SIEM : définition

Un SIEM est une plateforme qui centralise et analyse les journaux de sécurité d'une organisation pour détecter les comportements suspects en temps réel.

Il alimente souvent un SOC (centre d'opérations de sécurité), l'équipe qui surveille et réagit aux alertes.

Un SIEM collecte en continu les journaux d'événements : connexions, erreurs, changements de droits, trafic réseau. Il les met en relation pour repérer des enchaînements suspects, par exemple une connexion depuis un pays inhabituel suivie de la création d'un compte administrateur.

Un SIEM n'est utile que si quelqu'un exploite ses alertes. C'est pourquoi il est souvent associé à un SOC (centre opérationnel de sécurité), interne ou confié à un prestataire, qui analyse les alertes et réagit aux incidents.

Pour une PME, une première étape réaliste consiste à conserver hors des machines les journaux des pare-feux, des VPN, de la messagerie et des comptes administrateurs, pendant au moins six mois, afin de pouvoir enquêter après un incident.

Les sources les plus utiles à surveiller en priorité sont les connexions VPN, les comptes administrateurs, la messagerie et les pare-feux : c'est par là que passent la plupart des intrusions. Des solutions open source comme Wazuh permettent de démarrer sans gros budget.