SIEM : pourquoi et comment le mettre en place ?

Le SIEM (Security Information and Events Management) est un logiciel de suivi de l’état de sécurité du système d’information et des solutions informatiques utilisées par l’entreprise. Le SIEM centralise les évènements et permet de détecter les menaces connues et inconnues en temps réel via du Machine Learning, de l’intelligence de sécurité et de l’analyse comportementale des utilisateurs et des entités (UEBA). Le SIEM surveille les accès non autorisés en corrélant de multiples événements pour déclencher une alerte. Pour permettre aux équipes sécurité d’agir plus rapidement et efficacement, les alertes sont ensuite hiérarchisées en fonction de leur degré de criticité.

Le SIEM contribue au respect des protocoles de conformité en conservant les différents formats de logs au sein d’une base de données pour faciliter les investigations post-attaques et ainsi aider à l’identification de responsabilités légales dans le cas d’une violation de données. Face à la recrudescence et à la virulence des menaces, il est important de mettre en œuvre un SIEM capable d’évoluer en fonction des nouvelles exigences sécuritaires et des défis technologiques impactant les entreprises.

Pour se prémunir contre de futures attaques, le SIEM répond au besoin d'une visibilité de bout-en-bout sur l’ensemble des environnements - endpoints, applications, utilisateurs et identités, outils de sécurité, données cloud produites par les fournisseurs IaaS ou SaaS, paquets réseau, et autres composants de la nouvelle main-d'œuvre distante.

En outre, la prolifération des faux positifs et l’avalanche de notifications est un autre enjeu pour le SIEM qu’il faudra prendre en compte pour ne pas épuiser les équipes en charge de la surveillance, en appliquant une meilleure hiérarchisation des alarmes et une contextualisation poussée de l’attaque et de son auteur. L’implémentation d’une brique SOAR complémentaire (Security Orchestration, Automation and Response) permettra de piloter l’orchestration du traitement des alertes et de proposer ainsi une réponse automatisée pour chaque type d’incident. Le SIEM devra également mettre en œuvre une gestion des alertes basée sur les risques pour donner aux équipes une plus grande visibilité sur leur attribution afin de réduire le volume des alertes et faciliter les investigations des menaces plus sophistiquées et complexes, qui passent souvent sous les radars. Cette démarche permettra également de s’aligner sur les standards cyber sécurité du marché tels que MITRE ATT&CK, un cadre de référence pour l’interprétation des modes opératoires des cyber assaillants qui propose un langage commun pour décrire les comportements des groupes de menaces.

Enfin, le SIEM devra être déployable facilement et à grande échelle sur site, Cloud et en mode hybride, en y intégrant les appareils physiques et virtuels, les conteneurs et les déploiements Cloud privé ou public (Amazon Web Services, Google, Azure et IBM Cloud) ainsi que des outils tiers. Proposant des modes de facturations indexés, il devra être flexible et proposé en mode Cloud ou Software-as-a-Service (SaaS).

Si l’utilisation de technologies de surveillance et de processus est primordiale, l’analyse en profondeur des data issues du SIEM se fait surtout par des analystes experts rassemblés au sein d’un Security Operation Center (SOC)/ Cyber SOC souvent mutualisé et qui assurent la surveillance des infrastructures 24h/7j. Le service SOC apporte au SIEM une couche organisationnelle en intégrant des processus de gestion d’incidents et une valeur ajoutée humaine avec une équipe d’experts en cybersécurité capables de réaliser des investigations numériques ou forensics et de mettre en place des plans de réponse à incidents, le tout en parfaite conformité règlementaire (RGPD, NIS, …).

Si le SIEM fonctionne en se basant sur de l’analyse comportementale via l’intelligence artificielle et le Machine Learning, les équipes apportent elles, une expertise qui va bien au-delà du logiciel. Les analystes SOC (Security Operation Center) vont analyser les incidents en profondeur (analyse du signal remonté par le SIEM et de la technique exploitée par l’attaquant), appliquer des méthodes d’analyse syntaxiques dites de parsing, développer des règles et des use cases spécifiques à chaque métier puis préconiser des pistes d’amélioration. Leur connaissance des menaces est constamment enrichie par les incidents pris en compte pour les autres clients en France et à l’International lorsque le SOC est mutualisé, donnant plus de pertinence aux analyses et préconisations mais aussi par l’apport d’une cellule CTI (Cyber Threat Intelligence) qui apporte des informations à valeur ajoutée issues de la communauté mondiale de la cybersécurité.

Des processus mutualisés et éprouvés qui permettront, en complément du SIEM, de renforcer la gouvernance sécuritaire de l’organisation. Mais pour cela il est nécessaire que les entreprises soient capables de modéliser les risques.