← Retour aux formations

Cybersécurité & Protection

Collecte et analyse des logs : mettre en place un SIEM pour optimiser la sécurité du SI

Intermédiaire
Cybersécurité & Protection

À propos de cette formation

Cette formation pratique de 2 jours couvre l'ensemble de la chaîne de gestion des logs : des principes de supervision centralisée aux obligations légales (APD, droit du travail), en passant par la mise en œuvre de Syslog, du corrélateur SEC et des plateformes SIEM comme Splunk ou ELK. Les participants acquièrent les compétences opérationnelles pour déployer et exploiter une solution de gestion des journaux adaptée à leur SI.

Objectifs de la formation

  • check_circleConnaître les obligations légales en matière de conservation des données de journalisation
  • check_circleMaîtriser la démarche d'analyse d'un fichier de log
  • check_circleInstaller et configurer Syslog pour centraliser les journaux d'événements
  • check_circleMettre en œuvre la corrélation et l'analyse d'événements avec SEC

Programme détaillé

Module 1 — Introduction

  • Sécurité des Systèmes d'Information et problématiques de supervision
  • Normalisation des logs et avantages d'une supervision centralisée
  • Panorama des solutions du marché

Module 2 — La collecte des informations

  • Hétérogénéité des sources et définition d'un événement de sécurité
  • SIEM (Security Event Information Management) et périmètre des événements collectés
  • Journaux des équipements réseau et système : firewalls, routeurs, serveurs, bases de données
  • Collecte passive en mode écoute vs collecte active
  • Travaux pratiques : démarche d'analyse de log, géolocalisation d'adresse IP, corrélation de logs d'origines différentes

Module 3 — Syslog

  • Le protocole Syslog et son architecture client/serveur
  • Centralisation des journaux d'événements avec Syslog
  • Avantages et limites de Syslog
  • Travaux pratiques : installation et configuration de Syslog, analyse et corrélation des données

Module 4 — Le programme SEC

  • Présentation de SEC (Simple Event Correlator) et structure du fichier de configuration
  • Définition de règles et détection de motifs pertinents dans les logs
  • Corrélation et analyse d'événements avec SEC
  • Travaux pratiques : installation et configuration de SEC, analyse et corrélation des données

Module 5 — Le logiciel Splunk

  • Architecture Splunk et framework MapReduce : collecte et indexation des données
  • Exploitation des données machine et authentification des transactions
  • Intégration aux annuaires LDAP et aux serveurs Active Directory
  • Autres solutions du marché : ELK (suite Elastic), Graylog, OSSIM
  • Travaux pratiques : installation et configuration d'un SIEM (Splunk, ELK ou équivalent), analyse et corrélation des données

Module 6 — La législation applicable en Belgique

  • Durée de conservation des logs, cadre légal applicable, APD et droit du travail
  • Charte informatique : contenu, processus de validation et mise en place
  • Contribution de la charte informatique dans la chaîne de sécurité du SI
  • Travaux pratiques : exemple de mise en place d'une charte informatique

Module 7 — Conclusion

  • Bonnes pratiques et pièges à éviter dans la gestion des logs
  • Critères de choix des outils adaptés à son contexte
  • Perspectives d'évolution pour les solutions de journalisation et de SIEM

Prérequis

Bonnes connaissances des réseaux, des systèmes et de la sécurité des SI.