Concevoir l'architecture de journalisation : quelles sources envoyer vers Sentinel, pour combien de temps et à quel coût
Un SIEM rempli de tout ce qui peut être collecté coûte cher et ne détecte pas grand-chose. Un SIEM auquel il manque les journaux d'identité est aveugle sur les attaques les plus fréquentes. Entre les deux, l'architecture de journalisation se conçoit à partir des questions auxquelles elle doit répondre.
Partir des détections, pas des sources
La démarche la plus fréquente consiste à activer tous les connecteurs disponibles, puis à chercher quoi faire des données. Elle produit des factures élevées et des tables jamais interrogées. La démarche inverse est plus efficace : lister les scénarios à détecter et à investiguer (prise de contrôle d'un compte, élévation de privilèges, consentement malveillant, exfiltration, mouvement latéral dans AD), puis identifier les journaux strictement nécessaires pour chacun.
Il faut aussi distinguer deux besoins : la détection, qui exige des données récentes et interrogeables rapidement, et l'investigation ou la conformité, qui exige des données conservées longtemps mais consultées rarement.
Les sources incontournables
Pour un environnement Microsoft, les sources qui reviennent dans presque toutes les architectures que nous validons sont :
- Entra ID : journaux de connexion (interactives, non interactives, principaux de service, identités managées), journaux d'audit, événements de risque ; et, selon les besoins, les journaux d'activité Microsoft Graph, précieux pour détecter l'usage abusif des API mais volumineux ;
- Microsoft 365 : activité Exchange, SharePoint, OneDrive et Teams issue du journal d'audit unifié ;
- Defender XDR : incidents et alertes, et éventuellement certaines tables de chasse avancée lorsqu'elles servent à des règles précises ;
- Active Directory : événements de sécurité des contrôleurs de domaine, collectés de manière ciblée, et signaux de Defender for Identity lorsqu'il est déployé ;
- Azure : journal d'activité des abonnements, si l'organisation y héberge des ressources.
Point d'attention. Les connexions non interactives et les journaux d'activité Graph représentent souvent l'essentiel du volume d'Entra ID. Ce sont aussi elles qui révèlent l'usage de jetons volés. Les exclure pour réduire les coûts revient souvent à supprimer la visibilité sur les attaques modernes ; mieux vaut les placer dans un niveau de stockage adapté.
Niveaux de stockage et rétention
Les plateformes de journalisation de Microsoft proposent plusieurs niveaux de stockage aux coûts et capacités différents : un niveau analytique pour les données utilisées par les règles de détection, des niveaux moins coûteux aux capacités de requête limitées pour les volumes importants rarement interrogés, et une rétention longue durée pour la conformité et les investigations tardives. Les noms, les capacités et les tarifs de ces niveaux évoluent régulièrement, de même que l'intégration de Sentinel dans le portail Defender ; vérifiez l'offre actuelle au moment de la conception.
Le principe reste stable : chaque table est placée dans le niveau qui correspond à son usage. Les journaux nécessaires aux règles en temps quasi réel vont en analytique ; les journaux volumineux utiles surtout en investigation vont dans un niveau moins cher ; la durée totale de conservation est fixée selon les exigences réglementaires et le délai réaliste de découverte d'une intrusion, souvent plusieurs mois.
Maîtriser les coûts
- Vérifier les sources gratuites ou incluses : certaines sources Microsoft sont ingérées sans coût ou bénéficient d'avantages liés aux licences ; les conditions changent, vérifiez-les.
- Filtrer à l'ingestion : les règles de collecte et les transformations permettent d'écarter des événements ou colonnes inutiles avant stockage, par exemple pour les journaux Windows.
- Collecter les événements Windows de façon ciblée plutôt que l'ensemble du journal de sécurité de tous les serveurs.
- Suivre l'ingestion par table chaque mois et alerter sur les hausses anormales.
- Dimensionner les engagements de capacité sur le volume réel observé.
De la collecte à l'exploitation
Une architecture de journalisation n'a de valeur que si quelqu'un traite les alertes. Il faut donc prévoir, dès la conception, le propriétaire de chaque règle, la procédure de réponse associée, la revue périodique des faux positifs et la vérification que les connecteurs fonctionnent toujours. Un connecteur interrompu depuis des semaines sans que personne ne le remarque est une constatation fréquente.
Ce qu'un audit vérifie
- La présence des journaux d'identité essentiels, y compris les connexions non interactives et des principaux de service.
- La correspondance entre les sources collectées et les scénarios de détection documentés.
- Les durées de rétention par table et leur adéquation aux exigences.
- Le suivi des volumes et des coûts d'ingestion.
- La santé des connecteurs et l'alerte en cas d'interruption.
- Les droits d'accès à l'espace de travail et la protection contre la suppression des journaux.