Sources de journaux et politique de rétention
Identifier les sources de journaux indispensables à la détection et bâtir une politique de rétention efficace.
À retenir
- L'IAM, l'EDR, le pare-feu et le DNS sont les sources de journaux prioritaires pour la détection.
- La synchronisation horaire fiable (NTP) est indispensable à toute corrélation d'événements.
- La politique de rétention doit croiser obligations réglementaires, coût de stockage et besoin de détection rétroactive.
- Les journaux critiques doivent être protégés contre l'effacement par un attaquant privilégié.
Sans journaux, pas de détection possible
Un centre opérationnel de sécurité (SOC) ne peut détecter que ce qu'il observe. La qualité de la détection dépend directement de la couverture, de la fiabilité horaire et de la durée de conservation des journaux collectés.
Les sources de journaux prioritaires
| Source | Ce qu'elle révèle | Priorité SOC |
|---|---|---|
| Contrôleurs de domaine / IAM | Authentifications, élévations de privilèges | Critique |
| EDR (Endpoint Detection & Response) | Exécution de processus, persistance, mouvement latéral | Critique |
| Pare-feu et proxy | Flux réseau, exfiltration, C2 sortant | Élevée |
| DNS | Résolutions vers domaines malveillants, DGA | Élevée |
| Contrôle d'accès physique / vidéosurveillance | Corrélation présence physique / événement logique | Moyenne à élevée en data center |
| Applications métier | Fraude, accès anormaux aux données sensibles | Variable selon le contexte |
Point clé
en environnement data center, croiser les journaux logiques (authentification réseau) avec les journaux physiques (badge, alarme) permet de détecter des scénarios impossibles à voir avec une seule source, comme une session ouverte à distance alors que le badge de l'employé n'a pas été utilisé sur site.
Synchronisation horaire : un prérequis souvent négligé
Sans synchronisation NTP fiable sur l'ensemble du parc, la corrélation d'événements entre plusieurs sources devient impossible ou trompeuse : un décalage de quelques minutes peut inverser l'ordre réel d'une chaîne d'attaque lors de l'analyse.
Attention
un SIEM alimenté par des sources dont l'horloge dérive de plusieurs minutes produit des chronologies d'incident fausses, ce qui peut conduire à des conclusions d'investigation erronées et à un rapport d'incident juridiquement fragile.
Politique de rétention
La durée de conservation doit être définie selon trois contraintes croisées : les obligations réglementaires ou contractuelles, la capacité de stockage, et le besoin opérationnel de détection rétroactive (certaines campagnes d'attaque ne sont découvertes que des mois après l'intrusion initiale).
- Journaux chauds (recherche immédiate dans le SIEM) : typiquement 30 à 90 jours.
- Journaux froids (archive consultable sur demande) : souvent 6 à 12 mois, parfois plus selon la réglementation sectorielle.
- Intégrité des journaux : les journaux critiques doivent être protégés en écriture (WORM ou envoi immédiat vers un collecteur central) pour éviter qu'un attaquant ayant obtenu des droits d'administrateur local n'efface ses traces.
Sur le terrain
un incident fréquent en environnement data center est la perte de journaux locaux faute de collecte centralisée : un serveur compromis puis réinitialisé ou redémarré emporte avec lui les preuves si les journaux n'ont pas déjà été envoyés vers un SIEM.
Astuce
priorisez la collecte centralisée des journaux d'authentification et EDR avant d'élargir la couverture ; ce sont les deux sources qui apportent le plus de valeur de détection pour l'effort de collecte le plus faible.