La problématique de la journalisation
Avant de mettre en œuvre une infrastructure de gestion des journaux, il est important de
bien connaître les difficultés liées à la journalisation, puis de préparer une approche
cohérente.
Difficultés propres aux journaux
Le besoin de journalisation est tel que les fournisseurs de systèmes et les éditeurs de
logiciels ont intégré presque systématiquement dans leurs produits des fonctionnalités
permettant de journaliser tout type d’événement. Toutefois, cette situation qui, en
principe, est très favorable au RSSI, n’est pas sans lui poser quelques difficultés.
Multiplicité : chaque système, chaque application a ses propres journaux. Il en existe
tellement qu’il arrive souvent qu’on ne sache plus ni où ils sont, ni ce qu’ils
contiennent.
Partialité : les journaux permettent de consigner un certain nombre d’événements. Il
peut s’agir des connexions, des déconnexions, des accès à des objets, des faits
marquants au niveau du logiciel ou du système ; bref, toute une famille d’événements
qui n’intéressent pas forcément le RSSI. L’information utile se trouve souvent noyée
dans un océan d’événements sans intérêt.
Configuration : la configuration des journaux est souvent laissée par défaut. Les
paramètres sont donc ceux qui ont été mis au moment de l’installation du produit.
Souvent, ce paramétrage n’est pas satisfaisant. La partition réservée aux journaux
n’est pas assez grande, la politique de rafraîchissement fait que les journaux les plus
anciens sont écrasés par les nouveaux avec une fréquence trop élevée, etc.
Répartition : comme chaque système, chaque logiciel gère ses propres journaux, le
RSSI se retrouve très rapidement face à une répartition massive des journaux dans
tout le SI, rendant quasiment impossible une gestion cohérente d’ensemble.
Protection : les journaux sont souvent laissés à l’abandon, c’est-à-dire que personne
ne les consulte jamais. De plus, on ne fait pas forcément attention à leurs droits de
lecture et de modification, si bien que souvent, il n’est pas très difficile de les
consulter ou de les modifier.
Difficulté de rapprochement : enfin, lorsque, suite à un incident, le RSSI réussit à
consulter les journaux, il a le plus grand mal à les rapprocher les uns par rapport aux
autres car la référence de temps n’est pas forcément la même pour chaque
équipement. Une dérive d’une minute entre différents journaux suffit à rendre très
pénible l’exercice de corrélation.
Toutes ces difficultés ont pour conséquence qu’une personne malveillante n’a souvent
aucun mal à falsifier les journaux afin de cacher les traces de son forfait et brouiller ainsi
les pistes de l’enquêteur qui chercherait à comprendre.
Approche pour maîtriser les journaux
Avant de mettre en œuvre une infrastructure de gestion des journaux, il est important de
bien connaître les difficultés liées à la journalisation, puis de préparer une approche
cohérente.
Difficultés propres aux journaux
Le besoin de journalisation est tel que les fournisseurs de systèmes et les éditeurs de
logiciels ont intégré presque systématiquement dans leurs produits des fonctionnalités
permettant de journaliser tout type d’événement. Toutefois, cette situation qui, en
principe, est très favorable au RSSI, n’est pas sans lui poser quelques difficultés.
Multiplicité : chaque système, chaque application a ses propres journaux. Il en existe
tellement qu’il arrive souvent qu’on ne sache plus ni où ils sont, ni ce qu’ils
contiennent.
Partialité : les journaux permettent de consigner un certain nombre d’événements. Il
peut s’agir des connexions, des déconnexions, des accès à des objets, des faits
marquants au niveau du logiciel ou du système ; bref, toute une famille d’événements
qui n’intéressent pas forcément le RSSI. L’information utile se trouve souvent noyée
dans un océan d’événements sans intérêt.
Configuration : la configuration des journaux est souvent laissée par défaut. Les
paramètres sont donc ceux qui ont été mis au moment de l’installation du produit.
Souvent, ce paramétrage n’est pas satisfaisant. La partition réservée aux journaux
n’est pas assez grande, la politique de rafraîchissement fait que les journaux les plus
anciens sont écrasés par les nouveaux avec une fréquence trop élevée, etc.
Répartition : comme chaque système, chaque logiciel gère ses propres journaux, le
RSSI se retrouve très rapidement face à une répartition massive des journaux dans
tout le SI, rendant quasiment impossible une gestion cohérente d’ensemble.
Protection : les journaux sont souvent laissés à l’abandon, c’est-à-dire que personne
ne les consulte jamais. De plus, on ne fait pas forcément attention à leurs droits de
lecture et de modification, si bien que souvent, il n’est pas très difficile de les
consulter ou de les modifier.
Difficulté de rapprochement : enfin, lorsque, suite à un incident, le RSSI réussit à
consulter les journaux, il a le plus grand mal à les rapprocher les uns par rapport aux
autres car la référence de temps n’est pas forcément la même pour chaque
équipement. Une dérive d’une minute entre différents journaux suffit à rendre très
pénible l’exercice de corrélation.
Toutes ces difficultés ont pour conséquence qu’une personne malveillante n’a souvent
aucun mal à falsifier les journaux afin de cacher les traces de son forfait et brouiller ainsi
les pistes de l’enquêteur qui chercherait à comprendre.
Approche pour maîtriser les journaux