Pourquoi centraliser
Un journal reste sur sa machine tant que rien ne va mal. Le jour de l'incident, trois problèmes apparaissent ensemble.
La machine en panne est celle qui porte les journaux, et elle est inaccessible. L'événement traverse plusieurs machines, et il faut recoller les morceaux à la main. Enfin, une machine compromise a des journaux qu'on ne peut plus croire, puisque l'attaquant a pu les modifier.
Centraliser répond aux trois : les journaux quittent la machine en temps réel, vers un stockage où elle ne peut plus les modifier.
Ce qu'il faut envoyer, et ce qu'il ne faut pas
Tout envoyer coûte cher et noie l'essentiel. Deux critères simples.
Envoyez ce qui sert au diagnostic ou à la sécurité : erreurs applicatives, authentifications réussies et échouées, changements de configuration, actions d'administration, arrêts et démarrages de service.
N'envoyez pas le détail de fonctionnement normal à haute fréquence, ni surtout des données personnelles ou des secrets. Un journal est souvent moins protégé que la base dont il raconte l'activité, et un mot de passe qui apparaît dans une trace vient d'être diffusé.
Ce dernier point est un incident de sécurité en soi, et il est fréquent dans les journaux de débogage laissés actifs en production.
Rendre les journaux exploitables
Trois conditions, sans lesquelles la centralisation ne sert qu'à archiver.
L'horloge synchronisée sur toutes les machines. Sans elle, l'ordre des événements est faux, et l'ordre est précisément ce que l'on cherche.
Un identifiant de corrélation qui suit une requête à travers les composants. C'est ce qui transforme dix journaux séparés en une histoire lisible.
Un format structuré plutôt que du texte libre, pour pouvoir filtrer sans deviner.
La rétention, question de budget et de besoin
Trois usages, trois durées.
| Usage | Durée typique |
|---|---|
| Diagnostic courant | 7 à 30 jours, accès rapide |
| Analyse de sécurité | plusieurs mois, une intrusion se découvre tard |
| Obligation contractuelle ou légale | selon le cas, archivage froid |
L'erreur classique consiste à tout garder au niveau le plus coûteux. L'archivage froid coûte peu et suffit pour les deux dernières lignes.
Quelques alertes à bâtir sur les journaux
Les journaux ne servent pas qu'après coup. Quatre alertes simples et à faible bruit :
- une rafale d'échecs d'authentification sur un même compte
- une connexion réussie hors des heures ouvrées sur un compte à privilèges
- l'arrêt d'un service qui devrait tourner en continu
- une chute brutale du volume de journaux, qui signale souvent que la remontée est cassée, pas que tout va bien
La dernière est la plus utile et la moins mise en place : sans elle, une supervision muette se confond avec une supervision sereine.
À retenir
Sortez les journaux de la machine en temps réel, synchronisez les horloges, corrélez par identifiant. N'y écrivez jamais de secrets. Et alertez sur le silence : une remontée cassée ressemble beaucoup au calme.