SlideShare une entreprise Scribd logo
Comment réussir un projet de supervision de sécurité ?
Le SIEM (définition)
Security Incident & Event Management
• Collecte les journaux (multi formats)
• Normalise les événements
(taxonomie)
• Corrèle et Reporte (tableaux de bords
techniques, de pilotage et
managériaux, synchrone et
asynchrone)
• Archive (au sein mémoriel et légal du
terme)
• Rejoue des événements (dans le cadre
d’une analyse post mortem par
exemple)
• Gère le suivi (I)
Objectifs métiers
•Technique et/ou juridique :
Collecte et centralisation de logs
avec quelques règles de
corrélations
•Besoin : investigation technique
interne, statistiques d’usages et
détection d’usages anormaux
•Conformité : Répondre à des
besoins réglementaires (CNIL, PCI
DSS, RDBF, etc.)
•Besoin : indicateurs issus de
corrélations visant à surveiller
des données et/ou des
traitements
•Proactif : détection de
comportements anormaux
•Besoin : suivi d’utilisation,
détection d’APT, etc.
Physionomie d’une attaque
L’attaquant scanne le périmètre pour découvrir une
faille dans le périmètre
L’attaquant traverse les lignes de défenses et
compromet un équipement en exploitant une
vulnérabilité
Depuis l’équipement compromis l’attaquant cible des
données confidentielles (SGBD, collaboratif, etc.)
L’attaquant déploit des backdoors pour exfiltrer les
données sensibles et élargir sa surface d’attaque
Les équipements d’interfaces journalisent les scans
horizontaux et verticaux
Les IDS/IPS détectent les signatures d’attaques et
contrôlent l’effectivité des barrières
Les serveurs journalisent les accès
Les bases de données journalisent les requêtes
Le SIEM corrèle et détecte les attaques
Logigramme
Analyse
Parsing
Collecte
Logs IT-IS-IM
Capture paquets/sessions
Flux d’informations
Archivage
Reporting
Détection temps réel
Evénements pondérés
Faux positifs, recorrélation, etc.
Corrélation
Agrégationdelogs
Corrélationd’événement
Corrélationvulnérabilité
Corrélationd’inventaire
Gestionderisques
Alerte
Gestion de crise
Retour à la normale
1012
109
106
103
10
1
Les modèles SOCs
Opérations
Gestion des
événements
Gestion des
vulnérabilités
Gestion des
opérations
Gestion des
référentiels
Technologique
Gestion des
configurations
Gestion et
MCO de la
solution
Gestion des
infrastructure
s
Métiers
Gestion des
escalades
Gestion de la
disponibilité
PRA/PCA
Gestion des
évolutions
Gestion des
KPI et SLA
Analyse
Gestion des
incidents
Gestion des
investigations
Gestion des
problèmes
Gestion des
indicateurs
PAQ, PAS, Plan de Management, Catalogue de Services, etc.
Des équipes organisées et indépendantes
Les modèles de delivery
Intégration
•Accompagnement à Maitrise d’Ouvrage(aide au choix, rédaction de RFI, RFP, etc.)
•Installation (POC, Pilote, déploiement, maintenance, etc.)
•Mise en œuvre des processus (RACI, Plan de management, catalogue de services,
etc.)
Infogérance
•Suite à une intégration ou à une réversibilité
•Mise en place d’équipes N1/N2 chez les clients N3 en base arrière sur base horaire
contractuelle
•Organisation 24/7/365 sur site ou en mode bascule sur SOC interne maitrisé
(FRA/IND)
Services
Managés
•Modèle SIEM as a Service
•Intégration dans l’infrastructure du client ou modèle externe
•Equipe dédiée ou mutualisée
•Choix d’une technologie ou d’un modèle en Unités d’Œuvres
Les + de notre offre: Plan Do Check Act
Il s’agit, sur la base d’une quantité significative de logs et en
complément des solutions existantes:
• De réaliser
– l’identification et la collecte les données
– la modélisation (schéma en étoile, KPI, dimensions)
– la visualisation et l’analyse des données.
• D’identifier
– les comportements atypiques et les zones cachées dans
les épaisseurs de trait,
– les groupes (clusters) de données ayant des
comportements proches et des paramètres explicatifs à
ces clusters.
– les tendances.
Approche progressive :
• Data exploration  Recherche de singularités
• Data control  Recherche focalisée à partir
des singularités et des d’input métiers
• Data Mining  Corrélation des données
Conclusion
Une démarche SIEM réussie c’est :
• La fourniture d'indicateurs opérationnels et métiers nouveaux et la détection incidents méconnus
auparavant.
• Un mode de gouvernance sécurité plus réactif et plus précis basé sur un contrôle permanent
extrêmement fin des systèmes d’information
• Un procédure et des réactions, testés et déroulées avec la même rigueur que les PCA ou PRA.
• Une baisse des coûts d’audits périodiques (données d'audits exploitables au niveau des SOC)
Les erreurs à éviter
Défaut de continuité dans la chaine de transport du log
Objectifs de surveillance mal ciblés
• Faible diversité des événements détectés (seuils trop élevés, donc sans intérêt pour les acteurs)
• Complexité mail maîtrisée (impossible à corréler)
• Finalité sécurité (améliorer des investissements sécurité, pratiques dangereuses)
Focaliser la surveillance sur les équipements de sécurité ou la DMZ au détriment des serveurs et des
postes de travail (Approche Jéricho)
Négligence dans les objectifs de détection
• Comportements des usagers internes (signaux faibles et APT)
• Préservation des biens et des fonctions sensibles
Défaut de vérification de l’effectivité des corrélations (PDCA)
Les facteurs clés
Paradigme
•la sécurité est une
activité pilotée par
l’entreprise
•Le SIEM facilite la
lecture
SIEM et pas SEM
•engagements
d’interventions voire
de résolutions sur les
alertes
•RACI l’organisation
Périmètre
•intégrer le GT-BC
•les systèmes
industriels
•les accès aux locaux,
Communiquer et
accompagner
•Les avantages
(dissocier
l’intentionnel de
l’accidentel)
•Indicateurs de succès
des taches
quotidiennes
•Alertes avancées
Reporting
•Temps réel (remontée
d’alertes rapides sur
détection proactive)
•Périodique (vision
synthétique
hebdomadaire ou
mensuelle)
•Type de projet (solution, logiciel, infogérance, MSSP, etc. )
•Les finalités
•Le périmètre (technique et fonctionnel)
•L’équipe projet en charge du déploiement, du MCO et de l’exploitation
Objectifs
•Pré requis (synchronisation temporelle, standardisation des types de journaux, etc.)
•Conception, construction et opération (différents périmètres)
•Organisation des équipes (niveaux, plages horaires, etc.
Planifier
•Ne pas se restreindre (le diable est dans les détails)
•Partager un référentiel commun de temps
•Sécuriser et sceller l’archivage
•Vérifier périodiquement l’effectivité de la corrélation (PDCA)
Ne pas oublier
Le marché SIEM sur 3 ans (source Gartner)
• Consolidation du marché de 25 acteurs à 16
• Seuls les produits mures technologiquement et avec une roadmap ambitieuse sont
leaders
Cliquez pour modifier le style du titre
David.Maillard@Sogeti.Com
+33 6 24 13 32 03
ENVIE D’EN PARLER OU D’ALLER PLUS LOIN
WANT TO GO DEEPER OR FORWARD

Contenu connexe

Tendances

Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]
Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]
Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]
Sébastien Rabaud
 
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMESPRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
TelecomValley
 
Présentation audits de sécurité
Présentation   audits de sécuritéPrésentation   audits de sécurité
Présentation audits de sécurité
Harvey Francois
 
What is SIEM? A Brilliant Guide to the Basics
What is SIEM? A Brilliant Guide to the BasicsWhat is SIEM? A Brilliant Guide to the Basics
What is SIEM? A Brilliant Guide to the Basics
Sagar Joshi
 
Presentation iso27002
Presentation iso27002Presentation iso27002
Presentation iso27002
soumaila Doumbia
 
Les processus IAM
Les processus IAMLes processus IAM
Les processus IAM
Marc Rousselet
 
An introduction to SOC (Security Operation Center)
An introduction to SOC (Security Operation Center)An introduction to SOC (Security Operation Center)
An introduction to SOC (Security Operation Center)
Ahmad Haghighi
 
Creating Correlation Rules in AlienVault
Creating Correlation Rules in AlienVaultCreating Correlation Rules in AlienVault
Creating Correlation Rules in AlienVault
AlienVault
 
Qradar - Reports.pdf
Qradar - Reports.pdfQradar - Reports.pdf
Qradar - Reports.pdf
PencilData
 
Effective Security Operation Center - present by Reza Adineh
Effective Security Operation Center - present by Reza AdinehEffective Security Operation Center - present by Reza Adineh
Effective Security Operation Center - present by Reza Adineh
ReZa AdineH
 
Q radar architecture deep dive
Q radar architecture   deep diveQ radar architecture   deep dive
Q radar architecture deep dive
Kamal Mouline
 
SIEM POC Assessment.pdf
SIEM POC Assessment.pdfSIEM POC Assessment.pdf
SIEM POC Assessment.pdf
ReZa AdineH
 
2014 09-25-club-27001 iso 27034-presentation-v2.2
2014 09-25-club-27001 iso 27034-presentation-v2.22014 09-25-club-27001 iso 27034-presentation-v2.2
2014 09-25-club-27001 iso 27034-presentation-v2.2
Sébastien GIORIA
 
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Bachir Benyammi
 
Chap06 1
Chap06 1Chap06 1
Chap06 1
Malak Souf
 
IBM Security QRadar
 IBM Security QRadar IBM Security QRadar
IBM Security QRadar
Virginia Fernandez
 
Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3
PRONETIS
 
Security Information Event Management - nullhyd
Security Information Event Management - nullhydSecurity Information Event Management - nullhyd
Security Information Event Management - nullhyd
n|u - The Open Security Community
 
SIEM Architecture
SIEM ArchitectureSIEM Architecture
SIEM Architecture
Nishanth Kumar Pathi
 
SOC Architecture Workshop - Part 1
SOC Architecture Workshop - Part 1SOC Architecture Workshop - Part 1
SOC Architecture Workshop - Part 1
Priyanka Aash
 

Tendances (20)

Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]
Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]
Politiques Sécurité de l'Information - [SCASSI] [Club 27001] [TLS] [2013]
 
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMESPRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
PRÉSENTATION D’UN KIT SIEM DÉDIÉ AUX PMES
 
Présentation audits de sécurité
Présentation   audits de sécuritéPrésentation   audits de sécurité
Présentation audits de sécurité
 
What is SIEM? A Brilliant Guide to the Basics
What is SIEM? A Brilliant Guide to the BasicsWhat is SIEM? A Brilliant Guide to the Basics
What is SIEM? A Brilliant Guide to the Basics
 
Presentation iso27002
Presentation iso27002Presentation iso27002
Presentation iso27002
 
Les processus IAM
Les processus IAMLes processus IAM
Les processus IAM
 
An introduction to SOC (Security Operation Center)
An introduction to SOC (Security Operation Center)An introduction to SOC (Security Operation Center)
An introduction to SOC (Security Operation Center)
 
Creating Correlation Rules in AlienVault
Creating Correlation Rules in AlienVaultCreating Correlation Rules in AlienVault
Creating Correlation Rules in AlienVault
 
Qradar - Reports.pdf
Qradar - Reports.pdfQradar - Reports.pdf
Qradar - Reports.pdf
 
Effective Security Operation Center - present by Reza Adineh
Effective Security Operation Center - present by Reza AdinehEffective Security Operation Center - present by Reza Adineh
Effective Security Operation Center - present by Reza Adineh
 
Q radar architecture deep dive
Q radar architecture   deep diveQ radar architecture   deep dive
Q radar architecture deep dive
 
SIEM POC Assessment.pdf
SIEM POC Assessment.pdfSIEM POC Assessment.pdf
SIEM POC Assessment.pdf
 
2014 09-25-club-27001 iso 27034-presentation-v2.2
2014 09-25-club-27001 iso 27034-presentation-v2.22014 09-25-club-27001 iso 27034-presentation-v2.2
2014 09-25-club-27001 iso 27034-presentation-v2.2
 
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
Organigramme de la mise en œuvre du SMSI et processus de certification ISO 27...
 
Chap06 1
Chap06 1Chap06 1
Chap06 1
 
IBM Security QRadar
 IBM Security QRadar IBM Security QRadar
IBM Security QRadar
 
Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3Sécurite opérationnelle des Système d'Information Volet-3
Sécurite opérationnelle des Système d'Information Volet-3
 
Security Information Event Management - nullhyd
Security Information Event Management - nullhydSecurity Information Event Management - nullhyd
Security Information Event Management - nullhyd
 
SIEM Architecture
SIEM ArchitectureSIEM Architecture
SIEM Architecture
 
SOC Architecture Workshop - Part 1
SOC Architecture Workshop - Part 1SOC Architecture Workshop - Part 1
SOC Architecture Workshop - Part 1
 

Similaire à Comment réussir un projet de supervision de sécurité #SIEM #Succès

ITrust Security Operating Center (SOC) - Datasheet FR
ITrust Security Operating Center (SOC) - Datasheet FRITrust Security Operating Center (SOC) - Datasheet FR
ITrust Security Operating Center (SOC) - Datasheet FR
ITrust - Cybersecurity as a Service
 
Dataw formation-data-warehouse-et-systemes-d-aide-a-la-decision
Dataw formation-data-warehouse-et-systemes-d-aide-a-la-decisionDataw formation-data-warehouse-et-systemes-d-aide-a-la-decision
Dataw formation-data-warehouse-et-systemes-d-aide-a-la-decision
CERTyou Formation
 
Sécurité des systèmes d'information
Sécurité des systèmes d'informationSécurité des systèmes d'information
Sécurité des systèmes d'information
Franck Franchin
 
L'audit et la gestion des incidents
L'audit et la gestion des incidentsL'audit et la gestion des incidents
L'audit et la gestion des incidents
ISACA Chapitre de Québec
 
Exploitation Entretien et Soutien des SI
Exploitation Entretien et Soutien des SIExploitation Entretien et Soutien des SI
Exploitation Entretien et Soutien des SI
Arsène Ngato
 
L’implantation d’un système de gestion documentaire
L’implantation d’un système de gestion documentaireL’implantation d’un système de gestion documentaire
L’implantation d’un système de gestion documentaire
Didier Labonte
 
TelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihm
TelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihmTelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihm
TelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihm
Marc Hage Chahine
 
Disaster Recovery Plan (DRP) & Business Continuity Plan 2012 - Computerland
Disaster Recovery Plan (DRP) & Business Continuity Plan 2012 - ComputerlandDisaster Recovery Plan (DRP) & Business Continuity Plan 2012 - Computerland
Disaster Recovery Plan (DRP) & Business Continuity Plan 2012 - Computerland
Patricia NENZI
 
Gu202 g formation-infosphere-guardium-9
Gu202 g formation-infosphere-guardium-9Gu202 g formation-infosphere-guardium-9
Gu202 g formation-infosphere-guardium-9
CERTyou Formation
 
System Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’IT
System Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’ITSystem Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’IT
System Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’IT
Microsoft Technet France
 
LAIR_230330-SécuritéSAE.pdf
LAIR_230330-SécuritéSAE.pdfLAIR_230330-SécuritéSAE.pdf
LAIR_230330-SécuritéSAE.pdf
AssociationAF
 
2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...
2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...
2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...
Club Alliances
 
securite-2014-fond-blanc (1).ppt
securite-2014-fond-blanc (1).pptsecurite-2014-fond-blanc (1).ppt
securite-2014-fond-blanc (1).ppt
Khaledabdelilah1
 
Score card sécurité Infologo
Score card sécurité InfologoScore card sécurité Infologo
Score card sécurité Infologo
Infologo
 
Implementer ITIL
Implementer ITILImplementer ITIL
Implementer ITIL
hdoornbos
 
Implementeritilv2 140114131107-phpapp01
Implementeritilv2 140114131107-phpapp01Implementeritilv2 140114131107-phpapp01
Implementeritilv2 140114131107-phpapp01
Nacer HAMADENE
 
La documentation du système d'information
La documentation du système d'informationLa documentation du système d'information
La documentation du système d'information
Chiheb Ouaghlani
 

Similaire à Comment réussir un projet de supervision de sécurité #SIEM #Succès (20)

Cisa domaine 4 operations maintenance et support des systèmes d’information
Cisa domaine 4   operations maintenance et support des systèmes d’informationCisa domaine 4   operations maintenance et support des systèmes d’information
Cisa domaine 4 operations maintenance et support des systèmes d’information
 
ITrust Security Operating Center (SOC) - Datasheet FR
ITrust Security Operating Center (SOC) - Datasheet FRITrust Security Operating Center (SOC) - Datasheet FR
ITrust Security Operating Center (SOC) - Datasheet FR
 
Dataw formation-data-warehouse-et-systemes-d-aide-a-la-decision
Dataw formation-data-warehouse-et-systemes-d-aide-a-la-decisionDataw formation-data-warehouse-et-systemes-d-aide-a-la-decision
Dataw formation-data-warehouse-et-systemes-d-aide-a-la-decision
 
Sécurité des systèmes d'information
Sécurité des systèmes d'informationSécurité des systèmes d'information
Sécurité des systèmes d'information
 
L'audit et la gestion des incidents
L'audit et la gestion des incidentsL'audit et la gestion des incidents
L'audit et la gestion des incidents
 
Exploitation Entretien et Soutien des SI
Exploitation Entretien et Soutien des SIExploitation Entretien et Soutien des SI
Exploitation Entretien et Soutien des SI
 
L’implantation d’un système de gestion documentaire
L’implantation d’un système de gestion documentaireL’implantation d’un système de gestion documentaire
L’implantation d’un système de gestion documentaire
 
TelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihm
TelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihmTelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihm
TelecomValley 2017 05-18-ARMAGNACQ_automatisation+test_ihm
 
Disaster Recovery Plan (DRP) & Business Continuity Plan 2012 - Computerland
Disaster Recovery Plan (DRP) & Business Continuity Plan 2012 - ComputerlandDisaster Recovery Plan (DRP) & Business Continuity Plan 2012 - Computerland
Disaster Recovery Plan (DRP) & Business Continuity Plan 2012 - Computerland
 
Gu202 g formation-infosphere-guardium-9
Gu202 g formation-infosphere-guardium-9Gu202 g formation-infosphere-guardium-9
Gu202 g formation-infosphere-guardium-9
 
System Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’IT
System Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’ITSystem Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’IT
System Center 2012 Orchestrator: gagnez du temps et simplifiez-vous l’IT
 
LAIR_230330-SécuritéSAE.pdf
LAIR_230330-SécuritéSAE.pdfLAIR_230330-SécuritéSAE.pdf
LAIR_230330-SécuritéSAE.pdf
 
Optimisation de l’audit des contrôles TI
Optimisation de l’audit des contrôles TIOptimisation de l’audit des contrôles TI
Optimisation de l’audit des contrôles TI
 
2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...
2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...
2010.11.26 - DSI - Comment maîtriser l'intégration du Cloud et du SaaS dans l...
 
securite-2014-fond-blanc (1).ppt
securite-2014-fond-blanc (1).pptsecurite-2014-fond-blanc (1).ppt
securite-2014-fond-blanc (1).ppt
 
Score card sécurité Infologo
Score card sécurité InfologoScore card sécurité Infologo
Score card sécurité Infologo
 
Implementer ITIL
Implementer ITILImplementer ITIL
Implementer ITIL
 
Implementeritilv2 140114131107-phpapp01
Implementeritilv2 140114131107-phpapp01Implementeritilv2 140114131107-phpapp01
Implementeritilv2 140114131107-phpapp01
 
La documentation du système d'information
La documentation du système d'informationLa documentation du système d'information
La documentation du système d'information
 
Zdi Strategy Process Map
Zdi Strategy Process MapZdi Strategy Process Map
Zdi Strategy Process Map
 

Comment réussir un projet de supervision de sécurité #SIEM #Succès

  • 1. Comment réussir un projet de supervision de sécurité ?
  • 2. Le SIEM (définition) Security Incident & Event Management • Collecte les journaux (multi formats) • Normalise les événements (taxonomie) • Corrèle et Reporte (tableaux de bords techniques, de pilotage et managériaux, synchrone et asynchrone) • Archive (au sein mémoriel et légal du terme) • Rejoue des événements (dans le cadre d’une analyse post mortem par exemple) • Gère le suivi (I) Objectifs métiers •Technique et/ou juridique : Collecte et centralisation de logs avec quelques règles de corrélations •Besoin : investigation technique interne, statistiques d’usages et détection d’usages anormaux •Conformité : Répondre à des besoins réglementaires (CNIL, PCI DSS, RDBF, etc.) •Besoin : indicateurs issus de corrélations visant à surveiller des données et/ou des traitements •Proactif : détection de comportements anormaux •Besoin : suivi d’utilisation, détection d’APT, etc.
  • 3. Physionomie d’une attaque L’attaquant scanne le périmètre pour découvrir une faille dans le périmètre L’attaquant traverse les lignes de défenses et compromet un équipement en exploitant une vulnérabilité Depuis l’équipement compromis l’attaquant cible des données confidentielles (SGBD, collaboratif, etc.) L’attaquant déploit des backdoors pour exfiltrer les données sensibles et élargir sa surface d’attaque Les équipements d’interfaces journalisent les scans horizontaux et verticaux Les IDS/IPS détectent les signatures d’attaques et contrôlent l’effectivité des barrières Les serveurs journalisent les accès Les bases de données journalisent les requêtes Le SIEM corrèle et détecte les attaques
  • 4. Logigramme Analyse Parsing Collecte Logs IT-IS-IM Capture paquets/sessions Flux d’informations Archivage Reporting Détection temps réel
  • 5. Evénements pondérés Faux positifs, recorrélation, etc. Corrélation Agrégationdelogs Corrélationd’événement Corrélationvulnérabilité Corrélationd’inventaire Gestionderisques Alerte Gestion de crise Retour à la normale 1012 109 106 103 10 1
  • 6. Les modèles SOCs Opérations Gestion des événements Gestion des vulnérabilités Gestion des opérations Gestion des référentiels Technologique Gestion des configurations Gestion et MCO de la solution Gestion des infrastructure s Métiers Gestion des escalades Gestion de la disponibilité PRA/PCA Gestion des évolutions Gestion des KPI et SLA Analyse Gestion des incidents Gestion des investigations Gestion des problèmes Gestion des indicateurs PAQ, PAS, Plan de Management, Catalogue de Services, etc. Des équipes organisées et indépendantes
  • 7. Les modèles de delivery Intégration •Accompagnement à Maitrise d’Ouvrage(aide au choix, rédaction de RFI, RFP, etc.) •Installation (POC, Pilote, déploiement, maintenance, etc.) •Mise en œuvre des processus (RACI, Plan de management, catalogue de services, etc.) Infogérance •Suite à une intégration ou à une réversibilité •Mise en place d’équipes N1/N2 chez les clients N3 en base arrière sur base horaire contractuelle •Organisation 24/7/365 sur site ou en mode bascule sur SOC interne maitrisé (FRA/IND) Services Managés •Modèle SIEM as a Service •Intégration dans l’infrastructure du client ou modèle externe •Equipe dédiée ou mutualisée •Choix d’une technologie ou d’un modèle en Unités d’Œuvres
  • 8. Les + de notre offre: Plan Do Check Act Il s’agit, sur la base d’une quantité significative de logs et en complément des solutions existantes: • De réaliser – l’identification et la collecte les données – la modélisation (schéma en étoile, KPI, dimensions) – la visualisation et l’analyse des données. • D’identifier – les comportements atypiques et les zones cachées dans les épaisseurs de trait, – les groupes (clusters) de données ayant des comportements proches et des paramètres explicatifs à ces clusters. – les tendances. Approche progressive : • Data exploration  Recherche de singularités • Data control  Recherche focalisée à partir des singularités et des d’input métiers • Data Mining  Corrélation des données
  • 9. Conclusion Une démarche SIEM réussie c’est : • La fourniture d'indicateurs opérationnels et métiers nouveaux et la détection incidents méconnus auparavant. • Un mode de gouvernance sécurité plus réactif et plus précis basé sur un contrôle permanent extrêmement fin des systèmes d’information • Un procédure et des réactions, testés et déroulées avec la même rigueur que les PCA ou PRA. • Une baisse des coûts d’audits périodiques (données d'audits exploitables au niveau des SOC)
  • 10. Les erreurs à éviter Défaut de continuité dans la chaine de transport du log Objectifs de surveillance mal ciblés • Faible diversité des événements détectés (seuils trop élevés, donc sans intérêt pour les acteurs) • Complexité mail maîtrisée (impossible à corréler) • Finalité sécurité (améliorer des investissements sécurité, pratiques dangereuses) Focaliser la surveillance sur les équipements de sécurité ou la DMZ au détriment des serveurs et des postes de travail (Approche Jéricho) Négligence dans les objectifs de détection • Comportements des usagers internes (signaux faibles et APT) • Préservation des biens et des fonctions sensibles Défaut de vérification de l’effectivité des corrélations (PDCA)
  • 11. Les facteurs clés Paradigme •la sécurité est une activité pilotée par l’entreprise •Le SIEM facilite la lecture SIEM et pas SEM •engagements d’interventions voire de résolutions sur les alertes •RACI l’organisation Périmètre •intégrer le GT-BC •les systèmes industriels •les accès aux locaux, Communiquer et accompagner •Les avantages (dissocier l’intentionnel de l’accidentel) •Indicateurs de succès des taches quotidiennes •Alertes avancées Reporting •Temps réel (remontée d’alertes rapides sur détection proactive) •Périodique (vision synthétique hebdomadaire ou mensuelle) •Type de projet (solution, logiciel, infogérance, MSSP, etc. ) •Les finalités •Le périmètre (technique et fonctionnel) •L’équipe projet en charge du déploiement, du MCO et de l’exploitation Objectifs •Pré requis (synchronisation temporelle, standardisation des types de journaux, etc.) •Conception, construction et opération (différents périmètres) •Organisation des équipes (niveaux, plages horaires, etc. Planifier •Ne pas se restreindre (le diable est dans les détails) •Partager un référentiel commun de temps •Sécuriser et sceller l’archivage •Vérifier périodiquement l’effectivité de la corrélation (PDCA) Ne pas oublier
  • 12. Le marché SIEM sur 3 ans (source Gartner) • Consolidation du marché de 25 acteurs à 16 • Seuls les produits mures technologiquement et avec une roadmap ambitieuse sont leaders
  • 13. Cliquez pour modifier le style du titre David.Maillard@Sogeti.Com +33 6 24 13 32 03 ENVIE D’EN PARLER OU D’ALLER PLUS LOIN WANT TO GO DEEPER OR FORWARD