1. L’importance critique des journaux d’événements (Logs)

Les journaux informatiques constituent la « boîte noire » de tout système d’information. En cas d’intrusion, de tentative de compromission ou de dysfonctionnement technique, les traces numériques consignées dans les journaux représentent les éléments de preuve indispensables à la compréhension de l’attaque :

• Logs d’authentification : Tentatives de connexion réussies et échouées, verrouillage de comptes, utilisation de privilèges élevés (/var/log/auth.log sur Linux, Event ID 4624 et 4625 sur Windows Security Event Log).
• Logs de pare-feu et d’équipements réseau : Connexions sortantes vers des adresses IP suspectes sur Internet, balayages de ports entrants, transferts de volumes anormaux.
• Logs applicatifs et serveurs web : Requêtes HTTP anormales contenant des charges utiles d’injection SQL ou des tentatives d’accès à des chemins sensibles (/etc/passwd, fichiers de configuration).

2. Architecture d’un système SIEM (Security Information and Event Management)

Consulter les logs machine par machine est irréalisable dans un parc d’entreprise et dangereux (l’attaquant efface ses traces localement dès qu’il obtient des droits root). Un SIEM (ex. Elastic SIEM, Splunk, Microsoft Sentinel, Wazuh) centralise et corrèle les informations en temps réel :

1. Collecte sécurisée : Des agents légers installés sur les serveurs transmettent les logs de manière chiffrée (TLS) vers un serveur collecteur centralisé.
2. Normalisation et indexation : Harmonisation des différents formats de journaux dans une structure commune de données (ex. ECS – Elastic Common Schema).
3. Moteur de corrélation et règles de détection : Analyse algorithmique détectant des successions d’événements caractéristiques d’une attaque (ex. 50 tentatives de connexion SSH échouées en 1 minute depuis une IP externe, suivies d’une connexion réussie et de la création immédiate d’un nouvel utilisateur administrateur).
4. Alerting SOC : Déclenchement automatique d’alertes hiérarchisées transmises aux analystes du centre opérationnel de sécurité (SOC).

3. Détection des signaux faibles et indicateurs de compromission (IoC)

Les attaques avancées contournent les antivirus traditionnels basés sur des signatures statiques. La détection contemporaine s’appuie sur la surveillance des indicateurs de compromission (IoC) et des comportements anormaux (via des agents EDR – Endpoint Detection and Response) :

• Apparition de processus suspects exécutés depuis des répertoires temporaires (ex. exécution de scripts PowerShell obfusqués depuis C:WindowsTemp).
• Persistance dans le système via des clés de registre suspectes ou des tâches planifiées (cron jobs) inhabituelles.
• Connexions régulières à intervalle fixe vers un serveur de commande et contrôle (C2 – Beaconing).

Atelier d’investigation : Sous Linux, utilisez les commandes grep -i "failed password" /var/log/auth.log | awk '{print $11}' | sort | uniq -c | sort -nr pour identifier et classer les adresses IP sources effectuant des tentatives d’attaque par dictionnaire sur votre service SSH.