Cloud SIEM

Définition

Un Cloud SIEM (Security Information and Event Management cloud) est une plateforme SIEM hébergée dans le cloud ou optimisée pour ingérer et analyser des sources de logs cloud-natives. Les SIEMs cloud-natifs (Microsoft Sentinel, Google Chronicle, AWS Security Lake) sont spécialement conçus pour les volumes massifs de logs cloud et offrent une intégration native avec les services du cloud provider correspondant. Microsoft Sentinel est le SIEM cloud-natif Azure, fonctionnant sur Log Analytics Workspace. Il offre des connecteurs natifs pour toutes les sources Azure (Activity Logs, Microsoft 365, Entra ID), des connecteurs pour AWS (CloudTrail, GuardDuty, Security Hub) et GCP (Cloud Logging via Pub/Sub), ainsi que 300+ connecteurs communautaires pour les solutions tierces. Sentinel utilise KQL (Kusto Query Language) pour les requêtes et les règles de détection. Son modèle de tarification basé sur la données ingérée peut être élevé pour les grands volumes de logs. Google Chronicle est le SIEM cloud-natif de Google, hébergé sur l'infrastructure Google et proposant une rétention illimitée des logs bruts (sans coût supplémentaire pour la rétention longue durée). Chronicle utilise UDM (Unified Data Model) pour normaliser tous les logs dans un format commun, et YARA-L pour les règles de détection. Son intégration native avec les sources GCP (Cloud Logging, Cloud Audit Logs) et son optimisation pour les volumes massifs en font un SIEM pertinent pour les environnements GCP. AWS Security Lake est une solution d'agrégation de logs AWS (pas un SIEM à proprement parler) qui centralise les logs de sécurité AWS dans un S3 bucket au format OCSF (Open Cybersecurity Schema Framework), permettant à des SIEMs tiers (Splunk, IBM QRadar, Elastic) de les consommer facilement. Les logs nativement supportés incluent CloudTrail, VPC Flow Logs, Route 53 Resolver, Security Hub findings, et les logs Lambda. Les SIEMs traditionnels (Splunk, IBM QRadar, Elastic SIEM) adaptés au cloud nécessitent des content packs cloud spécifiques (Splunk App for AWS, Microsoft 365 App for Splunk) et des architectures d'ingestion scalables (Kinesis Data Firehose pour AWS, Event Hubs pour Azure, Pub/Sub pour GCP) pour gérer les volumes de logs cloud.