27.4.2 Module 27:Questionnaire de l’utilisation des données de sécurité du reseau

Explication: Le modèle SIEM combine des outils SEM et SIM pour fournir quelques fonctions utiles, dont la normalisation des données. Il s’agit d’un processus qui consiste à mapper les messages de journaux provenant de différents systèmes dans un modèle de données commun afin d’analyser les événements de sécurité associés, même s’ils étaient consignés initialement dans des formats sources différents.

Explication: Confidentialité, intégrité, disponibilité et non-répudiation des données sont autant d’éléments essentiels de la sécurité des données. L’utilisation d’algorithmes de chiffrement garantit la confidentialité des données en préservant la divulgation des informations à des personnes, à des processus ou à des appareils non autorisés. L’intégrité des données utilise des hachages ou un résumé de message pour garantir la non-altération des données. La disponibilité des données garantit un accès rapide et fiable aux données pour les utilisateurs autorisés, tandis que la non-répudiation est la capacité de prouver qu’une opération ou un événement a eu lieu et ne peut pas être répudié ultérieurement.

Explication: De nombreux systèmes SIEM sont disponibles pour les administrateurs réseau. La suite ELK est une solution Open Source.

Explication: Logstash et Beats sont utilisés pour l’ingestion dans la pile ELK. Il donne l’accès à un grand nombre d’entrées de fichier journal. Le nombre de journaux qui peuvent être affichés est si important que Kibana, qui est l’interface visuelle dans les journaux, est configuré pour afficher les dernières 24 heures par défaut.

Explication: Elasticsearch est un moteur de recherche d’entreprise multiplateforme écrit en Java.

Explication: Tout le monde aimerait la sécurité de la collecte et de l’enregistrement de tout, mais en raison de problèmes de stockage et d’accès, il n’est pas possible de conserver indéfiniment les données NSM. La période de rétention de certains types de données de sécurité du réseau est parfois régie par des règles de conformité. Le standard PCI-DSS (Payment Card Industry Data Security Standard) impose la rétention d’un historique des activités utilisateur liées à des informations protégées pendant un an.

Explication: OSSEC est un système de détection d’intrusion (HIDS) basé sur l’hôte qui est intégré dans SecurityOnion. Outre la surveillance de l’intégrité des fichiers, des journaux locaux et des processus système, il peut procéder à la détection des Rootkits.

Explication: Les principaux composants open source de la pile Elastic-Stack sont Logstash, Beats, Elasticsearch et Kibana. Kibana est responsable de l’accès, de la visualisation et de l’investigation des données. Elasticsearch est responsable du stockage, de l’indexation et de l’analyse des données. Logstash et Beats sont responsables de l’acquisition des données réseau.

Explication: les données des alertes Sguil sont conservées pendant 30 jours. Cette valeur est définie dans le fichier securityonion.conf.

Explication: Sguil est une application pourvue d’une interface utilisateur graphique employée par les analystes en charge de la sécurité pour analyser les événements de sécurité du réseau.

Explication: Les principaux composants open source de la pile Elastic-Stack sont Logstash, Beats, Elasticsearch et Kibana. Kibana est responsable de l’accès, de la visualisation et de l’investigation des données. Elasticsearch est responsable du stockage, de l’indexation et de l’analyse des données. Logstash et Beats sont responsables de l’acquisition des données réseau.

Explication: Sguil est une application basée sur l’interface graphique utilisée par les analystes de sécurité pour analyser les données de session et les captures de paquets.