Disposer de nombreux journaux ne garantit pas de pouvoir expliquer un incident. Il faut retrouver les bonnes actions, les rapprocher dans le temps et s\u2019assurer que les traces sont encore disponibles.<\/p>\n\n\n
Qui s\u2019est connect\u00e9 ? Quel compte a obtenu un nouveau privil\u00e8ge ? Depuis quel \u00e9quipement une op\u00e9ration a-t-elle \u00e9t\u00e9 r\u00e9alis\u00e9e ? Ces questions permettent de choisir les sources utiles, avant de multiplier les volumes collect\u00e9s.<\/p>\n\n\n
Le guide ANSSI pr\u00e9sente l\u2019usage des journaux pour la d\u00e9tection et l\u2019analyse a posteriori. La conception doit prendre en compte les composants concern\u00e9s et la protection du dispositif. Une collecte centralis\u00e9e peut faciliter la corr\u00e9lation, mais elle doit elle-m\u00eame \u00eatre s\u00e9curis\u00e9e.<\/p>\n\n\n
Exemple fictif : un changement de groupe privil\u00e9gi\u00e9 est effectu\u00e9 dans un environnement de test. V\u00e9rifiez que l\u2019\u00e9v\u00e9nement arrive au bon endroit, que son horodatage est coh\u00e9rent et qu\u2019un analyste peut identifier l\u2019auteur et la cible. Une source configur\u00e9e mais silencieuse ne prot\u00e8ge pas l\u2019investigation.<\/p>\n\n\n
Choisissez un cas d\u2019usage important et documentez ses sources, ses champs n\u00e9cessaires et son responsable. V\u00e9rifiez aussi les interruptions de collecte et les conditions de conservation adapt\u00e9es \u00e0 votre contexte.<\/p>\n\n\n
La question utile est \u00ab pouvons-nous reconstituer cette action ? \u00bb. Un test cibl\u00e9 donne souvent plus d\u2019informations qu\u2019un indicateur global annon\u00e7ant un grand nombre d\u2019\u00e9v\u00e9nements re\u00e7us.<\/p>\n\n\n