Comment analyser des logs de sécurité avec un SIEM et l'UEBA pour repérer les anomalies

Cette vidéo explique comment analyser efficacement les journaux d'activité (logs) pour détecter des menaces de sécurité. Le premier défi est la dispersion des données : les logs proviennent de sources multiples (pare-feu, serveurs web, antivirus). Pour y remédier, on utilise un SIEM (Security Information and Event Management), qui centralise toutes ces informations pour offrir une vue d'ensemble et un contexte complet lors d'une attaque.

L'objectif est de repérer les anomalies, comme une connexion à une heure inhabituelle, une escalade de privilèges ou une IP suspecte. Comme il est impossible pour un humain de surveiller manuellement ces flux 24h/24, l'automatisation est essentielle. Deux approches existent : des règles basiques qui alertent sur des événements précis, ou l'UEBA (User and Entity Behavior Analytics). Cette dernière utilise l'intelligence artificielle, entraînée sur de vastes volumes de logs, pour identifier des schémas subtils qu'un humain ou des règles simples auraient pu manquer.

Exemple : Un employé se connecte normalement depuis la France entre 9h et 18h. L'UEBA détecte une tentative de connexion à 3h du matin depuis un pays lointain. Bien que l'IP soit valide, le comportement sort de la norme apprise par l'IA, déclenchant une alerte immédiate pour investigation.