SIEM - Qu'est ce que c'est et à quoi ça sert ?

Dans un monde où les cyberattaques sont en constante augmentation, il est primordial de protéger les systèmes informatiques. Un des outils les plus efficaces pour ce faire est le SIEM (Security Information and Event Management).

Découvrez dans cet article l’essentiel du SIEM et comment il peut vous aider à améliorer la sécurité de votre entreprise.

Qu’est ce qu’un SIEM (Security Information & Event Management) ? Définition IT !

SIEM est l’abréviation de Security, Information, and Event Management. La technologie SIEM regroupe les données des journaux, les alertes de sécurité et les événements sur une plate-forme comprenant un tableau de bord centralisée.

L’objectif du Security Information Event Management est de fournir une analyse en temps réel pour la surveillance de la sécurité de votre environnement IT. C’est une vue d’ensemble permettant la première étape d’une protection contre les intrusions. Il sert à nous alerter en cas d’activités malveillantes selon les ordre de priorités. Le SIEM octroie alors une vrai longueur d’avance en terme de cybersécurité.

Les centres d’opérations de sécurité (SOC) reposent en grande partie sur des logiciels SIEM afin de rationaliser la visibilité sur l’activité des environnements IT de leur entreprise. Mais aussi d’examiner les données des journaux pour la réponse aux incidents de cyberattaques potentielles et de violation ou fuite de données. Enfin, cela permet de se conformer aux mandats de conformité nationaux et internationaux.

Pourquoi avoir un SIEM ?

Les logiciels SIEM collectent les données de journalisation et d’événements produites par les applications, les matériels informatiques, les réseaux, l’infrastructure et les systèmes à des fins d’analyse. L’objectif est aussi de fournir une vue globale des technologies de l’information (TI) d’une organisation.

Les solutions SIEM peuvent résider dans des environnements IT sur site ou dans le cloud. En analysant toutes les données en temps réel, les solutions SIEM utilisent des règles et des corrélations statistiques pour fournir des informations concrètes pendant les enquêtes judiciaires. La technologie SIEM examine toutes les données. Elle trie l’activité des cybermenaces en fonction de leur niveau de risque. Le but étant de fournir de l’aide aux équipes en charge de la sécurité informatique à identifier le comportement des utilisateurs et à atténuer rapidement les cyberattaques. N’oublions pas non plus, que ma menace peut venir de l’intérieur !

« Les menaces internes ne sont pas considérées avec autant de sérieux que les menaces externes, telles que les cyberattaques. Pourtant, lorsque les entreprises sont confrontées à des menaces internes, celles-ci sont beaucoup plus coûteuses que les incidents externes », explique le Dr. Larry Ponemon.

Quels sont des exemples de source de données pour un SIEM ?

Le SIEM collecte des informations via des canaux de réseau sécurisés et, entre autres, une variété de journaux liés à la sécurité, de journaux de postes de travail et de journaux d’applications (par exemple, de postes de travail clients, de serveurs, de systèmes antivirus, de dispositifs de réseau, de pots de miel, de pare-feux, d’IDS).

L’évolution des services et logiciels informatique SIEM

Le marché du SIEM existe depuis plus de 15 ans. Mais, les SIEM modernes d’aujourd’hui ont évolué par rapport à leurs homologues d’origine. Mark Nicolett et Amrit Williams ont créé le terme « SIEM » dans un rapport de recherche Gartner de 2005 intitulé Improve IT Security With Vulnerability Management. Ces anciens SIEM étaient une combinaison de méthodes de sécurité informatique intégrées dans une seule solution de gestion, notamment :

Les systèmes de gestion des journaux (LMS) : processus de collecte simple et de stockage centralisé des journaux.
Gestion des informations de sécurité (SIM) : Les SIM sont des outils de collecte automatisée des fichiers journaux pour le stockage à long terme, l’analyse et la création de rapports sur les données des journaux.
Gestion des événements de sécurité (SEM) : Technologie de surveillance et de corrélation en temps réel des systèmes et des événements ; avec notification et affichage sur la console.

Alors que les outils SIEM se sont transformés au fil du temps. Les composants de base continuent de fournir de la valeur. Mais les technologies innovantes dans le paysage concurrentiel ont ouvert la voie à des approches plus complètes et plus avancées pour réduire les risques dans une entreprise. Cela a conduit les fournisseurs de SIEM à lancer de nouvelles fonctionnalités qui ont permis de qualifier ces produits améliorés de solutions « SIEM de nouvelle génération ».

Comment choisir un SIEM ?

Pour choisir la solution SIEM idéale, des facteurs clés tels que l’évolutivité, la compatibilité, la surveillance en temps réel, le stockage des données et la facilité de déploiement doivent être pris en compte.

SIEM nouvelle génération vs. SIEM

Quelles sont les principales différences entre les solutions SIEM traditionnelles et les SIEM de nouvelle génération ?

À la base, les deux solutions ont des fonctionnalités similaires. Mais les SIEM traditionnels ne peuvent pas gérer le volume croissant et la complexité des données dans le paysage actuel des menaces. Avec l’augmentation de l’adoption du cloud, des technologies mobiles, des centres de données hybrides et des effectifs distants, les SIEM de nouvelle génération sont beaucoup plus adaptés pour répondre à la demande croissante de détection des menaces et de réponse à travers des systèmes disparates.

Les solutions SIEM next-gen offrent de nouvelles capacités pour améliorer la visibilité de la sécurité et la détection des menaces ; tout en rationalisant le processus de gestion de la charge de travail des équipes en charge de la sécurité. Voici quelques-uns des principaux composants d’une solution SIEM de nouvelle génération :

Une architecture ouverte et évolutive : Capacité à rationaliser les données provenant de systèmes disparates à travers les technologies sur site, dans le cloud et mobiles, en une seule entité.
Outils de visualisation en temps réel : Fonctionnalités qui aident les équipes de sécurité à visualiser les événements de sécurité connexes afin de décrire avec précision les incidents liés aux menaces.
Architecture Big Data : Capacité à collecter et à gérer des ensembles de données volumineux et complexes pour l’indexation et la recherche structurée et non structurée.
Analyse du comportement des utilisateurs et des entités (UEBA) : Solution permettant une surveillance des utilisateurs, les changements de comportement dans les données, afin de détecter les comportements anormaux lorsqu’il y a des déviations par rapport aux modèles « normaux ».
Sécurité, orchestration et réponse automatique (SOAR) : Technologie qui automatise les actions routinières et manuelles des analystes afin d’augmenter l’efficacité opérationnelle tout au long du processus de réponse aux incidents.

Avantages de la technologie SIEM

Selon la solution et le fournisseur, les composants SIEM peuvent offrir une grande variété d’avantages qui contribuent à améliorer la posture de sécurité globale ; et notamment :

Visibilité en temps réel dans tout l’environnement ;
Solution de gestion centrale pour des systèmes et des données de logs disparates ;
Moins de fausses alertes positives ;
Réduction du temps moyen de détection (MTTD) et du temps moyen de réponse (MTTR) ;
Collecte et normalisation des données pour permettre une analyse précise et fiable ;
Facilité d’accès et de recherche dans les données brutes et analysées ;
Capacité à mettre en correspondance les opérations avec les cadres existants tels que MITRE ATT&CK ;
Garantie du respect de la conformité grâce à une visibilité en temps réel et à des modules de conformité préétablis ;
Tableaux de bord personnalisés et rapports efficaces.

Les limites du fonctionnement SIEM

Malgré leurs nombreux avantages, les SIEM ne sont pas des solutions parfaites pour les défis auxquels sont confrontés les analystes SOC. Voici quelques-unes des principales limites des SIEM :

Configuration et intégration : Une solution SIEM est conçue pour se connecter à une variété de points d’extrémité et de solutions de sécurité au sein du réseau informatique d’une entreprise. Avant que le SIEM puisse apporter une valeur ajoutée à l’organisation, ces connexions doivent être configurées. Cela signifie que les analystes SOC passeront probablement beaucoup de temps à configurer et à intégrer une solution SIEM à leur architecture de sécurité existante. Ce qui les empêchera de détecter et de répondre aux menaces actives sur le réseau.
Détection basée sur des règles : Les solutions SIEM sont capables de détecter automatiquement certains types d’attaques sur la base des données qu’elles ingèrent. Cependant, ces capacités de détection des menaces sont en grande partie basées sur des règles. Cela signifie que, si un SIEM peut être très efficace pour identifier certains types de menaces, il est susceptible de négliger les attaques nouvelles ou qui ne correspondent pas à un modèle établi. Le machine learning est donc de plus en plus utilisé.
Pas de validation des alertes : Les solutions SIEM collectent des données à partir d’un ensemble de solutions sur le réseau d’une organisation. Elles utilisent ces données pour détecter les menaces. Sur la base des données collectées et de leur analyse, les SIEM peuvent générer des alertes concernant des menaces potentielles. Cependant, aucune validation de ces alertes n’est effectuée. Ce qui signifie que les alertes du SIEM, bien que potentiellement de meilleure qualité et plus contextuelles que les données et les alertes qu’il ingère, peuvent toujours contenir des détections faussement positives.

Comment tirer le meilleur parti d’une solution SIEM ?

Qu’il s’agisse de petites équipes SOC ou de grands départements informatiques mondiaux, les entreprises utilisent des solutions SIEM pour rationaliser la détection et la réponse aux menaces. L’objectif étant de réduire de manière mesurable les risques pour l’entreprise. Cependant, de nombreuses technologies SIEM sont gourmandes en ressources. Alors, leur mise en œuvre et leur gestion nécessitent un personnel expérimenté ou des services supplémentaires de support et de formation.

Avant d’investir dans un SIEM, rassemblez les besoins de votre entreprise. Ensuite, évaluez vos objectifs et priorités en matière de sécurité. Il peut s’agir d’un investissement initial, mais le logiciel SIEM aide les équipes en charge de la sécurité à se conformer et à atténuer les risques rapidement. Ce qui évite à l’entreprise d’importantes implications financières et des problèmes de légalité si une violation devait se produire.

Lors du choix d’une solution SIEM, assurez-vous de comprendre comment les modèles de licence déterminent le véritable coût total de possession (TCO). Aussi, tenez compte de la croissance future, car votre entreprise peut se développer au fil des ans. Il est essentiel de trouver un fournisseur de confiance qui s’aligne sur les besoins de votre entreprise pour une évolutivité à long terme ; tout en aidant votre équipe à déployer efficacement une solution rapidement pour obtenir le meilleur retour sur investissement.

Le rôle du SIEM dans le SOC (Cybersecurity operations center)

Les analystes SOC ont besoin d’une variété d’outils pour remplir leur rôle efficacement. Ils doivent avoir une visibilité approfondie de tous les systèmes qu’ils protègent et être en mesure de détecter, de prévenir et de remédier à un large éventail de menaces potentielles.

La complexité des réseaux et des architectures de sécurité sur lesquels travaillent les analystes SOC peut être écrasante. Les SOC reçoivent généralement des dizaines ou des centaines de milliers d’alertes de sécurité en une seule journée. C’est bien plus que ce que la plupart des équipes de sécurité sont capables de gérer efficacement.

Une solution de gestion des informations et des événements de sécurité (SIEM) a pour but de soulager les analystes SOC d’une partie de cette charge. Les solutions Security Information Event Management regroupent les données de log provenant de plusieurs sources et utilisent l’analyse des données de log pour identifier les menaces les plus probables. Les analystes SOC peuvent ainsi concentrer leurs efforts sur les événements les plus susceptibles de constituer une véritable attaque contre leurs systèmes.

Le SIEM joue donc un rôle très important dans le SOC.

Besoin d’un SIEM ou d’un SOC ?
Un devis ?

A quoi sert le SOC ?

Préparation, planification et prévention

Inventaire des actifs : Un SOC doit tenir un inventaire exhaustif de tout ce qui doit être protégé, à l’intérieur ou à l’extérieur du centre de données. Par exemple : les applications, bases de données, serveurs, services clouds, points d’extrémité, etc. Les SOC inventorient aussi tous les outils utilisés pour les protéger (firewall ou Next Gen Firewall, outils antivirus professionnels/anti-malware/anti-ransomware, logiciels de surveillance, etc.). De nombreux SOC utiliseront une solution de découverte des actifs pour cette tâche.
Maintenance et préparation de routine : Pour maximiser l’efficacité des outils et des mesures de sécurité en place, le Security Operation Center effectue une maintenance préventive. Notamment l’application de correctifs et de mises à jour de logiciels, et la mise à jour continue des pare-feu, des listes blanches et noires, et des politiques et procédures de sécurité. Le centre opérationnel de sécurité peut également créer des sauvegardes du système. Ou alors, aider à créer une politique ou des procédures de sauvegarde. Le but étant d’assurer la continuité des activités en cas de violation potentielles des données, d’attaque par ransomware ou d’autre incident de cybersécurité.
Planification de la réponse aux incidents : Le SOC est chargé d’élaborer le plan de réponse aux incidents de l’organisation. Il définit alors les activités, les rôles et les responsabilités en cas de menace ou d’incident, ainsi que les paramètres permettant de mesurer le succès de la réponse aux incidents.
Tests réguliers : L’équipe du centre opérationnel de sécurité effectue des évaluations de vulnérabilité. Mais aussi des évaluations complètes qui identifient la vulnérabilité de chaque ressource aux menaces potentielles ; ainsi que les coûts associés. Elle effectue également des tests de pénétration (pentests) qui simulent des attaques spécifiques sur un ou plusieurs systèmes. Sur la base des résultats de ces tests, l’équipe corrige ou affine les applications, les politiques de sécurité, les meilleures pratiques et les plans de réponse aux incidents.
Rester à jour : Le SOC se tient au courant des dernières solutions et technologies de sécurité, ainsi que des dernières informations sur les menaces. Mais également les nouvelles et informations sur les cyberattaques et les pirates qui les commettent, recueillies dans les médias sociaux, les sources industrielles et le dark web.

Surveillance, détection et réponse

Surveillance continue de la sécurité, 24 heures sur 24. Le SOC surveille l’ensemble de l’infrastructure informatique étendue. Mais aussi les applications, serveurs, logiciels système, dispositifs informatiques, charges de travail en cloud, réseau. En activité 24 heures sur 24, 7 jours sur 7 et 365 jours par an, à la recherche de signes d’exploits connus et de toute activité suspecte.

Pour de nombreux SOC, la technologie principale de surveillance, de détection et de réponse est la gestion des informations et des événements de sécurité, ou SIEM. Le SIEM surveille et regroupe les alertes et la télémétrie provenant des logiciels et du matériel du réseau en temps réel, puis analyse les données pour identifier les menaces potentielles. Plus récemment, certains SOC ont également adopté la technologie de détection et de réponse étendue (XDR), qui fournit une télémétrie et une surveillance plus détaillées ; ainsi que la possibilité d’automatiser la détection et la réponse aux incidents.

Gestion des journaux : La collecte et l’analyse des données de journal générées par chaque événement du réseau est un sous-ensemble de la surveillance qui est suffisamment important pour avoir son propre paragraphe. Si la plupart des services informatiques collectent les données des journaux, c’est l’analyse qui permet de déterminer l’activité normale ou de base et de révéler les anomalies qui indiquent une activité suspecte. En fait, de nombreux pirates informatiques comptent sur le fait que les entreprises n’analysent pas toujours les données des journaux. Cela permet alors à leurs virus et logiciels malveillants de fonctionner sans être détectés pendant des semaines, voire des mois, sur les systèmes des victimes. La plupart des outils SIEM incluent une capacité de gestion des journaux.
Détection des menaces : L’équipe du centre d’opérations de sécurité fait la part des choses entre les signaux et le bruit. Les indications de cybermenaces réelles et d’exploits de pirates et les faux positifs. Puis elle trie les menaces en fonction de leur gravité. Les solutions SIEM modernes intègrent une intelligence artificielle (IA) qui automatise ces processus et « apprend » à partir des données pour mieux repérer les activités suspectes au fil du temps. C’est ce qu’on appelle la technologie de machine learning ; ou apprentissage automatique.
Réponse aux incidents : En réponse à une menace ou à un incident réel, le SOC prend des mesures pour limiter les dégâts. Les prises de décisions peuvent inclure :
- La recherche des causes profondes, pour déterminer les vulnérabilités techniques qui ont permis aux pirates d’accéder au système ; ainsi que d’autres facteurs (tels qu’une mauvaise hygiène des mots de passe ou une mauvaise application des politiques) qui ont contribué à l’incident.
- Fermeture des points d’extrémité compromis ou déconnexion du réseau ;
- Isolation des zones compromises du réseau ou réacheminement du trafic réseau ;
- Suspendre ou arrêter les applications ou processus compromis ;
- Suppression des fichiers endommagés ou infectés ;
- Exécution d’un logiciel antivirus professionnel ou anti-malware ;
- Désactiver les mots de passe des utilisateurs internes et externes.

De nombreuses solutions XDR permettent aux SOC d’automatiser et d’accélérer ces réponses et d’autres réponses aux incidents.

Récupération, affinage et conformité

Une fois l’incident maîtrisé, le SOC éradique la menace. Ensuite, il s’efforce de remettre les actifs touchés dans l’état où ils se trouvaient avant l’incident. Par exemple, effacer, restaurer et reconnecter les disques, les appareils des utilisateurs finaux et autres points d’extrémité, rétablir le trafic réseau, redémarrer les applications et les processus.

Dans le cas d’utilisation lors d’une violation de données ou d’une attaque par ransomware, la récupération peut également impliquer le passage à des systèmes de sauvegarde et la réinitialisation des mots de passe et des identifiants d’authentification.

Pour éviter que l’incident ne se reproduise, le SOC utilise les nouveaux renseignements obtenus à la suite de l’incident pour mieux traiter les vulnérabilités. Mais également mettre à jour les processus et les politiques, choisir de nouveaux outils de cybersécurité ou réviser le plan de réponse aux incidents. À un niveau supérieur, l’équipe SOC peut également essayer de déterminer si l’incident révèle une tendance nouvelle ou changeante en matière de cybersécurité à laquelle l’équipe doit se préparer.

Vous cherchez une solution SOC et SIEM pour votre entreprise ? Contactez-nous ! Retrouvez aussi plus d’informations dans notre glossaire de la cybersécurité.

Questions fréquemment posées : ce qu’il se cache derrière tous ces acronymes

XDR ou SIEM

Le SIEM agit comme un magasin de données central pour l’organisation de la sécurité, prenant en charge le stockage à long terme, tandis que le XDR accède généralement aux données d’autres sources et les stocke temporairement pour l’analyse. Le SIEM peut être installé sur site ou dans le cloud, tandis que le XDR est principalement disponible dans le cloud.

SOAR vs SIEM

Le SIEM se concentre sur l’émission d’alertes sur la base de règles prédéfinies ou de techniques de corrélation. Ces alertes sont ensuite examinées manuellement par les analystes de sécurité. Heureusement, SOAR automatise le processus d’investigation en exécutant des playbooks ou des workflows de réponse lorsqu’une alerte est déclenchée. L’acronyme SOAR signifie Security Orchestration Automation and Response.

Quel SIEM choisir ?

Le choix du déploiement d’un SIEM dépend de vos besoins et de votre budget. Pour trouver le meilleur outil SIEM, vous devez considérer les fonctionnalités et la facilité d’utilisation.

C’est quoi le FortiSIEM ?

FortiSIEM de Fortinet rassemble visibilité, corrélation, réponse automatisée et remédiation dans une solution unique et évolutive. Il réduit la complexité de la gestion des opérations de réseau et de sécurité pour libérer efficacement des ressources, améliorer la détection des violations et même prévenir les violations.

Contactez EXTER pour profiter de nos solutions SIEM intégrées à notre outil CSOC.

DEVIS EXTER GRATUIT

Recevez votre devis personnalisé dans la journée

Dites-nous ce qu'il vous faut, on s'occupe de tout !

Demander un devis