Chapitre 1 — Journalisation & Surveillance de la Sécurité

La journalisation est le pilier de la non-répudiation, de la forensique et de la détection. Ce module couvre les types de journaux, le SIEM, les protocoles de surveillance et les technologies clés.

Types de Journaux (Logs)

Mémorisez ! Les journaux doivent être protégés contre la modification (intégrité) et centralisés pour être utiles (SIEM). Tout journal doit être horodaté — la synchronisation NTP est donc critique pour la forensique.

Type de journal	Ce qu'il enregistre	Utilité principale
Journaux système	Démarrages, arrêts, erreurs OS	Disponibilité, forensique
Journaux d'application	Erreurs, transactions, connexions d'app	Débogage, audit
Journaux de sécurité	Authentifications réussies/échouées, accès fichiers	Détection d'intrusion, conformité
Journaux réseau	Connexions, flux TCP/UDP, requêtes DNS	Forensique réseau, IDS
Journaux pare-feu	Règles acceptées/bloquées, adresses IP	Analyse des menaces
Journaux DNS	Requêtes de résolution de nom	Détecter C2 via DNS, exfiltration DNS
Journaux d'authentification	Tentatives de connexion, MFA, tokens	Détection brute force, credential stuffing
Journaux de métadonnées	Qui a accédé à quoi et quand (pas le contenu)	Analyse comportementale
NetFlow	Statistiques de flux réseau (src/dst IP, port, volume)	Détection d'anomalies, C2, exfiltration
PCAP (Packet Capture)	Contenu complet des paquets	Forensique approfondie

Syslog & Collecte Centralisée

Syslog est le protocole standard Unix/Linux pour l'envoi de journaux vers un collecteur central. Port 514/UDP (non chiffré) ou 6514/TCP+TLS (chiffré).

Niveaux de sévérité Syslog (0–7)

Niveau	Nom	Description
0	Emergency	Système inutilisable
1	Alert	Action immédiate requise
2	Critical	Conditions critiques
3	Error	Conditions d'erreur
4	Warning	Conditions d'avertissement
5	Notice	Conditions normales mais significatives
6	Informational	Messages informatifs
7	Debug	Messages de débogage

Les serveurs SIEM filtrent souvent sur les niveaux 0–4 pour les alertes prioritaires.

SIEM — Security Information & Event Management

Mémorisez ! SIEM = collecte + corrèle + alerte + rapports. Il ne bloque pas (sauf si couplé à SOAR). Les deux composantes sont SIM (gestion de l'information) + SEM (gestion des événements).

Fonctions clés du SIEM

Agrégation : collecte les journaux de multiples sources (serveurs, réseaux, endpoints, applications).
Normalisation : convertit des formats différents en un format uniforme.
Corrélation : identifie des patterns suspects en combinant des événements de sources multiples. Ex: 5 échecs de connexion depuis la même IP → alerte brute force.
Alertes : génère des notifications pour les événements correspondant à des règles de détection.
Rapports : génère des rapports de conformité (PCI-DSS, HIPAA, ISO 27001).
Rétention : stocke les journaux pendant la durée légale/réglementaire requise.
Forensique : permet de rechercher dans l'historique pour reconstituer un incident.

SOAR — Security Orchestration, Automation and Response

Étend le SIEM avec l'automatisation de la réponse. Un playbook peut automatiquement bloquer une IP, isoler un endpoint ou créer un ticket ITSM — sans intervention humaine.

NTP & Intégrité des Journaux

Pour que les journaux aient une valeur forensique, tous les systèmes doivent être synchronisés sur la même source de temps. NTP (Network Time Protocol, port 123/UDP) garantit cette synchronisation.

Sans NTP, les timestamps de journaux différents ne peuvent pas être corrélés précisément.
Stratum 0 : source de référence (GPS, horloge atomique). Stratum 1 : serveur directement connecté à un stratum 0. Stratum 2 : synchronisé sur stratum 1, etc.
Protéger les journaux : permissions restrictives, stockage sur serveur séparé (WORM), chiffrement, signatures.

Scénario Examen : Lors d'une investigation, les journaux du firewall montrent une connexion sortante à 14:23:01 mais les journaux du serveur web montrent la même connexion à 14:25:47. Quelle est la cause probable ?

Réponse : Désynchornisation NTP. Les deux systèmes ne partagent pas la même référence de temps. Recommandation : forcer tous les hôtes à utiliser un serveur NTP interne de référence (stratum 2) lui-même synchronisé sur une source externe fiable.

Surveillance Continue & Outils

UEBA (User and Entity Behavior Analytics) : analyse le comportement des utilisateurs et des entités pour détecter les anomalies (ex: connexion à 2h du matin, exfiltration inhabituelle de données).
DLP (Data Loss Prevention) : surveille et bloque l'exfiltration de données sensibles (email, USB, web).
EDR (Endpoint Detection and Response) : surveille les endpoints en temps réel, collecte les journaux locaux et permet la réponse distante (isoler, supprimer).
XDR (Extended Detection and Response) : étend l'EDR pour corréler avec les journaux réseau, cloud, email — vision unifiée.
NDR (Network Detection and Response) : analyse le trafic réseau pour détecter des menaces qui évitent les endpoints.

Quiz — Journalisation & Surveillance

1. Quel protocole est utilisé pour envoyer des journaux de manière sécurisée vers un collecteur central ?

Syslog UDP port 514 NTP UDP port 123 Syslog over TLS TCP port 6514 SNMP UDP port 161

Syslog over TLS sur le port TCP 6514 est la version sécurisée. Le port 514/UDP est non chiffré et vulnérable à l'interception et la modification. NTP est pour la synchronisation du temps.

2. Un SIEM génère une alerte lorsque 10 tentatives de connexion échouées sont détectées depuis la même adresse IP en 60 secondes. Quelle fonctionnalité du SIEM est utilisée ?

Corrélation Normalisation Agrégation Rétention

La corrélation combine plusieurs événements pour identifier un pattern (ici : brute force). L'agrégation collecte les journaux. La normalisation les convertit en format uniforme. La rétention les stocke.

3. Pourquoi la synchronisation NTP est-elle critique pour la forensique de sécurité ?

Elle chiffre les journaux en transit Elle empêche la modification des journaux Elle réduit la taille des fichiers journaux Elle garantit que les timestamps de différents systèmes peuvent être corrélés

Sans NTP, les horloges dérivent. Un événement sur le firewall à 14:23 et sur le serveur à 14:27 pourrait être le même événement avec 4 minutes de dérive — impossible à corréler avec précision.

4. Quel est le niveau de sévérité Syslog le plus critique ?

1 — Alert 0 — Emergency 2 — Critical 3 — Error

Le niveau 0 (Emergency) est le plus critique — "système inutilisable." La sévérité diminue de 0 à 7. Emergency (0) > Alert (1) > Critical (2) > Error (3) > Warning (4) > Notice (5) > Info (6) > Debug (7).

5. Quelle technologie analyse le comportement des utilisateurs pour détecter des anomalies comme des connexions à des heures inhabituelles ?

DLP SOAR UEBA NDR

UEBA (User and Entity Behavior Analytics) crée une ligne de base comportementale et alerte sur les déviations. DLP prévient l'exfiltration. SOAR automatise la réponse. NDR analyse le trafic réseau.

6. La différence principale entre SIEM et SOAR est que SOAR :

Collecte uniquement les journaux des endpoints Remplace entièrement le SIEM Analyse uniquement le trafic réseau Ajoute l'automatisation de la réponse via des playbooks

SOAR = SIEM + Orchestration + Automatisation. Il peut exécuter des playbooks automatiquement (bloquer une IP, isoler un endpoint). SIEM détecte et alerte ; SOAR répond automatiquement.

7. Un analyste veut voir le contenu exact des paquets échangés lors d'un incident. Quel outil devrait-il utiliser ?

PCAP (Packet Capture) — ex: Wireshark NetFlow Syslog SNMP

PCAP capture le contenu complet des paquets. NetFlow donne les statistiques de flux (qui parle à qui, combien) mais pas le contenu. Syslog est pour les journaux système, pas le trafic réseau.

8. Quelle est la différence entre EDR et XDR ?

EDR est plus récent que XDR XDR corrèle aussi les journaux réseau, cloud et email — pas seulement les endpoints XDR ne peut pas répondre automatiquement aux menaces EDR fonctionne dans le cloud, XDR sur site

XDR (Extended) = EDR + sources supplémentaires (réseau, cloud, email). EDR se concentre sur les endpoints. XDR offre une vue unifiée et corrélée de l'ensemble de l'environnement.

9. Quel type de journal serait le plus utile pour détecter une tentative d'exfiltration de données via des requêtes DNS anormalement longues (DNS tunneling) ?

Journaux système Journaux d'application Journaux DNS Journaux de sécurité

Les journaux DNS enregistrent toutes les requêtes de résolution. Le DNS tunneling se détecte par des requêtes DNS pour des sous-domaines très longs, à haute fréquence, vers des domaines inconnus.

10. Pour conserver la valeur légale des journaux lors d'une investigation, comment doivent-ils être stockés ?

Sur le système compromis pour faciliter l'accès Sans chiffrement pour permettre à tous les enquêteurs de les lire Écrasés régulièrement pour économiser l'espace disque Sur un système séparé, en lecture seule (WORM), avec hachage pour vérifier l'intégrité

Les journaux forensiques doivent être: isolés du système compromis, en lecture seule (WORM — Write Once Read Many), avec des hachages pour prouver qu'ils n'ont pas été modifiés (intégrité = non-répudiation).