SIEM et SOAR

Définition

Un SIEM (Security Information and Event Management) collecte les journaux de toute l'infrastructure, les normalise et les corrèle pour produire des alertes. Un SOAR (Security Orchestration, Automation and Response) exécute des actions de réponse automatisées lorsqu'une alerte se confirme. Le SIEM détecte, le SOAR agit, et les deux se nourrissent l'un l'autre.

Collecte et normalisation

Un SIEM ingère des sources très variées : Syslog des routeurs, journaux d'événements Windows, logs de pare-feu et de serveurs d'authentification. Chaque source parle un format différent. La normalisation les aligne sur un schéma commun, avec des champs comme l'heure, l'adresse IP source et le type d'événement. Une entreprise moyenne traite plusieurs millions d'événements par jour.

Corrélation et alertes

La corrélation relie des événements qui, pris séparément, paraissent anodins. Une règle typique déclenche une alerte après cinq échecs de connexion sur un compte administrateur en soixante secondes. Le SIEM compare les événements entrants à ces règles et calcule un score de gravité. L'analyste ne voit que les alertes, pas le flot brut.

Le SOAR en pratique

Le SOAR transforme les alertes confirmées en playbooks. Un playbook peut isoler le poste compromis, bloquer l'adresse IP sur le pare-feu et ouvrir un ticket d'incident, le tout en quelques secondes. Les actions répétitives partent à la machine, les décisions complexes restent à l'humain.

Exemple concret

Une banque reçoit une alerte de brute force à 3 heures du matin. Le SOAR désactive le compte visé, bloque la plage d'adresses source et notifie l'équipe de garde. Au matin, l'analyste consulte le dossier complet déjà constitué et décide de la suite.