Le SIEM, évolutions réglementaires et technologiques

Parallèle réglementaire

En 2013, le Livre blanc sur la défense et la sécurité nationale plaçait la sécurité et la défense des systèmes d’information au cœur des priorités stratégiques de la France.

Sa première priorité est de renforcer le niveau de sécurité des systèmes d’information essentiels au bon fonctionnement des opérateurs d’importance vitale, et donc de la France, via :

–Le respect de référentiels de sécurité à appliquer par les opérateurs ;

–La mise en place de dispositifs de défense adaptés ;

–L’obligation de déclarer les incidents.

De plus en plus de dispositions législatives et réglementaires, notamment la LPM 2014 (Loi de Programmation Militaire) encadreront bientôt la mise en œuvre de ces mesures, tout en s’appliquant à un nombre croissant d’entreprises.

On peut penser aux PASSI (Prestataires d’Audit SSI), avec des exigences portant sur le prestataire lui-même, sur ses auditeurs, et sur le déroulement des audits, mais aussi aux récentes constructions du Référentiel d’exigences consacré aux Prestataires de Réponse aux Incidents de Sécurité et du Référentiel d’exigences consacré aux Prestataires de Détection des Incidents de Sécurité.

Par ce biais, l’ANSSI confirme que lorsqu’une concordance de signaux permet de soupçonner une activité malveillante au sein d’un système d’information, il convient de faire appel à un prestataire de réponse aux incidents de sécurité afin de :

–Définir une méthode de réponse aux incidents de sécurité adaptée au contexte ;

–Collecter et analyser des éléments issus du système d’information ;

–Identifier le mode opératoire de l’attaquant ;

–Qualifier l’étendue de la compromission ;

–Evaluer les risques et les impacts associés ;

–Préconiser des mesures de remédiation.

–Le SIEM, brique majeure de la supervision de sécurité

Un bon outil de supervision de sécurité se doit de pouvoir intervenir en amont pour surveiller et détecter puis en aval pour fournir tous les éléments nécessaires à la réponse.

La définition

Un SIEM (Security Information & Event Management) est un terme générique pour décrire un système de « supervision » de la sécurité.

On y trouve principalement deux fonctions complémentaires :

SEM : Security Event Management

Orienté temps-réel, ce sous-système permet d’être alerté et de réagir en temps-réel aux différents événements de sécurité.

SIM : Security Information Management

Orienté temps-différé, il permet d’indexer les traces (journaux) des systèmes d’informations surveillés.

La problématique SIEM mêle Evénement de sécurité (tout événement du système surveillé indiquant une faille possible), Alerte de sécurité (ensemble d’événements de sécurité notables) et Incident de sécurité (alerte de sécurité indiquée par un ou plusieurs événements, caractérisée et validée par un humain comme pouvant menacer la sécurité de l’information).