SIEM (gestion des informations et des événements de sécurité)
Security Information and Event Management · gestion des événements de sécurité · centralisation des journaux · corrélation de logs · SOAR
Outil qui centralise les journaux de tout le système d’information, les corrèle et déclenche une alerte quand une combinaison d’événements trahit une attaque.
En pratique
Un événement isolé, comme un échec de connexion, ne dit pas grand-chose ; dix mille échecs suivis d’une réussite depuis l’étranger racontent une attaque. Le SIEM applique des règles de corrélation, conserve l’historique pour les enquêtes et alimente les tableaux de bord du SOC. Sa valeur dépend des sources raccordées et de la qualité des règles : mal réglé, il noie les analystes sous les faux positifs. Les journaux doivent être horodatés de façon fiable et protégés contre l’effacement.
Cas fictif : le SIEM d’une collectivité corrèle trois signaux faibles : une connexion VPN à 2 h du matin, un accès inhabituel au partage des ressources humaines, puis un volume de données sortant anormal. Pris séparément, aucun n’aurait déclenché d’alerte.
