Pourquoi les journaux constituent un cas particulier
Le contrôle d'intégrité des fichiers, en général, protège des fichiers qui devraient rarement changer. Les journaux, eux, changent constamment par conception : chaque minute de fonctionnement ajoute de nouvelles entrées. Une simple comparaison avec la référence de la veille signale donc des milliers de différences attendues et masque celle qui compte. Le contrôle propre aux journaux pose une question plus précise : le fichier a-t-il changé d'une manière que le simple ajout ne peut pas expliquer ?
La seconde raison est probatoire. Lors d'une enquête sur un incident, le journal est la source principale pour reconstituer une chronologie : qui s'est authentifié, ce qui a été ouvert, ce qui a été copié. Qui contrôle le journal contrôle le récit des événements, et un utilisateur privilégié peut souvent écrire lui-même les entrées qui décrivent ses actions.
Comment l'intégrité des journaux est vérifiée
Plusieurs contrôles fonctionnent ensemble. Les principaux sont :
| Contrôle | Ce qu'il fait |
|---|---|
| Hachage cryptographique | Détecte tout changement, y compris les modifications gardant la taille du fichier |
| Chaînage de hachages | Rompt la chaîne si un contenu antérieur est modifié, réordonné ou supprimé |
| Signatures numériques | Permettent de vérifier l'authenticité indépendamment du stockage |
| Transfert centralisé | Copies envoyées quasi en temps réel hors du contrôle de la source |
| Stockage en ajout seul | Empêche physiquement toute modification ou suppression pendant une durée définie |
| Intégrité temporelle | Horloges synchronisées et surveillance des changements d'horloge |
Ce qui constitue une altération
L'altération prend des formes reconnaissables, et les connaître représente la moitié de la détection :
- Modification d'une entrée : réécrire un enregistrement (nom d'utilisateur, action, résultat) en conservant les horodatages et le nombre de lignes autour.
- Troncature : supprimer la fin du fichier, là où se trouvent les entrées les plus récentes et les plus compromettantes.
- Suppression sélective : retirer des entrées isolées en refermant les écarts, ou supprimer des fichiers entiers en invoquant la rotation de routine.
- Abus de rotation : forcer une rotation rapide pour que des enregistrements gênants sortent de la conservation avant l'échéance.
- Journalisation désactivée : couper la journalisation d'audit, agir, puis la réactiver. Le vide lui-même constitue la preuve.
- Manipulation d'horodatage : modifier l'horloge système ou insérer des entrées hors séquence pour fausser l'ordre des événements.
Lien avec la surveillance de l'intégrité des fichiers
Le contrôle de l'intégrité des fichiers journaux est une application spécialisée du contrôle d'intégrité des fichiers et du FIM. Il repose sur la même logique de hachage et de référence, avec des différences d'accent plutôt que de principe.
| Aspect | Intégrité des fichiers en général | Contrôle des journaux |
|---|---|---|
| Changements attendus | Devraient être rares | Constants, car chaque minute ajoute des entrées |
| Méthode de comparaison | Comparaison périodique du fichier entier, affaiblie par le volume | Méthodes en flux : transfert, chaînage, signature à l'écriture |
| Objectif principal | Détecter qu'un fichier a changé | Préserver la valeur probatoire de chaque enregistrement pendant sa conservation |
Contexte de conformité et médico-légal
Les référentiels de sécurité traitent les journaux d'audit comme des enregistrements protégés. La norme PCI DSS exige la protection des données de journal contre la modification, la famille ISO 27000 attend des contrôles de journalisation et de surveillance, et les audits SOC 2 examinent l'intégrité des journaux. L'attente commune est de pouvoir démontrer que les journaux sont complets et inaltérés pendant toute leur durée de conservation.
En réponse à un incident, la valeur d'un journal dépend de la confiance qu'on lui accorde. Un enquêteur qui ne peut pas exclure une altération doit considérer la chronologie comme non fiable et la corroborer par des sources indépendantes. Les contrôles d'intégrité permettent au journal de servir d'élément fiable plutôt que de simple indice.
Dans sa propre console, Anexet conserve le même type de trace. Le journal des enquêtes indique quand chaque dossier a été créé et qui l'a ouvert, afin que le travail sur chaque dossier reste attribuable. L'historique des événements peut aussi être restreint par date et par gravité avant l'examen.
1 / 2
Remarques pratiques de déploiement
Les déploiements solides partagent quelques caractéristiques. Les journaux quittent rapidement le système source pour un stockage sur lequel les administrateurs de la source n'ont pas de droit d'écriture. Les horloges sont synchronisées dans tout le parc, car une intégrité sans heure exacte produit tout de même une chronologie brisée. La surveillance guette l'absence comme le changement : un serveur dont les journaux cessent d'arriver mérite une alerte.
La vérification a lieu à l'ingestion comme après le stockage. Enfin, la conservation et l'intégrité se décident ensemble : une conservation pluriannuelle suppose la même capacité, sur plusieurs années, à prouver que l'enregistrement n'a pas changé.
Pour aller plus loin : Que sont les systèmes SIEM pour la gestion de la sécurité de l'information ?.
Un journal ne vaut que par la preuve que personne ne l'a modifié depuis son écriture.
Anexet TeamComment Anexet traite ce sujet
Le contrôle de l'intégrité des fichiers journaux, au sens classique, relève des outils de sécurité au niveau du système : Anexet n'est pas un moteur de surveillance de l'intégrité des fichiers et ne vérifie pas les fichiers journaux des systèmes d'exploitation ou des applications tierces. Le recoupement est plus étroit. Anexet produit son propre enregistrement d'événements liés à l'activité sur les données, conçu dans le même but : établir ce qui s'est passé, quand, et quel compte en était responsable.
Comme Anexet s'exécute on-premise, les événements qu'il enregistre, y compris la piste d'audit de la manière dont les enquêtes ont été menées, restent à l'intérieur de l'infrastructure de l'organisation et sous ses propres contrôles d'accès.
Enregistrement des événements avec métadonnées
chaque événement surveillé, un transfert, un blocage, une mise en quarantaine, une alerte, est enregistré avec des métadonnées : utilisateur, horodatage, canal, classification du contenu et action entreprise, stockées de manière centralisée plutôt que sur le seul poste.
Historique consultable et exportable
les événements enregistrés peuvent être recherchés, filtrés et exportés dans des formats courants, dont PDF, CSV, XLSX et HTML, pour la revue, la conservation et le partage avec les auditeurs.
Enquêtes traitées comme des dossiers
les incidents de sécurité sont traités comme des dossiers d'enquête : les éléments associés, les personnes impliquées, les activités et leurs résultats, ainsi que les conclusions, restent regroupés au sein d'un dossier structuré plutôt qu'en fichiers épars.
Piste d'audit de l'enquête elle-même
chaque dossier tient son propre journal de qui y a travaillé, qui l'a modifié et qui l'a seulement consulté sans le modifier, de sorte que la question de l'intégrité s'étend à l'enquête elle-même.
Complémentaire, non redondant
pour l'intégrité des fichiers journaux du système d'exploitation et des applications, des outils dédiés de protection des journaux restent la réponse ; l'apport d'Anexet est la piste d'audit complète et attribuable du traitement des données, utilisée en complément de ces journaux système.
Anexet DLP
En savoir plus