Voir la source de SIEM (informatique)

Un '''SIEM''' (''Security Information and Event Management'', en français « gestion des informations et des événements de sécurité ») est une solution logicielle qui centralise la collecte, l'analyse et la corrélation des journaux d'événements issus de l'ensemble des équipements d'un [[Réseau informatique|réseau informatique]], dans le but de détecter les incidents de sécurité en temps réel. Né de la fusion de deux technologies antérieures — le SIM (''Security Information Management'') et le SEM (''Security Event Management'') — le SIEM est devenu un composant central des [[SOC (Security Operations Center)|centres opérationnels de sécurité]]. Il répond à la fois à des enjeux de [[Cybersécurité|cybersécurité]] opérationnelle et à des exigences réglementaires de conservation des journaux d'activité.

== Historique et évolution ==

=== Origines (2000–2005) ===

Le concept de SIEM a été formalisé en 2005 par les analystes de Gartner Mark Nicolett et Amrit Williams dans le rapport « Improve IT Security With Vulnerability Management ». Avant cette date, les équipes de sécurité utilisaient deux catégories d'outils distincts :

* Les systèmes de '''gestion des informations de sécurité''' (SIM), centrés sur la collecte à long terme et l'archivage des journaux à des fins de conformité et de forensique.
* Les systèmes de '''gestion des événements de sécurité''' (SEM), orientés vers la détection en temps réel, la corrélation et le déclenchement d'alertes.

La convergence de ces deux approches dans une plateforme unique a donné naissance au SIEM. Les premières générations, déployées entre 2005 et 2010, reposaient sur des règles de corrélation statiques et présentaient des limitations importantes face à l'augmentation des volumes de données.

=== Deuxième génération (2010–2018) ===

L'explosion du volume de données liée à la virtualisation, aux environnements cloud et à la multiplication des terminaux a conduit les éditeurs à refondre leurs architectures. Des technologies d'indexation à grande échelle (notamment Elasticsearch et Hadoop) ont été intégrées, permettant l'ingestion de plusieurs téraoctets de journaux par jour. Durant cette période, des solutions open source comme Graylog (2009) et la suite ELK (Elasticsearch, Logstash, Kibana) ont émergé comme alternatives aux offres commerciales propriétaires.

=== SIEM de nouvelle génération (depuis 2018) ===

Depuis 2018, les éditeurs intègrent des capacités d'[[Intelligence artificielle en cybersécurité|intelligence artificielle]] et de machine learning pour améliorer la détection comportementale. L'apparition du [[UEBA|UEBA]] (''User and Entity Behavior Analytics'') et du [[SOAR|SOAR]] (''Security Orchestration, Automation and Response'') a modifié en profondeur l'écosystème SIEM. Certains éditeurs proposent des plateformes unifiées intégrant SIEM, UEBA et SOAR sous une architecture commune, parfois désignée sous le terme de [[XDR|XDR]] (''Extended Detection and Response'').

== Architecture et composantes techniques ==

=== Collecte et normalisation des données ===

Le SIEM collecte des événements depuis un large spectre de sources :

* Équipements réseau : routeurs, commutateurs, [[Pare-feu|pare-feu]], proxies, [[VPN (réseau privé virtuel)|VPN]]
* Systèmes d'exploitation : journaux Windows (Event Log), journaux Linux/Unix (syslog)
* Applications : serveurs web, bases de données, messageries, ERP
* Outils de sécurité : antivirus, [[EDR|EDR]] (''Endpoint Detection and Response''), scanners de [[Vulnérabilité informatique|vulnérabilités]]
* Annuaires d'entreprise : [[Active Directory]], LDAP
* Environnements cloud : AWS CloudTrail, Azure Monitor, Google Cloud Logging

Les événements sont collectés via plusieurs protocoles : syslog (UDP/TCP, port 514), SNMP traps, agents logiciels installés sur les hôtes (''forwarders''), API REST pour les sources cloud, ou lecture directe de fichiers de journaux. Une étape de '''normalisation''' (''parsing'') traduit les données brutes hétérogènes en un schéma commun afin de permettre leur corrélation.

=== Moteur de corrélation ===

Le moteur de corrélation constitue le cœur fonctionnel du SIEM. Il applique des règles logiques (''use cases'') qui croisent des événements provenant de sources multiples pour identifier des comportements suspects. Une règle typique peut s'énoncer ainsi : si un même compte utilisateur échoue à l'[[Authentification multifacteur|authentification]] plus de 5 fois en 2 minutes depuis des adresses IP différentes, déclencher une alerte critique. Les moteurs modernes combinent :

* des '''règles statiques''' basées sur des signatures connues d'[[Cyberattaque|attaques]] ;
* des '''modèles statistiques''' identifiant les anomalies par rapport à une ligne de base comportementale ;
* des '''algorithmes d'apprentissage automatique''' pour détecter des schémas inédits.

=== Stockage et rétention ===

Les journaux normalisés sont indexés dans un moteur de recherche haute performance permettant des requêtes quasi instantanées sur des volumes de l'ordre de 100 Go à plusieurs To par jour. La durée de rétention est paramétrée selon les contraintes réglementaires : 12 mois pour la [[Directive NIS2]], 13 mois recommandés par l'ANSSI pour les opérateurs d'importance vitale (OIV), 6 ans pour certains secteurs bancaires en vertu de la réglementation européenne. Les données les plus anciennes sont archivées sur stockage froid (S3, Azure Blob Storage) afin de contenir les coûts.

=== Tableaux de bord et reporting ===

Les interfaces SIEM exposent des tableaux de bord temps réel affichant les alertes actives, les volumes d'événements, les indicateurs de compromission (IoC) et les tendances sur 24 heures ou 7 jours. Les modules de reporting génèrent automatiquement des rapports de conformité pour les référentiels [[ISO/IEC 27001]], [[NIST Cybersecurity Framework|NIST CSF]], [[Directive NIS2|NIS2]] ou PCI-DSS.

== Modes de déploiement ==

=== Déploiement sur site (on-premise) ===

Le déploiement on-premise consiste à installer les composants SIEM (collecteurs, indexeur, interface) sur l'infrastructure propre de l'organisation. Ce mode offre un contrôle maximal sur les données et leur localisation géographique, mais implique des coûts d'infrastructure, de licences et de maintenance élevés. Les grandes entreprises et administrations soumises à des contraintes de souveraineté des données privilégient généralement cette approche.

=== SIEM cloud et SaaS ===

Depuis 2015, les éditeurs proposent des offres cloud natives ou hybrides. Des plateformes comme Microsoft Sentinel (Azure), Google Chronicle, IBM QRadar on Cloud ou Splunk Cloud permettent une mise en service rapide, une élasticité des volumes ingérés et un modèle de facturation à la consommation (généralement calculé par Go ingéré par jour). Le SIEM cloud facilite la surveillance des environnements [[Sécurité du cloud|cloud]] et SaaS natifs.

=== SIEM managé (MSSP) ===

Les organisations de taille réduite (voir [[Cybersécurité des PME]]) peuvent externaliser la gestion du SIEM à un prestataire de services de sécurité managés (MSSP, ''Managed Security Service Provider''). Ce modèle inclut la mise en place, la maintenance de la solution et souvent la surveillance 24h/24 et 7j/7 par un [[SOC (Security Operations Center)|SOC]] externalisé.

== Intégration dans la stratégie de sécurité ==

=== Rôle dans le SOC ===

Au sein d'un [[SOC (Security Operations Center)|SOC]], le SIEM est la principale source d'alertes pour les analystes. Il centralise les données provenant de tous les outils de sécurité (pare-feu, EDR, scanners) et les présente sous forme de cas d'enquête (''tickets'') priorisés. Le flux de travail typique suit le cycle : détection → triage → investigation → [[Réponse aux incidents de sécurité|réponse aux incidents]].

=== Complémentarité avec d'autres outils ===

* [[Threat intelligence]] : enrichissement des alertes avec des flux d'indicateurs de compromission (IoC) externes — adresses IP malveillantes, hash de malwares, domaines de commande et contrôle.
* [[SOAR|SOAR]] : automatisation de la réponse sur déclenchement d'alertes SIEM (blocage d'IP, isolation d'un poste, révocation d'un compte dans la [[Gestion des identités et des accès|gestion des identités]]).
* [[Test d'intrusion|Tests d'intrusion]] et [[Red team|red team]] : validation des règles de détection SIEM contre des scénarios d'attaque réels.
* [[Analyse des risques informatiques|Analyse des risques]] : alimentation des indicateurs de risque en temps réel à partir des alertes traitées.
* [[Modèle Zero Trust|Zero Trust]] : corrélation des événements d'accès avec les politiques de moindre privilège pour détecter les dérives.

=== Conformité réglementaire ===

Le SIEM est explicitement requis ou fortement recommandé par plusieurs cadres normatifs :

{| class="wikitable"
|+ Exigences SIEM par référentiel
|-
! Référentiel !! Exigence principale !! Rétention minimale
|-
| [[Directive NIS2]] || Journalisation et surveillance des systèmes essentiels || 12 mois
|-
| [[ISO/IEC 27001]] || Contrôle A.8.15 (journalisation) et A.8.16 (surveillance des activités) || Selon analyse de risque
|-
| [[NIST Cybersecurity Framework]] || Fonction « Detect » (DE.CM, DE.AE) || Non prescrit
|-
| PCI-DSS v4.0 || Exigence 10 : journalisation et surveillance || 12 mois (3 mois en ligne)
|-
| [[Conformité RGPD|RGPD]] || Article 32 : mesures techniques de sécurité || Non prescrit
|}

== Principaux éditeurs et solutions ==

Le marché du SIEM est évalué à 4,2 milliards de dollars en 2023 par MarketsandMarkets, avec une croissance annuelle composée (CAGR) de 14,5 % prévue jusqu'en 2028. Selon le Gartner Magic Quadrant for SIEM (2023), les leaders du marché sont :

* '''Splunk''' (racheté par Cisco en 2024 pour 28 milliards de dollars) : solution de référence pour les grandes entreprises, architecture basée sur des index et le langage de requête SPL (''Search Processing Language'').
* '''Microsoft Sentinel''' : solution cloud native intégrée à Azure, modèle de facturation par Go ingéré, intégration native avec [[Active Directory]] et Microsoft 365.
* '''IBM QRadar''' : présent dans les grands comptes depuis 2011, forte intégration avec l'écosystème IBM Security et les flux de [[Threat intelligence|threat intelligence]].
* '''Exabeam''' : spécialisé dans l'analyse comportementale (UEBA), modèle de tarification à l'utilisateur plutôt qu'au volume.
* '''LogRhythm''' : populaire dans les entreprises de taille intermédiaire, offre packagée avec [[SOAR|SOAR]] intégré.
* '''Elastic SIEM''' : solution open source construite sur la suite Elasticsearch, adoptée pour les déploiements on-premise à coût maîtrisé.
* '''Google Chronicle''' (anciennement Backstory) : architecture cloud à coût fixe indépendant du volume ingéré, optimisée pour la rétention longue durée.

En France, l'ANSSI qualifie certains prestataires de détection (PDIS) dans le cadre du référentiel de qualification, qui requiert l'exploitation d'un SIEM répondant à des critères techniques précis de collecte et de corrélation.

== Défis et limites ==

=== Volume des alertes et fatigue des analystes ===

Un SIEM mal calibré génère des volumes d'alertes considérables. Une étude du Ponemon Institute (2022) indique que les équipes SOC reçoivent en moyenne 11 000 alertes par jour, dont 55 % sont des faux positifs. Ce phénomène, désigné sous le terme d'''alert fatigue'', conduit à une désensibilisation des analystes et accroît le risque de manquer une alerte réelle critique.

=== Complexité de déploiement et coût ===

Le déploiement d'un SIEM nécessite un projet d'intégration significatif : inventaire des sources de logs, développement de parseurs, rédaction des règles de corrélation, formation des équipes. Les délais de mise en production s'étendent typiquement de 3 à 12 mois. Le coût total de possession (TCO) pour une grande entreprise peut atteindre 2 à 5 millions d'euros annuels (licences, infrastructure, personnel spécialisé).

=== Couverture des environnements hybrides ===

La multiplication des environnements multi-cloud, des objets connectés (IoT) et des architectures [[Modèle Zero Trust|Zero Trust]] complexifie la collecte exhaustive des journaux. Certains équipements IoT ne supportent pas syslog ; les environnements SaaS exposent des API aux capacités variables ; les journaux de conteneurs éphémères (Kubernetes) nécessitent des intégrations spécifiques.

=== Détection des menaces avancées ===

Les attaques sophistiquées de type APT (''Advanced Persistent Threat'') utilisent des techniques conçues pour contourner les règles de détection statiques : ''living off the land'' (utilisation d'outils légitimes du système), chiffrement des communications C2, élévation de privilèges progressive sur plusieurs semaines. La détection de ces menaces requiert des capacités UEBA et [[Threat intelligence|threat intelligence]] avancées, ainsi qu'une pratique de ''threat hunting'' proactive.

== Métiers associés ==

Le déploiement et l'exploitation d'un SIEM impliquent plusieurs profils spécialisés :

* L'[[Ingénieur en cybersécurité|ingénieur en cybersécurité]] (ou ingénieur SIEM) conçoit l'architecture de collecte, développe les parseurs et les règles de corrélation.
* L'analyste SOC (niveaux 1, 2, 3) trie les alertes, conduit les investigations d'incidents et produit les rapports de sécurité.
* Le [[Responsable de la sécurité des systèmes d'information|RSSI]] définit la politique de journalisation, les cas d'usage à couvrir et supervise la conformité avec le [[Système de management de la sécurité de l'information|système de management de la sécurité]].
* Le ''threat hunter'' exploite les données SIEM pour des investigations proactives à la recherche de menaces non détectées par les règles existantes.

Des certifications spécifiques au SIEM existent chez les éditeurs (Splunk Certified Power User, Microsoft SC-200 : Microsoft Security Operations Analyst) et via des organismes indépendants (SANS Institute SEC511, EC-Council Certified SOC Analyst).

== Voir aussi ==

* [[SOC (Security Operations Center)]]
* [[Cybersécurité]]
* [[Réponse aux incidents de sécurité]]
* [[Threat intelligence]]
* [[Système de management de la sécurité de l'information]]
* [[Directive NIS2]]
* [[Intelligence artificielle en cybersécurité]]
* [[Analyse des risques informatiques]]