Journaliser les accès à privilèges : le minimum qui tient en audit

Si une seule catégorie de journaux devait être conservée, ce serait celle-là. Les actions d’administration représentent un volume faible et concentrent l’essentiel de la valeur d’enquête.

C’est pourtant la catégorie la plus souvent incomplète.

Ce qu’il faut tracer

• Les authentifications des comptes à privilèges : réussies et échouées, avec origine et système cible.
• Les élévations de privilèges : passage à un compte administrateur, utilisation d’un mécanisme d’élévation.
• Les modifications de comptes et de droits : créations, suppressions, changements d’appartenance aux groupes d’administration, modifications de politiques.
• Les emprunts de secrets dans un coffre-fort : qui, quand, pour quel compte, pour combien de temps.
• Les actions sur le système de journalisation lui-même : arrêt de collecte, modification de rétention, purge. C’est le signal le plus fort d’une intrusion en cours — voir l’étape de neutralisation des défenses.
• Les actions sur les sauvegardes : suppression de points de restauration, modification de politique.

Les deux derniers points sont ceux qu’on oublie, et ce sont ceux qui donnent l’alerte la plus précoce.

Où stocker les traces

Le principe est simple : l’administrateur d’un système ne doit pas pouvoir effacer les traces de ses propres actions sur ce système.

Cela suppose une centralisation vers un système dont l’administration est distincte, avec un compte d’accès différent de ceux utilisés au quotidien. C’est une application directe du cloisonnement par niveaux.

Un journal centralisé administré avec les mêmes comptes que les serveurs qu’il surveille n’apporte qu’une protection apparente.

L’intégrité

Un journal modifiable n’a aucune valeur probante. Trois niveaux, selon la sensibilité :

1. Horodatage fiable et synchronisation des horloges — mesure 8.17 d’ISO/IEC 27002:2022, sans laquelle aucune corrélation n’est possible.
2. Écriture unique : support ou stockage empêchant la modification pendant une durée définie.
3. Chaînage ou signature, pour les environnements où la valeur probante est susceptible d’être contestée.

Combien de temps conserver

Le compromis oppose deux contraintes. D’un côté, le délai entre une compromission et sa détection se compte souvent en semaines : une rétention de trente jours signifie enquêter sans les traces du début.

De l’autre, la CNIL considère qu’une conservation de l’ordre de six mois est généralement proportionnée pour des journaux d’accès dans une finalité de sécurité. Au-delà, il faut une justification documentée.

La pratique courante : rétention chaude courte pour la corrélation, rétention froide plus longue pour l’investigation, avec une durée écrite et une base légale identifiée.

Le point juridique à ne pas manquer

Journaliser l’activité d’administrateurs, ce sont des données personnelles concernant des salariés identifiés.

Cela suppose une information préalable, une inscription au registre des traitements, une durée de conservation définie, et une restriction de l’accès aux traces — voir l’article 32 du RGPD.

Point souvent négligé : qui peut consulter ces journaux, et cette consultation est-elle elle-même tracée ? Sans cela, le dispositif de surveillance devient un angle mort.

Ce que cherche un auditeur

Trois choses : que les actions d’administration soient tracées, que les traces soient hors de portée des administrateurs concernés, et que quelqu’un les regarde.

Ce dernier point est celui qui manque le plus souvent. Une journalisation complète que personne n’exploite est conforme sur le papier et inutile en pratique — même logique que dans alertes et incidents.

Les angles morts les plus fréquents

Un dispositif de journalisation des accès privilégiés se juge moins sur ce qu’il collecte que sur ce qu’il laisse passer. Quatre zones échappent presque systématiquement au périmètre.

• Les accès en dehors du système d’exploitation. Les cartes d’administration à distance des serveurs, les consoles des hyperviseurs, les interfaces d’administration des baies de stockage et des équipements réseau. Elles donnent un contrôle total, sont souvent accessibles avec des comptes locaux partagés, et journalisent peu par défaut.
• Les accès directs aux bases de données. Un administrateur qui se connecte au moteur contourne entièrement la journalisation applicative. Les traces applicatives montreront une activité normale ; la modification n’y figurera pas.
• Les comptes des prestataires. Souvent créés hors du processus standard, parfois partagés au sein d’une équipe externe, ils produisent des traces qui identifient un compte mais pas une personne. En cas d’incident, l’imputation est impossible.
• Les outils d’administration eux-mêmes. Les solutions de déploiement et d’exécution à distance permettent de lancer du code sur l’ensemble du parc avec des privilèges système. Leurs journaux propres sont rarement collectés, alors que ce sont les plus sensibles.

Un contrôle simple révèle l’essentiel : demander à retracer, sur les trente derniers jours, qui s’est connecté en administrateur sur les trois systèmes les plus critiques, et ce qu’il y a fait. Si la réponse demande plus d’une journée, le dispositif ne remplira pas son office le jour où il faudra l’utiliser.

Produire des traces ne suffit pas

C’est l’écart le plus courant entre la conformité et l’utilité. Un dispositif qui collecte, horodate, protège en intégrité et conserve satisfait l’exigence documentaire — et ne détecte rien, parce que personne ne regarde.

Quelques scénarios de surveillance à faible volume produisent un rendement disproportionné, précisément parce que les accès privilégiés sont peu nombreux et fortement routiniers :

• Une connexion privilégiée en dehors des heures habituelles de l’administrateur concerné.
• La création d’un compte, ou l’ajout d’un compte à un groupe d’administration, hors du processus de gestion des demandes.
• L’utilisation d’un compte d’urgence, qui doit être exceptionnelle par définition et donc systématiquement rapprochée d’une justification.
• L’effacement ou l’interruption d’un journal — signal fort, et l’un des rares qui ne produit presque jamais de faux positif.
• Une connexion privilégiée depuis une machine qui n’est pas un poste d’administration.

Ces règles portent sur quelques dizaines d’événements par jour dans une organisation de taille moyenne. Elles sont donc soutenables avec une revue humaine, sans plateforme de corrélation.

Contenir le coût

La journalisation est facturée au volume dans la plupart des solutions du marché, et c’est ce qui provoque l’arbitrage classique : réduire la durée de conservation, ou réduire le périmètre. Les deux dégradent la valeur du dispositif au moment où on en a besoin.

Une approche à deux niveaux évite l’arbitrage. Les événements privilégiés — un volume faible — sont conservés longtemps, dans un stockage protégé en écriture unique. Les journaux de masse, beaucoup plus volumineux et moins discriminants, sont conservés sur une durée courte en accès rapide, puis archivés à froid.

Cette séparation permet de tenir des durées de conservation d’un an ou plus sur ce qui compte, pour un coût sans rapport avec une conservation uniforme sur l’ensemble du parc.

La question qui décide de tout

Avant de dimensionner quoi que ce soit, une seule question mérite d’être tranchée : à quoi ces traces vont-elles servir ?

Si la réponse est « démontrer la conformité », un périmètre restreint et bien documenté suffit. Si la réponse est « comprendre ce qui s’est passé après un incident », il faut une couverture large et une conservation longue. Si la réponse est « détecter », il faut des règles et quelqu’un pour les exploiter.

Les trois objectifs sont légitimes et n’imposent pas les mêmes moyens. Les dispositifs qui échouent sont presque toujours ceux qui n’ont jamais choisi : ils coûtent le prix de la détection, produisent la valeur de la conformité, et se révèlent insuffisants le jour de l’analyse post-incident.

Sources

• ISO/IEC 27002:2022, mesures 8.15, 8.16, 8.17 et 8.2
• ANSSI — recommandations pour un système de journalisation
• CNIL — durées de conservation des journaux

Aller plus loin

La collecte et l’exploitation relèvent de notre infogérance SOC. Voir aussi ce qu’il faut collecter côté réseau.