Guide des journaux et du SIEM

1. Objectif et portée

Ce guide explique comment examiner les journaux et les métriques IntelliSuite et les intégrer à votre système de gestion des informations et des événements de sécurité (SIEM). OEE IntelliSuite travaillera avec votre équipe informatique pour répondre à vos besoins SIEM.

Le produit IntelliSuite comprend les composants décrits ci-dessous. Vérifiez avec votre équipe informatique lesquels sont installés, comment y accéder, qui peut y accéder et quels contrôles de sécurité sont en place. Ce guide ne prouve pas qu'un service, une source de journaux, un compte, un chemin réseau ou un contrôle de sécurité particulier est configuré ou fonctionne sur votre site.

2. La plateforme locale de surveillance

Le produit IntelliSuite comprend une plateforme locale de surveillance composée de composants ouverts standard :

• Grafana est l'interface web utilisée pour consulter et interroger les données.
• Loki stocke les enregistrements de journaux : les messages texte des services et leurs champs.
• Prometheus stocke les métriques : des mesures numériques relevées dans le temps, comme les nombres et les taux.
• Tempo stocke les traces qui montrent comment une requête a traversé plusieurs services.
• Grafana Alloy est le collecteur. Il reçoit la télémétrie des services IntelliSuite et l'écrit dans Loki, Prometheus et Tempo.

Les journaux et les métriques sont différents. Utilisez Loki pour lire ce qu'un service a signalé. Utilisez Prometheus pour voir comment une valeur évolue dans le temps. Aucun des deux ne constitue à lui seul une piste d'audit de sécurité.

3. Fournir un accès

1. Votre équipe informatique et IntelliSuite confirment où Grafana s'exécute et l'adresse à laquelle les utilisateurs y accéderont, puis conviennent s'il est accessible uniquement depuis votre réseau.
2. Convenir des accès avec les responsables autorisés. Avant de les accorder, configurer et valider l'authentification et les contrôles d'accès Grafana. Vérifier que chaque lecteur dispose uniquement des autorisations convenues et ne peut ni administrer ni écrire sans autorisation distincte.
3. Choisir une source de journaux représentative et non sensible ainsi qu'une courte période. Dans Grafana Explore, sélectionner la source de données Loki, le service et la plage horaire, puis confirmer que les enregistrements apparaissent avec les champs attendus.
4. Examiner ensemble un exemple d'enregistrement : horodatage, fuseau horaire, noms des champs et présence éventuelle de données sensibles.
5. Convenir ensemble du chemin vers le SIEM (voir section 4), avec un responsable désigné de chaque côté.
6. Effectuer un test de bout en bout : un événement connu d'un service source doit apparaître dans le SIEM dans le délai convenu. Documenter le résultat.

4. Acheminer les données vers le SIEM

OEE IntelliSuite travaillera avec votre équipe informatique pour établir une connexion à votre SIEM. Les équipes conviendront des sources d'événements, du format et du transport. Selon le SIEM, les approches à évaluer comprennent OTLP, syslog, le transfert de fichiers et l'extraction par API. L'intégration doit être vérifiée pour votre installation.

Le produit comprend un exportateur OTLP sur HTTP facultatif pouvant envoyer journaux, métriques et traces vers un second point de destination. La configuration de déploiement du code source impose des exigences particulières de transport et d'authentification ; la compatibilité avec votre SIEM ou un intermédiaire doit être établie. Les équipes doivent convenir du point de destination, du périmètre des données, du chiffrement et de la méthode d'accès, puis configurer et tester le trajet complet avant de s'y fier.

5. Historique des modifications de production (distinct des journaux)

Pulse fournit dans sa base de données applicative un historique des modifications prises en charge des données de production, affiché sur la page du journal des modifications de Pulse. Les entrées peuvent inclure l'heure de modification, l'appareil, le type d'élément, la description, les valeurs modifiées et l'identité de l'auteur lorsqu'elle est disponible.

Lorsque l'authentification est désactivée, l'auteur peut être inconnu. Il s'agit d'un historique métier, pas d'une piste d'audit de sécurité complète. Nous n'avons pas vérifié le transfert de ces enregistrements vers Loki ou un SIEM.

6. Ce que vous pouvez surveiller et ce qu'il faut vérifier

Choisissez la surveillance par source et ne vous fiez qu'aux éléments confirmés lors de la mise en service.

• Événements d'identité tels que les échecs de connexion ou les verrouillages de comptes : ils peuvent être disponibles auprès de votre fournisseur d'identité, s'il est configuré. Confirmez la couverture avec votre équipe informatique.
• Événements applicatifs tels que les changements d'autorisations locales, les échecs de connexion, les exportations de données et les changements de configuration : leur couverture doit être vérifiée séparément. Le code source examiné n'établit pas qu'ils sont enregistrés comme événements de sécurité ; vérifiez leurs sources réelles et leur couverture.
• État opérationnel, notamment les pannes de service, les interruptions de télémétrie et les volumes inhabituels : il peut être surveillé à l'aide des journaux et des métriques lorsque cela est vérifié pendant la mise en service.
• Modifications métier : elles peuvent être consultées sur la page du journal des modifications de Pulse si cette fonction existe dans votre version.

Aucun catalogue exhaustif des événements de sécurité ou de leurs identifiants n'a été vérifié. Les noms et identifiants d'événements, le schéma, la conservation et le transfert automatique doivent être confirmés pendant la mise en service. Ce guide sert à la mise en service. Il ne prouve pas qu'un événement particulier est capturé, conservé ou transféré.

7. Liste de contrôle de mise en service

Convenez de chaque point et vérifiez-le avec votre équipe informatique.

1. Responsables : une personne désignée dans votre organisation et une chez IntelliSuite pour les journaux, les accès et la connexion SIEM.
2. Accès en lecture : comptes nominatifs, rôles et processus d'approbation des changements.
3. Réseau et transport : chemins réseau autorisés et manière dont le trafic est chiffré et authentifié.
4. Horodatages et champs : un échantillon d'enregistrements réels dont le fuseau horaire et les noms de champs sont vérifiés.
5. Conservation : durée de conservation des données dans chaque stockage de chaque côté et responsable de leur suppression.
6. Données sensibles : champs à filtrer ou à exclure avant que les données quittent le site.
7. Seuils d'alerte : conditions déclenchant une alerte et valeurs de seuil convenues.
8. Test de bout en bout : suivi d'un événement connu de la source au SIEM, avec résultat consigné.
9. Responsabilité et escalade : responsable de la réponse à une alerte, modalités d'escalade et délais de réponse convenus.
10. Contrôle des changements : modalités de demande, d'approbation et d'enregistrement des changements de configuration.