Qualité des logs : les contrôles qui rendent une enquête possible
Horodatage, champs utiles, fraîcheur et contexte : construisez une routine de contrôle des journaux adaptée aux besoins réels de votre SOC.
Périmètre des intégrations : Seculogik utilise une architecture indépendante des sources pour ingérer les alertes et événements de sécurité via son propre modèle de données. Wazuh et OpenSearch sont les premières intégrations. Les autres sources citées correspondent à des connecteurs prévus ; leur disponibilité doit être confirmée pour chaque évaluation.
Une enquête de sécurité repose sur des événements que l’on peut relier, dater et expliquer.
Lorsque les logs arrivent incomplets ou deviennent difficiles à interpréter après une mise à jour, l’analyste doit consacrer une partie de son travail à comprendre les données elles-mêmes.
Le fait documenté : l’ANSSI publie des recommandations de sécurité pour l’architecture d’un système de journalisation. Ce guide fournit un socle technique pour concevoir et protéger la collecte.
Les contrôles opérationnels proposés dans cet article constituent une grille complémentaire, à adapter à vos sources et scénarios de surveillance. Source : ANSSI
Commencer par les questions d’enquête
Pour chaque source importante, choisissez une question concrète : quel compte a changé un droit, quelle machine a initié une connexion ou quelle opération a échoué ? Déterminez ensuite les champs nécessaires pour y répondre.
Cette méthode donne un sens opérationnel au contrôle de qualité.
Vérifiez la présence des champs, mais également leur signification. Un identifiant peut représenter un compte technique, un utilisateur ou une session. Une adresse peut désigner un intermédiaire réseau. Documenter ces nuances réduit les interprétations hâtives pendant une investigation.
Séparer les dimensions de qualité
Nous recommandons de suivre quatre dimensions : complétude des données attendues, cohérence de leur structure, fraîcheur de réception et capacité à rapprocher les événements du bon actif.
Ces dimensions doivent rester distinctes, car une source peut être rapide tout en transmettant des informations insuffisantes.
L’horodatage mérite un contrôle spécifique. Conservez la distinction entre l’heure de l’événement et celle de son ingestion lorsqu’elles existent. Vérifiez le fuseau, le format et les écarts observés. Une chronologie d’incident doit pouvoir exposer ses incertitudes.
Traiter les changements comme des risques de régression
Après une mise à jour d’application ou de collecteur, comparez des échantillons avant et après. Contrôlez les champs utilisés par les recherches importantes.
Une collecte toujours active peut masquer un changement de nom, de type ou de valeur qui dégrade une analyse.
Attribuez enfin chaque anomalie à un propriétaire capable d’agir sur la source ou le traitement. Pour prioriser, indiquez les scénarios touchés et les solutions temporaires disponibles. Évitez de laisser une exception technique sans conséquence opérationnelle explicite.
Pour faire le point avec Seculogik, sélectionnez quelques sources critiques et leurs principales questions d’enquête. Un examen ciblé de leur qualité permettra de cadrer les corrections utiles, sans transformer la quantité de journaux collectés en indicateur unique de sécurité.