Un SIEM collecte les journaux d'événements de toute une organisation, les normalise et met en corrélation les événements pour détecter les menaces. Pare-feu, serveurs, terminaux, applications et services cloud génèrent tous des journaux. Le SIEM les centralise, analyse les données et applique des règles pour identifier des schémas. Un échec de connexion est un bruit de fond. Mille échecs de connexion suivis d'une réussite constituent une alerte. Le SIEM met en évidence cette corrélation.

Les plateformes SIEM comme Splunk, Microsoft Sentinel et IBM QRadar sont puissantes mais exigeantes. Elles nécessitent un paramétrage précis. Par défaut, elles génèrent un nombre excessif d'alertes et de faux positifs, ce qui submerge les analystes. Leur véritable valeur réside dans le développement rigoureux des règles et l'intégration du renseignement sur les menaces. Le SIEM facilite également la conformité. Les auditeurs exigent que les journaux soient collectés, conservés et analysés. Le SIEM fournit ces preuves. Les SIEM modernes intègrent l'analyse du comportement des utilisateurs et l'apprentissage automatique pour détecter les anomalies que les règles statiques ne permettent pas d'identifier. Certains s'intègrent aux plateformes SOAR pour une réponse automatisée. Le SIEM est le système nerveux central d'un centre d'opérations de sécurité. Sans lui, les analystes travaillent à l'aveugle. Même avec lui, leur travail reste essentiel.

Fonctions SIEM

• Collecte des journaux — collecte de données provenant de sources multiples
• Normalisation — convertir les formats en un schéma commun
• Corrélation — relier les événements provenant de différentes sources
• Alerte — informer les analystes de toute activité suspecte
• Conservation des données — conserver les journaux à des fins de conformité et d’enquête

Un système SIEM n'est efficace que si les journaux qu'il reçoit et les règles qu'il applique sont pertinents. Des données erronées en entrée ne donnent que des résultats erronés.