SIEM
Outil qui centralise et analyse les journaux d'activité de tout le système d'information pour repérer les incidents de sécurité.
Définition complète
Un SIEM (Security Information and Event Management, gestion des informations et des événements de sécurité) collecte les journaux (logs) produits par les équipements et logiciels de l'entreprise : pare-feu, serveurs, annuaire, messagerie, applications métier, VPN. Il les stocke au même endroit, les rend consultables et applique des règles de détection.
Une règle de SIEM peut par exemple signaler cinquante échecs de connexion suivis d'un succès sur le même compte, ou un compte administrateur utilisé à 3 h du matin. Le SIEM sert aussi à l'enquête après un incident (reconstituer ce qui s'est passé) et à la conformité, lorsque la conservation des traces est exigée.
C'est un outil exigeant : il faut choisir les journaux utiles, écrire et ajuster les règles, trier les faux positifs et payer souvent en fonction du volume de données. Il est généralement exploité par un SOC, interne ou externalisé.
Source : NIST, glossaire du Computer Security Resource Center (SP 800-92)
Exemple concret
Un groupe de cliniques vétérinaires de 60 salariés alimente un SIEM externalisé avec les journaux de son pare-feu, de son annuaire et de son VPN. Un dimanche, le SIEM relève qu'un compte de stagiaire parti depuis deux mois s'est connecté au VPN puis a interrogé l'annuaire pour lister les comptes administrateurs. L'analyste du SOC bloque le compte : il avait simplement été oublié lors du départ, et son mot de passe circulait dans une fuite de données.
Comment se protéger
- Commencer par les journaux à plus forte valeur : annuaire, VPN, messagerie, pare-feu et comptes administrateurs
- Synchroniser l'heure de tous les équipements pour pouvoir reconstituer une chronologie
- Définir une durée de conservation des journaux compatible avec vos obligations et vos besoins d'enquête
- Prévoir du temps ou un prestataire pour ajuster les règles et réduire les fausses alertes
- Vérifier régulièrement qu'aucune source n'a cessé d'envoyer ses journaux
- Protéger l'accès au SIEM : il contient une cartographie détaillée de votre activité
Questions fréquentes
Rarement en gestion interne, car il demande des compétences et du temps. Une PME passe plus souvent par un SOC externalisé qui mutualise l'outil, ou commence par un EDR supervisé.
Non, pas par lui-même. Il détecte et alerte. Le blocage relève d'autres outils (pare-feu, EDR) ou d'une plateforme d'automatisation qui déclenche des actions à partir de ses alertes.
Termes liés
EDR
Logiciel installé sur chaque poste et serveur qui détecte les comportements suspects et permet d'isoler une machine attaquée.
Pare-feu
Dispositif filtrant le trafic réseau entrant et sortant.
SOC (centre opérationnel de sécurité)
Équipe et outils chargés de surveiller en continu le système d'information pour détecter les incidents et y réagir.
XDR
Plateforme qui corrèle les alertes des postes, de la messagerie, des identités et du cloud pour détecter une attaque dans son ensemble.
Vous avez besoin d'un expert en SIEM ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.