Préserver les éléments d’un incident : source, intégrité et accès

Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.

Une recherche SIEM peut révéler une activité importante sans constituer un ensemble d’éléments durablement conservé. La requête peut changer, les logs expirer et les droits d’accès évoluer.

Dès qu’une investigation le justifie, il faut décider ce qui doit être préservé et comment expliquer son origine.

Le repère confirmé

Le guide inter-agences sur la journalisation insiste sur la protection des journaux contre les accès, modifications et suppressions non autorisés. Cette protection concerne aussi les informations sorties de la plateforme pour une investigation. Source : guide officiel.

La méthode proposée par Seculogik

Délimitez chaque collecte avant de l’effectuer : système source, période, filtres, champs attendus et objectif de l’export. Enregistrez les restrictions connues, notamment une rétention insuffisante, une pagination incomplète ou une différence entre vue affichée et export disponible.

Conservez un exemplaire de référence et travaillez sur une copie identifiée. Documentez la méthode d’obtention, l’opérateur, l’heure et l’outil utilisé.

Les transformations nécessaires à l’analyse, comme la normalisation de dates ou le filtrage de lignes, doivent produire des résultats séparés dont l’origine reste compréhensible.

Calculez une empreinte avec un algorithme adapté, par exemple SHA-256, et conservez-la avec les métadonnées de collecte. Répétez le contrôle après les transferts importants.

Une correspondance permet de vérifier que les octets n’ont pas changé depuis le calcul initial ; elle ne prouve pas que le système source disait vrai ni que la collecte était complète.

Maîtriser les accès et les copies

Choisissez un emplacement autorisé avec des droits correspondant au besoin d’enquête. Limitez les possibilités de modification de l’exemplaire de référence et tracez les accès pertinents. Un répertoire partagé largement accessible annule une partie des précautions prises pendant l’export.

Évitez de disperser les éléments dans des courriels, des messageries ou des services d’analyse externes. Lorsqu’un partage est nécessaire, vérifiez le destinataire, le périmètre transmis et l’autorisation applicable. Préparez au besoin une copie expurgée, sans remplacer l’original conservé.

Vérifier ce que l’on peut démontrer

Faites contrôler un échantillon par un second intervenant autorisé. Peut-il retrouver la source, expliquer les filtres, comparer les empreintes et distinguer les données d’origine des résultats d’analyse ? Les éventuels écarts doivent être corrigés ou documentés.

Cette méthode soutient la fiabilité opérationnelle de l’investigation. Elle ne constitue pas une garantie de recevabilité juridique ni un substitut à une procédure forensique spécialisée.

Commencez par un modèle de fiche de collecte réutilisable. Il doit permettre de répondre simplement à trois questions : d’où vient cet élément, qu’a-t-on fait dessus et qui peut y accéder ?

Sources

• Best practices for event logging and threat detection, août 2024 : https://www.ic3.gov/CSA/2024/240822.pdf