Étude de logiciels SIEM

Objectif du projet

Ce projet consistait à comparer plusieurs solutions SIEM (Security Information and Event Management) afin de comprendre leurs approches de la détection et de la supervision de la sécurité. Un SIEM centralise les journaux d’événements d’un système d’information, les analyse et remonte des alertes quand un comportement suspect est détecté.

Mon but était de comprendre comment ces outils fonctionnent et en quoi leurs choix (architecture, langage de requête, détection) diffèrent d’une solution à l’autre.

Ma démarche

J’ai choisi trois solutions représentatives du marché et je les ai étudiées une par une :

• Microsoft Sentinel : un SIEM natif du cloud, intégré à Azure, qui s’appuie sur le langage de requête KQL et sur des règles d’analyse pour détecter les menaces.
• IBM QRadar : une solution qui corrèle les événements et les flux réseau et regroupe les détections sous forme d’« offenses » à traiter.
• Splunk : une plateforme centrée sur la collecte et la recherche de données, interrogée avec le langage SPL et complétée par Splunk Enterprise Security pour la détection.

Pour chacune, je me suis intéressé à la même chose : comment les données sont collectées, comment elles sont interrogées, comment les alertes sont produites et comment on les traite. Cette grille m’a permis de comparer les outils sur des bases équivalentes plutôt que de simplement les décrire les uns après les autres.

Réalisation du projet

• Étude comparative de Microsoft Sentinel, IBM QRadar et Splunk afin de comprendre leur fonctionnement.
• Analyse de la collecte des journaux, du langage de requête et de la logique de détection de chaque solution.
• Mise en regard des points forts et des limites de chaque outil.

Problèmes rencontrés

• Problème : Chaque éditeur emploie son propre vocabulaire (alertes, incidents, offenses, notable events), ce qui rend la comparaison difficile.

  Solution : Établir une grille de critères commune pour rapprocher des notions équivalentes d’un outil à l’autre.

• Problème : Ces solutions sont complexes et souvent payantes, donc difficiles à tester dans leur intégralité.

  Solution : M’appuyer sur la documentation officielle et sur les versions d’évaluation ou gratuites quand elles existent.

Ce que j’en retiens

Cette étude m’a permis de mieux comprendre le rôle d’un SIEM dans la supervision de la sécurité et de voir que les trois solutions répondent au même besoin avec des philosophies différentes : cloud, corrélation ou recherche de données. J’ai aussi appris à comparer des outils de façon structurée.