Gestion des informations et des événements de sécurité (SIEM)

Qu’est-ce que le SIEM (gestion des informations et des événements de sécurité) ?

Le SIEM, acronyme de « Security Information and Event Management » (gestion des informations et des événements de sécurité), est un système qui centralise la collecte, le stockage et la gestion des journaux générés par différents appareils et logiciels, les analyse en temps réel afin de détecter les menaces de sécurité et émet des alertes en cas d’événements anormaux. Le terme SIEM désigne également le logiciel utilisé à cette fin.

Les principales fonctionnalités d’un SIEM sont les suivantes :

• Collecte et stockage des journaux d’événements :
  Les systèmes SIEM collectent et stockent les journaux d’événements liés à la sécurité provenant de diverses sources, telles que les pare-feu, les WAF, les logiciels antivirus, les serveurs proxy, les systèmes d’exploitation et les applications. Toutefois, la collecte d’un trop grand nombre de journaux peut accroître la charge de travail opérationnelle et compliquer des processus tels que la normalisation. Il est donc essentiel de hiérarchiser et de sélectionner soigneusement les sources de journaux.
• Normalisation des données de journalisation :
  Les données collectées doivent être uniformisées en matière de format et d’interprétation, tout en éliminant les redondances. Ce processus est appelé normalisation.
• Analyse de corrélation des données de journalisation :
  Certaines menaces de sécurité ne peuvent pas être détectées à partir d’une seule entrée de journal. Les systèmes SIEM analysent conjointement plusieurs entrées de journal afin d’identifier des schémas et des menaces qu’une entrée isolée ne permettrait pas de déceler. Par exemple, les attaques par liste de mots de passe génèrent beaucoup moins de tentatives de connexion que les attaques par force brute, ce qui les rend difficiles à distinguer des erreurs de saisie courantes des utilisateurs. En regroupant les journaux selon l’adresse IP source et en détectant plusieurs tentatives de connexion effectuées avec différents identifiants depuis une même adresse IP, un SIEM peut identifier les attaques par liste de mots de passe.
• Alertes et rapports :
  Si le SIEM détecte des événements révélateurs de menaces de sécurité, il envoie des alertes aux administrateurs. Il génère également des rapports présentant visuellement ces événements, afin d’améliorer la gestion et l’optimisation des dispositifs de sécurité.

BIG-IP de F5 enregistre de nombreuses données liées à la sécurité et peut s’intégrer à divers outils SIEM, renforçant ainsi les mesures de sécurité grâce à une analyse complète des données et à la détection des menaces.