Centralisation des journaux
Nous avons vu qu’une des étapes presque incontournables de la journalisation consiste à
centraliser les journaux dans une ou plusieurs machines. Cette centralisation n’est pas
forcément nécessaire, mais elle présente plusieurs avantages.
Facilité d’exploitation : le fait que tous les journaux (ou la plupart d’entre eux) soient
centralisés sur un seul système permet de les traiter plus facilement. On dispose ainsi
dans la même machine de tous les journaux, provenant de toutes les sources. Il est
donc possible de les fusionner, reformater, concaténer, filtrer, etc.
Espace disque : le fait que les journaux soient centralisés dans un seul système libère
mécaniquement de la place dans les disques des différents systèmes fournisseurs de
journaux. Ce point est appréciable. Naturellement, cet avantage nécessite de bien
calibrer l’espace de stockage du serveur qui centralisera les journaux.
Sécurité : enfin, l’un des plus grands avantages de la centralisation est la sécurité car,
pour peu que le serveur central soit bien sécurisé, très peu de personnes auront accès
aux journaux, pas même les administrateurs. De cette façon, une personne
malveillante aura le plus grand mal à masquer son passage.
La simple installation d’une machine de centralisation des journaux ne suffira pas pour
tirer profit de ces avantages. Il faudra en plus penser à la supervision de la machine, à la
récupération des journaux, à leur archivage, à leur protection ainsi qu’à leur traitement ;
bref, tout un projet en soi. Voici les points qu’il sera indispensable d’aborder.
Type de machine : la machine destinée à recevoir les journaux n’a pas à être
particulièrement puissante. Il suffit qu’elle dispose de partitions bien taillées, par
rapport au besoin important de stockage qui sera prévisible. On choisit généralement
une machine sous Linux, disposant des services minimaux pour récupérer les
journaux. On peut éventuellement y installer des systèmes d’analyse de journaux plus
ou moins évolués.
Récupération des journaux : selon le type d’équipement fournissant les journaux,
leur récupération peut se réaliser soit via FTP ou SSH, soit au fil de l’eau par un
protocole de la famille syslog. D’autres protocoles plus spécialisés dans les journaux
existent.
Archivage : il ne faut pas oublier que le but premier d’un serveur de centralisation des
journaux est précisément de les centraliser pour les traiter. Or, une erreur commune
consiste à considérer cette machine comme un dispositif d’archivage des journaux.
Ainsi, ils s’accumulent jusqu’à remplir l’espace de stockage. En fait, la durée de
rétention nécessaire doit varier en fonction du journal et des volumes générés. Hormis
pour les journaux soumis à des obligations légales ou contractuelles, une durée de
rétention de plusieurs mois est très souvent acceptable. Ce délai est un compromis
entre le besoin de remonter dans le temps pour enquêter de façon pertinente et le
besoin d’économie de l’espace de stockage.
Protection : le serveur de journaux doit faire l’objet de mesures de protection
particulières, surtout en matière de contrôle d’accès et de traçabilité. Par sa raison
Nous avons vu qu’une des étapes presque incontournables de la journalisation consiste à
centraliser les journaux dans une ou plusieurs machines. Cette centralisation n’est pas
forcément nécessaire, mais elle présente plusieurs avantages.
Facilité d’exploitation : le fait que tous les journaux (ou la plupart d’entre eux) soient
centralisés sur un seul système permet de les traiter plus facilement. On dispose ainsi
dans la même machine de tous les journaux, provenant de toutes les sources. Il est
donc possible de les fusionner, reformater, concaténer, filtrer, etc.
Espace disque : le fait que les journaux soient centralisés dans un seul système libère
mécaniquement de la place dans les disques des différents systèmes fournisseurs de
journaux. Ce point est appréciable. Naturellement, cet avantage nécessite de bien
calibrer l’espace de stockage du serveur qui centralisera les journaux.
Sécurité : enfin, l’un des plus grands avantages de la centralisation est la sécurité car,
pour peu que le serveur central soit bien sécurisé, très peu de personnes auront accès
aux journaux, pas même les administrateurs. De cette façon, une personne
malveillante aura le plus grand mal à masquer son passage.
La simple installation d’une machine de centralisation des journaux ne suffira pas pour
tirer profit de ces avantages. Il faudra en plus penser à la supervision de la machine, à la
récupération des journaux, à leur archivage, à leur protection ainsi qu’à leur traitement ;
bref, tout un projet en soi. Voici les points qu’il sera indispensable d’aborder.
Type de machine : la machine destinée à recevoir les journaux n’a pas à être
particulièrement puissante. Il suffit qu’elle dispose de partitions bien taillées, par
rapport au besoin important de stockage qui sera prévisible. On choisit généralement
une machine sous Linux, disposant des services minimaux pour récupérer les
journaux. On peut éventuellement y installer des systèmes d’analyse de journaux plus
ou moins évolués.
Récupération des journaux : selon le type d’équipement fournissant les journaux,
leur récupération peut se réaliser soit via FTP ou SSH, soit au fil de l’eau par un
protocole de la famille syslog. D’autres protocoles plus spécialisés dans les journaux
existent.
Archivage : il ne faut pas oublier que le but premier d’un serveur de centralisation des
journaux est précisément de les centraliser pour les traiter. Or, une erreur commune
consiste à considérer cette machine comme un dispositif d’archivage des journaux.
Ainsi, ils s’accumulent jusqu’à remplir l’espace de stockage. En fait, la durée de
rétention nécessaire doit varier en fonction du journal et des volumes générés. Hormis
pour les journaux soumis à des obligations légales ou contractuelles, une durée de
rétention de plusieurs mois est très souvent acceptable. Ce délai est un compromis
entre le besoin de remonter dans le temps pour enquêter de façon pertinente et le
besoin d’économie de l’espace de stockage.
Protection : le serveur de journaux doit faire l’objet de mesures de protection
particulières, surtout en matière de contrôle d’accès et de traçabilité. Par sa raison