Intégrité des journaux

Définition

L'intégrité des journaux est la garantie qu'un journal d'événements (log) n'a pas été modifié, altéré ou supprimé après sa création, de manière accidentelle ou malveillante. Elle constitue un pilier de la fiabilité probatoire des données de sécurité utilisées en investigation numérique et en supervision SOC. Techniquement, elle repose sur le chaînage cryptographique des entrées (hash chaining), la signature numérique périodique des fichiers de log, l'horodatage sécurisé et l'envoi en temps quasi réel vers un collecteur centralisé (SIEM) distinct du système source, limitant la fenêtre d'exposition à une falsification locale. Le stockage en écriture seule (WORM) ou sur un stockage immuable (append-only, object lock) renforce cette garantie. Les attaquants ciblent fréquemment les journaux pour effacer leurs traces après compromission, technique référencée sous MITRE ATT&CK T1070 (Indicator Removal), notamment T1070.001 pour l'effacement des journaux Windows. La norme ISO 27001 (Annexe A, contrôle relatif à la journalisation) et le NIST SP 800-53 (famille AU - Audit and Accountability) imposent la protection des journaux contre l'accès non autorisé et la modification. Une politique de rétention définie, une séparation des droits entre administrateurs systèmes et administrateurs de sécurité, ainsi que des contrôles d'intégrité automatisés (vérification de hash) sont recommandés pour garantir la valeur probante des journaux en cas d'incident ou de contentieux.