Principes de base des logiciels de surveillance des journaux d'événements et d'audit des logs

Les journaux d'événements peuvent vous aider à repérer et à dépanner les événements de sécurité afin de protéger vos systèmes et vos données. Cependant, les enregistrements de journal peuvent être difficiles à lire, et les journaux si bruyants que vous devez souvent passer au peigne fin des pages d'événements pour identifier les événements critiques et les menaces potentielles.

Continuez à lire pour en savoir plus sur les journaux d'audit, l'analyse des journaux et les logiciels d'audit des journaux.

Qu'est-ce qu'un journal d'audit ?

Un journal d'audit est un registre des modifications et des événements dans les systèmes informatiques. De nombreuses applications, services, systèmes d'exploitation et périphériques réseau génèrent des journaux d'événements ; par exemple, les journaux d'événements Microsoft Windows et Syslog. Les responsables et administrateurs informatiques utilisent les journaux d'audit pour repérer les activités suspectes et enquêter sur les incidents.

Le format des données de journal peut varier considérablement d'une source à l'autre, mais les journaux capturent généralement les événements en enregistrant :

• Le moment où l'événement s'est produit
• Détails sur ce qui s'est passé et où
• Informations sur l'utilisateur qui a provoqué l'événement
• Détails sur la réaction du système, incluant des messages tels que « Audit Failure », « Request accepted » ou « Access denied ».

Maintenir une bonne piste d'audit est tellement important que le Center for Internet Security (CIS) répertorie la gestion des journaux comme l'un de ses contrôles de sécurité critiques. De plus, de nombreuses normes et réglementations — telles que le Payment Card Industry Data Security Standard (PCI DSS), la Health Insurance Portability and Accountability Act (HIPAA), la Sarbanes-Oxley (SOX) Act et le Gramm-Leach-Bliley Act— exigent des entreprises de créer et de conserver des journaux d'audit pour la conformité, et peuvent nécessiter de couvrir des catégories spécifiques d'événements. Par exemple, le PCI DSS exige la surveillance de l'accès aux données des titulaires de carte, et diverses lois sur la confidentialité des données des consommateurs réglementent la manière dont les entreprises collectent, stockent et partagent les données des clients.

Qu'est-ce qui est impliqué dans la surveillance des journaux d'audit ?

La surveillance des journaux d'audit consiste généralement en les étapes suivantes :

1. Collecte de journaux

La première étape de la surveillance des journaux d'événements consiste à décider :

• Quels ordinateurs, logiciels, appareils et autres systèmes pour collecter des événements
• Quels paramètres utiliser pour chaque journal, comme savoir s'il faut utiliser la taille de journal par défaut
• Comment les données seront stockées et collectées
• À quoi devraient ressembler les paramètres d'heure normalisés (source et fuseau horaire)

Bien qu'il puisse sembler judicieux de collecter toutes les informations de toutes les sources, cette stratégie peut s'avérer coûteuse en raison de la nécessité de stocker et de traiter d'énormes quantités de données. Au lieu de cela, les organisations devraient soigneusement déterminer quels événements collecter de quelles sources, en équilibrant le désir d'une collecte de données complète avec les coûts associés.

2. Agrégation des journaux

Une fois que vous avez commencé à collecter les données de journalisation, vous devez les agréger en un seul endroit. Une bonne option est de mettre en œuvre une solution de gestion des journaux capable d'agréger de grands volumes de données provenant de nombreuses sources.

3. Analyse des journaux

Ensuite, les fichiers journaux agrégés doivent être analysés. L'exemple le plus simple consiste à diviser les chaînes de journaux homogènes en champs séparés.

4. Normalisation des journaux

Différents systèmes utilisent différents formats pour leurs fichiers journaux, tels que CEF, JSON ou CSV. Pour permettre aux utilisateurs et aux systèmes de lire et d'analyser les données, elles doivent être standardisées dans un format commun.

5. Corrélation d'événements

La corrélation d'événements est le processus de recherche de relations entre les événements dans différents journaux, tels que les journaux de sécurité Active Directory , les journaux de pare-feu et les journaux de base de données. Par exemple, si vous avez subi une panne de serveur, vous pourriez vouloir identifier quelles applications ont été impactées en faisant correspondre les événements dans les journaux du serveur et des applications.

Le type de corrélation d'événements le plus courant utilise des règles pour associer des entrées de journal en fonction du type d'événement, de l'horodatage, de l'adresse IP et d'autres critères. La corrélation d'événements repose souvent sur une analyse statistique.

6. Analyse des journaux

Enfin, pour vous concentrer sur les menaces réelles et autres événements critiques, vous devez analyser vos données. Les plateformes de gestion centralisée des journaux peuvent automatiser et rationaliser le processus d'analyse des données de journaux. Elles utilisent la visualisation pour mettre en évidence les similitudes et corrélations entre les événements, facilitant ainsi la détection des problèmes, la recherche des causes profondes et la détermination des actions de réponse appropriées.

Solutions SIEM pour la surveillance des journaux d'audit

Les solutions de gestion des informations et des événements de sécurité (SIEM) peuvent fournir une surveillance des journaux efficace et fiable. SIEM le logiciel rassemble généralement les données de journal générées par de multiples sources, corrèle les événements, effectue une analyse sophistiquée des menaces et offre des capacités d'alerte, permettant aux équipes informatiques de réagir rapidement.

Toutefois, les outils de surveillance des journaux SIEM présentent certains inconvénients. En particulier, ils sont souvent :

• Complexe et coûteux : Comparés aux solutions de gestion des journaux, les outils SIEM sont plus compliqués à utiliser et à configurer. En conséquence, ils peuvent nécessiter du personnel dédié — et onéreux.
• Non conçu pour identifier les vulnérabilités : Les SIEM sont conçus pour détecter les menaces actives, mais ils ne peuvent pas repérer les failles de sécurité pour réduire votre surface d'attaque ou vous aider à comprendre quelles données sont sensibles et nécessitent une protection.
• Susceptible de générer de fausses alertes : Les outils SIEM peuvent générer de nombreuses fausses alertes. Les équipes informatiques passeront d'énormes quantités de temps à les enquêter si les outils ne sont pas correctement ajustés.

Étendez vos capacités de surveillance des journaux avec les solutions Netwrix

Les produits Netwrix offrent une approche plus holistique de la sécurité que les solutions SIEM :

• Netwrix Auditor vous aidera à réaliser des évaluations régulières des risques pour améliorer la sécurité, réussir les audits de conformité et optimiser les opérations informatiques.
• Netwrix Change Tracker vous aidera à établir et à maintenir des configurations sécurisées des systèmes critiques.
• Netwrix Data Classification identifiera et classera le contenu sensible et critique pour l'entreprise au sein de votre organisation.
• Netwrix StealthDEFENDet Netwrix Threat Prevention vous aideront à identifier et à répondre aux comportements anormaux et aux attaques avancées.

FAQ

Qu'est-ce que l'audit de journal d'événements ?

L'audit des journaux d'événements est le processus de traitement et d'analyse des logs des systèmes informatiques d'entreprise.

Qu'est-ce que la surveillance des journaux d'audit ?

La surveillance des journaux d'audit est un autre terme pour l'audit des journaux d'événements. Un autre terme interchangeable est l'audit des fichiers journal.

Que vous disent les journaux d'événements ?

Les journaux d'événements contiennent des informations sur le fonctionnement et l'utilisation des systèmes d'exploitation, des appareils et des applications.