SOC, en route vers la Convergence

Prospective SOC

Pour que ce mouvement d’optimisation générale soit efficient et indolore, il est impératif de standardiser les fonctions du SOC en :

• Rationalisant la formation des opérateurs ;
• Industrialisant les processus ;
• Urbanisant les moyens de surveillance.

Quant à l’utilisation de standards ouverts entre les différentes fonctions SOC, plus qu’une obligation, elle doit être une chance. Elle est synonyme d’harmonisation du tissu industriel, de facilité d’intégration d’autres SOCs, de rationalisation des coûts et de promotion du rôle moteur de la France.

IDMEF, un format méconnu

La protection d’un système d’information à l’aide de sondes anti-intrusion nécessite le déploiement de nombreux modules différents : des sondes réseaux, des sondes systèmes, des analyseurs de fichiers journaux, etc.

Un format standard existe pour fédérer l’information produite par ces différents agents et ainsi assurer la supervision de cet ensemble de moyens de protection pour assurer l’utilité individuelle et collective : c’est le format IDMEF (RFC 4765).

Le constat

Aujourd’hui, IDMEF est un format encore jeune, la RFC a été publié en 2007 et nous sommes donc dans la première phase d’adoption. La première solution à implémenter IDMEF fut le SIEM PRELUDE. C’est ce format qui est utilisé en interne dans le modèle de données PRELUDE, dans sa base de données, dans son corrélateur, dans ses échanges avec ses sondes mais aussi dans ses interfaces pour consolider les informations d’alertes de sécurité. C’est donc logiquement qu’on retrouve un fort soutien étatique pour renforcer PRELUDE en tant que référence national dans le domaine et renforcer sa position de SIEM international. Aujourd’hui de nombreuses sondes IDS open-source sont nativement « compatibles » IDMEF grâce à l’utilisation de la libprelude. On trouve dans ces sondes les « big four » du domaine avec Snort, Samhain, Ossec et Suricata dont le connecteur est très récent.

La suite

Le marché de la détection d’intrusion et par conséquent celui des SIEM est en plein essor. Le besoin d’uniformisation, d’interopérabilité ou au moins d’échange se renforce régulièrement. Fort de ce constat, un projet de recherche autour de formats standards en cybersécurité est né grâce à la volonté et à un subventionnement partiel du Ministère de la Défense. Son nom : Security Exchange Format PRELUDE (voir www.secef.net). De façon plus précise, SecEF s’intéresse au format IDMEF (RFC 4765) mais aussi au format IODEF (RFC 5070) d’échange d’information entre centres de sécurité (très important pour les échanges entre les OIVs).