À reconstituer ce qui s'est passé, ce qui est déjà considérable. Après un incident, savoir par où l'attaquant est entré, ce qu'il a atteint et pendant combien de temps détermine l'ampleur de la remise en état et le contenu de votre déclaration à la CNIL.
Mais une collecte massive que personne n'exploite coûte cher pour rien. Dans une PME, mieux vaut conserver peu de choses correctement et traiter trois ou quatre alertes vraiment significatives.
Ce qu'il faut conserver en priorité
Quatre sources couvrent l'essentiel des besoins.
L'authentification, c'est-à-dire les connexions réussies et échouées sur l'annuaire, la messagerie et les accès distants. C'est la source la plus utile, car presque toute compromission commence par une connexion.
Le pare-feu et les accès distants, qui montrent ce qui entre et ce qui sort.
Les serveurs de fichiers, au moins pour les répertoires sensibles, afin de savoir qui a accédé à quoi.
Les alertes de la protection des postes, qui signalent ce qui a été détecté et ce qui a été bloqué.
Les journaux des applications métier viennent ensuite, et souvent seulement pour les opérations sensibles, une modification de coordonnées bancaires de fournisseur par exemple.
Combien de temps les garder
Six mois à un an constituent un ordre de grandeur raisonnable pour une PME, et c'est la fourchette que retient la CNIL dans sa recommandation sur la journalisation. L'ANSSI publie de son côté des recommandations d'architecture pour un système de journalisation.
La durée compte davantage qu'on ne le croit, parce que les intrusions se découvrent tardivement. Un attaquant présent depuis plusieurs semaines avant de se manifester est un cas ordinaire. Des journaux conservés quinze jours ne permettront pas de comprendre ce qui s'est passé.
Cette conservation doit être décidée, écrite et connue, car elle porte sur des données qui concernent aussi vos salariés.
Les journaux doivent survivre à l'incident
Un attaquant qui obtient des droits étendus efface les traces de son passage. Des journaux qui restent uniquement sur la machine qu'ils décrivent ne servent donc à rien dans le scénario où ils seraient le plus utiles.
La centralisation sur un système distinct, avec des droits d'écriture séparés, résout ce problème. Il n'est pas nécessaire d'y consacrer une plateforme coûteuse, un serveur dédié à cette seule fonction suffit dans une PME.
La synchronisation de l'heure entre les équipements est le complément indispensable. Sans horloges cohérentes, il devient impossible de reconstituer l'enchaînement des événements entre le pare-feu, le serveur et le poste de travail.
Les quelques alertes qui méritent un traitement
Vouloir tout surveiller conduit à ne rien traiter. Quatre signaux justifient une réaction dans une PME.
Une connexion réussie depuis un pays où vous n'avez aucune activité, particulièrement sur la messagerie et les accès distants.
La création d'une règle de transfert automatique de messagerie, qui précède presque toujours une fraude au virement.
L'ajout d'un compte dans un groupe d'administration, qui n'a rien d'anodin en dehors d'une opération planifiée.
Une détection de code malveillant qui n'a pas pu être bloquée, la nuance avec une détection bloquée étant essentielle.
Ces quatre alertes se configurent avec les outils que vous possédez déjà, et elles ne génèrent que quelques messages par mois dans une entreprise saine.
Ce que l'analyse comportementale apporte, et ce qu'elle ne règle pas
Les quatre alertes ci-dessus reposent sur des règles fixes, un événement précis déclenche un message. Depuis quelques années, les outils de protection des postes et les suites de messagerie y ajoutent une analyse comportementale, souvent présentée sous l'étiquette de l'intelligence artificielle.
Le principe est différent d'une règle. L'outil apprend ce qui est habituel dans votre entreprise, les horaires de connexion de chacun, les fichiers auxquels une fonction accède, les volumes échangés, puis signale l'écart. Un comptable qui ouvre trois mille documents en une nuit ne déclenche aucune règle, mais il sort de son comportement habituel.
Deux choses méritent d'être sues avant d'aller acheter quoi que ce soit.
La première est que vous la payez probablement déjà. Cette analyse est comprise dans les niveaux intermédiaires des suites bureautiques et dans la plupart des solutions de protection des postes du marché. La question est moins de l'acquérir que de vérifier si elle est activée et qui reçoit ce qu'elle produit.
La seconde est qu'elle ne résout pas le problème posé par cet article. Elle réduit le bruit et fait remonter moins de signaux, mieux choisis, ce qui rend la surveillance tenable pour une petite structure. Mais un signal que personne ne lit reste un signal perdu, qu'il vienne d'une règle ou d'un modèle. La question de savoir qui le reçoit et ce qu'il en fait se pose exactement de la même façon.
Qui les reçoit, et ce qu'il en fait
C'est la question qui décide de l'utilité de tout le dispositif. Une alerte envoyée à une boîte générique que personne ne consulte n'existe pas.
Deux modèles fonctionnent en PME. La surveillance est confiée à un prestataire qui s'engage sur un délai de réaction, y compris en dehors des heures ouvrables. Ou elle est traitée en interne par une personne nommée, avec une règle simple de ce qu'elle fait en cas d'alerte et qui elle appelle si le cas la dépasse.
Le choix dépend de ce que coûte une heure d'arrêt et de vos horaires d'activité. Une production en trois équipes n'a pas les mêmes besoins qu'un bureau ouvert de huit à dix-huit heures.
Le cadre applicable aux salariés
La journalisation porte sur des données personnelles au sens du RGPD, puisqu'elle enregistre l'activité de personnes identifiables. Trois obligations s'appliquent.
L'information des salariés, qui doivent savoir que ces traces existent, à quoi elles servent et combien de temps elles sont conservées. La consultation du comité social et économique lorsqu'il existe. Et l'inscription du traitement au registre.
Le principe qui guide le reste est celui de la proportionnalité. Une journalisation technique destinée à la sécurité est légitime, une surveillance de la productivité individuelle ne l'est pas et se retournerait contre vous en cas de contrôle.
Ce qui suffit dans une petite structure
Une revue annuelle du dispositif convient, à condition d'être réellement faite. Elle vérifie que les sources prévues alimentent toujours la collecte, ce qui est le point qui casse le plus souvent après une migration ou un changement d'équipement, que la durée de conservation est respectée, et que les alertes de l'année ont bien été traitées.
Les quatre alertes citées plus haut se traitent, elles, immédiatement.
Questions fréquentes
Combien de temps faut-il conserver les journaux ?
Six mois à un an constituent un ordre de grandeur raisonnable pour une PME, conforme aux recommandations de l'ANSSI. La durée compte parce que les intrusions se découvrent tardivement, souvent plusieurs semaines après l'entrée. Des journaux conservés quinze jours ne permettront pas de reconstituer l'incident.
Faut-il un outil spécialisé pour collecter les journaux ?
Pas nécessairement dans une PME. Un serveur dédié à la centralisation, avec des droits d'écriture séparés pour que les traces survivent à la compromission de la machine qu'elles décrivent, couvre l'essentiel du besoin. Les plateformes d'analyse deviennent utiles quand le volume rend la lecture manuelle impossible.
La journalisation concerne-t-elle les données de nos salariés ?
Oui, puisqu'elle enregistre l'activité de personnes identifiables. Vous devez informer les salariés de son existence, de sa finalité et de sa durée de conservation, consulter le comité social et économique s'il existe, et inscrire le traitement au registre. La finalité doit rester la sécurité, une surveillance de la productivité individuelle serait disproportionnée.
L'analyse comportementale par intelligence artificielle est-elle utile en PME ?
Oui, et vous la payez probablement déjà, elle est comprise dans les niveaux intermédiaires des suites bureautiques et dans la plupart des solutions de protection des postes. Elle apprend ce qui est habituel chez vous et signale l'écart, ce qu'une règle fixe ne sait pas faire. Elle réduit le bruit mais ne remplace pas la personne qui reçoit l'alerte et décide quoi en faire.
Quelles alertes activer en priorité ?
Quatre suffisent pour commencer. Une connexion réussie depuis un pays sans activité chez vous, la création d'une règle de transfert de messagerie, l'ajout d'un compte dans un groupe d'administration, et une détection de code malveillant non bloquée. Elles se configurent avec les outils dont vous disposez déjà et restent peu nombreuses dans une entreprise saine.