Security information and event management
Outils
Général
Imprimer / exporter
La mise en forme de cet article est à améliorer ().
La mise en forme du texte ne suit pas les recommandations de Wikipédia : il faut le « wikifier ».
Le Security Information and Event Management (SIEM, « gestion des événements et des informations de sécurité »[1]), est un domaine de la sécurité informatique, au sein duquel les produits et services logiciels combinent la gestion des informations de sécurité (SIM) et la gestion des événements de sécurité (SEM). Ils fournissent ainsi une analyse en temps réel des alertes de sécurité générées par les applications et le matériel réseau.
Les SIEM sont vendus sous forme logicielle, matérielle ou sous forme de services gérés. Ces produits sont également utilisés pour enregistrer les données de sécurité et générer des rapports à des fins de conformité[2].
Le terme et le sigle SIEM est inventé par Mark Nicolett et Amrit Williams de Gartner en 2005[3].
Les SIEM sont des outils essentiels dans le paysage de la cybersécurité moderne. Leur histoire reflète l'évolution des défis de sécurité et des besoins des entreprises pour gérer et répondre aux menaces informatiques. Voici un aperçu de l'historique des SIEM :
Le SIEM permet : la collecte des données, leur normalisation, leur agrégation, la recherche de corrélation, le reporting, l'archivage, le rejeu des événements.
Les logiciels de SIEM prennent en entrée les événements collectés du SI, les journaux système des équipements : pare-feux, routeurs, serveurs, bases de données… Ils permettent de prendre en compte différents formats (syslog, Traps SNMP, fichiers plats, OPSEC, formats propriétaires, etc.) ou nativement le format IDMEF (Intrusion Detection Message Exchange Format), spécialement conçu et validé par l'IETF sous forme de RFC pour partager l'information qui intéresse un système de détection et de protection contre les intrusions.
La collecte peut se faire de façon passive, en écoutant simplement les échanges sur le(s) réseau(x), ou de façon active, en mettant en place des agents directement sur les équipements ou à distance. Les solutions permettent également de développer des collecteurs pour prendre en compte des nouveaux formats de journaux systèmes : API, expression rationnelle…
Les traces brutes sont stockées sans modification pour garder leur valeur juridique. On parle de valeur probante.
Ces traces sont généralement copiées puis normalisées sous un format plus lisible. En effet, la normalisation permet de faire des recherches multi-critères, sur un champ ou sur une date. Ce sont ces événements qui seront enrichis avec d'autres données puis envoyés vers le moteur de corrélation.
Plusieurs règles de filtrage peuvent être appliquées. Ils sont ensuite agrégés selon les solutions, puis envoyés vers le moteur de corrélation.
La fonction de corrélation est une composante essentielle des outils SIEM qui permet de détecter les modèles d'activité suspecte ou malveillante au sein des vastes quantités de données de sécurité collectées. En utilisant des algorithmes sophistiqués, les SIEM analysent en temps réel les événements et les données provenant de multiples sources, tels que les journaux système, les flux de données réseau, les journaux d'applications, et plus encore.
La corrélation permet de lier et de contextualiser ces événements en identifiant des séquences d'actions qui pourraient indiquer une attaque ou une violation de sécurité. Par exemple, une série d'événements apparemment anodins tels que des tentatives de connexion infructueuses suivies de l'accès à des fichiers sensibles pourrait déclencher une alerte de corrélation.
En mettant en relation les événements apparemment disparates, la corrélation permet aux équipes de sécurité de détecter plus rapidement les menaces potentielles et de prendre des mesures correctives avant qu'elles ne causent des dommages significatifs.
Les SIEM permettent également de créer et générer des tableaux de bord et des rapports. Ainsi, les différents acteurs du SI, RSSI, administrateurs, utilisateurs peuvent avoir une visibilité sur le SI (nombre d'attaques, nombre d'alertes par jour…).
Les solutions SIEM sont utilisées également pour des raisons juridiques et réglementaires. Un archivage à valeur probante permet de garantir l'intégrité des traces.
Les solutions peuvent utiliser des disques en RAID, calculer l'empreinte, utiliser du chiffrement ou autre pour garantir l'intégrité des traces.
La majorité des solutions permettent également de rejouer les anciens événements pour mener des enquêtes post-incident. Il est également possible de modifier une règle et de rejouer les événements pour voir son comportement.
Les acronymes SEM, SIM et SIEM sont parfois utilisés de manière interchangeable[4], mais font généralement référence aux différents objectifs principaux des produits :
En pratique, de nombreuses solutions de cyber sécurité mélangent ces fonctions, il y a donc souvent un chevauchement et de nombreux fournisseurs promeuvent leur propre terminologie[9]. Souvent, les fournisseurs commerciaux proposent différentes combinaisons de ces fonctionnalités qui tendent à améliorer le SIEM dans son ensemble. La gestion des journaux à elle seule ne fournit pas d'informations en temps réel sur la sécurité du réseau, le SEM à lui seul ne fournira pas de données complètes pour une analyse approfondie des menaces. Lorsque le SEM et la gestion des journaux sont combinés, plus d'informations sont disponibles pour que SIEM puisse les surveiller[10].
Les architectures SIEM peuvent varier selon le fournisseur, généralement, les composants essentiels sont les suivants[11] :