Journaux d'Audit et Surveillance des Événements

Catégories d'événements à journaliser

Les événements à journaliser couvrent : Authentification (connexions réussies et échouées, déverrouillages de comptes, changements de mots de passe, MFA success/failure), Actions administratives (création/modification/suppression de comptes, changements de droits d'accès, modifications de configuration), Accès aux données sensibles (lecture, modification, suppression de données classifiées ou personnelles), Événements réseau (connexions entrantes/sortantes, règles firewall déclenchées, alertes IDS/IPS), Événements système (démarrages/arrêts, erreurs critiques, modifications de fichiers système), et Applications critiques (transactions financières, accès API, erreurs d'application).

La qualité des logs est aussi importante que leur existence : chaque entrée de log doit contenir au minimum un timestamp précis (synchronisé NTP avec une précision à la seconde ou mieux), l'identité de l'acteur (utilisateur, compte de service, IP source), l'action réalisée, la ressource concernée, et le résultat (succès ou échec). Des logs incomplets ou avec des timestamps inexacts ont une valeur forensique limitée.

SIEM : centralisation et corrélation

Un SIEM centralise les logs de sources hétérogènes (firewalls, IDS/IPS, EDR, serveurs, applications, services cloud) et permet : la détection en temps réel via des règles de corrélation (ex. : 5 échecs d'authentification en 1 minute = brute force), l'analyse des tendances, les tableaux de bord de sécurité, et la recherche forensique (reconstruction de la chronologie d'un incident). Les règles de détection peuvent être basées sur des signatures (patterns connus), des comportements de base (UEBA — User and Entity Behavior Analytics), ou des indicateurs de compromission (IoC).

Le volume de logs dans les grandes organisations peut atteindre des milliards d'événements par jour : l'optimisation du SIEM (filtrage des événements à faible valeur, tuning des règles pour réduire les faux positifs) est essentielle pour maintenir des équipes SOC opérationnelles sans les noyer dans des alertes non pertinentes. La gestion du coût du SIEM (souvent lié au volume de données ingérées) est un enjeu pratique significatif.

Rétention et protection des journaux

La durée de conservation des logs varie selon les référentiels : PCI-DSS impose 12 mois (3 mois accessible rapidement), ISO 27001 ne définit pas de durée précise mais recommande selon les besoins d'investigation et les obligations légales. En France, les logs de connexion à des systèmes d'information peuvent être soumis à des obligations légales de conservation (Décret 2011-219 pour certaines catégories de logs liés aux communications électroniques).

La protection des logs contre la modification est essentielle pour leur valeur forensique et leur admissibilité comme preuve : transfert sécurisé vers un système de stockage immutable (S3 Object Lock, Azure Immutable Blob, systèmes WORM), contrôles d'accès stricts (seuls les systèmes autorisés peuvent écrire les logs, les opérateurs peuvent lire mais pas modifier), et intégrité cryptographique (hash des fichiers de logs pour détecter les modifications).