Disposer de nombreux journaux ne garantit pas de pouvoir expliquer un incident. Il faut retrouver les bonnes actions, les rapprocher dans le temps et s’assurer que les traces sont encore disponibles.
Partir des questions à résoudre
Qui s’est connecté ? Quel compte a obtenu un nouveau privilège ? Depuis quel équipement une opération a-t-elle été réalisée ? Ces questions permettent de choisir les sources utiles, avant de multiplier les volumes collectés.
Préparer une architecture exploitable
Le guide ANSSI présente l’usage des journaux pour la détection et l’analyse a posteriori. La conception doit prendre en compte les composants concernés et la protection du dispositif. Une collecte centralisée peut faciliter la corrélation, mais elle doit elle-même être sécurisée.
Tester la chaîne de bout en bout
Exemple fictif : un changement de groupe privilégié est effectué dans un environnement de test. Vérifiez que l’événement arrive au bon endroit, que son horodatage est cohérent et qu’un analyste peut identifier l’auteur et la cible. Une source configurée mais silencieuse ne protège pas l’investigation.
Passer à l’action
Choisissez un cas d’usage important et documentez ses sources, ses champs nécessaires et son responsable. Vérifiez aussi les interruptions de collecte et les conditions de conservation adaptées à votre contexte.
Le regard Aztechnix
La question utile est « pouvons-nous reconstituer cette action ? ». Un test ciblé donne souvent plus d’informations qu’un indicateur global annonçant un grand nombre d’événements reçus.
Source et méthode
ANSSI — Architecture d’un système de journalisation. Source consultée le 1er novembre 2026. Synthèse et recommandations pratiques : Aztechnix. Les mises en situation sont fictives ; elles ne constituent pas des références clients.