Qu'est-ce que SIEM (gestion des informations et des événements de sécurité) ?

Système qui collecte en un seul endroit les journaux des pare-feux, des serveurs, de l'EDR, des services cloud, de l'infrastructure d'authentification, etc., en harmonise les formats et les horodatages, détecte les attaques présumées à l'aide de règles combinant plusieurs événements (analyse de corrélation) et les présente sous forme d'alertes. Il sert aussi à rechercher dans les journaux lors des investigations et à conserver les journaux longtemps comme l'exige la réglementation. C'est l'un des outils centraux qu'utilisent pour la surveillance les analystes d'un centre des opérations de sécurité (SOC).

Nom japonais: SIEM(セキュリティ情報イベント管理)

« SIEM (gestion des informations et des événements de sécurité) » apparaît dans 2 questions d'entraînement réparties sur 1 thèmes, dont Cyberattaques et défense en pratique.

Domaine: Cyberattaques et défense en pratique

Un exemple de corrélation

Des événements qu'on ne peut pas juger à partir d'un seul journal deviennent plus suspects une fois combinés. Par exemple, un enchaînement comme « de nombreux échecs de connexion pour un même compte en peu de temps, suivis immédiatement d'une connexion réussie depuis un pays inhabituel, puis du téléchargement d'un grand nombre de fichiers » est regroupé en une seule alerte.

La gestion des journaux comme prérequis

La qualité de la détection et de l'investigation dépend de la qualité des journaux collectés. Collecter les journaux nécessaires sans lacune, synchroniser les horloges de tous les équipements par NTP et conserver les journaux de façon protégée contre la falsification pendant une durée fixée (comme celle qu'exigent la réglementation ou les contrats) sont des prérequis. Comme le coût croît avec le volume des journaux, on décide de ce qu'il faut collecter selon l'objectif.

Réglage des alertes

Des règles trop larges produisent des masses de faux positifs et font que les analystes manquent les vraies attaques (fatigue des alertes). Ajuster les règles à l'environnement et automatiser les vérifications courantes avec le SOAR permet aux analystes de se concentrer sur les alertes importantes.

S'entraîner : questions sur SIEM (gestion des informations et des événements de sécurité)

Quelle association entre SIEM, SOAR et SOC et leur rôle dans la surveillance de la sécurité est correcte ?

ALe SIEM est un logiciel qui enregistre le comportement des terminaux, le SOAR un équipement qui chiffre le trafic, et le SOC un identifiant attribué aux vulnérabilités
BLe SIEM exécute automatiquement les procédures de réponse, le SOAR collecte et analyse les journaux de chaque équipement, et le SOC est l'équipe de développement qui traite les vulnérabilités des produits
CLe SIEM collecte et corrèle les journaux de nombreux équipements, le SOAR exécute automatiquement les procédures de réponse (playbooks), et le SOC est l'équipe qui les utilise pour la surveillance

Afficher la réponse et l'explication

Réponse : C. Le SIEM collecte et corrèle les journaux de nombreux équipements, le SOAR exécute automatiquement les procédures de réponse (playbooks), et le SOC est l'équipe qui les utilise pour la surveillance

Le SIEM (gestion des informations et des événements de sécurité) collecte en un seul endroit les journaux des pare-feux, serveurs, EDR, services cloud, etc., aligne leurs horodatages et présente les attaques présumées sous forme d'alertes à l'aide de règles combinant plusieurs événements (analyse de corrélation). Le SOAR (orchestration, automatisation et réponse de sécurité) exécute automatiquement, en réponse aux alertes, des procédures établies sous forme de playbooks, comme la collecte d'informations, l'isolement d'appareils et la désactivation de comptes, ce qui allège le travail des analystes. Le SOC (centre des opérations de sécurité) est l'équipe qui utilise ces outils pour surveiller, analyser les alertes, déterminer s'il s'agit d'un incident et le signaler ; il fonctionne souvent 24 heures sur 24. Le traitement des incidents identifiés par le SOC est généralement mené par le CSIRT.

Dans un SOC, le SIEM émet 1440 alertes par jour, réparties uniformément sur la journée. Le traitement automatisé du SOAR traite 75 % des alertes sans vérification par un analyste, et chacune des alertes restantes demande en moyenne 10 minutes de travail d'un analyste. En supposant que les analystes puissent travailler sans pause, quel est le nombre minimal d'analystes qui doivent être en poste en permanence pour suivre le rythme d'arrivée des alertes ?

A2 analystes
B3 analystes
C10 analystes

Afficher la réponse et l'explication

Réponse : B. 3 analystes

Les alertes que vérifient les analystes sont au nombre de 1440 × (1 − 0,75) = 360 par jour, soit 360 ÷ 24 = 15 par heure. Un analyste peut traiter 60 ÷ 10 = 6 alertes par heure ; le nombre nécessaire est donc 15 ÷ 6 = 2,5, arrondi au supérieur à 3. Sans le traitement automatisé du SOAR, il y aurait 60 alertes par heure, ce qui demanderait 60 ÷ 6 = 10 analystes. En pratique, il y a des pauses et d'autres tâches, et le nombre d'alertes varie selon l'heure de la journée ; on fixe donc l'effectif avec une marge sur le taux d'occupation.

Questions fréquentes

En quoi le SIEM et le SOAR diffèrent-ils ?

Le SIEM collecte et analyse les journaux pour trouver les attaques présumées. Le SOAR exécute automatiquement, en réponse aux alertes trouvées, des procédures établies (playbooks) comme la collecte d'informations ou l'isolement d'un appareil. Certains produits offrent les deux fonctions ensemble.

Un SIEM arrête-t-il automatiquement les attaques ?

Le SIEM lui-même sert surtout à la détection et à l'investigation, et il ne bloque pas le trafic. Arrêter une attaque est le rôle des réponses automatisées du SOAR, d'équipements comme l'EDR et les pare-feux, et des personnes qui prennent les décisions.

« SIEM (gestion des informations et des événements de sécurité) » dans les explications

Le SIEM (gestion des informations et des événements de sécurité) collecte en un seul endroit les journaux des pare-feux, serveurs, EDR, services cloud, etc., aligne leurs horodatages et présente les attaques présumées sous forme d'alertes à l'aide de règles combinant plusieurs événements (analyse de corrélation).
Quelle association entre SIEM, SOAR et SOC et leur rôle dan…

Questions mentionnant « SIEM (gestion des informations et des événements de sécurité) » (2)

Termes associés

EDR (endpoint detection and response) Centre des opérations de sécurité Attaque par la chaîne d'approvisionnement Cyber Kill Chain Indicateur de compromission (IoC) Investigation numérique (forensique) MITRE ATT&CK Mouvement latéral (lateral movement) Réponse aux incidents SBOM (nomenclature logicielle)

Retour au glossaire