Journalisation et surveillance insuffisantes

La journalisation et la surveillance sont souvent reléguées au second plan une fois qu'un problème est survenu, mais en réalité, négliger ces aspects peut s'avérer extrêmement coûteux.

Dans un cas extrême, lorsqu'un incident survient (qu'il soit lié à la sécurité ou non), l'absence ou la rareté des journaux rend impossible la compréhension des faits. À l'inverse, une journalisation excessive peut entraîner des problèmes de confidentialité, exposant ainsi l'organisation à des sanctions réglementaires.

Nous vous présentons ci-dessous quelques bonnes pratiques pour optimiser votre journalisation et votre surveillance.

Bonnes pratiques

Examinons ensemble les meilleures pratiques en matière de journalisation et de surveillance.

Journalisation d'audit pour les fonctions sensibles

Il est essentiel de créer des journaux d'audit pour les événements sensibles tels que les tentatives de connexion (qu'elles soient réussies ou non), les modifications de comptes utilisateurs, ainsi que l'accès ou la modification de données critiques. Cela s'applique aussi bien aux utilisateurs standards qu'aux comptes internes ou administratifs.

La journalisation de ces événements devient cruciale en cas de suspicion d'accès non autorisé, qu'il s'agisse d'une menace interne ou externe.

Lorsqu'un tel événement se produit, il est indispensable de pouvoir identifier quelles données ont été consultées et par qui, afin de déterminer l'ampleur et la portée de l'incident.

Journalisation des erreurs

La journalisation des erreurs et des avertissements n'est pas seulement une bonne pratique d'ingénierie pour surveiller la santé d'une application ; elle sert également de système d'alerte précoce.

Lorsqu'un attaquant tente de découvrir une vulnérabilité, il génère souvent un volume important d'erreurs et d'avertissements, ce qui peut vous alerter sur une tentative d'exploitation de votre application.

Centralisation du stockage des journaux

Les journaux doivent toujours être transmis et stockés en temps réel dans un emplacement centralisé. Cela permet non seulement de les rendre immédiatement disponibles pour l'analyse par un SIEM, mais aussi d'empêcher un attaquant ayant compromis un serveur de modifier ou de supprimer les traces de ses activités.

Conservation des journaux sur une période définie

La triste réalité est que la plupart des violations mettent des jours à être détectées, et dans 20 % des cas, elles nécessitent des mois avant d'être identifiées. Lorsque le délai entre la violation et sa détection est aussi long, les journaux deviennent souvent la seule source de données disponible pour reconstituer les faits.

Par conséquent, conserver les journaux pendant une période bien définie est primordial. Des normes comme PCI exigent que les journaux soient accessibles sans délai pour les 3 derniers mois, et qu'ils puissent être restaurés sur demande pour une période allant jusqu'à 12 mois.

Cette approche offre un bon équilibre entre la facilité d'investigation en cas d'incident et la maîtrise des coûts grâce au stockage à froid des journaux.

Auditez régulièrement les journaux à la recherche d'informations personnelles

Les journaux sont précieux pour enquêter sur des incidents potentiels, mais en réalité, ils peuvent eux-mêmes être à l'origine d'un incident.

Il existe un équilibre délicat entre inclure les informations nécessaires aux enquêtes et enregistrer trop de données. Il est très facile d'inclure accidentellement des informations personnelles dans les journaux, ce qui peut entraîner des problèmes de conformité avec les réglementations sur la protection de la vie privée.

Il est important d'auditer régulièrement les journaux pour détecter les informations personnelles et de veiller à ce qu'elles soient supprimées.

‍