Qu’est-ce que le SIEM ?

La sécurité informatique joue un rôle prépondérant dans les entreprises modernes. Les cybercriminels recherchent chaque jour la moindre faille de sécurité afin de voler des données sensibles, d’infiltrer des logiciels malveillants ou de paralyser des réseaux d’entreprise entiers. Outre les pertes pouvant se chiffrer en millions, les entreprises risquent de voir leur image détériorée de façon gravissime : si le grand public est informé du fait qu’une entreprise ne veille pas à la sécurité des données, les répercussions sur la confiance des nouveaux clients potentiels et des clients existants seront alors considérables.

Les systèmes de SIEM visent à empêcher un tel scénario en identifiant les événements suspects et les attaques actuelles. Que recouvre le Security Information and Event Management, quels sont ses avantages pour les entreprises et comment fonctionne-t-il ?

L’abréviation SIEM signifie Security Information and Event Management, une combinaison des deux concepts SIM (Security Information Management) et SEM (Security Event Management). Ensemble, ces deux concepts informatiques couvrent l’ensemble de la sécurité informatique. SIEM peut se traduire en français par systèmes de gestion des informations et des évènements de sécurité. Dans ce cadre, un SIEM tient toujours compte des exigences spécifiques à l’entreprise en définissant clairement et de façon individuelle les processus et les événements liés à la sécurité, la façon d’y réagir et un ordre de priorité. Par conséquent, le Security Information and Event Management peut également être considéré comme un ensemble de règles pour les normes de sécurité applicables et comme un guide visant à maintenir la qualité dans le fonctionnement informatique d’une entreprise.

L’objectif du Security Information and Event Management est de pouvoir réagir aux menaces aussi rapidement et précisément que possible. Les responsables informatiques disposent ainsi d’un outil puissant leur permettant d’agir avant qu’il ne soit trop tard. Pour ce faire, les systèmes de SIEM tentent de détecter en temps réel les attaques ou les tendances d’attaques en collectant et en analysant les messages habituels, les notifications d’alarme et les fichiers journaux de façon centralisée. Différents appareils, composants et applications du réseau d’entreprise concerné servent de sources dans ce cadre :

• les pare-feu (logiciels et matériels) ;
• les interrupteurs :
• les routeurs ;
• les serveurs (serveur de fichiers, FTP, VPN, Proxy, etc.) ;
• les IDS et IPS.

Des agents logiciels – des programmes informatiques travaillant de façon autonome et conçus spécialement pour transmettre les données – veillent à ce que cette abondance de données soit collectée et transmise à une station de SIEM centrale. Pour réduire la quantité de données à transmettre, un prétraitement des informations par les agents est par ailleurs prévu dans de nombreux systèmes.

Dans la station de SIEM centrale, les informations sont enregistrées et structurées puis mises en relation et analysées sur cette base et de façon générale. Des ensembles de règles définies de façon concrète, des technologies d’IA – en particulier l’apprentissage automatique – et des modèles de corrélation sont notamment utilisés pour l’analyse et l’évaluation.

Vous pouvez alors visualiser et inspecter les différents résultats d’analyse et indicateurs dans un tableau de bord clair que vous pouvez généralement personnaliser entièrement afin de répondre de façon optimale aux exigences de votre entreprise. Si un système de SIEM enregistre des données ou des événements représentant un danger immédiat pour la sécurité de l’ordinateur, vous recevez immédiatement une notification correspondante par email.

De tels systèmes ne permettent pas d’éviter entièrement les incidents critiques pour la sécurité dans un environnement informatique moderne. Une découverte et un enregistrement précoces des dangers augmentent toutefois les chances de maintenir les éventuels dommages à un niveau aussi faible que possible. Lorsque ses atouts sont parfaitement utilisés, un système de SIEM fournit une base idéale pour y parvenir. La réaction en temps réel aux événements de sécurité enregistrés fait notamment partie des principaux atouts d’une solution de ce type : les algorithmes et les outils d’IA automatisés détectent les menaces à un moment où les mesures de sécurité habituelles n’agissent pas encore voire pas du tout.

Les solutions de SIEM efficaces offrent un autre avantage puisqu’elles documentent et archivent automatiquement de façon inviolable l’ensemble des événements de sécurité. Ceci vous permet de prouver ultérieurement que les lois applicables en matière de sécurité et de protection des données ont été observées et respectées. Le Security Information and Event Management peut également jouer un rôle décisif dans le cadre d’un concept de conformité personnalisé.

Pour finir, un système de SIEM contribue également à optimiser les ressources humaines : du fait du haut degré d’automatisation lié à la surveillance et à l’analyse en temps réel, les employés du service informatique peuvent se consacrer à d’autres tâches. Il est également possible de réduire significativement les besoins en personnel.

Une solution de SIEM enrichira le système de sécurité informatique de toute entreprise souhaitant réagir mais aussi se préparer à l’avance aux cybermenaces actuelles et futures. Le Security Information and Event Management est par conséquent souvent utilisé par les entreprises traitant des données clients sensibles ou devant veiller à un fonctionnement informatique sans accroc. Les deux exemples suivants montrent à quel point cette utilisation peut s’avérer rentable.

Cas pratique : attaque par force brute

Un utilisateur essaye de se connecter en vain au réseau depuis différentes applications. Après plusieurs tentatives infructueuses, il parvient finalement à se connecter sur une application. Il peut naturellement s’agir d’un employé ayant oublié ses données de connexion et les ayant finalement récupérées à travers un processus essai-erreur. Il est toutefois nettement plus probable que ce schéma implique une tentative d’accès d’un hacker, que l’on appelle dans ce cas une attaque par force brute. Un système de SIEM enregistre les tentatives d’accès de ce type avec une grande fiabilité et vous donne la possibilité d’agir à temps pour empêcher d’autres tentatives de connexion.

Cas pratique : tentatives d’accès par VPN

Les accès à distance via un VPN sont chose commune pour de nombreux réseaux d’entreprises. Il est d’autant plus essentiel de démasquer les attaques exploitant la structure de ces réseaux virtuels privés. Par exemple, si une multitude de tentatives de connexion au réseau VPN ont lieu depuis différentes localisations dans un bref laps de temps, une solution de Security Information and Event Management pourra les considérer comme des activités suspectes.