Journalisation centralisée

Définition

La journalisation centralisée est la pratique consistant à collecter, agréger et stocker en un point unique l'ensemble des journaux d'événements, ou logs, générés par les systèmes, applications, équipements réseau et solutions de sécurité d'une organisation. Cette centralisation s'appuie généralement sur une plateforme de type SIEM, qui normalise les formats hétérogènes de logs et permet leur corrélation en temps réel pour détecter des comportements suspects, comme des tentatives de connexion répétées suivies d'un mouvement latéral, techniques documentées dans MITRE ATT&CK. Sans journalisation centralisée, une investigation numérique après incident devient considérablement plus lente et incomplète, car les preuves restent dispersées sur des dizaines de systèmes avec des formats et des durées de rétention hétérogènes. Les référentiels comme le NIST 800-53, les CIS Controls et la norme ISO 27001 imposent des exigences précises sur la collecte, la protection contre l'altération et la synchronisation temporelle des journaux, généralement via le protocole NTP, afin de garantir leur valeur probante. La journalisation centralisée constitue également un prérequis pour les activités de threat hunting proactif menées par l'équipe bleue et pour répondre aux obligations réglementaires de traçabilité, notamment dans le cadre du RGPD ou de la directive NIS2. Sa conception doit anticiper le volume important de données généré et les coûts de stockage associés sur la durée de rétention retenue.