Chapitre 2.

Concepts généraux

http ://www.buttereupgames.com/category.sereen 'categoryld-TEE: La page de

rétérenee (ui à partir de laquelle la requête est lancée.

lozilla/5.0 (Wincdows NT 6.1: WOWG1) : Le navigateur et le systène d'exploitation

utilisés par l'utilisateur

Dans l'exCmple de la figure 2. 1. la machine avant l'adresse IP 192.188.106.240 a énis la

requête CET /category.sereen?categoryld=TEEJSESSIONID-SD2SL4FF4959 http 1.1
le 23 décembre 2018 à 23 heures, 59 miutes et 45 secondes.

Sa requëte a été acceptée par le serveur (code 200 signifie l'acceptation) et la machine a
rCçu un fichier de taille 2958 octets. La page de référence qui à partir de laquelle la machine
lance la requête est http ://www.buttercupgames.com/category.screen ?categoryld=TEE
en utilisant le navigateur Mozilla 5.0version anglais sous l'environnement Windows NT
6.1: WOW64.

Aujourd'hui toutes les entreprises disposent de journaux venant des syst mes, des
applications ou des équipements réscau. Ces journaux représentent une masse importante.
Par conséquent, il devient important de centraliser ces données, les exploiter et les utiliser
intelligemment. C'est pour cela qu'il convient d'utiliser les outils SIEM.

2.3.4 Mode de fonctionnement

Les SIEM utilisent des étapes de récupération, analyse et gestion de l'informatiou, ce

sont la collecte, la normalisation, l'agrégation, la corrélation, le reporting et la réjponse.

La collecte :Le principe de l'étape de collecte est de fournir au SIEM des données
à traiter. Ces données peuvent être de nature diverse en fonction de l'équipement ou
du logiciel, mais aussi être envoyées de mauières tout à fait différentes. On distingue
deux modes de fonctionnement

Mode actif
Le SIEM possède un ou plusieurs agents déployés sur les équipeneuts à superviser
Ces agents ont pour fonction de récupérer les informations des équipements et logi-
ciels de sécurité et de les envoyer au SIEM. Un élément de sécurité qui a été conçu
nativenent pour être un agent du SlEMl est appelé une sonde.

Mode passil

Le SIEM est en écoute dlirecte s r les cqupeents à superViser. Pour cette méthode.
c'est l'équipennent ou le logiciel qui envoie les inforuations sans interumédiaire au

SIEM
. La normalisation :Ls intorations collecteos vicnnent dcquipcments et logicicls
de formater les données.
hétórog nes ayant our la plupart lenrs jpropres novens
dunitoriser es inlornations selon n fornnat uniqe pour
Cette étape permet
SIEM. Des forats sont mnis au point par IETF pour
faciliter le traitement a r le
18