Et si votre AD n'envoyait plus de logs le 5 août à 23h
#7 Le meilleur SOC du monde ne détecte rien s'il ne reçoit pas la donnée.
Point faible du SOC : il est totalement dépendant de la data qu’on lui envoie, en temps réel. 3 façons de devenir aveugle et louper l’essentiel.
Imaginez. Le 5 Août à 23h. Vous êtes en vacances d’été, cocktail à la main en terrasse, mode avion. Pendant ce temps, votre contrôleur de domaine Active Directory arrête d’envoyer ses logs au SOC.
Les analystes traitent leurs alertes, les tableaux de bord n’affichent rien, tout a l’air normal. Sauf que vous êtes devenu aveugle sur une grosse partie de votre SI. Et pas n’importe quel morceau.
The show must go on
Un analyste qui prend une P1 en pleine nuit, pose le bon diagnostic et applique le bon plan d’action ? Bravo. Il le mérite. On le félicite en comité, on cite l’incident en exemple, on en fait un retex.
Le mec (ou la nana) qui est prévenu à minuit pour régler un problème de bande passante réseau qui coupe le flux syslog ? Beaucoup moins. Vous le ne connaissez sûrement pas. Quand il fait bien son job, il ne se passe rien. Et “il ne se passe rien”, ça ne se met pas sur une slide de COPIL. Trop technique.
C’est le métier de la MCO, le Maintien en Conditions Opérationnelles. En clair : s’assurer, tous les jours, que les équipements remontent les bons logs, au bon format, en temps réel. The show must go on, mais pour ça il faut quelqu’un qui vérifie que le courant passe.
Et ce quelqu’un touche le point faible du SOC : un SOC ne vaut que ce que vaut la donnée qu’il reçoit (phrase d’un ancien collègue belge, Marc H. si tu me lis).
Vous pouvez avoir le meilleur moteur du marché, s’il n’y a plus d’essence dans le réservoir, vous n’allez nulle part. Le pire, c’est que le tableau de bord peut très bien continuer d’afficher “plein”.
Trois façons de devenir aveugle
Les problèmes de collecte, il y en a trois. Par ordre de sournoiserie croissante.
Le 1e : plus de logs du tout. La source se coupe. C’est brutal, mais au moins c’est binaire. Avec un minimum de supervision, on le détecte vite. “Telle source n’a rien envoyé depuis 30 minutes”, alerte, bim, on va voir.
Le 2e : moins de logs. “La source envoie toujours, mais elle en envoie 50% moins”. Une montée de version qui change le comportement de l’équipement, un filtre mal configuré, un changement d’archi. Le flux existe, donc rien ne clignote en rouge. Sauf qu’une partie des événements ne remonte plus. Celui-là passe déjà plus facilement sous le radar.
Le 3e : la même quantité de logs, mais plus les bons types de logs.
Exemple : “On reçoit toujours les logs système. Les logs sécurité ont disparu.”
Ou alors : “On ne reçoit plus le champ de la commande sur l’event ID 4688 de Windows suite à un changement de la GPO”.
Je vous préviens, il est vicieux, lui : L’équipement envoie toujours son volume habituel, tout a l’air nominal, sauf que le contenu a changé. Un champ qui n’est plus rempli, un format qui a bougé, une catégorie d’événements qui disparaît. Rien ne se voit.
En général, on s’en rend compte après coup. Pendant la revue des règles de détection, quelques mois plus tard, quand quelqu’un tombe sur une règle qui n’a rien remonté depuis un moment. Et là vous réalisez que pendant tout ce temps, le SOC a pu louper des comportements suspects. Sans lever la moindre alerte.
Assurez-vous que la santé de vos flux SOC est correctement supervisée
Si vous pilotez un SOC externalisé, au-delà de la supervision de menace, posez-vous la question : qui surveille la santé des sources de logs, et comment je le sais ?
Dans le numéro #3 sur les red flags du contrat, je parlais déjà de la responsabilité sur la qualité et la quantité des données ingérées. La MCO, c’est le pendant opérationnel de cette clause.
Concrètement : est-ce qu’il existe une supervision des sources ? Est-ce que vous (ou vos équipes) êtes prévenu quand une source tombe, et en combien de temps ? Et quand une règle ne remonte plus rien depuis des semaines, qui est censé s’en apercevoir ?
Un prestataire qui supervise correctement sa collecte répond à ces trois questions sans réfléchir, sans chercher ses mots.
Bref. La prochaine fois qu’un comité SOC se passe bien, qu’aucune source n’est tombée, que tout a remonté proprement pendant le trimestre, ayez une pensée pour les gens de l’ombre. C’est souvent qu’ils ont bien bossé.
Et si vous avez trouvé une vraie solution pour détecter le 3ème cas, un type de log spécifique qui change ou disparaît sans prévenir, écrivez-moi ou commentez cet article. Je suis preneur. C’est une des zones grises les plus récurrentes du monitoring de la santé SOC.
Mehdi Charki est SOC Manager avec 10 ans d’expérience. SOC Performance est sa newsletter indépendante sur la gouvernance, la stratégie et le pilotage SOC.