Horodatage des journaux : éviter les chronologies trompeuses
Distinguez heure de l’événement, réception et indexation pour construire des chronologies SOC fiables et documenter leurs limites.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Deux événements affichés dans le bon ordre peuvent raconter une histoire fausse. Un équipement peut avoir une horloge décalée ; un collecteur peut transmettre ses données en retard ; une interface peut appliquer un fuseau différent.
Avant de conclure qu’une connexion a provoqué une modification, il faut comprendre les dates comparées.
Le repère confirmé
Le guide inter-agences publié en août 2024 recommande des sources de temps fiables, une synchronisation cohérente et l’usage d’UTC pour faciliter la corrélation des journaux. Source : guide officiel hébergé par le FBI.
La méthode proposée par Seculogik
Commencez par distinguer trois notions : l’heure déclarée par le système qui produit l’événement, l’heure de réception par la chaîne de collecte et l’heure à laquelle l’événement devient interrogeable. Tous les produits ne rendent pas ces informations disponibles.
Cette absence doit apparaître dans votre inventaire.
Pour chaque source critique, documentez le fuseau, le format, la précision et le champ retenu par les recherches. Conservez également la valeur originale lorsque vous normalisez les dates. Une conversion doit rester explicable.
Construisez ensuite un petit scénario de contrôle autorisé. Produisez une action bénigne, notez son heure de référence et recherchez les événements correspondants dans chaque étape de la chaîne.
Ne testez pas seulement un flux normal : observez aussi ce qui arrive après une interruption de transmission prévue.
La comparaison permet de séparer deux problèmes. Une horloge erronée modifie la date de l’événement. Un retard de transport fait arriver tard un événement correctement daté. Leur traitement et leur effet sur les règles de corrélation ne sont pas identiques.
Ce que l’analyste doit écrire
Une chronologie devrait préciser les champs utilisés et ses limites. Si plusieurs événements sont trop proches pour être ordonnés avec confiance, présentez-les comme contemporains dans la précision disponible.
Une représentation graphique trop détaillée ne doit pas donner une certitude que les données n’offrent pas.
Dans Wazuh ou un autre SIEM, vérifiez le comportement réel de l’affichage et des recherches au lieu de supposer que tous les champs temporels ont la même signification. Contrôlez également les exports utilisés pendant les investigations.
Votre prochaine étape
Sélectionnez une source d’identité, un endpoint et un équipement réseau. Reconstituez un seul événement de bout en bout. Le résultat attendu est une fiche de confiance temporelle : ce que vous savez dater, avec quelle précision et quelles réserves.
Cette fiche rend les futures investigations plus solides, même sans ajouter de nouvelle règle de détection.
Sources
- Best practices for event logging and threat detection, août 2024 : https://www.ic3.gov/CSA/2024/240822.pdf