Journaux, Syslog et alertes

Un journal est un enregistrement horodaté d’un événement : une connexion, une modification d’interface, un paquet rejeté ou une erreur. Les journaux sont la mémoire du réseau. Lorsqu’un problème survient, ils vous permettent de reconstituer ce qui s’est passé et à quel moment. Sans journalisation, le dépannage devient une affaire de conjectures. Avec elle, vous disposez d’éléments permettant de remonter jusqu’à la cause racine.

Syslog est la norme utilisée depuis longtemps pour générer et envoyer des messages d’événements sur les systèmes réseau et de type Unix. Les équipements produisent des messages syslog et peuvent les transférer vers un serveur syslog central. Cette centralisation est puissante : au lieu de vous connecter à 50 équipements, vous effectuez vos recherches au même endroit. Syslog circule généralement sur le port UDP 514.

La journalisation centralisée rassemble les journaux de nombreux équipements sur un même serveur ou une même plateforme. Cela présente trois avantages : vous pouvez mettre en relation les événements de plusieurs équipements, conserver les journaux même si un équipement est effacé ou tombe en panne, et tout rechercher en une seule fois. Un stockage central des journaux est également essentiel pour la sécurité, car les attaquants tentent souvent d’effacer les journaux locaux afin de dissimuler leurs traces.

Syslog classe les messages selon leur gravité, de 0 à 7. Plus le nombre est petit, plus le message est urgent :

• 0 Urgence, 1 Alerte, 2 Critique
• 3 Erreur, 4 Avertissement
• 5 Notification, 6 Information, 7 Débogage

Vous filtrez généralement les messages de débogage trop nombreux afin qu’ils ne masquent pas les messages critiques. Savoir que 0 correspond à la gravité maximale vous aide à définir vos priorités.

Chaque message syslog contient également un code de catégorie indiquant son origine, par exemple le noyau, le système de messagerie ou le sous-système d’authentification. Associée à la gravité, la catégorie vous aide à acheminer et à filtrer les messages, par exemple en envoyant tous les échecs d’authentification à l’équipe de sécurité. Ensemble, la catégorie et la gravité décrivent à la fois le « quoi » et le « d’où » d’un événement.

Une ligne de journal typique contient un horodatage, l’hôte ou l’équipement source, la catégorie et la gravité, ainsi qu’un message lisible par un humain. Des horodatages exacts sont essentiels, c’est pourquoi les équipements synchronisent leurs horloges avec NTP. Si deux équipements n’indiquent pas la même heure, il devient presque impossible de mettre leurs journaux en relation pendant un incident.

Les journaux sont des enregistrements passifs, mais vous pouvez créer des alertes à partir d’eux. Un système de supervision surveille les journaux entrants et réagit à certains motifs, par exemple cinq échecs de connexion en une minute ou tout message « critique ». L’alerte peut être envoyée par courriel, par SMS ou par radiomessagerie. Un flux de journaux silencieux devient ainsi un système d’avertissements actifs et rapides qui requièrent votre attention.

Un système SIEM (Security Information and Event Management) rassemble les journaux provenant de l’ensemble du réseau, les normalise et met les événements en relation afin de détecter les menaces. Par exemple, un SIEM peut relier le blocage par un pare-feu, un échec de connexion et la création d’un nouveau compte administrateur pour révéler une activité suspecte. Les SIEM combinent journalisation, alertes et analyse, et sont au cœur des opérations de sécurité modernes.

La conservation désigne la durée pendant laquelle vous gardez les journaux. Une durée trop courte vous fait perdre l’historique nécessaire à une enquête ; une durée trop longue augmente les coûts de stockage. De nombreuses organisations et réglementations imposent de conserver les journaux pendant plusieurs mois ou plusieurs années. La politique de conservation équilibre la valeur pour les enquêtes, les exigences de conformité et la capacité de stockage ; elle doit être définie à l’avance, et non après un incident.

Comme la mise en relation des journaux dépend d’une heure cohérente, chaque équipement doit utiliser NTP (Network Time Protocol) pour synchroniser son horloge avec une source commune. Lorsque les horloges sont synchronisées, un journal du pare-feu et un journal du serveur concordent à la seconde près, ce qui vous permet de suivre le parcours d’un événement. Des horloges désynchronisées sont une cause classique et frustrante d’enquêtes confuses.

Comme pour toute supervision, les alertes doivent être réglées. Un trop grand nombre d’alertes provoque une fatigue liée aux alertes et les avertissements importants sont ignorés ; un nombre insuffisant laisse passer de véritables incidents. Il est recommandé de déclencher des alertes pour les événements de gravité élevée et les motifs significatifs, de supprimer les messages connus pour être trop fréquents et de revoir régulièrement les règles d’alerte à mesure que le réseau évolue.

Testez vos connaissances sur la journalisation.

Vous avez étudié la journalisation et les alertes. Points clés :

• Les journaux sont des enregistrements d’événements horodatés ; syslog les normalise (UDP 514).
• La journalisation centralisée facilite la mise en relation, la conservation et la recherche.
• La gravité va de 0 (Urgence) à 7 (Débogage) ; les valeurs basses sont les plus urgentes.
• Un SIEM met les journaux en relation pour détecter les menaces.
• NTP synchronise les horloges afin que les journaux concordent.