Centralisation des logs : pourquoi et comment le faire ?
Présentation
Dans cet article, nous allons aborder le sujet des journaux d’évènement et leur centralisation. Il s’agit d’un élément central de la sécurité du système d’information, puisqu’une grande partie des activités de nos systèmes et applications se traduisent en journaux d’évènement.
Événement, log, journal et centralisation
Un log ou journal, qu’est-ce que c’est ?
Au sein d’un système d’information, chaque action ou opération génère un évènement, aussi appelé log : une trace écrite de l’activité du système. Il s’agit donc de la notification d’un événement d’une importance plus ou moins élevée enregistrée par un service, un système, un équipement réseau ou une application. Ces journaux d’événement sont horodatés et permettent tout simplement d’historiser et retracer les actions et la vie d’un système.
Ces journaux d’événements, souvent dispersés sur différents serveurs, applications ou équipements réseau, contiennent des informations précieuses pour assurer la sécurité et la bonne gestion du système d’information.
Les journaux d’évènement permettent donc de savoir ce qu’il s’est passé à une date et une heure précise sur un équipement, un système ou une application pour :
- Expliquer une erreur, un comportement anormal ou un crash.
- Retracer l’activité d’un utilisateur, d’une session, d’une application, d’un paquet sur un réseau, etc.
- Comprendre le fonctionnement d’une application, d’un protocole, d’un système comme les étapes de démarrage d’un service SSH sous Linux.
- Être notifié d’un comportement, d’une action, d’une modification tel qu’une extinction ou un démarrage système.
Aujourd’hui, la grande majorité des systèmes, applications et éléments réseau produisent des logs. Dans la quasi-totalité des cas, ces logs sont stockés de manière locale sur la machine.
Pour mieux comprendre, voici un exemple d’évènement Windows visualisé dans l’Observateur d’évènements :
Centralisation des logs : de quoi parle-t-on ?
Dans ce contexte, la centralisation des logs consiste à dupliquer l’ensemble des journaux des systèmes, applications et services de notre système d’information et d’en envoyer une copie sur un système ou une plateforme dédiée.
À quoi sert la centralisation, pourquoi centraliser les logs ?
Un outil de sécurité et d’alerte
La multiplicité des systèmes, des formats de logs et des types d’évènements générés rendent très complexe, voire impossible, la gestion de la cybersécurité au sein d’un système d’information sans centralisation des journaux d’évènements. Lors d’une intrusion, un attaquant peut tenter d’exploiter une vulnérabilité sur un système A, déposer un ransowmare sur un système B, puis compromettre un compte administrateur sur l’Active Directory en quelques minutes.
La corrélation en cybersécurité consiste à analyser et relier des événements provenant de différentes sources pour identifier des patterns ou des activités suspectes.
En centralisant les journaux d’évènement sur un même système, nous pourrons avoir une vue globale et unifiée des évènements de différents systèmes.
Faciliter la recherche de menace et les investigations numériques
Les investigations numériques (forensic) et la recherche de menace sont grandement facilitées par la centralisation des logs. Il devient possible de retracer précisément le parcours d’un attaquant sur plusieurs équipements au sein du système d’information.
Un outil d’archivage et de diagnostic
La centralisation des logs peut aussi avoir plusieurs intérêts techniques, voire légaux. Elle garantit la survie des logs à une suppression et facilite la conformité réglementaire.
Vous trouverez également de nombreux guides de bonnes pratiques sur le site du CIS ou encore sur les sites officiels des systèmes, équipements et applications que vous souhaitez surveiller.
Source : www.it-connect.fr
