Journalisation réseau : ce qu’il faut collecter, et ce qui ne sert à rien

La question n’est jamais « faut-il journaliser ». Elle est « quoi, combien de temps, et pour quel usage ». Et c’est là que la plupart des projets partent de travers : on collecte tout, on garde trois semaines, et le jour de l’incident on découvre que la donnée utile n’a jamais été prise ou qu’elle a expiré.

Pourquoi c’est une obligation, pas un confort

• ISO/IEC 27002:2022 traite le sujet en mesures 8.15 (journalisation) et 8.16 (activités de surveillance), complétées par 8.17 sur la synchronisation des horloges.
• L’ANSSI publie des recommandations dédiées à la mise en œuvre d’un système de journalisation, avec des exigences de contenu, d’intégrité et de conservation.
• Le RGPD, via son article 32, impose des mesures permettant de garantir la confidentialité et la disponibilité — ce qui suppose de pouvoir constater un accès illégitime.
• La directive NIS 2 impose à son article 21 le traitement des incidents, ce qui est impossible sans traces exploitables.

Autrement dit, sans journalisation vous ne pouvez ni détecter, ni prouver, ni notifier dans les délais.

Ce qu’il faut collecter en priorité

L’ordre ci-dessous correspond au rapport valeur/volume que nous observons en mission.

Les événements d’authentification

Connexions réussies et échouées, élévations de privilèges, créations et modifications de comptes, changements d’appartenance aux groupes d’administration. C’est le premier gisement de détection, et le moins volumineux.

Les flux refusés en bordure

Un refus est un signal ; une autorisation est du bruit. Journaliser tous les flux acceptés d’un pare-feu périmétrique produit des téraoctets pour un intérêt d’enquête faible. Journaliser les refus, et les accepts uniquement sur les segments sensibles, donne un bien meilleur rendement.

Les résolutions DNS

Souvent négligées, très rentables. Une requête vers un domaine créé la veille est un indicateur fort, et le volume reste maîtrisable. C’est aussi la trace qui subsiste quand le trafic est chiffré.

Les accès distants et les administrations

Sessions VPN, connexions aux équipements réseau, actions sur les consoles d’administration. Faible volume, valeur d’enquête maximale.

Les serveurs mandataires et passerelles web

Utile pour reconstituer un chemin d’exfiltration. À arbitrer selon vos obligations en matière de vie privée.

Ce qui ne sert à rien

Les accepts massifs en interne. Sur un réseau plat, cela représente l’essentiel du volume et presque aucune valeur, faute de point de comparaison.

Les journaux applicatifs verbeux non structurés. Un applicatif qui écrit du texte libre sans horodatage normalisé ni identifiant de corrélation coûte cher à stocker et ne s’exploite pas.

Les doublons. Le même événement collecté à trois endroits différents triple la facture sans rien apporter.

Tout ce que personne ne regardera jamais. Test simple : pour chaque source, demandez quelle question d’enquête elle permet de trancher. Sans réponse, ne la collectez pas.

Combien de temps conserver

C’est le point qui appelle un arbitrage juridique autant que technique.

La CNIL considère qu’une durée de conservation de l’ordre de six mois est généralement proportionnée pour les journaux d’accès aux outils de travail, dans une logique de sécurité. Au-delà, il faut une justification.

À l’inverse, le délai moyen entre une compromission et sa détection se compte souvent en semaines, voire en mois. Une rétention de trente jours signifie, en pratique, que vous enquêterez sans les traces du début de l’attaque.

Le compromis courant : rétention chaude courte pour la corrélation temps réel, rétention froide plus longue et moins coûteuse pour l’investigation, avec une politique écrite et une base légale documentée.

Les trois erreurs qui rendent les journaux inutilisables

Les horloges non synchronisées. Sans référence de temps commune, la corrélation entre équipements devient impossible. C’est l’objet de la mesure 8.17 d’ISO 27002, et c’est le premier contrôle à faire.

Les journaux stockés uniquement sur l’équipement qui les produit. Un attaquant qui compromet la machine efface ses traces. La centralisation, sur un système où l’administrateur local n’a pas de droit de suppression, est le minimum.

L’absence de contrôle d’intégrité. Un journal modifiable n’a aucune valeur probante. Horodatage, chaînage, archivage en écriture unique selon la sensibilité.

Par où commencer

Si tout est à construire : authentification, refus périmétriques, DNS, accès distants. Quatre sources, faible volume, l’essentiel de la valeur d’enquête. On étend ensuite selon les questions auxquelles on n’arrive pas à répondre.

Commencer par tout collecter aboutit systématiquement à une facture de stockage, un projet à l’arrêt, et personne pour exploiter la donnée.

Sources

• ANSSI — recommandations pour la mise en œuvre d’un système de journalisation
• CNIL — durées de conservation des journaux et proportionnalité
• ISO/IEC 27002:2022, mesures 8.15, 8.16 et 8.17
• Directive (UE) 2022/2555 (NIS 2), article 21

Aller plus loin

La collecte est le préalable à toute détection : c’est le premier chantier de nos missions d’infogérance SOC. Côté architecture, elle s’articule avec la sécurité réseau périmétrique et le cloisonnement.