1. La dualité des journaux sous Linux : journald et rsyslog

Sur une distribution Linux moderne, deux couches de journalisation collaborent :

  • systemd-journald : Collecteur binaire centralisé à haute vitesse. Il capture la sortie standard (stdout/stderr) de tous les services, les messages du noyau et les événements d’authentification dans des fichiers binaires indexés sous /var/log/journal/.
  • rsyslog : Démon de filtrage et d’acheminement textuel respectant les standards RFC syslog (facilities et priorités). Il permet la ventilation dans des fichiers texte traditionnels (/var/log/syslog, auth.log) et le transfert réseau vers un serveur centralisé (SIEM).

2. Exploitation experte de journalctl

L’administrateur interroge la base binaire de journaux via la commande journalctl :

# Suivre les journaux en direct (streaming temps réel, équivalent à tail -f)
journalctl -f

# Filtrer par service spécifique depuis le dernier démarrage
journalctl -u nginx.service -b

# Filtrer par niveau d'urgence (erreurs, alertes, alertes critiques)
journalctl -p err..emerg

# Isoler un créneau horaire précis lors d'un incident de production
journalctl --since "2026-10-03 08:30:00" --until "2026-10-03 09:15:00"

# Sortie structurée au format JSON pour intégration dans un SIEM
journalctl -u sshd.service -o json-pretty -n 5

3. Déport et centralisation distante avec rsyslog

Pour se conformer aux exigences d’audit suisses (intégrité des logs en cas de compromission serveur), les journaux doivent être expédiés en continu vers un serveur de collecte sécurisé :

# Configuration client rsyslog : /etc/rsyslog.d/50-remote.conf
# Envoi chiffré TCP vers le serveur central
*.* action(type="omfwd" target="logserver.educasuisse.local" port="514" protocol="tcp"
           action.resumeRetryCount="100"
           queue.type="linkedList" queue.size="10000")

4. L’Observateur d’événements Windows (Event Viewer) et les Event IDs

Sous Windows Server, les événements sont consignés dans des canaux binaires (.evtx). L’administrateur surveille en priorité les Event IDs de sécurité :

  • Event ID 4624 : Connexion réussie (avec type de connexion : Type 2 = Console locale, Type 3 = Réseau/Partage, Type 10 = RDP).
  • Event ID 4625 : Échec de connexion (alerte critique en cas de répétition rapide : tentative de force brute).
  • Event ID 4720 : Création d’un nouvel utilisateur dans Active Directory.
# Extraction des échecs de connexion des dernières 24h avec PowerShell
Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    Id = 4625
    StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Message | Format-Table -AutoSize

Conformité nLPD : Les journaux contenant des adresses IP ou des identifiants utilisateurs constituent des données personnelles au sens de la nLPD suisse. Leur durée de conservation doit être strictement encadrée et leur accès restreint aux seuls auditeurs habilités.

PreviousNext