ISO 27002:2022 – Contrôle 8.15 – Journalisation

Objectif du contrôle 8.15

Journaux – que ce soit sous la forme de journaux d'applications, de journaux d'événements ou d'informations générales sur le système – constituent un élément clé pour obtenir une vue descendante des événements TIC et des actions des employés. Les journaux permettent aux organisations d'établir une chronologie des événements et d'examiner les modèles logiques et physiques sur l'ensemble de leur réseau.

La production d'informations de journal claires et facilement accessibles constitue un élément important de la stratégie TIC globale d'une organisation et accompagne de nombreux contrôles majeurs de sécurité de l'information contenus dans la norme ISO 27002:2002.

Les journaux doivent :

• Enregistrez les événements.
• Recueillir des preuves.
• Protéger leur propre intégrité.
• Sécurisez les données du journal contre tout accès non autorisé.
• Identifiez les actions et les événements qui pourraient conduire à une violation des informations/de la sécurité.
• Agir comme un outil pour soutenir les enquêtes internes et externes.

Attributs Table de contrôle 8.15

Le contrôle 8.15 est un détective contrôler cela modifie le risque en adoptant une approche de l’exploitation forestière qui répond aux objectifs ci-dessus.

Propriété du contrôle 8.15

Control 8.15 traite des opérations TIC effectuées à l'aide d'un accès administrateur système et relève de la gestion et de la maintenance du réseau. En tant que tel, la propriété de Control 8.15 devrait appartenir au responsable informatique ou à son équivalent organisationnel.

Conseils – Informations du journal des événements

Un « événement » est toute action effectuée par une présence logique ou physique sur un système informatique – par exemple une demande de données, une connexion à distance, un arrêt automatique du système, une suppression de fichier.

Le contrôle 8.15 précise que chaque journal d'événements individuel doit contenir 5 composants principaux, afin qu'il puisse remplir son objectif opérationnel :

• ID utilisateur – Qui ou quel compte a effectué les actions.
• Activité du système – Que s’est-il passé
• Horodatages – Date et heure dudit événement
• Identifiants de l'appareil et du système, et emplacement – ​​Sur quel actif l'événement s'est produit
• Adresses réseau et protocoles – informations IP

Conseils – Types d'événements

Pour des raisons pratiques, il n'est peut-être pas possible de consigner chaque événement qui se produit sur un réseau donné.

Dans cette optique, Control 8.15 identifie les 10 événements ci-dessous comme étant particulièrement importants à des fins de journalisation, compte tenu de leur capacité à modifier les risques et du rôle qu'ils jouent dans le maintien de niveaux adéquats de sécurité des informations :

1. Tentatives d'accès au système.
2. Tentatives d’accès aux données et/ou aux ressources.
3. Modifications de la configuration du système/OS.
4. Utilisation de privilèges élevés.
5. Utilisation de programmes utilitaires ou d'installations de maintenance (voir Contrôle 8.18).
6. Demandes d'accès aux fichiers et ce qui s'est passé (suppression, migration, etc.).
7. Alarmes de contrôle d’accès et interruptions critiques.
8. Activation et/ou désactivation des systèmes de sécurité front-end et back-end, tels que les logiciels antivirus côté client ou les systèmes de protection par pare-feu.
9. Travail d'administration de l'identité (à la fois physique et logique).
10. Certaines actions ou modifications système/données effectuées dans le cadre d'une session au sein d'une application.

Comme expliqué dans Control 8.17, il est d'une importance vitale que tous les journaux soient liés à la même source de temps synchronisée (ou ensemble de cours) et, dans le cas de journaux d'applications tierces, que tout écart de temps soit pris en compte et enregistré.

Conseils – Protection des journaux

Les journaux constituent le plus petit dénominateur commun pour établir le comportement des utilisateurs, des systèmes et des applications sur un réseau donné, en particulier lorsqu'ils sont confrontés à une enquête.

Il est donc d’une importance vitale pour les organisations de s’assurer que les utilisateurs – quel que soit leurs niveaux d’autorisation – ne conservent pas la possibilité de supprimer ou de modifier leurs propres journaux d’événements.

Les journaux individuels doivent être complets, précis et protégés contre toute modification non autorisée ou problème opérationnel, notamment :

• Modifications du type de message.
• Fichiers journaux supprimés ou modifiés.
• Tout échec de génération d'un fichier journal ou écrasement inutile des fichiers journaux en raison de problèmes courants liés aux supports de stockage ou aux performances du réseau.

L'ISO recommande que, afin d'améliorer la sécurité des informations, les journaux soient protégés à l'aide des méthodes suivantes :

• Hachage cryptographique.
• Enregistrement en ajout uniquement.
• Enregistrement en lecture seule.
• Utilisation de fichiers publics de transparence.

Les organisations peuvent avoir besoin d'envoyer des journaux aux fournisseurs pour résoudre les incidents et les pannes. Si cela s'avère nécessaire, les journaux doivent être « anonymisés » (voir Contrôle 8.11) et les informations suivantes doivent être masquées :

• Nom d'utilisateur
• adresses IP
• Noms d'hôte

En plus de cela, des mesures doivent être prises pour protéger les informations personnelles identifiables (PII) conformément aux propres protocoles de confidentialité des données de l'organisation et à toute législation en vigueur (voir Contrôle 5.34).

Conseils – Analyse des journaux

Lors de l'analyse des journaux dans le but d'identifier, de résoudre et d'analyser des événements de sécurité de l'information – dans le but final de prévenir de futurs événements – les facteurs suivants doivent être pris en compte :

• L'expertise du personnel effectuant l'analyse.
• Comment les journaux sont analysés, conformément à la procédure de l'entreprise.
• Le type, la catégorie et les attributs de chaque événement nécessitant une analyse.
• Toutes les exceptions appliquées via des règles de réseau émanant du matériel et des plates-formes de logiciels de sécurité.
• Le flux par défaut du trafic réseau, par rapport aux modèles inexplicables.
• Tendances identifiées à la suite d’une analyse de données spécialisée.
• Renseignements sur les menaces.

Conseils – Surveillance des journaux

L’analyse des journaux ne doit pas être effectuée de manière isolée et doit être effectuée en tandem avec des activités de surveillance rigoureuses qui identifient les modèles clés et les comportements anormaux.

Afin de parvenir à une approche à double front, les organisations doivent :

1. Examinez toutes les tentatives d'accès à des ressources sécurisées et/ou critiques pour l'entreprise, y compris les serveurs de domaine, les portails Web et les plateformes de partage de fichiers.
2. Examinez les journaux DNS pour découvrir le trafic sortant lié à des sources malveillantes et à des opérations de serveur nuisibles.
3. Rassemblez des rapports d'utilisation des données provenant de fournisseurs de services ou de plateformes internes pour identifier les activités malveillantes.
4. Collectez les journaux des points d'accès physiques, tels que les journaux des cartes-clés/porte-clés et les informations d'accès aux chambres.

Information supplémentaire

Les organisations devraient envisager d'utiliser des programmes utilitaires spécialisés qui les aident à rechercher dans les grandes quantités d'informations générées par les journaux système, afin d'économiser du temps et des ressources lors des enquêtes sur les incidents de sécurité, comme un outil SIEM.

Si une organisation utilise une plate-forme basée sur le cloud pour effectuer une partie de ses opérations, la gestion des journaux doit être considérée comme une responsabilité partagée entre le fournisseur de services et l'organisation elle-même.

Contrôles pris en charge

• 5.34
• 8.11
• 8.17
• 8.18

Modifications et différences par rapport à la norme ISO 27002:2013

ISO 27002:2002-8.15 remplace trois contrôles de l'ISO 27002:2003 qui traitent du stockage, de la gestion et de l'analyse des fichiers journaux :

• 12.4.1 – Journalisation des événements
• 12.4.2 – Protection des informations du journal
• 12.4.3 – Journaux de l'administrateur et de l'opérateur

27002:2002-8.15 corrobore largement tous les points d'orientation des trois contrôles ci-dessus en un seul protocole clair qui traite de l'exploitation forestière, avec quelques extensions notables, notamment (mais sans s'y limiter) :

• Un ensemble étendu de directives traitant de la protection des informations de journal.
• Des conseils supplémentaires sur les différents types d’événements qui devraient être examinés.
• Des conseils sur la manière dont les journaux doivent être à la fois surveillés et analysés dans un effort conjoint pour améliorer la sécurité des informations.
• Conseils sur la façon de gérer les journaux produits par les plateformes basées sur le cloud.

Nouveaux contrôles ISO 27002

Comment ISMS.online vous aide

La plateforme ISMS.Online aide à tous les aspects de la mise en œuvre de la norme ISO 27002, depuis la gestion des activités d'évaluation des risques jusqu'à l'élaboration de politiques, procédures et lignes directrices pour se conformer aux exigences de la norme.

Grâce à son ensemble d'outils automatisés, ISMS.Online permet aux organisations de démontrer facilement leur conformité à la norme ISO 27002.

Contactez-nous aujourd'hui pour planifier une démo.