En effet, derrière le mot SIEM, il y a
un ensemble de moyens techniques qui permettent:
-- la collecte des données
-- la normalisation des données
-- la corrélation et analyse
-- Alerte et investigation
FIGURE 2.2 - fonctionnement d'un SIEM
la collecte des données : Les
logiciels de SIEM prennent en entrée les événements
collectés du SI, les journaux système des équipements :
pare-feu, routeurs, serveurs, bases de données. . . Ils permettent de
prendre en compte différents formats (syslog, Traps SNMP, fichiers
plats, OPSEC, formats propriétaires, etc.) ou nativement le format IDMEF
(Intrusion Détection Message Exchange Format), spécialement
conçu et validé par l'IETF sous forme de RFC pour partager
l'information qui intéresse un système de détection et
protection aux intrusions.
la normalisation des données : Les
traces brutes sont stockées sans modification pour garder leur valeur
juridique. On parle de valeur probante. Ces traces sont
généralement copiées puis normalisées sous un
format plus lisible. En effet, la normalisation permet de faire des recherches
multicritères, sur un champ ou sur une date. Ce sont ces
évènements qui seront enrichis avec d'autres données puis
envoyés vers le moteur de corrélation.
la corrélation et analyse: La
corrélation est le coeur du SIEM. Des règles
pré-configurées ou personnalisées analysent en permanence
les événements pour identifier des scénarios d'attaque
connus. De même, une surveillance continue des accès est
établie (principe du moindre privilège). Ces règles
peuvent être simples (trop de connexions échouées en peu de
temps) ou complexes (séquence d'actions caractéristique d'une
campagne d'ingénierie sociale suivie d'une élévation de
privilèges). Il est également possible de réduire le bruit
en filtrant les mails (phishing/BEC).
Alerte et investigation : Lorsqu'une
corrélation détecte une menace potentielle, le SIEM
génère une alerte classée par niveau de criticité.
Les analystes sécurité reçoivent ces alertes via
l'interface du SIEM, par email ou par intégration avec des outils de
ticketing.
L'interface d'investigation permet de creuser l'alerte en
visualisant la chronologie des événe-
ments, en recherchant d'autres occurrences similaires et en
identifiant les systèmes et utilisateurs concernés. Cette phase
d'investigation détermine s'il s'agit d'un vrai positif
nécessitant une réponse ou d'un faux positif à ignorer.
