Résumé
Le logiciel de gestion des informations et des événements de sécurité (SIEM) regroupe la détection des menaces, la journalisation des événements et l’alerte en temps réel au sein d’une seule plateforme. En s’intégrant aux pare-feu, aux outils antivirus, aux bases de données et aux terminaux des utilisateurs, le SIEM aide les entreprises à identifier les attaques par force brute, les identifiants volés et les malwares avant que les dégâts ne se propagent. Bien que performantes, les solutions SIEM impliquent des coûts importants et nécessitent une supervision humaine continue, ce qui les rend plus adaptées aux grandes entreprises ou à celles soumises à des exigences de conformité strictes. Lors de l’évaluation des fournisseurs, privilégiez les capacités de machine learning, la profondeur d’intégration et les fonctionnalités de reporting de conformité.
Les outils SIEM ont été initialement conçus pour évaluer votre système de sécurité actuel et détecter les menaces. Si elles détectent un problème, ce même système peut l’arrêter avant qu’il ne s’aggrave.
Comprendre les outils SIEM et leurs avantages
Les outils SIEM sont puissants et, dans certains secteurs, ils sont obligatoires. Il est presque impossible de surveiller chaque recoin d’un vaste système sans un SIEM. Et si un problème survient, le reporting des événements fourni par votre SIEM peut vous simplifier la vie.
Mais si vous dirigez une petite entreprise avec une équipe réduite, le temps et l’énergie consacrés à trouver le bon SIEM et à l’installer pourraient être mieux employés ailleurs.
Où vous situez-vous sur ce spectre ? Et que devez-vous rechercher chez un partenaire logiciel ? Approfondissons un peu.
Qu’est-ce qu’un SIEM ?
Gartner définit le SIEM comme une technologie capable à la fois de détecter et de bloquer des événements de sécurité, tout en enregistrant des informations pour une analyse en temps réel ou historique.
Voici un exemple. Quelqu’un copie des milliers de fichiers depuis votre serveur. Un SIEM pourrait :
- Identifier. Le programme reconnaît les opérations habituelles de copie de fichiers, donc ce comportement inhabituel déclenche une alerte.
- Journal. Le SIEM suit le problème, indique quand il a commencé et consigne toutes les actions qu’il entreprendra ensuite pour y mettre fin.
- Alerte. Le système envoie une notification aux personnes concernées pour les informer qu’un événement est en cours.
- Direct. Le système pourrait empêcher cet utilisateur de copier des fichiers jusqu’à la fin de l’enquête.
Comment le SIEM a-t-il évolué à partir du SEM et du SIM ?
Les outils SIEM sont issus de la combinaison d’outils de gestion des événements de sécurité (SEM) et de solutions de gestion des informations de sécurité (SIM). Plutôt que d’acheter deux logiciels distincts pour détecter les menaces et y répondre, les entreprises ont privilégié une solution unique capable de remplir ces deux fonctions. Les fonctionnalités de reporting sont issues de la législation (telle que la norme de sécurité des données de l’industrie des cartes de paiement (PCI DSS)), qui exigeait des journaux précis.
Les outils SIEM modernes s’appuient sur la puissance du machine learning. Si le système n’est pas capable de déterminer ce qu’est un comportement normal, les programmeurs et programmeuses doivent fournir les données, ce qui prend beaucoup de temps. L’ajout du machine learning permet au programme d’apprendre à la volée, et chaque jour qui passe le rend plus performant et utile.
Ce pouvoir a cependant un coût élevé. Un SIEM peut représenter un investissement important à l’achat, à la configuration et à la maintenance. Pour cette raison, les grandes entreprises et les sociétés cotées en bourse sont généralement les principales utilisatrices de solutions SIEM.
Comment fonctionne le SIEM ?
Comment un SIEM peut-il être à la fois un outil de détection et un moyen d’application des mesures de sécurité ? L’intégration est essentielle.
Votre SIEM se connecte à toutes sortes d’appareils au sein de votre réseau, notamment :
- Logiciel antivirus
- Applications
- Bases de données
- Pare-feux
- Terminaux utilisateur
Chacun de ces points envoie des données vers le SIEM. Tous ces octets sont intégrés dans une console d’administration. Parfois, les programmes comptent sur des personnes pour trier toutes les informations et en dégager le sens.
Comment un SIEM gère-t-il et hiérarchise-t-il les données ?
Près de 80 % des professionnel·le·s de l’IT estiment déjà que leur travail est source de stress. Leur proposer un nouveau tableau de bord rempli de centaines de données ne les mettra pas forcément en confiance. Mais un SIEM se distingue quelque peu d’un outil de sécurité traditionnel.
Les SIEM peuvent également évaluer le niveau de danger associé à un déclencheur ou une alerte spécifique. Vous pourriez choisir de consulter uniquement les incidents que le programme considère comme critiques, puis analyser les autres journaux ultérieurement.
Une solution SIEM complète peut prendre en charge ces tâches spécifiques :
- Alerte. Un SIEM indique aux professionnels de la sécurité le moment précis où il détecte un incident.
- Collecter. Le programme extrait des informations provenant de plusieurs sources et regroupe chaque donnée en un seul endroit.
- Comparer. Un SIEM peut analyser ce qui se passe actuellement et le comparer à la programmation, aux incidents précédents ou à l’activité habituelle.
- Présent. Il présente des points de données dans un tableau de bord facile à consulter.
- Enregistrement. Les SIEM collectent des données à des fins de conformité. Et ils enregistrent les données au cas où une équipe aurait besoin de consulter l’historique ultérieurement.
Chaque outil est différent, et certains proposent des fonctionnalités que nous n’avons pas évoquées ici. Mais cette courte liste vous donne une idée de ce qu’est un SIEM et de ses possibilités.
Quels sont les avantages et les limites du SIEM ?
Investir dans une nouvelle solution de sécurité demande du temps. Dans la plupart des entreprises, plusieurs personnes participent à chaque décision d’achat. Et si vous envisagez une solution SIEM, vous aurez le choix entre des dizaines de fournisseurs. Est-ce que cela en vaut la peine ?
| Avantages | Inconvénients |
|---|---|
| Reporting de conformité. Il y a environ cinq ans, de nombreux professionnels du secteur technologique ont commencé à s’inquiéter du nombre de standards et de réglementations auxquels ils devaient se conformer en matière de sécurité. Les règles se sont multipliées depuis. Un SIEM pourrait faciliter le respect de l’ensemble de ces standards et la documentation de la conformité. | Le coût. Les logiciels performants ont un coût élevé. Pour certaines entreprises, cette solution est tout simplement trop coûteuse à mettre en œuvre. |
| Formation de modèles. Il est difficile d’identifier un éclaireur de hacker. Le reporting SIEM et les tableaux de bord peuvent vous aider à visualiser les problèmes mineurs, lorsqu’ils sont plus faciles à résoudre. | Heure. Les personnes doivent superviser les solutions SIEM et, comme elles fonctionnent en continu, le personnel doit également être disponible. |
| Sécurité renforcée. Toutes les données qu’un SIEM peut vous fournir peuvent vous aider à stopper les attaquants immédiatement et à protéger les ressources critiques de votre entreprise. | Panique. Les solutions SIEM peuvent signaler des problèmes de faux positifs. |
| Gestion de la réputation. En cas de problème, vous disposerez de tableaux de bord et de données à analyser. Lorsque vous serez convié à une réunion pour expliquer ce qui s’est passé, vous aurez la réponse. | Durée de vie limitée. Un programme SIEM traditionnel a une durée de vie de seulement 18 à 24 mois. Si vous souhaitez investir dans une solution SIEM, il est conseillé de privilégier des programmes modernes capables de répondre aux besoins de votre entreprise sur le long terme. |
| Préoccupations liées aux crises. Un SIEM peut, dans certains cas, stopper une attaque avant même que vous ne sachiez qu’un incident s’est produit. | Non disponible |
Veillez à ce que votre équipe chargée des achats comprenne bien ces avantages et inconvénients avant de commencer le processus d’achat. Vous pouvez décider que le SIEM ne vous convient tout simplement pas, ou au contraire, avoir encore plus envie de vous lancer.
Quelles attaques courantes un SIEM peut-il détecter ?
Nous avons indiqué que le SIEM peut examiner les données et détecter des comportements inhabituels ou problématiques. Que pourrait précisément détecter un outil de ce type ?
Les solutions SIEM se sont révélées utiles pour détecter :
- Attaques par force brute. Un hacker qui tente de deviner un mot de passe des milliers de fois en quelques minutes n’a pas simplement oublié un mot de passe. Cette personne tente de forcer l’entrée. Un SIEM pourrait identifier ces mille tentatives comme étant erronées.
- Vol d’identité. Un utilisateur ou une utilisatrice qui se connecte depuis un pays inhabituel ou un fuseau horaire étrange pourrait être un hacker. Un SIEM pourrait détecter ce problème comme un motif d’inquiétude.
- Malware. Lorsqu’il est associé à votre logiciel antivirus, un SIEM peut détecter le moment où un hacker déploie un programme malveillant. Si le logiciel ne le supprime pas immédiatement, le SIEM pourrait intervenir.
En substance, ce type de programme comprend à quoi ressemble une situation normale. Ensuite, elles vous alertent dès qu’un événement inhabituel se produit. Les résultats peuvent être remarquables.
Le SIEM est-il adapté à vos besoins ?
Si vous recherchez une solution SIEM, de nombreux fournisseurs s’offrent à vous. IBM, Intel, Trustwave et d’autres proposent tous des produits sur ce marché. Comment faire le bon choix ?
Demandez à chaque fournisseur :
- Intégration. Le logiciel sera-t-il compatible avec l’ensemble des programmes, serveurs et systèmes que vous avez actuellement en place ?
- Programmation. L’outil utilise-t-il le machine learning ? Ou devez-vous l’aider à comprendre à quoi ressemblent les menaces ?
- Reporting et journaux. À quoi ressemblent généralement les tableaux de bord et les rapports ? Le système peut-il générer des rapports adaptés à votre environnement de conformité spécifique ?
Faut-il attendre la prochaine génération de SIEM ?
Si vous n’êtes pas encore prêt à acheter, il peut être judicieux d’attendre la prochaine version du SIEM. Les experts estiment que les nouveaux programmes offriront davantage d’automatisation, de meilleures capacités de machine learning, une collaboration renforcée, une intégration plus poussée et des fonctionnalités cloud améliorées. Si l’un de ces attributs est essentiel pour votre entreprise, il peut être judicieux de patienter.
Bénéficiez d’une assistance critique avec Okta
Obtenez une visibilité sur les menaces auxquelles vous êtes confronté et sur les solutions dont vous avez besoin. Les solutions d’Okta sont intuitives et puissantes, et elles sont également très simples à déployer. Découvrez comment nous pouvons vous aider à détecter les menaces. Contactez-nous pour en savoir plus sur la façon de commencer.
Foire aux questions (FAQ)
Quelle est la différence entre SIEM, SEM et SIM ?
La gestion des événements de sécurité (SEM) et la gestion des informations de sécurité (SIM) étaient à l’origine des outils distincts, la SEM étant axée sur la détection des menaces et la réponse, tandis que la SIM se concentrait sur la gestion des informations. Le SIEM regroupe ces deux fonctions au sein d’une seule plateforme, permettant aux entreprises de détecter, consigner, signaler et traiter les incidents de sécurité sans avoir besoin de deux solutions distinctes.
Le SIEM représente-t-il un investissement pertinent pour les PME ?
Pour les petites entreprises disposant de ressources limitées, le temps et le coût nécessaires pour sélectionner, mettre en place et maintenir une solution SIEM peuvent dépasser les avantages obtenus. Les outils SIEM sont particulièrement utiles pour les grandes entreprises et les sociétés cotées en bourse qui doivent répondre à des exigences de conformité complexes et gérer des réseaux étendus. Les petites entreprises doivent évaluer avec attention les coûts et les besoins en personnel avant de s’engager.
Comment un SIEM détecte-t-il des menaces telles que des attaques par force brute ou des identifiants volés ?
Un SIEM établit une référence du comportement habituel sur votre réseau. Lorsque l’activité s’écarte de cette référence — par exemple, des milliers de tentatives de connexion échouées en quelques minutes (force brute) ou une connexion effectuée par un utilisateur depuis un pays ou un fuseau horaire inhabituel (identité potentiellement usurpée) — le SIEM la signale comme suspecte, alerte les équipes de sécurité et peut déclencher automatiquement des mesures telles que le blocage de l’utilisateur.
Quels sont les principaux inconvénients des solutions SIEM traditionnelles ?
Les programmes SIEM traditionnels peuvent être coûteux à acquérir et à maintenir, nécessitent une supervision humaine en continu et ont tendance à générer des alertes faussement positives susceptibles de provoquer des inquiétudes inutiles. De plus, un SIEM classique a une durée de vie limitée à seulement 18 à 24 mois, ce qui signifie que les entreprises peuvent être amenées à réinvestir dans de nouvelles solutions relativement rapidement.
Quelles questions poser à un fournisseur SIEM avant d’acheter ?
Lors de l’évaluation des fournisseurs SIEM, renseignez-vous sur la compatibilité d’intégration avec vos programmes, serveurs et systèmes existants, pour savoir si l’outil utilise le machine learning ou nécessite une programmation manuelle des menaces, et quelles sont les fonctionnalités de reporting de conformité disponibles. Comprendre ces facteurs vous aidera à vérifier que la solution correspond au contexte de sécurité et de conformité propre à votre entreprise.
Quelles améliorations sont attendues dans les outils SIEM de nouvelle génération ?
Les experts prévoient que les nouvelles plateformes SIEM proposeront une automatisation accrue, un machine learning plus avancé, une intégration plus poussée avec les environnements cloud et des fonctionnalités de collaboration améliorées. Si ces fonctionnalités sont essentielles pour votre entreprise, il peut être judicieux d’attendre la prochaine génération de solutions SIEM plutôt que d’investir dès maintenant dans une plateforme héritée.
Références
Gestion des événements de sécurité (SIEM). Gartner.
Plateformes d’analyse des logs par machine learning : un nouvel allié pour le SIEM ? (février 2020). SC Media.
Le travail dans l’IT est-il plus stressant, ou est-ce une question de génération ? (Mai 2015). Computerworld.
Face à la multiplication des réglementations, les entreprises peinent à se conformer. (Août 2019). Forbes.
Guide d’évaluation du SIEM nouvelle génération. (2019). SANS Institute.
