Security information and event management

Le terme et le sigle SIEM est inventé par Mark Nicolett et Amrit Williams de Gartner en 2005[3].

Le SIEM permet : la collecte des données, leur normalisation, leur agrégation, la recherche de corrélation, le reporting, l'archivage, le rejeu des événements.

Les acronymes SEM, SIM et SIEM sont parfois utilisés de manière interchangeable[4], mais font généralement référence aux différents objectifs principaux des produits :

• Gestion des logs : elle se concentre sur la collecte et le stockage simple des enregistreurs de données et des pistes d'audit[5].
• Security information management (SIM) : il se focalise sur le stockage à long terme ainsi que l'analyse et la création de rapports sur les données des journaux[6].
• Security event manager (SEM) : il se focalise sur la surveillance en temps réel, la corrélation des événements, les notifications et les tableaux de bords.
• Security information and event management (SIEM) : il combine SIM et SEM et fournit une analyse en temps réel des alertes de sécurité générées par le matériel et les applications du réseau[7] - [8].
• Managed Security Service (MSS) ou Managed Security Service Provider (MSSP) : les services gérés les plus courants semblent évoluer autour de la connectivité et de la bande passante, de la surveillance du réseau, de la sécurité, de la virtualisation et de la reprise après sinistre.
• Security as a service (SECaaS) : Ces services de sécurité incluent souvent l'authentification, l'antivirus, l'anti-malware, la détection d'intrusion, les tests d'intrusion, la gestion des événements de sécurité, etc.

En pratique, de nombreuses solutions de cyber sécurité mélangent ces fonctions, il y a donc souvent un chevauchement et de nombreux fournisseurs promeuvent leur propre terminologie[9]. Souvent, les fournisseurs commerciaux proposent différentes combinaisons de ces fonctionnalités qui tendent à améliorer le SIEM dans son ensemble. La gestion des journaux à elle seule ne fournit pas d'informations en temps réel sur la sécurité du réseau, le SEM à lui seul ne fournira pas de données complètes pour une analyse approfondie des menaces. Lorsque le SEM et la gestion des journaux sont combinés, plus d'informations sont disponibles pour que SIEM puisse les surveiller[10].

Infrastructure SIEM de base

Les architectures SIEM peuvent varier selon le fournisseur, généralement, les composants essentiels sont les suivants[11] :

• Un collecteur de données transmettant les journaux d'audit sélectionnés à partir d'un hôte[12] - [13].
• Un point d'agrégation de points d'ingestion et d'indexation pour l'analyse, la corrélation et la normalisation des données[14].
• Un nœud de recherche utilisé pour la visualisation, les requêtes, les rapports et les alertes (l'analyse a lieu sur un nœud de recherche)[15].

• Security information management system