêter sur les incidents et de créer des règles de détection. La maîtrise du langage de requête du SIEM est une compétence fondamentale pour un analyste.

Les SIEM modernes s’intègrent aux plateformes de renseignement sur les menaces (TIP) afin d’enrichir automatiquement les Event avec du contexte. Lorsqu’un Event contient une adresse IP ou un nom de domaine, le SIEM consulte les flux de renseignement sur les menaces (VirusTotal, AlienVault OTX et flux commerciaux) et ajoute des informations indiquant si cet indicateur est connu comme malveillant, sa catégorie de menace et son score de confiance. Cet enrichissement accélère considérablement le triage : les analystes disposent du contexte sans devoir rechercher manuellement chaque indicateur.

Les tableaux de bord SIEM offrent aux équipes du SOC une visibilité opérationnelle instantanée. Les panneaux courants comprennent : les principales sources d’alertes par gravité, l’évolution des échecs d’authentification au fil du temps, des cartes géographiques des connexions entrantes, les scores d’anomalie de l’activité des utilisateurs et le nombre d’incidents actifs. Les tableaux de bord s’adressent à différents publics : les analystes ont besoin de détails opérationnels, tandis que les responsables ont besoin de synthèses des KPI, comme le temps moyen nécessaire pour détecter (MTTD) les menaces et l’évolution du volume d’alertes.

La fatigue liée aux alertes survient lorsque trop de faux positifs submergent les analystes, ce qui entraîne la non-détection de menaces réelles. La gestion des faux positifs dans un SIEM nécessite : l'ajustement des règles de corrélation en ajoutant des exclusions pour les comportements connus comme légitimes, la notation du risque pour prioriser les alertes présentant un niveau de confiance élevé, des règles de suppression pour réduire au silence les schémas bénins répétitifs, ainsi qu'un examen régulier des indicateurs de volume des alertes. L'objectif est d'obtenir un volume gérable d'alertes très fiables que les analystes peuvent examiner de manière approfondie.

Les plateformes de Security Orchestration, Automation, and Response (SOAR) s'intègrent aux SIEM pour automatiser la réponse aux types d'alertes courants. Lorsqu'un SIEM déclenche une alerte, SOAR peut automatiquement : interroger l'activité de l'utilisateur, vérifier l'état de conformité de l'appareil, rechercher l'IP dans les renseignements sur les menaces, bloquer l'IP au niveau du pare-feu, désactiver le compte utilisateur et créer un ticket d'incident — le tout en quelques secondes. SOAR permet aux équipes SOC de traiter un volume d'alertes plus important sans augmenter proportionnellement leurs effectifs.

Vérifiez votre compréhension des concepts de CompTIA Security+ (SY0-701) présentés dans cette leçon.

Dans cette leçon, vous avez appris que : les SIEM agrègent et normalisent les journaux provenant de sources diverses dans un schéma commun, que les moteurs de corrélation d'événements appliquent des règles basées sur des fenêtres temporelles pour détecter des schémas d'attaque à travers plusieurs événements, et que l'intégration des renseignements sur les menaces et l'automatisation SOAR accélèrent la réponse des analystes et réduisent la fatigue liée aux alertes. Nous allons maintenant voir comment rédiger des règles de détection et des alertes SIEM efficaces.