Home | Publier un mémoire | Une page au hasard

Mise en place d'un SOC base sur une solution SIEM

par Kamba LIKAYA ABOÏNA
N'djamena - Ingénieur en Informatique 2025
Dans la categorie: Informatique et Télécommunications > Sécurité informatique

Télécharger le fichier original

Disponible en mode multipage

UNIVERSITÉ DE N'DJAMENA

FACULTÉ DES SCIENCES EXACTES ET APPLIQUÉES

DÉPARTEMENT D'INFORMATIQUE

Projet de fin d'études pour l'obtention du diplôme de licence en

informatique

MISE EN PLACE D'UN SOC BASÉ SUR UNE SOLUTION
SIEM POUR RENFORCER LA GOUVERNANCE ET LA
RÉSILIENCE DE CYBERSÉCURITÉ À L'UNIVERSITÉ
NUMÉRIQUE DU TCHAD

Rédigé par:

LINA-NGOLO ZAKZINA Frédéric

LIKAYA ABOINA KAMBA

Encadrant académique:

Dr. KALZOUABE ZOUKALNE

Année académique : 2025 - 2026

Dédicaces

Nous dédions ce travail:

-- À nos chers parents, pour leurs sacrifices, leurs conseils et leur soutien indéfectible tout au long de notre parcours académique.

-- À nos enseignants, pour leur encadrement, leurs enseignements et leurs précieux conseils.

-- À nos familles, amis, camarades et proches, pour leurs encouragements et leur accompagnement.

Enfin, à toutes les personnes qui ont contribué de près ou de loin à la réalisation de ce rapport.

Remerciements

Après avoir rendu grâce à DIEU le tout puissant d'amour et de grâce, nous tenons à remercier tous ceux qui de loin ou de près ont participé à l'élaboration de ce rapport:

-- Nous tenons à remercier l'équipe pédagogique de la Faculté des Sciences Exactes et Appliquées (FSEA) plus particulièrement ceux du département d'Informatique pour le haut niveau de leurs enseignements.

-- C'est l'occasion pour nous de remercier Dr.MBAIOUSSOUM BERY LEOUROE le Chef de Département d'Informatique, pour l'excellent niveau de ses enseignants ainsi que la qualité des enseignements dont nos camarades de promotion et nous avions bénéficié.

-- Nous tenons à remercier Dr. KALZOUABE ZOUKALNE, d'avoir bien voulu consacrer une partie de son temps sur ce rapport. Aux membres du jury, pour avoir voulu évaluer ce travail.

Enfin, nous tenons à remercier nos parents qui nous ont soutenu et aidé tout au long de notre vie et de nos études.

III

Liste des abréviations

SOC: Security Operations Center

SIEM : Security Information and Event Management

OSSIM : Open Source Security Information and Management

SSI : Sécurité des Systèmes d'Information

SMSI : Système de Management de la Sécurité des Systèmes d'Information

PSSI : Politique de Sécurité des Systèmes d'Information

IDS: Intrusion Detection System

NIDS: Network Intrusion Detection System

HIDS : Host Intrusion Detection System

EDR : Endpoint Detection and Response

NDR Network Detection and Response

SOAR: Security Orchestration, Automation and Response

MSSP : Managed Security Service Provider

IOC: Indicator Of Compromise

APT: Advanced Persistent Threat

DoS : Denial of Service

CALM: Compromise and Attack Level Monitor

OTX : Open Threat Exchange

IDMEF : Intrusion Detection Message Exchange Format

IETF : Internet Engineering Task Force

RFC: Request For Comments

SNMP : Simple Network Management Protocol

P2P : Peer to Peer

TCP : Transmission Control Protocol

IP : Internet Protocol

IPS: Intrusion Prevention System

NIC : Network Interface Card

ETH : Ethernet

TIC: Technologies de l'Information et de la Communication

KPI : Key Performance Indicator

KDB : Knowledge DataBase

EDB : Event DataBase

MTTD : Mean Time to Detect

MTTR : Mean Time to Respond

TTP : Tactics, Techniques and Procedures

REX: Retour d'Expérience

UNT : Université Numérique du Tchad

FSEA : Faculté des Sciences Exactes et Appliquées

UNDJ : Université de N'Djaména

ENA: École Nationale d'Administration

ENASTIC : École Nationale Supérieure des Technologies de l'Information et de la Communication

ISTA : Institut Sous-régional multisectoriel de Technologie Appliquée

CAUDEV : Consortium Africain Universitaire pour le Développement de l'Enseignement Virtuel

CINVU : Comtech Inter Islamic Network on Virtual Universities

AUF : Agence Universitaire de la Francophonie

ANSICE : Agence Nationale de Sécurité Informatique et de Certification Électronique

ADETIC : Agence de Développement des Technologies de l'Information et de la Communication du Tchad

FONAP : Fonds National d'Appui à la Formation Professionnelle

ONAPE : Office National pour la Promotion de l'Emploi

ARCEP : Autorité de Régulation des Communications Électroniques et des Postes

CNPS : Caisse Nationale de Prévoyance Sociale

ANSSI : Agence Nationale de la Sécurité des Systèmes d'Information

RGPD : Règlement Général sur la Protection des Données

URF : Université Roi Fayçal

CA : Conseil d'Administration

CEVU : Conseil d'Études et de Vie Universitaire

CAST: Conseil Académique, Scientifique et Technique

CU : Conseil d'Université

CD : Conseil de Discipline

COMEX : Comité Exécutif

RSSI : Responsable de la Sécurité des Systèmes d'Information

SMART: Specific, Measurable, Achievable, Realistic, Time-bound

ITIL : Information Technology Infrastructure Library DMR : Dispositif de Maîtrise des Risques

XML : eXtensible Markup Language

OCS : Open Computer and Software Inventory

Table des matières

Dédicace I

Remerciement II

Abreviations III

Introduction Générale X

1	Présentation de la structure de l'Université Numérique du Tchad (UNT) 1.1 Historique et missions 1.2 Structures, organes, partenariats et organigramme		1 1 1
		1.2.1 Structures	1
		1.2.2 Organes de gouvernance	2
		1.2.3 Partenariats	3
2	Contexte général et fondements théoriques		5
	2.1	Présentation d'un SOC	5
	2.2	Contexte du sujet	5
	2.3	Problématique	6
	2.4	Objectifs	6
		2.4.1 Le SOC dans la stratégie SSI	6
		2.4.2 Activités de SOC	7
	2.5	Les Composants Clés d'un SOC	7
		2.5.1 Les Personnes	8
		2.5.2 Processus	8
		2.5.3 La technologie	8
	2.6	Les types de SOC	9
	2.7	Concepts et fondamentaux	9
		2.7.1 Journaux, événements, alertes et incidents	9
		2.7.2 SIEM	10
		2.7.3 Fonctionnement d'un SIEM	10
		2.7.4 L'architecture d'un SIEM	12
		2.7.5 Les types de SIEM	12
3	Les phases de déploiement d'un soc		14
	3.1 Phase de cadrage et préparation		14

3.1.1 Évaluation des besoins de sécurité 14

3.1.2 Définition des objectifs et du périmètre du SOC 14

3.1.3 Choix de la solution SIEM et des outils associés 14

3.2 Phase de construction et déploiement technique 15

3.2.1 Définition des processus SOC 15

3.2.2 Constitution de l'équipe SOC et montée en compétences 15

3.2.3 Déploiement technique du SIEM et intégration 15

3.2.4 Pilotage initial et ajustements 15

3.3 Phase d'exploitation et d'amélioration continue 16

3.3.1 Surveillance 24/7 et alimentation en Threat Intelligence 16

3.3.2 Évaluation continue des performances et audits 16

3.3.3 Gestion des incidents et retour d'expérience 16

4 Présentation de la solution

choisie (OSSIM) 18

4.1 Présentation d'AlienVault OSSIM 18

4.2 Principe de la solution OSSIM 19

4.3 Architecture d'OSSIM 19

4.4 Fonctionnement interne de OSSIM 19

4.5 Fonctionnalité d'OSSIM 20

5 Mise en oeuvre de la solution OSSIM 23

5.1 Architecture 23

5.2 Procédure d'installation d'OSSIM 24

5.3 Configuration sur le Server 27

5.4 Déploiement de l'agent Windows 32

5.5 Test de détection d'activité malveillante 34

5.5.1 Réalisation de l'attaque depuis Kali Linux 34

5.5.2 Résultats dans OSSIM 35

Conclusion Générale 37

Références 39

Bibliogrphie 40

Table des figures

VIII

2.1 Composants d'un SOC 8

2.2 Fonctionnement de SIEM 11

2.3 Architecture SIEM 12

4.1 Fonctionnement interne d'OSSIm 20

5.1 Architecture de la solution proposée 24

5.2 Page d'accueil d'OSSIM 25

5.3 Configuration de la carte réseau 25

5.4 configuration du masque réseau 26

5.5 configuration du mot de passe de l'administrateur 26

5.6 la page d'authentification du server OSSIM 27

5.7 la selection des plugins à utiliser 27

5.8 les informations pour la création du compte admin 28

5.9 l'authentification de l'admin 28

5.10 assistant de configuration d'ossim 29

5.11 Configuration des interfaces eth Server OSSIM 30

5.12 Découverte des actifs(périphériques) du réseau 30

5.13 Découverte des actifs(périphériques) du réseau 31

5.14 Tableau de bord du Server OSSIM 32

5.15 Installation et configuration de l'agent ossec 33

5.16 Ajout de l'agent 33

5.17 Vérification de l'état de l'agent 34

5.18 Attaque de type SYN FLOOD depuis Kali Linux 35

5.19 resultat dans OSSIM 36

Liste des tableaux

2.1 Types de SOC et leurs caractéristiques 9

5.1 Machines utilisées dans l'environnement de test 23

5.2 Synthèse de l'attaque SYN Flood réalisée lors des tests 36

Introduction Générale

L'évolution des technologies de l'information et de la communication a transformé les modes de fonctionnement des organisations modernes. Les universités en particulier, s'appuient désormais sur des infrastructures numériques pour assurer la gestion administrative, la formation à distance, le stockage des données, l'accès aux ressources pédagogiques, etc. Cette transformation numérique est un atout en matière d'efficacité, d'accessibilité et de performance. Toutefois, elle expose également les systèmes d'informations à des risques croissants liés aux cybermenaces.

L'Université Numérique du Tchad, engagée dans un processus de transformation numérique doit également faire face aux défis liés à la protection de son système d'information. La supervision des événements de sécurité et la détection des activités suspectes deviennent alors des besoins importants pour renforcer la cybersécurité de l'institution. Pour répondre à ces besoins, la mise en place d'un SOC (Security Operations Center) apparaît comme une solution importante. Un SOC permet de surveiller les activités du réseau, de collecter les journaux d'événements et de détecter les incidents de sécurité grâce à des outils spécialisés appelés SIEM (Security Information and Event Management).

Dans cette étude, le choix est porté sur OSSIM, une solution SIEM open source permettant la centralisation et l'analyse des événements de sécurité.

Le présent projet porte sur: «La mise en place d'un SOC basé sur une solution SIEM pour renforcer la gouvernance et résilience de la cybersécurité à l'Université Numérique du Tchad ».

La problématique de cette étude est la suivante: Comment mettre en place un SOC basé sur OSSIM afin d'améliorer la supervision et la sécurité du système d'information de l'Université Numérique du Tchad?

Ce rapport est structuré en cinq(5) chapitres. Le Premier chapitre présente la structure del'Université Numerique du Tchad; qui est une institution d'accueil pour notre stage.Le deuxieme chapitre présente les notions théoriques liées à la cybersécurité, aux SOC et aux SIEM. Le troisième chapitre porte sur les phases de déploiement d'un SOC. Le quatrième chapitre présente l'étude de la solution OSSIM (Open Source Security Information Management). Enfin, le cinquième chapitre expose la mise en oeuvre de la solution OSSIM.

Chapitre 1 Présentation de la structure de l'Univer-

sité Numérique du Tchad (UNT)

1.1 Historique et missions

L'Université Numérique du Tchad (UNT) a été créée par la Loi N°13/PR/2005 du 16 septembre 2005. Elle est un établissement public à caractère scientifique et technologique, dotée de la personnalité morale, juridique et de l'autonomie administrative et financière, offrant des formations initiales et continues entièrement en ligne. L'Université Numérique du Tchad a pour but d'assurer des formations transdisciplinaires de haut niveau, conduisant à des carrières, métiers ou professions dans des domaines variés de la connaissance et de la recherche, par le biais de l'Internet et de l'Intranet. Les missions fondamentales de l'Université Numérique du Tchad sont:

-- La formation initiale et continue à distance et en ligne;

-- La recherche documentaire

-- La formation à la recherche fondamentale et appliquée;

-- La réduction de la fracture numérique entre le Tchad et le reste du monde;

-- L'appropriation et le partage des savoirs des pays du Sud avec ceux du reste du monde. Toutes ces activités d'enseignement et de recherche s'inscrivent dans la démarche d'assurance de qualité de la formation et de la recherche.

1.2 Structures, organes, partenariats et organigramme

1.2.1 Structures

L'UNT se structure comme suit: La Présidence

La présidence de l'Université est placée sous l'autorité du Président. Nommé par décret, ses

principales attributions sont les suivantes:

-- L'exécution des décisions du Conseil d'Administration (CA);

-- La présidence du Conseil d'Études et de Vie Universitaire (CEVU);

-- La présidence du Conseil Académique, Scientifique et Technique (CAST)

-- La présidence du Conseil d'Université (CU);

-- La présidence du Conseil de Discipline (CD);

-- La représentation de l'Université dans les actes de la vie civile et en justice;

-- Le suivi de la bonne marche des Facultés;

-- La collation des grades et titres;

-- Le maintien de l'ordre;

-- La gestion de la carrière des personnels;

-- L'autorisation des missions à l'intérieur.

Le Vice-président est nommé dans les mêmes conditions que le Président, assiste celui-ci dans ses

tâches et est chargé de l'enseignement virtuel et numérique.

Le Secrétariat Général

Le Secrétariat Général de l'UNT est placé sous l'autorité d'un Secrétaire Général. Nommé par décret, il a la charge de la coordination administrative et technique des services de l'Université.

L'Agence Comptable

L'Agence Comptable est l'instance technique de l'UNT. Elle est dirigée par un Agent Comptable nommé par arrêté conjoint du Ministre en charge de l'Enseignement Supérieur et du Ministre en charge des Finances et du Budget.

Les Cellules Techniques Spécialisées

L'UNT dispose de six (6) Cellules Techniques Spécialisées:

-- La Cellule Techno-pédagogique : elle assure les tâches en lien avec l'ingénierie pédagogique;

-- La Cellule Technologies Numériques : elle s'occupe de l'ingénierie logicielle et de l'admi-nistration réseau;

-- La Cellule Études, Planification et Scolarité: elle est chargée d'étudier la possibilité d'ou-verture de nouvelles filières et de planifier toutes les activités scolaires de l'UNT;

-- La Cellule Campus Numériques Délocalisés : elle assure la gestion administrative et technique des CND;

-- La Cellule Coopération, Relation Publique et Communication : elle s'occupe de la gestion des assises juridiques, de l'initiation et de la mise en oeuvre des activités en lien avec la coopération et la communication;

-- La Cellule Ressources et Logistique : elle gère les ressources humaines et matérielles de toute l'Institution.

À la tête de chaque Cellule se trouve un Chef de Cellule. Les Cellules peuvent avoir en leur sein des bureaux ou encore des sous-sections. Enfin, académiquement, le staff de l'UNT est constitué de 48 agents dont trois (3) Maîtres Assistants. Trois (3) Assistants d'Université (Assistant avec thèse) et vingt-trois (23) Assistants dont huit (8) doctorants, dix-sept (17) agents du personnel administratif, technique et une (1) personne de la main d'oeuvre.

1.2.2 Organes de gouvernance

Les organes de gouvernance de l'Université Numérique du Tchad sont : le Conseil d'Admi-nistration, le Conseil d'Études et de Vie Universitaire et le Conseil Académique, Scientifique et Technique.

Le Conseil d'Administration

Le Conseil d'Administration (CA) est présidé par le Ministre en charge de l'enseignement supérieur. Il définit la vision, les objectifs et les priorités de l'Université, en supervise la gestion des ressources financières et en approuve le budget annuel.

Conseil d'Études et de Vie Universitaire

Le Conseil d'Études et de Vie Universitaire (CEVU) est l'organe consultatif de l'UNT. Il donne son avis sur l'organisation générale des activités et étudie toutes les questions relatives à la vie et aux intérêts de l'institution.

Le Conseil Académique, Scientifique et Technique

Le Conseil Académique, Scientifique et Technique (CAST) est chargé d'examiner toutes les questions relatives à la vie académique, scientifique et technique de l'Université.

1.2.3 Partenariats

L'Université Numérique du Tchad entretient des partenariats privilégiés et des collaborations relativement nourrissantes avec un certain nombre de partenaires. Ils sont, soit académiques, soit techniques. Les partenaires académiques de l'UNT sont:

-- L'École Nationale Supérieure des Technologies de l'Information et de la Communication (ENASTIC) du Tchad: cette collaboration a facilité la mise en oeuvre des formations en lien avec les TIC et l'hébergement du site principal de l'UNT;

-- L'Université de N'Djaména (UNDJ) : ce partenariat a permis la mise en oeuvre d'un Master et facilité l'hébergement du site secondaire de l'UNT;

-- L'Université Roi Fayçal (URF) au Tchad: cette collaboration s'inscrit dans le cadre de la formation en langue arabe;

-- L'École Nationale d'Administration (ENA) du Tchad: le partenariat avec l'ENA s'inscrit dans le cadre de l'accompagnement dans la transformation digitale;

-- L'Institut Sous-régional multisectoriel de Technologie Appliquée de Planification et d'Éva-luation des projets (ISTA) : pour le déploiement des formations de l'ISTA à l'UNT;

-- L'Université Virtuelle du Burkina Faso: ce partenariat a permis la mise en oeuvre d'un Master en Cybersécurité;

-- L'Université Senghor d'Alexandrie : partage d'expériences et co-construction des formations, tel est le contenu du partenariat avec l'Université Senghor d'Alexandrie;

-- L'Université de Reims Champagne-Ardenne : pour le renforcement des capacités des intervenants dans les formations à distance, les actions de sensibilisation et de mobilité du personnel;

-- Le Consortium Africain Universitaire pour le Développement de l'Enseignement Virtuel (CAUDEV) : ce partenariat a été signé pour le partage d'expériences et la mise en réseau;

-- Le Comtech Inter Islamic Network on Virtual Universities (CINVU) : pour le partage d'expériences et la mise en réseau;

-- L'Agence Universitaire de la Francophonie (AUF) : ce partenariat a permis de bénéficier

des projets au profit des étudiants et des enseignants. Les partenaires techniques de l'UNT; -- L'Agence Nationale de Sécurité Informatique et de Certification Électronique (ANSICE) du

Tchad : pour la formation en Cybersécurité;

-- L'Agence de Développement des Technologies de l'Information et de la Communication du Tchad (ADETIC) : ce partenariat permet de développer le numérique;

-- Le Fonds National d'Appui à la Formation Professionnelle (FONAP) : ce partenariat a pour objet la formation des professionnels;

-- L'Office National pour la Promotion de l'Emploi (ONAPE) : cette collaboration s'inscrit dans le cadre de l'insertion professionnelle;

-- L'Autorité de Régulation des Communications Électroniques et des Postes (ARCEP) : cette collaboration facilite la mise en oeuvre des formations;

-- La Caisse Nationale de Prévoyance Sociale (CNPS) : ce partenariat a permis de créer un Master en Droit et contentieux de la sécurité sociale.

Chapitre 2 Contexte général et fondements théoriques

2.1 Présentation d'un SOC

Le SOC (Security Operations Center) peut être considéré comme le tour de contrôle d'une organisation de cybersécurité. Il est avant tout une équipe d'experts en sécurité chargée de surveiller, détecter, analyser et qualifier les évènements de sécurité. Cette équipe assure le pilotage des réactions appropriées aux incidents avérés de sécurité. Pour certaines organisations, cette équipe administre et contrôle au quotidien des dispositifs et dispositions de sécurité. Un SOC est un dispositif de supervision et d'administration de la sécurité du système d'information permettant, grâce à la collecte d'événements, de détecter des incidents de sécurité informatique, de les analyser et de définir les réponses en cas d'émission d'alerte. Il existe une multitude de définitions de ce qu'est, ou devrait être un SOC. Cependant, l'ensemble de la profession s'accorde à dire qu'un SOC doit être avant tout une entité dédiée à la surveillance et à la défense des systèmes d'information de l'entreprise.

De façon plus générale, un SOC désigne:

Les personnes, processus et technologies qui permettent d'obtenir un état du niveau de sécurité à travers la détection, le confinement et la résolution des menaces informatiques.Le SOC monitore également les applications pour identifier les possibles « cyber-attaques » ou intrusions (événements), et détermine si ce sont des attaques réelles et malicieuses (incidents), et si elles peuvent avoir des impacts sur l'activité de l'entreprise.

Le SOC peut également donner des préconisations et règles de bonnes pratiques afin d'éviter que ces incidents se reproduisent.

2.2 Contexte du sujet

Ce travail se positionne dans un contexte de projet de fin d'étude pour la validation de notre formation de Licence en informatique à l'Université de N'Djamena.

La supervision des Systèmes d'Information (S.I.) devient aujourd'hui très importante à cause des nouvelles règles imposées dans plusieurs secteurs d'activité, mais aussi à cause des nombreuses menaces informatiques. Avec la transformation numérique, les S.I. sont souvent connectés à Internet, ce qui les expose davantage aux cyberattaques et aux risques de sécurité pouvant causer de graves problèmes.

Dans le domaine de la supervision de la SSI, 3 difficultés majeures sont rencontrées:

-- La masse et la diversité des informations à traiter

-- L'identification d'évènements précurseurs d'alertes de sécurité;

-- L'appropriation du sujet et la réunion des compétences requises pour un projet d'envergure

Il est recommandé, et c'est généralement le cas, que la supervision SSI soit assurée par une entité spécialisée : Le Centre Opérationnel de Sécurité (COS en anglais devient le SOC pour Security Operation Center).

2.3 Problématique

La transformation numérique des établissements d'enseignement supérieur a considérablement accru leur dépendance aux systèmes d'information et aux services numériques. Les universités utilisent aujourd'hui plusieurs plateformes connectées pour la gestion administrative, les enseignements en ligne, les inscriptions, le stockage des données académiques ainsi que les communications numériques. Cette évolution améliore les services offerts aux étudiants et au personnel administratif, mais expose également les infrastructures informatiques à de nombreuses cybermenaces.

L'Université Numérique du Tchad, en tant qu'établissement fortement dépendant des technolo-

gies numériques pour assurer les activités pédagogiques et administratives, n'échappe pas à cette

réalité. Une compromission de son système d'information pourrait entraîner:

-- la perturbation des services numériques;

-- la perte ou le vol de données académiques;

-- des interruptions des plateformes pédagogiques;

-- une atteinte à la confidentialité des informations;

-- une diminution de la confiance des utilisateurs.

Face à ces risques, il devient nécessaire de mettre en place des mécanismes capables de :

-- surveiller les activités du réseau;

-- centraliser les journaux d'événements;

-- détecter rapidement les comportements suspects;

-- analyser les incidents de sécurité;

-- améliorer la capacité de réaction face aux cyberattaques.

C'est dans cette perspective que s'inscrit l'approche SOC (Security Operations Center), qui

permet d'assurer une supervision continue du système d'information grâce à l'utilisation d'une

solution SIEM (Security Information and Event Management).

2.4 Objectifs

2.4.1 Le SOC dans la stratégie SSI

La sécurité du système d'information d'une organisation repose généralement sur une Politique de Sécurité des Systèmes d'Information (PSSI). Cette politique définit les objectifs de sécurité à atteindre afin de protéger les ressources informatiques, les données et les services numériques de l'organisation.

Dans ce cadre, le Security Operations Center (SOC) constitue un dispositif opérationnel permettant de contribuer à la réalisation de ces objectifs. Son rôle principal est d'assurer la surveillance continue du système d'information, de détecter les activités suspectes et de réagir rapidement en

cas d'incident de sécurité.

La mise en place d'un SOC ne nécessite pas obligatoirement la modification de la politique de sécurité existante. Cependant, ses missions, ses responsabilités et son périmètre d'intervention doivent être clairement définis et documentés afin d'assurer son efficacité.

Dans le cadre de l'Université Numérique du Tchad, un SOC basé sur la solution SIEM permettra d'améliorer la visibilité sur les activités du système d'information grâce à la collecte et à l'analyse centralisée des événements de sécurité.

2.4.2 Activités de SOC

La mission principale d'un SOC consiste à surveiller, détecter, analyser et qualifier les évènements de sécurité. Elle se décline en 3 activités majeures pouvant être gérées indépendamment:

1. Supervision/Qualification/Alerting;

2. Pilotage des incidents de bout en bout;

3. Traitement standardisé d'un incident.Cette activité est optionnelle

En complément de cette mission principale, le SOC a la charge de conserver les journaux d'activité (ou logs) qui lui sont remontés pour la durée qui a été définie.

Un SOC est en charge de piloter la gestion des incidents de sécurité, des vulnérabilités et des risques couvrant un périmètre très large de domaines : infrastructures réseaux, applications, services, postes de travail.

Au sein d'une équipe sécurité, le SOC fait office de système de détection, d'analyse, de prévention de risques, de levées d'alertes (par le biais de produits SIEM), et aussi, d'aide à la décision, de protection et d'exploitation d'éventualités. Via un SOC bien configuré, l'entreprise peut garantir une continuité d'activités et anticiper d'éventuels problèmes et incidents, car un pare-feu et un système de détection d'intrusion (IDS) ne sont pas toujours suffisants. Son objectif final est d'assurer une surveillance 24h/24 et 7j/7 afin de rétablir dans un délai le plus court possible la sécurité du système d'information lorsqu'elle est menacée.

2.5 Les Composants Clés d'un SOC

Un SOC performant repose sur trois piliers majeurs : les personnes, les processus, et la technologie.

FIGURE 2.1 - Composants d'un SOC

2.5.1 Les Personnes

Les analystes de sécurité, ingénieurs, et gestionnaires de SOC forment le coeur de cette structure. Ils apportent leur expertise pour interpréter les données, identifier les anomalies et coordonner la réponse aux incidents.

Le SOC comprend plusieurs niveaux d'expertise:

· Niveau 1 (L1) : Réception et triage des alertes.

· Niveau 2 (L2) : Analyse approfondie des incidents.

· Niveau 3 (L3) : Gestion des incidents complexes, recherche de menaces (threat hunting) et création de règles SIEM avancées.

2.5.2 Processus

Le SOC suit des processus bien définis pour la détection et la réponse aux menaces. Des procédures standards telles que la gestion des incidents (Incident Response) et des plans de reprise après sinistre (Disaster Recovery Plans) sont systématiquement mises en oeuvre pour garantir une réponse rapide et efficace. Les Playbooks (livrets de procédures) sont essentiels dans les SOC pour standardiser les actions en cas de détection d'un incident spécifique.

2.5.3 La technologie

Le SOC s'appuie sur un ensemble de technologies avancées pour automatiser la surveillance, améliorer la détection et réduire les temps de réponse. Parmi les outils clés, on retrouve:

SIEM (Security Information and Event Management) : Centralise et corrèle les événements de

sécurité provenant de plusieurs sources.

EDR (Endpoint Detection and Response) : Surveille les terminaux pour détecter les comportements malveillants.

NDR (Network Detection and Response) : Analyse le trafic réseau à la recherche de menaces. SOAR (Security Orchestration, Automation, and Response) : Automatise certaines tâches de réponse, optimisant l'efficacité opérationnelle du SOC

2.6 Les types de SOC

TABLE 2.1 - Types de SOC et leurs caractéristiques

Type de SOC	Description	Exemple / Utilisation	SOC interne
Entièrement géré en interne par l'entreprise.	Grandes entreprises avec bud-get cybersécurité.	SOC externalisé
Géré par un prestataire de services MSSP.	PME ou entreprises sans ex-pertise interne.	SOC hybride
Combinaison: surveillance interne + services externalisés.	Bonne flexibilité pour grandes organisations.	SOC virtuel (vSOC)
Fonctionne à distance via le cloud. Pas d'infrastructure physique dé- diée.	Startups ou entreprises distri-buées.	SOC dédié (On-site)
Installé physiquement dans l'entre- prise avec équipe dédiée.	Infrastructures critiques, défense, banques.	SOC mutualisé
Un même SOC pour plusieurs enti- tés clientes (mode MSSP partagé).	Collectivités, petites struc- tures.

Objectif commun : Détection, analyse et réponse aux incidents de sécurité 24/7.

2.7 Concepts et fondamentaux

2.7.1 Journaux, événements, alertes et incidents

Pour éviter toute confusion dans la suite de ce document, les définitions des termes « journaux / enregistrements », « événements », « alerte » et « incident » sont proposées ci-dessous:

Les « journaux » ou « enregistrements » constituent la matière première (généralement à l'état brut) que le SOC devra manipuler, analyser, corréler tout au long de la journée.

Journaux/Enregistrements

Événement

Selon la norme ITIL v3, un « événement » correspond à un changement d'état suffisamment important pour être notifié à un gestionnaire du service. Ainsi, il peut s'agir d'un changement d'état normal ou, au contraire, d'un changement pour un état anormal (ex. une défaillance).

Alerte

Une alerte correspond à un événement ou à un groupe d'événements pondéré. Cette pondération est particulièrement importante puisqu'elle permet de classer les événements et de ne retenir que ceux qui atteignent ou dépassent un seuil de vigilance. Les alertes peuvent être classées en différentes catégories:

-- Faux positif: la pondération a été positionnée de façon inadaptée, rendant un événement

important à tort. Dans ce cas, le comportement du système est considéré défaillant à tort. -- Vrai positif: la détection a été correctement positionnée. Il s'agit d'une alerte qui correspond

réellement à un événement redouté ou à comportement anormal du système.

-- Faux négatif: le mécanisme de détection n'a pas correctement fonctionné et un événement qui aurait dû être identifié en tant qu'alerte n'a pas été repéré et classé. Le système est défaillant et aucune alerte n'appuie ce statut.

-- Vrai négatif: le mécanisme de détection est adapté. Le comportement du système n'est pas défaillant et aucun événement n'est identifié en tant qu'alerte à tort.

Incident

Un incident est une interruption non planifiée d'un service, une réduction de la qualité d'un service ou la défaillance d'un élément du système.

2.7.2 SIEM

La plate-forme logicielle principale du SOC est le SIEM (Security Information and Event Management). C'est un outil de gestion des évènements (ou logs) du système d'information Les SIEM (Security Information and Event Management - système de gestion des informations et des événements de sécurité) se sont imposés avec la démocratisation de la génération des journaux et des traces que produisent les différents systèmes et plus particulièrement ceux de sécurité.

2.7.3 Fonctionnement d'un SIEM

En effet, derrière le mot SIEM, il y a un ensemble de moyens techniques qui permettent:

-- la collecte des données

-- la normalisation des données

-- la corrélation et analyse

-- Alerte et investigation

FIGURE 2.2 - fonctionnement d'un SIEM

la collecte des données : Les logiciels de SIEM prennent en entrée les événements collectés du SI, les journaux système des équipements : pare-feu, routeurs, serveurs, bases de données. . . Ils permettent de prendre en compte différents formats (syslog, Traps SNMP, fichiers plats, OPSEC, formats propriétaires, etc.) ou nativement le format IDMEF (Intrusion Détection Message Exchange Format), spécialement conçu et validé par l'IETF sous forme de RFC pour partager l'information qui intéresse un système de détection et protection aux intrusions.

la normalisation des données : Les traces brutes sont stockées sans modification pour garder leur valeur juridique. On parle de valeur probante. Ces traces sont généralement copiées puis normalisées sous un format plus lisible. En effet, la normalisation permet de faire des recherches multicritères, sur un champ ou sur une date. Ce sont ces évènements qui seront enrichis avec d'autres données puis envoyés vers le moteur de corrélation.

la corrélation et analyse: La corrélation est le coeur du SIEM. Des règles pré-configurées ou personnalisées analysent en permanence les événements pour identifier des scénarios d'attaque connus. De même, une surveillance continue des accès est établie (principe du moindre privilège). Ces règles peuvent être simples (trop de connexions échouées en peu de temps) ou complexes (séquence d'actions caractéristique d'une campagne d'ingénierie sociale suivie d'une élévation de privilèges). Il est également possible de réduire le bruit en filtrant les mails (phishing/BEC).

Alerte et investigation : Lorsqu'une corrélation détecte une menace potentielle, le SIEM génère une alerte classée par niveau de criticité. Les analystes sécurité reçoivent ces alertes via l'interface du SIEM, par email ou par intégration avec des outils de ticketing.

L'interface d'investigation permet de creuser l'alerte en visualisant la chronologie des événe-

ments, en recherchant d'autres occurrences similaires et en identifiant les systèmes et utilisateurs concernés. Cette phase d'investigation détermine s'il s'agit d'un vrai positif nécessitant une réponse ou d'un faux positif à ignorer.

2.7.4 L'architecture d'un SIEM

Le schéma ci-dessous illustre l'architecture de référence SIEM.

FIGURE 2.3 - Architecture SIEM

· Les logs : La détection se fait sur la base de journaux d'évènements (logs) provenant de divers équipements du système d'information surveillé

· Les règles: Ce sont elles qui décrivent les évènements que l'on souhaite détecter. Exemples: « Un administrateur X échoue son authentification plus de cinq fois en moins de 15 secondes » ou encore « Un compte administrateur réalise une action depuis un poste situé en-dehors de la zone d'administration ».

· Les IOC (Indicator Of Compromise): Ce sont des indicateurs (noms de fichier, adresses IP, URL, etc.) permettant la création de nouvelles règles de détection plus fines et pertinentes.

· Les alertes : Souvent illustrées sous forme de « ticket » (i.e. une alerte génère un ticket contenant l'ensemble des informations utiles à l'investigation), elles permettent d'indiquer qu'une des règles implémentées dans le SIEM a été sollicitée (autrement dit, l'évènement redouté associé a eu lieu!).

2.7.5 Les types de SIEM

Les types de solutions disponibles sur le marché sont multiples et peuvent avoir des philosophies différentes.On peut distinguer plusieurs types de produits.

Nous avons entre autres:

· SIEM Cloud : Hébergé dans le cloud par un fournisseur, accessible via Internet, plus flexible et moins coûteux en matériel.

Exemple : Microsoft Sentinel.

· SIEM sur site (On-Premise) : Installé directement dans l'entreprise ou l'université et donne un contrôle total des données et des équipements.

Exemple : IBM QRadar, ArcSight.

· SIEM Hybride : Combine le SIEM local et le cloud. Permet de surveiller à la fois les infrastructures internes et les services cloud.

· SIEM Open Source : Gratuit et modifiable selon les besoins. Souvent utilisé dans les laboratoires, universités et PME.

Exemple : Wazuh, OSSIM.

· SIEM managé (Managed SIEM) : Administré par une société spécialisée en cybersécurité. L'entreprise délègue la surveillance et l'analyse des alertes à des experts.

Chapitre 3 Les phases de déploiement d'un soc

La mise en place du SOC est une démarche essentielle pour assurer la sécurité des systèmes d'in-formation face à des cybermenaces de plus en plus sophistiquées, notamment en cette ère de cloud computing et de transformation digitale. Nous distinguons trois grandes phases chronologiques pour réussir le déploiement d'un SOC.

1. La phase de cadrage et préparation (amont stratégique);

2. La phase de construction et déploiement technique (réalisation);

3. La phase d'exploitation et d'amélioration continue.

3.1 Phase de cadrage et préparation

3.1.1 Évaluation des besoins de sécurité

Tout projet SOC débute par une évaluation rigoureuse des besoins de sécurité. Cette étape vise à identifier les menaces pertinentes pour l'organisation (attaques ciblées, APT, ransomware), à cartographier les systèmes d'information critiques (serveurs, postes de travail, équipements réseau), et à recenser les obligations légales et réglementaires (RGPD, exigences ANSSI).

Sur le plan technique, cette évaluation détermine les sources de journaux (logs) à collecter. Une solution SIEM ne peut être efficace que si elle est alimentée par des données pertinentes : pare-feux, sondes IDS/IPS, antivirus, contrôleurs de domaine, applications métier, etc.

3.1.2 Définition des objectifs et du périmètre du SOC

Les objectifs doivent être formulés selon la méthode SMART (spécifiques, mesurables, attei-gnables, réalistes, temporellement définis). Par exemple : « Réduire de 40% le temps moyen de détection d'un incident de sécurité dans les 12 mois suivant la mise en production du SIEM ». Le périmètre précise quels actifs sont couverts, quels services sont fournis (détection, réaction, reporting, chasse aux menaces), et quels sont les indicateurs clés de performance (KPI) retenus. Cette étape conditionne le dimensionnement de la solution SIEM (volume de logs à traiter, capacité de corrélation).

3.1.3 Choix de la solution SIEM et des outils associés

Le choix technologique constitue une décision structurante. Il repose sur une analyse comparative prenant en compte:

· les volumes de données à ingérer (événements par seconde);

· les capacités de corrélation et de détection d'anomalies;

· l'intégration avec l'existant (orchestration, EDR, Threat Intelligence);

· le modèle de déploiement (sur site, cloud, hybride).

Une attention particulière doit être portée à l'évolutivité et à la maintenabilité de la solution, ainsi qu'aux compétences internes disponibles pour son administration.

3.2 Phase de construction et déploiement technique

3.2.1 Définition des processus SOC

Avant même l'installation technique, les processus opérationnels doivent être formalisés. Le cycle typique comprend:

· détection : collecte et corrélation des événements par le SIEM;

· qualification : analyse de la gravité et de la véracité des alertes;

· réaction: déclenchement des procédures de réponse à incident;

· reporting : remontée d'informations aux parties prenantes (analyse, direction, RSSI). Chaque processus est documenté dans un manuel des procédures, garantissant la reproductibilité des actions. La solution SIEM joue ici un rôle d'orchestration, en automatisant une partie des tâches de qualification et de reporting.

3.2.2 Constitution de l'équipe SOC et montée en compétences

Une équipe SOC se structure généralement en trois niveaux:

-- Niveau 1 : surveillance des alertes, tri et escalade;

-- Niveau 2 : investigation technique approfondie;

-- Niveau 3 : réponse aux incidents critiques et chasse aux menaces.

Le responsable SOC supervise l'ensemble et assure l'interface avec la direction. La formation

à la solution SIEM est indispensable : rédaction de requêtes, paramétrage des règles de corrélation

et exploitation des tableaux de bord.

3.2.3 Déploiement technique du SIEM et intégration

Cette étape concrétise les choix antérieurs. Un plan de déploiement par phases est établi, intégrant : l'installation des collecteurs sur les sources de logs, la configuration des parseurs (normalisation des journaux) et le paramétrage des règles de corrélation (initiale).

Des tests d'intégration et de performance sont réalisés en environnement de préproduction. On vérifie notamment la latence de traitement, la justesse des alertes, et l'absence de surcharge.

3.2.4 Pilotage initial et ajustements

Les premières semaines de fonctionnement constituent une phase de rodage. Les KPI sont suivis quotidiennement:

· volume d'alertes générées;

· taux de faux positifs;

· délai entre un événement et sa détection (time to detect);

· délai de qualification.

Les excès de faux positifs sont corrigés par affinage des règles SIEM. Les processus sont ajustés si nécessaire. Cette boucle d'optimisation précoce évite l'essoufflement de l'équipe et prépare l'exploitation de routine.

3.3 Phase d'exploitation et d'amélioration continue

3.3.1 Surveillance 24/7 et alimentation en Threat Intelligence

Un SOC efficace suppose une couverture permanente (24 heures sur 24, 7 jours sur 7). Le SIEM centralise la surveillance, mais l'humain reste indispensable pour analyser les alertes complexes. Parallèlement, la solution doit être régulièrement enrichie de renseignements sur les menaces (indicateurs de compromission, signatures d'attaques, TTP - Tactics, Techniques and Procedures). L'automatisation des tâches répétitives (playbooks) permet de libérer du temps pour l'investigation. Par exemple, le SIEM peut déclencher automatiquement une mise en quarantaine d'un hôte suspect sous réserve de validation humaine.

3.3.2 Évaluation continue des performances et audits

La performance du SOC est évaluée au moyen d'indicateurs de pilotage:

· Temps moyen de détection (MTTD - Mean Time to Detect)

· Temps moyen de réponse (MTTR - Mean Time to Respond)

· Taux de faux positifs/négatifs

· Taux de couverture des actifs critiques

Des audits de sécurité réguliers (internes ou externes) viennent valider l'efficacité du dispositif. Les résultats alimentent un plan d'amélioration continue, qui peut conduire à réviser les règles SIEM, à former l'équipe sur de nouvelles techniques d'attaque, ou à évoluer l'architecture technique.

3.3.3 Gestion des incidents et retour d'expérience

Chaque incident majeur fait l'objet d'un retour d'expérience (REX). La question centrale est : « Le SIEM a-t-il détecté l'incident? Si oui, dans quel délai? Si non, pourquoi? » Les enseignements sont traduits en nouvelles règles de corrélation, en mises à jour des procédures, ou en besoins de formation complémentaire. Cette démarche itérative transforme le SOC en un organisme apprenant, capable de s'adapter aux menaces émergentes.

Conclusion

Le déploiement d'un SOC basé sur une solution SIEM ne saurait se concevoir comme un projet linéaire et clos. Il s'articule autour de trois grandes phases - cadrage, construction, exploitation - dont les frontières sont poreuses, notamment entre les ajustements initiaux et l'amélioration continue. La solution SIEM n'est pas une fin en soi : c'est un outil au service de processus humains et organisationnels. Une fois déployée, sa valeur dépend de la qualité de son paramétrage, de la compétence des analystes, et de la capacité de l'organisation à tirer les leçons des incidents passés.

Le chapitre suivant présentera une étude de cas ou une évaluation de l'efficacité d'un tel dispositif en contexte réel.

18

Chapitre 4 Présentation de la solution

choisie (OSSIM)

Ce chapitre est consacré à la présentation de la solution OSSIM (Open Source Security Information Management). Nous y décrivons ses principales fonctionnalités, son mode de fonctionnement ainsi que son architecture générale. Nous mettons également en évidence les différents composants qui la constituent et leur rôle dans la collecte, la corrélation et l'analyse des données de sécurité.

4.1 Présentation d'AlienVault OSSIM

OSSIM (Open Source Security Information and Management) est une solution open source de sécurité des informations et de gestion des événements(SIEM). Il permet de faire la collecte d'informations provenant de divers fichiers de journalisation au sein d'une entreprise telle que les contrôles de sécurité d'entreprise, les systèmes d'exploitation et les applications. Il convertit les données collectées en format qu'il comprend. Il illustre une mise en oeuvre de la cartographie pour améliorer la détection d'intrusions. Son atout principal est que OSSIM n'est qu'un seul outil contenant plusieurs outils open source existants permettant d'avoir une meilleure gestion de la sécurité réseaux. Avec OSSIM il est possible de définir des règles de sécurité relatives à la politique de sécurité adoptée, de connaître la cartographie du réseau et de corréler les différents outils pour optimiser la supervision (réduire les faux positifs par exemple). On cherche à exploiter les caractéristiques des différents outils déjà existants pour collecter le plus d'information nécessaire pour une meilleure vision du réseau.

OSSIM assure toutes les fonctionnalités d'un SIEM qui sont : la collecte des Logs, l'agrégation, la normalisation, la corrélation, le reporting, l'archivage, l'interprétation des évènements. De plus, il intègre plusieurs outils open source tels que:

-- des détecteurs d'intrusions: Snort (NIDS), Ossec, Osiris (HIDS);

-- un détecteur de vulnérabilités : Nessus, OpenVas;

-- des détecteurs d'anomalies : Arp Watch, p0f, pads;

-- un gestionnaire de disponibilité : Nagios;

-- un outil de découverte du réseau : Nmap;

-- un inventaire de parc informatique: OCS-Inventory;

-- un analyseur de trafic en temps réel : Ntop, TCPTrack, NetFlow.

4.2 Principe de la solution OSSIM

OSSIM est une plateforme centralisée fédérant plusieurs outils open source au sein d'une infrastructure complète de supervision de sécurité. Elle a pour objectif de centraliser, d'organiser et d'améliorer la détection et l'affichage pour la surveillance des évènements liés à la sécurité du système d'information d'une entreprise. OSSIM est constitué de composants de supervision suivants :

· un panneau de contrôle;

· des moniteurs de supervision de l'activité et des risques;

· des moniteurs de supervision réseau et des consoles d'investigation.

Ces éléments s'appuient sur des mécanismes de corrélation, de gestion des priorités et d'évaluation des risques afin d'améliorer la fiabilité et la sensibilité des détections au sein de la solution.

4.3 Architecture d'OSSIM

OSSIM repose principalement sur trois composants:

-- le serveur : contenant les différents moteurs d'analyse, de corrélation et les bases de

données;

-- l'agent : prenant en charge la collecte et l'envoie des évènements au serveur OSSIM;

-- le Framework: regroupant les consoles d'administrations et les outils de configuration et

de pilotage et permettant également d'assurer la gestion des droits d'accès.

Le fonctionnement de la solution Ossim se base sur ces deux principales étapes suivantes:

Le prétraitement de l'information : géré par des équipements comme des systèmes détections d'intrusion(IDS), des sondes de collecte d'information(SENSOR) consiste à collecter les logs (fichiers dejournalisation) de toutes les machines du parc informatique et de normaliser les différents logs reçus.

Le post traitement de l'information: assuré par l'ensemble des processus interne de la solution et qui vont prendre en charge l'information brute telle quelle a été collecté pour ensuite l'analyser, la traiter et en fin la stocker dans une base de données.

Toutes ces informations collectées sont spécifiques et ne représentent qu'une petite quantité d'in-formation circulant sur le réseau de l'entreprise. La possibilité d'utiliser les informations remontées par les détecteurs en utilisant un nouveau niveau de traitement, de compléter et d'améliorer le niveau d'information est appelée : la corrélation. Son objectif est de rendre cette remontée d'information plus efficace par rapport à la quantité d'information disponible sur le réseau de l'entreprise.

Pour une meilleure compréhension du fonctionnement de notre solution, la figure suivante sera l'illustration parfaite de son fonctionnement:

4.4 Fonctionnement interne de OSSIM

FIGURE 4.1 - Fonctionnement interne d'OSSIM

Le SIEM a pour objectif de centraliser, analyser et corréler les événements de sécurité provenant des différents équipements du système d'information afin de détecter les menaces et d'assister les équipes de sécurité dans la gestion des incidents.

Le processus débute par la collecte des journaux d'événements générés par les différentes sources de données telles que les serveurs, les pare-feux et les systèmes de détection d'intrusion (IDS). Ces informations sont ensuite regroupées au niveau de la phase de consolidation, qui permet de normaliser et d'unifier les données provenant de sources hétérogènes.

Les événements consolidés sont ensuite transmis au module de centralisation, où ils sont stockés et organisés pour faciliter leur traitement. Le SIEM applique alors des mécanismes de corrélation permettant d'établir des liens entre plusieurs événements afin d'identifier des comportements anormaux ou des attaques potentielles qui ne seraient pas détectables à partir d'un événement isolé.

Après cette étape, le système procède à une évaluation des risques afin de déterminer le niveau de gravité des événements détectés. Les alertes sont ensuite classées grâce au module de gestion des priorités, qui permet de distinguer les incidents critiques des événements moins importants.

L'ensemble des données collectées ainsi que les résultats des analyses sont enregistrés dans une base de données, garantissant la conservation des journaux pour les besoins d'audit, d'investigation et de conformité réglementaire. Les alertes générées sont affichées sur le panneau de contrôle et accessibles à travers les différentes consoles de supervision, permettant aux analystes de surveiller l'état de sécurité du système d'information en temps réel.

Ainsi, le SIEM constitue une plateforme centralisée de surveillance de la sécurité capable de transformer de grandes quantités de journaux d'événements en informations exploitables, facilitant la détection précoce des cyberattaques et la prise de décision lors de la gestion des incidents de sécurité.

4.5 Fonctionnalité d'OSSIM

Dans cette sous-partie, nous énumérerons les diverses fonctionnalités qu'offrent OSSIM en les classant par niveau.

Niveau 1 : la détection par modèles (Pattern Detector) : cette méthode est depuis longtemps utilisée par les IDS (Intrusion Detection System) pour détecter les modèles d'attaque en utilisant les signatures ou des règles bien définis. La recherche de motif est ce qui permet à un NIDS de trouver le plus rapidement possible les informations dans un paquet réseau.

Niveau 2 : la détection par anomalies (Anomaly Detector) : le principe n'est pas d'indiquer au système de détection ce qui est bon et ce qui ne l'est pas. En fait, le système doit apprendre un modèle de référence qu'il considère comme une situation normale et remonter une alerte quand le comportement dévie de ce modèle de référence. C'est cette fonction qui le différencie de la détection par modèles. Par exemple, dans le cas d'une nouvelle attaque pour laquelle il n'y a toujours aucune signature qui produirait une anomalie évidente pourtant ignorée par les systèmes de détection de modèle.

Niveau 3 : la centralisation et la normalisation : La centralisation et la normalisation ont pour objectif de réunir tous les événements de sécurité au sein d'une plateforme afin de faciliter leurs manipulations. Cette plateforme permettra d'avoir une vue plus détaillée sur l'entreprise. Ainsi, grâce à l'ensemble des fonctionnalités d'OSSIM disponibles par le panneau de contrôle, il est possible d'établir des procédures pour détecter des scénarios d'attaques plus complexes et fragmentées.

Niveau 4 : la gestion des priorités : la gestion de priorités est pour ainsi dire un processus de contextualisation, en d'autres termes, l'évaluation de l'importance d'une alerte par rapport à l'environnement de l'entreprise, qui est décrit dans une base de connaissance (KDB) pour le réseau comportant : un inventaire des machines et réseaux (marques, systèmes d'exploitation, services, etc.) et la politique d'accès (si l'accès est autorisé ou interdit.. .).

Les processus de gestion des priorités dans OSSIM sont définis au niveau du framework où sont configurés les éléments suivants:

· les politiques de sécurité et des flux de données;

· inventaire du parc informatique;

· définition des alarmes;

· évaluation de la fiabilité des alertes.

Niveau 5 : l'évaluation des risques : au niveau de la solution OSSIM, l'importance d'une alerte dépend de trois principaux facteurs:

· la valeur des équipements associée à l'événement;

· le degré d'occurrence;

· l'impact de l'événement.

Niveau 6 : la corrélation est le noyau de la solution OSSIM : le mécanisme de corrélation peut donc être vu comme la possibilité d'utiliser les informations remontées par les détecteurs et en utilisant un nouveau niveau de traitement, pour compléter et améliorer le niveau d'information. Le but étant de rendre cette remontée d'information le plus efficace possible par rapport à l'étendue de la quantité d'information disponible sur le réseau d'entreprise.

En entrée, les moniteurs fournissent normalement des indicateurs et des détecteurs des alertes. En sortie nous retrouvons également l'un de ces deux éléments : alertes ou indicateurs. Les fonctions de corrélation deviennent en fait de nouveaux détecteurs et moniteurs.

Niveau 7 : les Consoles ou Moniteurs : ils ne sont considérés comme des fonctionnalités, parce qu'ils font une représentation des différents processus. Au sein d'OSSIM, on distingue différents

types moniteurs tels que:

· moniteur de risque : il montre les résultats de l'algorithme CALM.

· moniteurs d'utilisation, de session et de profil

· moniteur de chemin : permet de montrer la traçabilité des machines au niveau du réseau.

Niveau 8 : la Console d'investigation (forensic) : c'est une console qui permet de faire la recherche d'événements sur la base de données de OSSIM. Cette console est un moteur de recherche qui opère sur la base de données d'événement (EDB). Elle permet à l'administrateur d'analyser des évènements de sécurité par rapport à tous les éléments critiques du réseau à posteriori et d'une façon centralisée.

Niveau 9 : le Panneau de contrôle (Control Panel) : le panneau de contrôle permet de regarder l'état de la sécurité du réseau au niveau le plus haut. Il surveille une série d'indicateurs qui mesurent l'état de l'entreprise par rapport à la politique de sécurité mise en place. Le panneau de contrôle est le « thermomètre » général pour tout qui se produit sur le réseau. Il permet également d'accéder à tous les outils de surveillance pour inspecter n'importe quel problème qui a été identifié. La manière dont l'information est affichée dans le panneau de contrôle est importante, ainsi elle doit être aussi concise et simple que possible. Seule l'information qui est appropriée au moment qui nous intéresse doit être affichée.

Chapitre 5 Mise en oeuvre de la solution OSSIM

Après l'étude théorique des systèmes de gestion des informations et des événements de sécurité (SIEM), nous procédons à la mise en oeuvre d'une plateforme de supervision de sécurité basée sur OSSIM (Open Source Security Information Management). L'objectif principal est de centraliser la collecte des journaux de sécurité, détecter les activités suspectes et fournir une visibilité globale sur l'état de sécurité du système d'information.

5.1 Architecture

L'architecture que avons proposé possède Kali Linux jouant le rôle de la machine d'attaque; la machine Windows représentant un poste client légitime du réseau et le serveur OSSIM qui assure les fonctions de SIEM.

L'environnement de test a été réalisé sous Oracle VirtualBox. Les caractéristiques des machines sont dans le tableau suivant:

TABLE 5.1 - Machines utilisées dans l'environnement de test

Machine	Adresse IF	Rôle
OSSIM	192.168.10.10	Serveur SIEM
Windows 10	192.168.10.101	Hôte supervisé
Kali Linux	192.168.10.103	Machine d'attaque

FIGURE 5.1 - Architecture de la solution proposée

Toutes les machines sont connectées à un réseau Host-Only VirtualBox afin de permettre les communications internes nécessaires à la supervision.

5.2 Procédure d'installation d'OSSIM

Nous avons suivi les étapes suivantes pour installer OSSIM :

1. Télécharger le support d'installation : télécharger la dernière version d'AlienVault OSSIM sur : http://communities.alienvault.com

2. Démarrer le système d'installation et sélectionner le mode "Installation automatique"

4. Entrer le masque de réseau et l'adresse de la passerelle puis cliquer sur "Continuer"

FIGURE 5.2 - Page d'accueil d'OSSIM

3. Dans cette étape, on doit configurer la carte réseau. L'utilisation d'une adresse IP avec accès à Internet pendant le processus d'installation est requis. Cette adresse IP sera utilisée par l'interface de gestion. Entrer l'adresse IP et cliquer sur "Continuer"

FIGURE 5.3 - Configuration de la carte réseau

6. Une fois que l'installation est terminée, on accede à la fenêtre suivante qui demande d'entrer le login ROOT et le mot de passe pour accéder au Server OSSIM.

FIGURE 5.4 - configuration du masque réseau

5. Pour les besoins d'authentification entrer le mot de passe de l'administrateur « root » , et cliquer sur "Continuer".

FIGURE 5.5 - configuration du mot de passe de l'administrateur

FIGURE 5.6 - La page d'authentification du server OSSIM

5.3 Configuration sur le Server

Une fois accéder au server, nous sélectionnons les plugins dont nous voulons activer pour effectuer des scans de machines depuis différents outils:

· Syslog

· Ossec

· Snort

· OpenVas

· Nessus

· Nagios

· Nmap

FIGURE 5.7 - la selection des plugins à utiliser

Après avoir sélectionné les plugins,on revient sur "Apply all change" pour sauvegarder les configurations.

Redémarrer le server et rendez-vous sur le navigateur de la machine cliente, puis tapper l'adresse IP du server. Dans notre cas : https://192.168.10.10

Après connexion réussi dans l'interface web , l'assistant de configuration suivant apparaîtra

Dans certains navigateurs on sera informer qu'il ne s'agit pas d'un certificat de confiance et cliquer juste sur continuer.

Après l'acceptation de l'exception, Ossim requière les informations suivantes sur l'administrateur du server. Remplir ce formulaire pour la création du compte administrateur.

FIGURE 5.8 - les informations pour la création du compte admin

Les fenêtres suivantes apparaîtront après la création du compte admin. Entrer le nom d'utilisateur ainsi que le mot de passe administrateur pour accéder à l'interface web du server Ossim

FIGURE 5.9 - L'authentification de l'admin

pour une configuration initiale du server Ossim.

FIGURE 5.10 - assistant de configuration d'ossim

Cet assistant propose les trois options suivantes disponibles avec le server OSSIM :

1. Monitor Network : qui permet la configuration des interfaces et moniteurs pour la surveillance du trafic réseau par le server OSSIM;

2. Discover Asset: qui permet la découverte automatique des périphériques réseau présents dans l'organisation;

3. Collect Logs Monitor Asset: qui permet la collecte des journaux à partir des noeuds du réseau et la surveillance des activités suspectes.

Ensuite cliquer sur Next de la figure ci-dessus pour configurer le server OSSIM.

-- La première option ouvre une fenêtre pour la configuration des interfaces réseau (eth) pour la collecte et la surveillance des logs du server.

-- Après la configuration du réseau et de découverte de l'actif, l'étape suivante (l'option 3) est « DEPLOY HIDS » le déploiement de l'agent HIDS ( l'agent Ossec ) sur les machines

FIGURE 5.11 - configuration des interfaces eth Server OSSIM

-- Dans la deuxième étape, OSSIM effectuera la découverte automatique des actifs du réseau. Sélectionner l'option (2) ASSET DISCOVER pour préciser les types d'actifs (périphériques) découverts dans le réseau.Le type d'actif peut être Windows,Linux ou dispositifs réseaux.

FIGURE 5.12 - Découverte des actifs (périphériques ) du réseau

pour effectuer la surveillance , la détection de rootkit et la collecte des journaux ( log ) d'événements . Entrer le nom d'utilisateur / mot de passe de la machine (de l'actif) sur laquelle on doit déployer le HIDS.

-- Sélectionner l'Hôte désiré dans la liste à droite ci-dessus et cliquer sur DEPLOY pour le déploiement HIDS. Encore un fois cliquer sur le bouton « Continuer » pour lancer le processus de déploiement qui est représenté sur la figure. Ce processus prendra quelques minutes pour déployer le HIDS (ossec) sur l'hôte sélectionné.

FIGURE 5.13 - Découverte des actifs (périphériques ) du réseau

-- Après déploiement de HIDS, l'étape suivante (l'option 4) « LOG MANAGEMENT » permet de configurer l'actif précédemment découvert pour la gestion des différents journaux d'événements (logs).

-- La dernière étape dans l'assistant de configuration est de rejoindre le OTX (Open Threat Exchange) qui est le programme d'échange des menaces dans AlienVaul (optionnel). Terminer l'étape de configuration en cliquant sur « Finish ».

Le principal tableau de bord du server OSSIM est illustré ci-dessous:

FIGURE 5.14 - Tableau de bord du Server OSSIM

5.4 Déploiement de l'agent Windows

Nous allons maintenant installer et configurer l'agent OSSEC sur la machine cliente pour la corrélation:

-- LepackageOSSECAgentesttéléchargeable sur : https://www.ossec.net/ossec-downloads -- Installation et configuration de l'agent sur Windows;

Une fois l'agent connecté, celui-ci apparaît dans l'interface OSSIM avec l'état Active.

FIGURE 5.15 - Installation et configuration de l'agent ossec

-- Activer le service OSSEC sur le server OSSIM Sur le tableau de bord: ENVIRONMENT - DETECTION - AGENT - ADD AGENT

On sélectionne l'adresse IP de la machine cliente. Dans notre cas :192.168.10.101

FIGURE 5.16 - Ajout de l'agent

FIGURE 5.17 - Vérification de l'état de l'agent

5.5 Test de détection d'activité malveillante

5.5.1 Réalisation de l'attaque depuis Kali Linux

Afin de valider les capacités de détection du SIEM OSSIM, une attaque de type SYN Flood a été simulée depuis la machine Kali Linux à l'aide du module auxiliary/dos/tcp/synflood de Metasploit Framework. La cible était la machine Windows 10 sur le port TCP 80.

FIGURE 5.18 - Attaque de type SYN FLOOD depuis Kali Linux

5.5.2 Résultats dans OSSIM

La figure 5.19 montre les résultats observés dans l'interface d'OSSIM après l'exécution des tests. Le tableau des événements indique que le système a détecté plusieurs activités suspectes associées à l'outil Nmap. Ces événements ont été générés par le moteur de détection Snort intégré à OSSIM, qui a identifié lesactivités de l'attaque de type SYNFlood depuis Kali.

Les informations affichées permettent d'identifier l'adresse IP source de l'attaquant, l'adresse IP de la cible ainsi que l'horodatage précis de l'événement. Cette visibilité facilite l'analyse des incidents et permet de retracer l'origine des activités malveillantes.

FIGURE 5.19 - resultat dans OSSIM

TABLE 5.2 - Synthèse de l'attaque SYN Flood réalisée lors des tests

Élément	Valeur
Type d'attaque	SYN Flood
Catégorie	Déni de service (DoS)
Outil utilisé	Metasploit Framework
Module	auxiliary/dos/tcp/synflood
Machine attaquante	Kali Linux (192.168.10.103)
Machine cible	Windows 10 (192.168.10.101)
Port ciblé	TCP 80
Détection	Snort / OSSIM
Résultat	Génération d'alertes en temps réel

Conclusion Générale

Bilan du travail accompli

À l'heure où la transformation numérique redéfinit profondément le fonctionnement des organisations, la cybersécurité n'est plus une option réservée aux grandes entreprises ou aux institutions gouvernementales : elle est devenue une nécessité absolue pour tout organisme dont les activités reposent sur des infrastructures numériques. L'Université Numérique du Tchad, dont la mission d'enseignement à distance et de réduction de la fracture numérique s'appuie intégralement sur des systèmes d'information connectés, n'échappe pas à cette réalité. Toute défaillance de son infrastructure numérique peut avoir des conséquences directes et graves : interruption des formations en ligne, perte irrémédiable de données académiques, atteinte à la vie privée des étudiants et des enseignants, et dégradation durable de la confiance des usagers.

C'est face à ces enjeux que s'est construit ce mémoire, articulé autour d'une problématique centrale: comment mettre en place un Security Operations Center (SOC) basé sur la solution SIEM open source OSSIM afin d'améliorer la supervision, la détection des menaces et la résilience du système d'information de l'Université Numérique du Tchad?

Pour y répondre de manière rigoureuse, notre démarche a suivi une progression logique en cinq chapitres. Après avoir présenté le cadre institutionnel de l'UNT dans le premier chapitre, nous avons posé dans le deuxième chapitre les fondements théoriques du SOC et du SIEM, en définissant avec précision les notions clés de journaux, d'événements, d'alertes et d'incidents, ainsi que les différents types de solutions disponibles. Le troisième chapitre a décrit les phases stratégiques de déploiement d'un SOC, depuis le cadrage initial jusqu'à l'amélioration continue, en passant par la construction technique. Le quatrième chapitre a été consacré à une étude approfondie d'OSSIM, dont nous avons analysé l'architecture tripartite -- serveur, agent et framework --, le fonctionnement interne, les mécanismes de corrélation et l'ensemble des fonctionnalités offertes, des neuf niveaux de détection jusqu'à la console d'investigation forensique.

Enfin, le cinquième chapitre a constitué le coeur opérationnel de ce travail. Dans un environnement virtualisé sous Oracle VirtualBox, nous avons procédé à l'installation complète et à la configuration d'OSSIM, au déploiement de l'agent OSSEC sur une machine Windows 10 supervisée, puis à la validation du dispositif par une simulation réaliste d'attaque. L'attaque de type SYN Flood, lancée depuis une machine Kali Linux à l'aide du framework Metasploit, a servi de test décisif: OSSIM, par l'intermédiaire de son moteur de détection Snort, a généré des alertes de sécurité en temps réel, identifiant avec précision l'adresse source, la machine cible et le port visé.

Limites identifiées

La rigueur intellectuelle impose cependant de reconnaître les limites de ce travail. Premièrement, la mise en oeuvre a été réalisée dans un environnement de test virtuel et non directement sur l'infrastructure réelle de l'UNT, ce qui ne permet pas de mesurer les performances d'OSSIM face au volume réel de trafic et à la diversité effective des équipements de l'institution. Deuxièmement, OSSIM est une solution dont la configuration et la maintenance exigent un niveau d'expertise technique avancé et un investissement humain continu. Or, l'UNT ne dispose pas encore, à ce stade, d'une équipe SOC dédiée et formée. Troisièmement, AlienVault OSSIM, dans sa version communautaire, n'intègre pas nativement certaines fonctionnalités avancées disponibles dans des solutions commerciales, notamment l'automatisation poussée des réponses aux incidents via un outil soar.

Perspectives et recommandations

Ces limites ne diminuent en rien la valeur du travail accompli; elles en tracent au contraire les prolongements naturels. À court terme, nous recommandons de déployer la solution OSSIM sur l'infrastructure réelle de l'UNT, en commençant par les actifs les plus critiques -- les serveurs hébergeant les plateformes pédagogiques et les bases de données des étudiants.

À moyen terme, l'intégration de la plateforme OTX (Open Threat Exchange) d'AlienVault permettrait d'enrichir OSSIM avec des flux de Threat Intelligence en temps réel, renforçant ainsi sa capacité à détecter des menaces émergentes non encore connues localement. La mise en place d'une Politique de Sécurité des Systèmes d'Information (PSSI) formalisée, définissant clairement les rôles, les responsabilités et les procédures de réponse aux incidents, constituerait également une avancée décisive.

Àlong terme, le renforcement durable de la cybersécurité de l'UNT passera nécessairement par la constitution d'une équipe SOC permanente, composée d'analystes formés et organisés selon les trois niveaux d'expertise (L1, L2, L3), et par l'établissement de partenariats opérationnels avec des organismes spécialisés tels que l'ANSICE et l'ADETIC. Une telle ambition s'inscrirait pleinement dans la stratégie nationale de développement du numérique au Tchad.

Références

[1] Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI).

Guide relatif à la mise en place et à l'exploitation d'un Centre Opérationnel de Sécurité

(SOC).

Consulté sur:

https://www.ssi.gouv.fr

[2] AlienVault OSSIM.

Documentation officielle de la solution Open Source Security Information and Event

Management (OSSIM).

Consulté sur:

https://cybersecurity.att.com/products/ossim

[3] Internet Engineering Task Force (IETF).

RFC 4765 : Intrusion Detection Message Exchange Format (IDMEF). Consulté sur:

https://datatracker.ietf.org/doc/html/rfc4765

[4] National Institute of Standards and Technology (NIST).

Computer Security Incident Handling Guide (SP 800-61 Rev.2).

Consulté sur:

https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final

[5] National Institute of Standards and Technology (NIST).

Guide to Computer Security Log Management (SP 800-92).

Consulté sur:

https://csrc.nist.gov/publications/detail/sp/800-92/final

[6] Organisation Internationale de Normalisation (ISO).

Norme ISO/IEC 27001 relative au management de la sécurité de l'information. Consulté sur:

https://www.iso.org/isoiec-27001-information-security.html

[7] Université Numérique du Tchad (UNT).

Site officiel de l'Université Numérique du Tchad. Consulté sur:

https://unt.td

Bibliographie

[1] OWASP Foundation.

Open Web Application Security Project. https://owasp.org

[2] Documentation OSSIM.

Documentation officielle de la plateforme OSSIM. https://documentation.ossim.com

[3] Microsoft Sentinel.

Documentation officielle de Microsoft Sentinel. https://learn.microsoft.com/en-us/azure/sentinel

[4] IBM Security SIEM.

Security Information and Event Management Solutions.

https://www.ibm.com/security/security-information-and-event-management

[5] ENISA.

European Union Agency for Cybersecurity. https://www.enisa.europa.eu

[6] AlienVault Open Threat Exchange (OTX).

Plateforme collaborative de renseignement sur les menaces. https://otx.alienvault.com

[7] MITRE ATT&CK.

Base de connaissances sur les tactiques et techniques d'attaque. https://attack.mitre.org

[8] Snort IDS.

Système de détection d'intrusion réseau open source. https://www.snort.org

[9] OpenVAS / Greenbone.

Solution d'analyse des vulnérabilités et de gestion de la sécurité. https://www.greenbone.net

[10] Nagios.

Outil de supervision des systèmes, réseaux et services. https://www.nagios.org