Journalisation et conservation des journaux

La journalisation et la conservation des journaux recouvrent l'enregistrement des événements de sécurité (connexions, élévations de droits, accès aux boîtes de messagerie, requêtes sur les bases) et la durée pendant laquelle ces traces restent consultables. Sans journaux, l'enquête après incident devient une estimation. En juin 2023, le Département d'État américain repère l'accès de Storm-0558 à des boîtes Exchange Online grâce à un journal d'audit que Microsoft réservait alors à ses licences haut de gamme. Le mois suivant, Microsoft annonce l'ouverture de cette journalisation à davantage de clients et porte la conservation par défaut de 90 à 180 jours. Le questionnaire demande si les journaux sont centralisés, dans un SIEM (security information and event management) ou chez un prestataire de détection, s'ils couvrent terminaux, annuaire, messagerie et nuage, et combien de temps ils sont gardés. Certaines normes fixent un plancher : PCI DSS (Payment Card Industry Data Security Standard) exige un an d'historique des journaux d'audit, dont trois mois immédiatement disponibles. Le temps de présence d'un attaquant se compte souvent en semaines. Si la conservation est plus courte, l'investigation ne remonte pas jusqu'au point d'entrée et la question de l'exfiltration reste ouverte. Le coût suit : l'investigation numérique se prolonge, et la notification se fait par précaution sur un périmètre plus large, faute de pouvoir prouver qu'une base n'a pas été lue. Le souscripteur vérifie rarement les journaux eux-mêmes. Il demande qui les lit la nuit et le week-end, et si une alerte déclenche une action. Réserve de praticien : beaucoup d'entreprises gardent des journaux que personne n'exploite, et l'attaquant qui obtient des droits d'administrateur commence souvent par les effacer ou par couper l'agent qui les envoie. Une copie hors de portée de l'annuaire compromis pèse plus, au moment de l'enquête, qu'une longue durée sur le serveur attaqué.