Qu'est-ce que le SIEM ?
Security Information and Event Management : la brique qui transforme des millions de lignes de journaux en quelques incidents sur lesquels vos équipes peuvent réellement agir.
4 min de lecture
Sommaire
Le bruit n'est pas le problème, le tri l'est
Vos serveurs, vos pare-feu, vos applications SaaS et vos postes de travail écrivent en permanence ce qu'ils font. Pris isolément, ces journaux ne veulent rien dire. Mis bout à bout, ils représentent des millions de lignes par jour.
Un SIEM ne se contente pas de les stocker. Il les ramène à un format commun, les rapproche les uns des autres, puis applique des règles de corrélation et des modèles de comportement pour isoler ce qui sort de l'ordinaire.
Le résultat n'est donc pas un volume plus grand, mais un volume plus petit : quelques incidents documentés et hiérarchisés. Microsoft Sentinel va plus loin en intégrant nativement l'automatisation de la réponse.
Flux brut
- 04:12:07auth.successuser=j.tran src=203.0.113.44
- 04:12:09fw.allowdst=10.4.2.19:443 proto=tcp
- 04:12:11m365.file.readcount=18 site=RH-Paie
- 04:12:14auth.successuser=j.tran src=198.51.100.7
- 04:12:16edr.processpowershell.exe parent=winword.exe
- 04:12:18dns.querycdn-update-svc.net type=TXT
Du bruit au signal, étage par étage
Un SIEM est une chaîne. À chaque étage, le volume baisse et la valeur monte. C'est ce rétrécissement, et lui seul, qui rend la sécurité tenable au quotidien.
- Serveurs
- Cloud
- Réseau
- Applications
- Identités
12 400 000événements bruts
Étage 1 · Sources
Tout ce qui parle
Chaque équipement, chaque service cloud et chaque identité émet ses journaux, dans son propre format.
2 100 000événements retenus
Étage 2 · Collecte
Un format commun
Ingestion, horodatage, déduplication, enrichissement : les journaux deviennent enfin comparables entre eux.
340alertes déclenchées
Étage 3 · Corrélation
Ce qui sort du cadre
Règles de détection, listes de menaces connues et modèles comportementaux rapprochent les événements entre eux.
7incidents qualifiés
Étage 4 · Restitution
Ce qui vous parvient
Alertes hiérarchisées, chronologie reconstituée, tableaux de bord : une matière directement exploitable.
Trois signaux faibles, un incident
Pris isolément, aucun de ces événements ne justifierait une alerte. C'est leur rapprochement qui fait sens, et c'est précisément le métier d'un SIEM.
- Connexion réussie depuis Paris à 22 h 40
- Connexion réussie depuis Hanoï à 03 h 12
- Aucun déplacement déclaré pour ce collaborateur
Ce que le SIEM en conclut
Voyage impossible
Deux authentifications parfaitement valides, séparées par une distance que personne ne parcourt dans l'intervalle. Le compte est très probablement compromis.
- Un compte de service ouvre un partage RH
- Il n'y avait jamais accédé en dix-huit mois
- 4 200 fichiers lus en six minutes
Ce que le SIEM en conclut
Exfiltration probable
Chaque action est autorisée. C'est la rupture avec le comportement habituel du compte, et le débit de lecture, qui trahissent la copie massive.
- Échecs d'authentification sur quarante comptes
- Un seul mot de passe testé par compte
- Depuis une plage d'adresses jamais vue
Ce que le SIEM en conclut
Pulvérisation de mots de passe
Aucun compte ne dépasse le seuil de verrouillage. Vue compte par compte, l'attaque est invisible ; vue à l'échelle du tenant, elle est évidente.
Les quatre facultés d'un SIEM
Elles fonctionnent ensemble et aucune ne suffit seule : un SIEM qui voit tout mais ne hiérarchise rien produit du bruit, pas de la sécurité.
Que voit-il ?
Collecte centralisée
Des centaines de sources différentes ramenées à un référentiel unique, interrogeable d'un seul endroit.
Que comprend-il ?
Corrélation en continu
Le rapprochement d'événements sans lien apparent, en temps réel, pour faire émerger un scénario d'attaque.
Que vous dit-il ?
Alertes hiérarchisées
Un niveau de criticité et un contexte sur chaque alerte, pour que vos équipes traitent d'abord ce qui compte.
Que prouve-t-il ?
Traçabilité et conformité
Un historique daté et rejouable, exigé par NIS2, ISO 27001 ou vos assureurs lors d'un audit.
Un SIEM n'est pas un entrepôt de journaux
La différence ne tient pas au stockage : elle tient à ce que l'on fait des données une fois qu'elles sont là.
| Situation | Collecte de journaux | SIEM |
|---|---|---|
| Ce que vous obtenez | Des lignes empilées | Des incidents qualifiés |
| Pendant une attaque | Rien ne remonte de lui-même | Une alerte part en quelques minutes |
| Pour retrouver un fait | Une recherche manuelle, si vous savez quoi chercher | Une requête et une chronologie reconstituée |
| Face à un auditeur | Un export brut à retraiter | Des rapports datés et rejouables |
À lire aussi
DéfinitionArticle · 5 min
Qu'est-ce que le SOAR ?
Security Orchestration, Automation and Response : l'automatisation qui exécute en quelques secondes la réponse qu'un analyste mettrait longtemps à dérouler à la main.
Lire l'articleDéfinitionArticle · 3 min
Qu'est-ce qu'un SOC moderne ?
Découvrez comment les entreprises se protègent efficacement contre les cybermenaces grâce à un Centre des Opérations de Sécurité moderne, combinant expertise humaine et technologies avancées.
Lire l'article
Microsoft Sentinel, le SIEM que nous déployons
Nous concevons les règles de corrélation, réglons le niveau de bruit et vous livrons des incidents exploitables plutôt que des alertes en vrac.