Suppression de traces (log tampering)

Définition

La suppression de traces, ou log tampering, désigne l'ensemble des techniques employées par un attaquant après une compromission réussie pour effacer, modifier ou altérer les journaux d'événements générés par les systèmes traversés durant son intrusion, dans le but de retarder ou d'empêcher totalement la détection de son activité et de compliquer considérablement le travail de reconstitution chronologique mené ultérieurement par une équipe de réponse à incident en cas de découverte tardive de la compromission. Cette technique peut consister à effacer intégralement les journaux d'événements d'un système, une action elle-même détectable et suspecte car génératrice de son propre événement de purge journalisé sur la plupart des systèmes modernes, ou plus discrètement à supprimer sélectivement uniquement les entrées spécifiques révélant l'activité de l'attaquant tout en laissant intact le reste des journaux pour éviter d'éveiller les soupçons par une absence totale et anormalement suspecte de journalisation sur la période concernée. Cette technique est répertoriée sous l'identifiant T1070 du référentiel MITRE ATT&CK, regroupant plusieurs sous-techniques selon le type précis de journal ciblé. Pour les équipes défensives, la contre-mesure la plus robuste consiste à transmettre en continu les journaux vers un système de collecte centralisé distant et inaccessible depuis les systèmes sources, rendant leur suppression locale par l'attaquant sans effet réel sur la copie déjà transmise, complétée par une surveillance des événements de purge de journaux eux-mêmes comme indicateur fort de compromission.