L'analyse des journaux système permet de détecter les anomalies et les incidents de sécurité. Chaque connexion, chaque démarrage de processus, chaque connexion réseau génère des entrées de journal. Parmi ces informations se cachent des indices d'attaque : une connexion depuis un emplacement inhabituel, un compte de service exécutant un script PowerShell à 3 h du matin, ou encore un pic soudain de trafic sortant. L'analyse des journaux permet de repérer ces schémas.

Le défi réside dans le volume. Une entreprise de taille moyenne génère des millions d'entrées de journal par jour. Un examen manuel est impossible. Les plateformes de gestion des informations et des événements de sécurité (SIEM) collectent, normalisent et corrèlent les journaux provenant de nombreuses sources. Elles appliquent des règles et l'apprentissage automatique pour identifier les événements importants. Cependant, même les SIEM génèrent des faux positifs. L'analyste doit donc toujours effectuer un tri. Une bonne analyse des journaux commence par une journalisation de qualité. Si le système n'enregistre pas l'événement, aucun outil ne peut l'analyser. De nombreuses violations passent inaperçues car la journalisation était désactivée ou incomplète. Les politiques d'audit doivent être configurées avec soin. Les événements d'authentification, la création de processus et les connexions réseau constituent le minimum. La durée de conservation est également cruciale. Les attaquants peuvent agir pendant des mois. Les journaux supprimés après 30 jours créent des lacunes. L'enquête a besoin d'un historique.

Sources de journaux à prioriser

• Authentification — connexions, échecs, modifications de privilèges
• Point de terminaison — création de processus, modifications de fichiers, installations de services
• Journaux réseau — pare-feu, DNS, proxy et VPN
• Cloud — Appels d'API, accès au stockage, événements d'identité
• Application — erreurs, actions d'administration, exportations de données

Les rapports d'incident constituent des preuves. Sans eux, il est impossible de reconstituer l'incident.