🎓 Niveau : 🔴 Avancé
📋 Prérequis : notion de logs / SYSLOG, bases réseau, idéalement IDS et EDR
SIEM signifie Security Information and Event Management (« gestion des informations et des événements de sécurité »). C'est une plateforme qui collecte les logs de toute l'infrastructure (pare-feu, serveurs, postes, applications, EDR, IDS…), les centralise, et les corrèle pour détecter ce qu'aucune source ne voit toute seule. Distinction clé à retenir : l'EDR regarde une machine en profondeur ; le SIEM regarde toute l'organisation en largeur et relie les indices entre eux.
Chaque équipement produit ses propres logs : le pare-feu, le serveur web, l'annuaire, l'EDR… Pris isolément, un événement paraît anodin. Mais mis bout à bout, ils racontent une attaque.
Exemple : 50 échecs de connexion sur l'annuaire (vu par le serveur d'authentification) + un succès depuis une IP étrangère (vu par le VPN) + un transfert de données massif (vu par le pare-feu) = une intrusion réussie suivie d'une exfiltration. Aucun système isolé ne « comprend » cette histoire.
Le problème : il faut un endroit unique qui rassemble tous les logs et fait le lien entre eux pour révéler l'attaque globale. C'est la mission du SIEM.
Le SIEM existe aussi pour la conformité (garder les logs longtemps, prouver qui a fait quoi) et pour fournir au SOC (Security Operations Center — centre opérationnel de sécurité) son tableau de bord central.
- Log (journal) : enregistrement horodaté d'un événement (« connexion réussie », « fichier supprimé », « paquet bloqué »).
- Source / collecteur : tout ce qui envoie des logs au SIEM (pare-feu, serveurs, EDR, IDS, applications). Souvent via SYSLOG ou un agent.
- Normalisation : convertir des logs de formats différents en un format commun, pour pouvoir les comparer.
- Corrélation : le cœur du SIEM. Relier plusieurs événements de sources différentes selon des règles pour détecter un scénario d'attaque.
- Règle de corrélation : logique du type « SI N échecs de login PUIS 1 succès depuis une IP nouvelle ALORS alerte ».
- Alerte / incident : résultat d'une corrélation positive, transmis au SOC.
- Tableau de bord (dashboard) : visualisation synthétique de l'état de sécurité.
- Rétention : durée de conservation des logs (souvent imposée par la loi/conformité).
- SOC (Security Operations Center) : l'équipe humaine qui exploite le SIEM.
- SOAR : Security Orchestration, Automation and Response — brique qui automatise la réaction aux alertes du SIEM (souvent associée à lui).
- Collecte : toutes les sources envoient leurs logs au SIEM (SYSLOG, agents, API).
- Normalisation : le SIEM uniformise ces logs hétérogènes dans un format commun et les horodate sur une référence unique.
- Stockage / indexation : il range et indexe d'énormes volumes pour permettre la recherche rapide et la rétention longue.
- Corrélation : il applique ses règles en continu, reliant des événements de sources variées.
- Détection & alerte : quand un scénario suspect se reconstitue, il génère une alerte priorisée pour le SOC.
- Investigation & réponse : l'analyste fouille les logs centralisés pour comprendre l'incident ; un SOAR peut déclencher des réponses automatiques (bloquer une IP, isoler un poste via l'EDR…).
graph TD
FW[Pare-feu] --> SIEM
SRV[Serveurs] --> SIEM
EDR[EDR endpoints] --> SIEM
IDS[IDS] --> SIEM
APP[Applications] --> SIEM
SIEM[SIEM: collecte → normalise → corrèle] --> ALERT[Alertes priorisées]
ALERT --> SOC[SOC / Analystes]
SIEM --> DASH[Tableaux de bord & conformité]
SOC -->|via SOAR| ACTION[Réponse: bloquer IP, isoler poste]
Là où l'EDR plonge profond dans une seule machine, le SIEM s'étend en largeur sur tout le SI et assemble le puzzle. Ce ne sont pas des concurrents : l'EDR est l'une des sources du SIEM.
La PME déploie un SIEM (par ex. Wazuh ou Elastic Security, open source). Toutes les sources y envoient leurs logs : pare-feu, serveur d'authentification, EDR, serveur VPN, serveur web.
Une nuit, un scénario se reconstitue automatiquement par corrélation :
- Serveur d'auth : 80 échecs de connexion sur le compte
admin en 3 minutes.
- VPN : une connexion réussie de ce compte depuis une IP située à l'étranger.
- Pare-feu : juste après, un gros transfert sortant vers une IP inconnue.
Pris séparément, chaque log est passé sous les radars de son système. Mais la règle de corrélation du SIEM relie les trois → alerte critique « compte compromis + exfiltration ». Le SOC est notifié immédiatement ; via le SOAR, l'IP est bloquée au pare-feu et le compte désactivé, le temps de l'enquête.
- Connecte les bonnes sources : pare-feu, auth, EDR, IDS, serveurs critiques, applications. Une source manquante = un angle mort.
- Synchronise l'heure (NTP) sur tout le parc : sans horodatage cohérent, la corrélation est faussée.
- Commence par quelques règles à forte valeur plutôt que des centaines de règles bruyantes ; affine ensuite.
- Combats les faux positifs : un SIEM qui crie sans cesse est un SIEM qu'on finit par ignorer.
- Définis la rétention selon tes obligations légales/métier.
- Documente des playbooks : pour chaque type d'alerte, qui fait quoi.
- Ajoute un SOAR quand le volume d'alertes justifie d'automatiser la réponse.
Croire que « installer un SIEM = être protégé ». Sans règles bien réglées ni équipe pour traiter les alertes, c'est juste une coûteuse archive de logs.
Horloges désynchronisées entre les sources : la corrélation temporelle devient fausse, des attaques passent inaperçues.
Confondre SIEM et EDR. Le SIEM corrèle des logs de partout (largeur) ; l'EDR surveille et agit en profondeur sur les machines. Le second alimente souvent le premier.
- Le SIEM centralise et corrèle les logs de toute l'infrastructure pour révéler des attaques qu'aucune source isolée ne voit.
- Chaîne type : collecte → normalisation → corrélation → alerte → investigation/réponse (avec SOAR pour l'automatisation).
- Vue en largeur (organisation entière) ≠ EDR en profondeur (une machine) : ils se complètent, l'EDR étant une source du SIEM.
« Un log isolé est un mot ; le SIEM lit la phrase entière. » 🔑