Journalisation, SIEM et détection

Comprendre l’enjeu et le périmètre

Elle aide à comprendre les événements et à repérer des comportements anormaux suffisamment tôt pour agir.

Couvrir événements utiles, sources, horodatage, intégrité, accès, rétention et procédures de réponse.

Passer à l’action

• Choisir des scénarios de détection pertinents
• Collecter et protéger les événements nécessaires
• Tester les alertes et leur prise en charge

Reliez chaque mesure à un scénario de risque et à un actif utile. La prévention, la détection, la réaction et la reprise se complètent. Un catalogue d'outils ne suffit pas : précisez qui traite une alerte, en combien de temps et avec quelle autorité.

Responsabilités et moyens

Sécurité définit les cas d’usage, exploitation collecte, l’équipe de détection qualifie, et les métiers contribuent à l’impact.

Inclure volumes, stockage, licences, intégration, réglage et traitement humain.

Produire et vérifier

Livrable utile

Un plan de collecte, des règles de détection et des procédures de qualification.

Preuve à rechercher

Produire un événement de test autorisé et vérifier son arrivée, sa corrélation et son traitement.

Indicateur à interpréter

Suivre sources silencieuses, délais de collecte, alertes utiles et incidents non détectés.

Confrontez la politique à une preuve de fonctionnement : configuration, test autorisé, traitement d'alerte ou exercice. Les tests offensifs doivent rester dans un périmètre expressément autorisé. Une absence de détection n'est pas une preuve d'absence d'incident.

Arbitrages et dépendances

Collecter beaucoup de journaux sans scénario ni équipe de traitement peut coûter cher sans améliorer la réponse.

La détection dépend du temps, des identités, des sources et de la conservation des preuves.

Priorisez l'exposition réelle et les conséquences métier. Une faiblesse très notée sur un actif isolé peut demander un arbitrage différent d'un compte privilégié exposé sur une activité vitale. Documentez les compensations et la durée des exceptions.