SIEM.

Le SIEM (Security Information and Event Management) est une solution qui permet aux organisations de surveiller les événements, détecter les incidents de sécurité et alerter sur les menaces dans leur environnement IT.

Il collecte, agrège les logs et les corrèle afin d'analyser en temps réel la conformité des événements informatiques avec un process préalablement établi. Il permet à l'entreprise de centraliser toutes les informations de sécurité en un seul outil.

Le SIEM analyse une grande variété de données de sécurité :

• Les journaux de sécurité et de système
• Les données de trafic réseau, pour détecter notamment les attaques DDoS
• Les données de sécurité des pare-feux, routeurs et équipements réseau
• Les données de conformité
• Les données de vulnérabilité
• Les données des équipements de sécurité, notamment les sondes IDS/IPS

Le SIEM agrège des données de plusieurs sources différentes — réseau, cloud, applications, infrastructure — pour identifier les écarts par rapport à la norme. Il fonctionne comme une mémoire des événements de sécurité, avec six fonctions :

• La collecte des événements, via des agents déployés de manière hiérarchique
• Le reporting de conformité et des alertes, avec tableaux de bord
• La corrélation des événements recueillis, qui alerte le SOC
• La normalisation, avec conservation des logs bruts pour valeur juridique
• Le stockage et l'archivage selon la nature des événements
• La détection des incidents de sécurité

Le rôle du SIEM est de fournir aux analystes du SOC une surveillance globale de l'infrastructure des entreprises et des renseignements consolidés provenant de l'analyse de données d'événements trop volumineuses pour une étude manuelle.

L'analyse par un SIEM des données machine et des fichiers de log peut mettre au jour des activités malveillantes et remonter des informations, afin d'améliorer considérablement les délais de réponse aux attaques. C'est l'outil principal du SOC.

Avec moins de 20 % de violations détectées en interne selon le Gartner, la rapidité des temps de détection et remédiation s'impose comme un enjeu fondamental pour les entreprises.

De plus, les entreprises manquent de ressources qualifiées et les analystes sont surchargés. Si un SOC n'utilise pas de SIEM, l'équipe devra manuellement parcourir des millions de données non comparables et cloisonnées pour chaque application et source de sécurité — des actions très chronophages.

Avant de choisir, demandez-vous : quel est votre objectif et votre besoin ? Quelle quantité et quel type de données seront à votre disposition ? De quel niveau d'expertise interne disposez-vous ? Votre entreprise est-elle en croissance ? Quelle est l'envergure de votre réseau ? Quelles sont vos obligations de conformité et votre budget ?

Puis comparez les diverses solutions en fonction des réponses. Il vous faudra maîtriser de bonnes connaissances techniques afin de choisir la plus adaptée à votre besoin.

Blue a choisi de s'appuyer sur la puissance de la solution QRadar, développée par IBM, en se basant sur son classement dans le Magic Quadrant de Gartner.

Nous avons fait ce choix car il possède l'un des meilleurs moteurs de corrélation de logs. QRadar s'appuie sur sa grande bibliothèque de DSM (parser de logs) et est capable de détecter n'importe quel log. Sa bibliothèque d'Add-ons permet d'ajouter des règles de détection pour de nombreux types d'attaques, comme la fuite de données (DLP).

Voici quelques exemples de règles que nous mettons en place : détection de DDoS, attaque par force brute et attaques par rançongiciel. Le SIEM alerte également en cas de mauvaises configurations qui peuvent impacter la surface d'attaque de votre système informatique.

De plus, les analystes de Blue mettent en place des règles tirées de leur expérience professionnelle. Le SOC est chargé de surveiller en permanence les journaux et les alertes, d'effectuer des examens réguliers et d'extraire des rapports pertinents. Sur les environnements virtualisés, la micro-segmentation réduit en amont la surface exploitable.

Non. Bien que le SIEM soit un outil très utile pour la cybersécurité d'une organisation, il ne peut pas à lui seul assurer une protection complète contre les menaces de sécurité.

Nos experts recommandent de mettre en place une stratégie de sécurité globale qui inclut l'utilisation du SOAR, de l'XDR et du MFA, ainsi que la mise en place de politiques de sécurité strictes. Découvrez l'ensemble de nos services de cybersécurité.