J’ai cherché 4 heures qui avait supprimé un fichier — les 7 étapes de journalisation que j’impose désormais avant tout SIEM

Un vendredi d’avril, un client m’appelle : un fichier de tarifs a disparu d’un partage réseau. Pas chiffré, pas rançonné — disparu. La question du dirigeant tient en cinq mots : qui l’a supprimé, et quand ?

J’ai passé quatre heures à chercher. Quatre heures pour aboutir à une réponse que je déteste donner : on ne peut pas savoir. L’audit des accès n’était pas activé sur le partage. L’antivirus gardait sept jours d’historique. Le pare-feu écrasait ses journaux toutes les quarante-huit heures. Et les trois équipements qui avaient conservé quelque chose n’étaient pas à la même heure, à onze minutes près.

Ce client avait un budget sécurité correct et envisageait sérieusement l’achat d’un SIEM. Il aurait dépensé plusieurs milliers d’euros pour corréler des journaux qui, pour l’essentiel, n’existaient pas. Voici la méthode en sept étapes que j’applique désormais systématiquement avant toute discussion d’outillage. Elle ne coûte rien d’autre que deux jours de travail et elle utilise ce que vous avez déjà.

Étape 1 — Listez les 6 sources qui comptent, avant d’en brancher trente

L’erreur inaugurale consiste à vouloir tout journaliser. On active tout, le volume explose, la rétention est réduite pour tenir dans le disque, et six mois plus tard il ne reste que trois semaines d’un fouillis inexploitable. La journalisation utile est un choix, pas une collecte.

Six sources répondent à l’écrasante majorité des questions qu’on se pose réellement en situation : l’authentification (annuaire, fournisseur d’identité, SSO), la messagerie, les fichiers et partages, les postes de travail (antivirus ou EDR), le périmètre réseau (pare-feu, VPN), et vos applications métier critiques — celle qui porte la facturation, celle qui porte les données clients.

Commencez par les trois premières. Elles couvrent les scénarios les plus fréquents en PME : compte compromis, boîte détournée, fichier disparu. Les trois suivantes viennent au deuxième trimestre, une fois les premières fiables.

Étape 2 — Écrivez les 5 questions auxquelles vous devez pouvoir répondre

C’est l’étape que tout le monde saute, et c’est celle qui détermine tout le reste. Un journal ne sert pas à « avoir des journaux » : il sert à répondre à une question précise, un jour où la pression est forte et où personne n’a le temps d’apprendre un outil.

Rédigez ces cinq questions sur une page, avec vos noms de systèmes à vous :

1. Qui s’est connecté au compte de X, depuis quelle adresse, entre telle et telle date ?
2. Ce compte a-t-il subi des échecs de connexion répétés avant la réussite ?
3. Quels fichiers ont été lus, copiés ou supprimés sur tel partage, et par qui ?
4. Une règle de transfert automatique a-t-elle été créée sur une boîte aux lettres ?
5. Quel volume est sorti vers l’extérieur, vers quelle destination, à quel moment ?

Chaque question doit pointer une source précise et une durée de conservation. Si une question ne trouve pas de source, vous venez d’identifier un trou — et vous saurez quoi activer lundi. Cette page tient lieu de cahier des charges le jour où vous discuterez vraiment d’un SIEM, et elle vous évitera d’acheter un moteur de corrélation pour des données absentes.

Étape 3 — Fixez les durées de conservation, et surtout écrivez pourquoi

Deux contraintes s’opposent : garder assez longtemps pour enquêter, ne pas garder au-delà de ce qui est nécessaire. Le point de repère le plus utilisé en France est celui retenu par la CNIL pour les journaux techniques d’accès : un ordre de grandeur de six mois. Ce n’est pas une durée légale universelle applicable à tous les traitements — c’est une référence de proportionnalité largement admise, à ajuster selon vos obligations propres.

Ce qui compte davantage que la durée elle-même, c’est qu’elle soit décidée, documentée et appliquée. Trois lignes dans votre registre : quelle source, quelle durée, quelle justification. Une PME qui conserve six mois et sait le justifier est dans une bien meilleure position qu’une PME qui conserve deux ans « au cas où » sans l’avoir jamais écrit.

Deux pièges classiques. D’abord la rétention par défaut : la plupart des équipements sortent d’usine avec une rotation courte ou un tampon circulaire de quelques mégaoctets. Personne ne l’a choisie, tout le monde l’a héritée. Ensuite la rétention réelle contre la rétention affichée : une console qui annonce « 90 jours » mais dont le disque sature au bout de trois semaines conserve trois semaines. Vérifiez sur la donnée, pas sur le paramètre.

Étape 4 — Mettez tous les équipements à la même heure

C’est l’étape la moins coûteuse et la plus souvent négligée. Sur les quatre heures que j’ai passées chez ce client, plus d’une heure a servi à comprendre que trois équipements racontaient la même histoire dans le désordre, parce que leurs horloges dérivaient de plusieurs minutes.

Une corrélation, c’est un ordre. Si le pare-feu avance de sept minutes sur l’annuaire, la fuite semble précéder la connexion qui l’a permise, et l’enquête part dans la mauvaise direction. Configurez une source de temps commune sur tous les équipements qui journalisent, imposez le même fuseau — l’heure universelle coordonnée évite les surprises au changement d’heure — et vérifiez la dérive une fois par trimestre.

Ce point vaut aussi pour vos services en ligne : un journal exporté depuis un service infonuagique est souvent horodaté en heure universelle alors que vos équipements locaux sont en heure locale. L’écart de deux heures en été suffit à rendre une chronologie incompréhensible.

Étape 5 — Centralisez sur un point unique, en écriture seule

Un journal qui reste sur la machine qu’il décrit a un défaut structurel : la première chose que fait un attaquant qui obtient les droits d’administration, c’est l’effacer. C’est la raison d’être de la centralisation, bien avant le confort de recherche.

Vous n’avez pas besoin d’un SIEM pour cela. Un serveur de collecte modeste, un espace de stockage objet en écriture seule, ou même un partage dédié dont le compte de dépôt ne dispose que du droit d’ajout : ces trois options coûtent quelques dizaines d’euros par mois et procurent l’essentiel du bénéfice. La règle est simple : le compte qui écrit les journaux ne doit jamais pouvoir les modifier ni les supprimer.

Ajoutez une alerte sur un signal souvent oublié : l’arrêt de la collecte. Une source qui cesse d’émettre est au moins aussi significative qu’une alerte de sécurité, et c’est le symptôme que personne ne surveille. Nous appliquons la même logique de dépôt immuable aux secrets d’intégration continue, pour la même raison : ce qui est modifiable par l’attaquant ne prouve rien.

Étape 6 — Vérifiez que le journal contient une identité, pas seulement une adresse IP

Un journal qui dit « 10.0.4.37 a supprimé le fichier » ne vous apprend rien d’exploitable dans un réseau où les adresses sont attribuées dynamiquement et où trois personnes se relaient sur le même poste. Le journal utile porte un identifiant de compte, et de préférence aussi le nom de la machine et le moyen d’authentification utilisé.

Faites l’essai maintenant, sur une seule ligne de journal, pour chacune de vos trois sources prioritaires. Prenez un événement au hasard et vérifiez que vous pouvez répondre à quatre questions : qui, quoi, quand, depuis où. Si l’une des quatre manque, la source est à reconfigurer — et il vaut infiniment mieux le découvrir un mardi calme que le vendredi soir d’un incident.

Attention au revers de cette précision : des journaux nominatifs sont des données personnelles concernant vos salariés. Ils doivent figurer au registre, être accessibles au seul personnel habilité, et leur finalité doit être la sécurité — pas le contrôle d’activité. L’information des équipes et la consultation des représentants du personnel relèvent des obligations habituelles en la matière, et une politique de journalisation écrite est le meilleur moyen de tenir les deux exigences ensemble.

Étape 7 — Rejouez un incident fictif, une fois par trimestre

La seule preuve qu’une journalisation fonctionne, c’est de s’en servir avant d’en avoir besoin. Une fois par trimestre, prenez une des cinq questions de l’étape 2, choisissez un compte réel et une fenêtre de temps réelle, et chronométrez le temps qu’il vous faut pour répondre.

L’exercice prend trente minutes et produit trois informations qu’aucun tableau de bord ne donne : la rétention réellement disponible, la personne capable de faire la recherche — souvent une seule, ce qui est en soi un risque — et le temps de réponse. Notez les trois. Le trimestre suivant, comparez.

C’est aussi le moment où vous saurez si un SIEM se justifie. Le critère n’est pas la taille de l’entreprise : c’est le nombre de sources à croiser et la fréquence des recherches. En dessous de six sources et d’une recherche par mois, un dépôt centralisé bien tenu suffit. Au-delà, le temps humain passé à corréler manuellement finit par dépasser le coût de l’outil — et notre guide de mise en place d’un SIEM devient la bonne lecture suivante.

Les 4 erreurs qui reviennent le plus souvent

• Tout activer d’un coup. Le volume force à réduire la rétention, et vous perdez la profondeur d’historique qui fait toute la valeur d’un journal.
• Confondre supervision et journalisation. Un outil qui vous dit qu’un serveur est en panne ne vous dira pas qui s’est connecté dessus la semaine dernière. Ce sont deux fonctions distinctes.
• Oublier les services en ligne. Messagerie, stockage, outils métier : ils journalisent, souvent bien, mais avec une rétention par défaut courte sur les offres d’entrée de gamme. Vérifiez la durée incluse dans votre licence.
• Laisser une seule personne savoir chercher. Le jour de l’incident, elle est en congé. Écrivez les cinq requêtes types, avec des captures, dans un document que n’importe qui peut suivre.

Ce raisonnement — instrumenter d’abord, outiller ensuite — n’a rien de propre à la sécurité. C’est le même que celui appliqué à l’observabilité des coûts d’une application d’intelligence artificielle ou à la stratégie de sauvegarde d’une base de données : sans mesure préalable, l’outil ne fait qu’industrialiser l’ignorance.

En résumé

Sept étapes, deux jours de travail, aucun achat. Six sources choisies plutôt que trente subies, cinq questions écrites, des durées décidées et justifiées, une horloge commune, un dépôt que l’attaquant ne peut pas effacer, des identités dans les lignes, et un exercice trimestriel.

Le client du vendredi d’avril a mis onze jours à parcourir cette liste. Trois mois plus tard, une boîte aux lettres a été détournée. Nous avons su qui, depuis où et à quelle heure en dix-huit minutes. Ce n’est pas l’outil qui avait changé — il n’y en avait toujours pas.

Questions fréquentes

Cet article décrit une méthode opérationnelle issue de missions de conseil et ne constitue ni un avis juridique ni une interprétation officielle. Les durées de conservation évoquées sont des ordres de grandeur de proportionnalité communément retenus pour les journaux techniques d’accès ; elles doivent être arbitrées au cas par cas au regard de vos obligations sectorielles, contractuelles et réglementaires, puis documentées dans votre registre des traitements. Les scénarios cités sont anonymisés et ne détaillent aucun élément d’exploitation.