Agrégation

L'agrégation consiste à regrouper les données de nombreux enregistrements, systèmes ou événements en un seul ensemble ou une seule synthèse. Un serveur de journaux qui collecte les événements de centaines de machines agrège. Un rapport qui transforme des milliers de lignes en un total, une moyenne ou un nombre le fait aussi.

En sécurité, le mot a deux faces. La première est une technique : rassembler des données dispersées pour pouvoir les rechercher, les compter et les comparer. La seconde est un risque : des éléments inoffensifs isolément peuvent devenir sensibles une fois côte à côte. La synthèse elle-même a sa propre page, informations agrégées. Cette page traite du processus et de son effet sur la classification des données.

Le schéma est le même que le résultat soit un tableau de bord ou une alerte. Sa qualité dépend de la deuxième étape : des enregistrements qu'on ne peut pas rattacher au même utilisateur ou à la même minute ne peuvent pas être combinés.

1. 1

   Collecter

   Réunissez des enregistrements ou des événements issus de plusieurs sources, comme des journaux, des bases de données et des agents sur les postes.

2. 2

   Aligner

   Ramenez les champs à une forme commune : fuseau horaire, identifiant d'utilisateur, noms de champs.

3. 3

   Combiner

   Regroupez ou reliez les enregistrements selon une clé commune, par exemple un utilisateur, un hôte ou une fenêtre de temps.

4. 4

   Synthétiser

   Appliquez une fonction à chaque groupe, comme un nombre, une somme ou un maximum, ou conservez les enregistrements combinés pour la recherche.

Les équipes de sécurité agrègent parce qu'un événement isolé raconte rarement toute l'histoire. Un stockage central des journaux, une alerte par seuil et un score de risque reposent sur la même idée à des niveaux différents. Envoyer les événements vers une plateforme SIEM en est une forme courante, et l'analyse comportementale, comme l'UEBA, s'appuie sur l'activité combinée dans le temps.

Le versant risque de l'agrégation est ancien et simple. Chaque information d'une liste peut être publique ou de faible valeur : un nom, un service, un code de projet, une date de voyage. Ensemble, elles peuvent révéler une liste de clients, une transaction non annoncée ou les déplacements d'une personne. Les guides de sécurité parlent de problème d'agrégation, et l'effet mosaïque décrit le même schéma.

La conséquence est qu'une compilation peut mériter un niveau plus élevé que chacune de ses sources. Celui qui construit un rapport, un export ou un entrepôt de données partagé doit se demander ce que l'ensemble révèle, et pas seulement ce que contient chaque colonne, et traiter le résultat comme des informations sensibles lorsque la réponse est sérieuse.

Ces trois mots s'emploient souvent à la légère et se confondent facilement. Ils décrivent des étapes différentes, et chacune appelle un contrôle différent.

Dans Anexet Activity, la règle de sécurité statistique est l'agrégation sous sa forme la plus directe : la règle compte les événements d'un type choisi, comme des e-mails, des conversations ou des requêtes web, sur une heure, un jour, une semaine ou une période personnalisée, et se déclenche quand le nombre dépasse un seuil. Pour les rapports, la console produit des rapports consolidés avec des colonnes de total et de moyenne quotidienne, et les rapports de sécurité amènent les résultats à ceux qui les examinent.

1 / 2

• 
• 

Les contrôles partent d'un constat : un ensemble de données combiné est un nouvel actif. Il lui faut un responsable, un niveau de classification et une règle d'accès propres.

• Classez la compilation selon ce qu'elle révèle dans son ensemble, et non selon sa source la moins sensible
• Limitez qui peut construire, exporter ou planifier de gros rapports combinés
• Protégez les données sources aussi bien que l'ensemble combiné
• Fixez une taille minimale de groupe pour les synthèses largement diffusées
• Surveillez les volumes inhabituels : de nombreuses requêtes ou exports d'un utilisateur en peu de temps peuvent être le premier signe d'une exfiltration de données

Dressez la liste des endroits où votre organisation combine déjà des données : journaux centraux, rapports partagés, exports pour des partenaires, espaces d'analyse. Pour chacun, notez ce que l'ensemble révèle et qui peut le voir, puis comparez avec le niveau des sources.

Compter les événements vient en second. Une fois que vous savez ce qu'est un volume normal pour une équipe, une règle par seuil vous signale quand quelqu'un en sort.