Chapitre I : Etat de l'art
? Corrélation : Les règles de
corrélation permettent d'identifier un événement qui a
causé la génération de plusieurs autres (un hacker qui
s'est introduit sur le réseau, puis a manipulé tel
équipement...). Elles permettent aussi de remonter une alerte via un
courriel, SMS ou ouvrir un ticket si la solution SIEM est interfacée
avec un outil de gestion de tickets.
? Reporting : Les SIEM permettent
également de créer et générer des tableaux de bord
et des rapports. Ainsi, les différents acteurs du SI, RSSI,
administrateurs, utilisateurs peuvent avoir une visibilité sur le SI
(nombre d'attaques, nombre d'alertes par jour...).
? Archivage : Les solutions SIEM sont
utilisées également pour des raisons juridiques et
réglementaires. Un archivage à valeur probante permet de garantir
l'intégrité des traces.
? Rejeu des événements : La
majorité des solutions permettent également de rejouer les
anciens événements pour mener des enquêtes post-incident.
Il est également possible de modifier une règle et de rejouer les
événements pour voir son comportement.
4.2 Solutions disponibles
Elastic Stack :
Elastic Stack est un groupe de produits open source de Elastic
conçu pour aider les utilisateurs à extraire des données
de tout type de source et dans n'importe quel format et à rechercher,
analyser et visualiser ces données en temps réel. La stack
était anciennement connu sous le nom d'ELK Stack, dans lequel les
lettres du nom représentaient les produits du groupe : Elasticsearch,
Logstash et Kibana. Un quatrième produit, Beats, a ensuite
été ajouté à la pile, rendant l'acronyme potentiel
imprononçable. Pour plus d'information voir [1]
Splunk
Splunk est un moteur de recherche capable d'agréger et
d'indexer les logs de tous les équipements IT de l'entreprise et de
faciliter leur exploration. Elle assure la collecte et analyse d'importants de
volumes de données générées par des machines. Elle
utilise une API standard permettant une connexion directe du service vers les
applications et les appareils. Ce produit répond aux demandes de cadres
et managers non techniques ayant besoin de rapports de données
compréhensibles et facilement actionnables.
Splunk Enterprise Security (ES) est une solution de
sécurité de l'information et de gestion des
événements (SIEM) offrant un aperçu global des
données générées à partir de technologies de
sécurité comme les réseaux, leurs
extrémités, les malwares, les
13
| 
