8 cas d'utilisation SIEM courants et exemples concrets
Le SIEM résout ce problème en corrélant les données de l'ensemble de l'environnement ( terminaux , réseaux, applications cloud et systèmes d'authentification) afin de mettre en évidence des connexions qu'aucun outil isolé ne détecterait. Une connexion à 2 h du matin n'est pas suspecte en soi. Mais cette même connexion, associée à une augmentation soudaine des transferts sortants et à l'apparition d'un nouveau périphérique USB, est tout autre chose.
Les cas d'utilisation ci-dessous illustrent comment les organisations déploient concrètement un SIEM, avec des exemples réels où le paysage des menaces ou la technologie sous-jacente ont considérablement évolué.
1. Détection et prévention de l'exfiltration de données
L'exfiltration de données désigne le transfert non autorisé de données des systèmes d'une organisation vers un emplacement externe, effectué manuellement ou par le biais d'un logiciel malveillant. Selon le rapport mondial sur les menaces 2026 de CrowdStrike, 82 % des attaques sont désormais réalisées sans logiciel malveillant, c'est-à-dire qu'elles ne laissent aucune trace que les règles de détection traditionnelles peuvent identifier. De ce fait, la corrélation comportementale, et non la correspondance de signatures, constitue la principale ligne de défense contre l'exfiltration. 1
Comment les SIEM détectent et empêchent l'exfiltration de données :
Figure 1 : Source : Medium 2
- Détection des identifiants compromis : utilisez des moteurs de corrélation pour identifier les comportements inhabituels des utilisateurs, tels que l’accès à des données sensibles en dehors des heures normales, et déclenchez des alertes pour les responsables informatiques.
- Surveillance de la communication command-and-control : Corréler le trafic réseau avec les renseignements sur les menaces pour identifier les logiciels malveillants communiquant avec des serveurs externes.
- Analyser les activités anormales : une fois les identifiants compromis détectés, signaler les activités telles que l’utilisation de périphériques USB, l’accès à la messagerie personnelle, les transferts vers le stockage cloud ou les volumes de données anormalement élevés.
- Détection des anomalies de chiffrement : identification des anomalies de chiffrement des données sur les systèmes des utilisateurs, pouvant indiquer une tentative de préparation d’une attaque par rançongiciel.
- Confinement automatisé : isolez les appareils compromis et bloquez les adresses IP malveillantes sans attendre d’intervention manuelle.
CrowdStrike et Commvault ont lancé une intégration bidirectionnelle entre Commvault Cloud et Falcon Next-Gen SIEM. Lorsqu'une menace est détectée par Falcon, ThreatScan de Commvault vérifie l'intégrité des données et les restaure à partir d'une sauvegarde saine au sein du même flux de travail, comblant ainsi le fossé entre la détection et la récupération souvent constaté avec les solutions SIEM classiques. 3
Exemple concret 4
La banque peinait à gérer le volume de données créées, modifiées, déplacées ou supprimées quotidiennement. Elle avait besoin d'un moyen fiable de contrôler l'intégrité des fichiers et de prévenir le vol de données sur plusieurs canaux.
La Bank of Wolcott a déployé ManageEngine DataSecurity Plus, qui a suivi les modifications et les déplacements de fichiers critiques sur les serveurs de fichiers et envoyé des alertes selon des critères prédéfinis. La banque a ainsi détecté et contré les tentatives d'exfiltration via clés USB, courriels, imprimantes et autres canaux.
2. Détection des mouvements latéraux
Le terme « déplacement latéral » désigne les techniques utilisées par les adversaires pour s'infiltrer progressivement au sein d'un réseau à la recherche de ressources de grande valeur. Les outils SIEM détectent ces déplacements latéraux grâce à des corrélations prédéfinies et à l'intégration de renseignements sur les menaces.
Comment les SIEM détectent les mouvements latéraux :
Figure 2 : SIEM détectant un comportement anormal de l'utilisateur
Source : Splunk 5
- Corrélation du comportement des utilisateurs : signaler les schémas d’accès anormaux, tels qu’un utilisateur se connectant à des systèmes auxquels il n’a jamais accédé auparavant, et alerter les administrateurs informatiques.
- Catégorisation comportementale : classer les utilisateurs comme attaquants, victimes ou suspects grâce à de multiples analyses de corrélation.
- Détection des communications de logiciels malveillants : Intégrez le trafic réseau avec les renseignements sur les menaces pour détecter les logiciels malveillants se connectant aux serveurs command-and-control.
- Analyse d'événements multi-sources : collectez des données provenant des terminaux, des systèmes de sécurité et des outils de détection d'intrusion afin de dresser un tableau complet des mouvements dans l'environnement.
Exemple concret 6
Figure 3 : Exemple d’intrusion tiré de l’ensemble de données. Source : VMware 7
Difficultés rencontrées : Les organisations avaient du mal à identifier les attaques une fois qu’elles étaient déjà à l’intérieur du réseau en raison d’une visibilité insuffisante sur l’ensemble des points de terminaison.
Solutions et résultats : La solution NSX SIEM de VMware a permis de contrer les déplacements latéraux en surveillant les terminaux afin de détecter les tentatives d’élévation de privilèges inhabituelles, les activités suspectes liées aux fichiers et aux processus sur les machines, ainsi que les connexions réseau présentant un comportement anormal. Cette solution a permis une surveillance en temps réel et l’isolation automatique des terminaux compromis.
3. Détection des menaces internes
Les menaces internes sont des risques de sécurité posés par des utilisateurs autorisés, des employés, des sous-traitants ou des partenaires commerciaux qui abusent intentionnellement de leurs accès ou dont les comptes sont compromis par des attaquants.
Comment les SIEM détectent les menaces internes :
Figure 4 :
Source : SolarWinds 8
Les solutions SIEM détectent les menaces internes en collectant et en corrélant des données provenant de diverses sources sur le réseau, telles que les journaux d'activité des utilisateurs, les journaux système et les journaux réseau. Voici les méthodes utilisées par les solutions SIEM pour détecter les menaces internes :
- Surveillance et corrélation en temps réel : surveillez simultanément le comportement de connexion des utilisateurs, les modèles d’accès aux fichiers et le trafic réseau, en les corrélant entre les sources pour faire apparaître des tendances invisibles dans un seul journal.
- Corrélation des renseignements sur les menaces externes : exploiter les données de réputation des adresses IP et les profils des acteurs malveillants connus pour détecter les cas où le comportement interne recoupe l’infrastructure d’attaque externe.
- Détection des identifiants compromis : Appliquer des règles de corrélation pour identifier les signes de vol d’identifiants, notamment les séquences d’authentification inhabituelles ou les accès depuis des emplacements inconnus.
- Détection des anomalies comportementales : les SIEM avec UEBA utilisent l’apprentissage automatique pour signaler les écarts par rapport à la ligne de base établie d’un utilisateur, par exemple, le téléchargement de 10 fois son volume de données normal à minuit.
Exemple concret 9
Défis : Plus de 150 entreprises ont été ciblées par la campagne de menaces internes « Chollima ». Environ 50 % des cas examinés impliquaient un vol de données confirmé.
Les entreprises ciblées combinaient télémétrie et analyse humaine grâce à la solution SIEM et de sécurité des terminaux CrowdStrike Falcon. Falcon assurait la surveillance en temps réel des terminaux et des utilisateurs, l'évaluation automatisée des menaces internes potentielles à partir d'indicateurs connus, ainsi que des outils d'interrogation pour les analystes chargés de la recherche de menaces.
4. Détection des attaques zero-day
Une vulnérabilité zero-day est une faille inconnue des propriétaires du logiciel et de toute personne capable de la corriger. En l'absence de signature pour une vulnérabilité zero-day, les solutions SIEM doivent s'appuyer sur la détection comportementale et la détection d'anomalies plutôt que sur la correspondance de règles.
Comment les SIEM détectent les attaques zero-day :
Figure 5 :
- Corrélation des journaux inter-systèmes : regroupement des données provenant des pare-feu, des points de terminaison, des systèmes de prévention des intrusions et des journaux DNS afin de détecter les tentatives d’accès qui ne correspondent à aucun modèle connu mais qui sont statistiquement anormales.
- Anomaly détection avec ML : Les modèles d’apprentissage automatique intégrés analysent les données historiques et signalent les écarts subtils par rapport au comportement normal, le type de signal que les exploits zero-day ont tendance à produire avant d’être identifiés.
- Détection comportementale : surveiller les interactions inhabituelles entre les composants du système plutôt que de se fier aux signatures de logiciels malveillants connus.
- Intégration du sandboxing : certains SIEM se connectent à des environnements de sandboxing pour analyser les fichiers suspects de manière isolée, en surveillant des comportements tels que les modifications du registre ou les tentatives d’élévation de privilèges.
- Analyse des interactions entre fichiers : Détecter les failles zero-day en fonction de la manière dont les fichiers interagissent avec le système d’exploitation, plutôt que de leur contenu.
5. Maintenir la sécurité de l'IoT
Les organisations dépendent des appareils connectés pour leurs opérations critiques, comme les équipements médicaux en réseau, les capteurs industriels, les systèmes de contrôle d'usine et les infrastructures de réseaux électriques. Nombre de ces appareils n'ont pas été conçus avec une sécurité renforcée et, une fois déployés, leurs vulnérabilités sont difficiles à corriger.
La surveillance passive du trafic réseau câblé, l'approche SIEM traditionnelle, ne suffit plus dans ces environnements. La découverte active des actifs, l'établissement de références comportementales pour chaque appareil et l'évaluation des risques par IA pour les micrologiciels non corrigés sont désormais des fonctionnalités indispensables pour les organisations fortement exposées aux technologies OT ou IoT.
Comment les SIEM assurent la sécurité de l'IoT :
Figure 6 :
- Détection des attaques par déni de service (DoS) : identifier les schémas de trafic inhabituels provenant des appareils IoT et signaler rapidement les tentatives de déni de service.
- Identification des vulnérabilités : Détection des systèmes d’exploitation obsolètes, des micrologiciels non corrigés et des protocoles de communication non sécurisés sur les appareils connectés.
- Surveillance du contrôle d'accès : Suivez la source des connexions des appareils IoT et recevez une alerte lorsque les connexions proviennent d'emplacements inconnus ou inattendus.
- Détection des compromissions d'appareils : identifier les anomalies de comportement sur les appareils individuels et alerter les équipes de sécurité lorsqu'un appareil commence à se comporter de manière anormale.
6. Gestion centralisée des journaux
Les équipes de sécurité s'appuient sur les données de journalisation historiques et les alertes en temps réel provenant de l'ensemble de leur environnement : serveurs de messagerie, systèmes d'authentification, pare-feu, services cloud et terminaux. Sans système centralisé de gestion des journaux, la corrélation manuelle de ces données est pratiquement impossible à grande échelle.
Comment les SIEM assurent la gestion centralisée des journaux :
Figure 7 :
Source : SolarWinds 10
- Collecte multi-sources : Collectez les données de journalisation provenant des outils de sécurité, des périphériques réseau, des systèmes de protection des terminaux, des serveurs d’authentification et des applications cloud.
- Agrégation centralisée : Combinez les données des systèmes de détection d’intrusion et des outils de surveillance réseau dans un référentiel unique, offrant ainsi une vue unifiée que les outils individuels ne peuvent pas proposer.
- Analyse et corrélation des journaux : Appliquer des modèles d’apprentissage automatique et statistiques pour détecter des schémas complexes — tels que des séquences d’accès non autorisées — qui passeraient inaperçus dans des journaux cloisonnés.
Exemple concret 11
Défis : Les autorités de réglementation ont publié la Politique de cybersécurité 2021, incitant les banques à renforcer leur sécurité. Askari Bank disposait de capacités de sécurité minimales, d’aucune équipe dédiée à la sécurité et d’une structure de gouvernance limitée.
Askari Bank a mis en œuvre la solution Security QRadar SIEM (référence IBM), consolidant les journaux provenant de sources multiples dans un référentiel unique et intégrant cette solution à un nouveau centre d'opérations de sécurité (SOC). Le SOC de la banque a ainsi réduit le nombre d'incidents de sécurité quotidiens d'environ 700 à moins de 20, et le temps moyen de résolution est passé de 30 à 5 minutes.
7. Analyse forensique et recherche de menaces
L'analyse forensique et la chasse aux menaces sont les deux facettes d'une même capacité : l'analyse forensique reconstitue le déroulement des événements après un incident, tandis que la chasse aux menaces recherche les menaces n'ayant pas encore déclenché d'alerte. Les outils SIEM prennent en charge ces deux aspects grâce à leurs fonctionnalités d'interrogation en temps réel, d'accès aux journaux d'événements et de corrélation.
Comment les SIEM aident à l'analyse forensique et à la chasse aux menaces :
Figure 8 : Source : Bibliothèque MCSI 12
- Recherche en temps réel : interrogez les journaux en direct, le trafic et les données d’événements pour identifier les risques avant qu’ils ne s’aggravent.
- Recherches par lots : traitez de grands volumes de données historiques pour trouver des tendances à long terme ou des schémas cachés, par exemple une porte dérobée installée des mois avant son activation.
- Détection proactive des menaces : plutôt que d’attendre des alertes, les équipes de sécurité peuvent utiliser des outils SIEM pour rechercher activement les indicateurs de compromission dans l’ensemble de l’environnement.
- Enquête sur les incidents : L’agrégation et la corrélation avancées des journaux offrent aux analystes une vue unifiée de l’étendue complète d’une attaque, des systèmes affectés, des déplacements de l’attaquant et des données consultées.
- Leçons tirées après un incident : documenter et analyser les incidents passés permet d’améliorer les règles de détection et les procédures de réponse, renforçant ainsi les défenses contre des attaques similaires.
8. Contrôle, surveillance et conformité
Les solutions SIEM aident les organisations à démontrer leur conformité aux cadres réglementaires, notamment PCI-DSS, HIPAA, SOX, ISO 27001, les contrôles CIS, NIS2 et DORA. Les périodes de grâce pour NIS2 et DORA ont pris fin en février 2026. Ces deux réglementations exigent la preuve documentée des capacités de surveillance continue, de détection des incidents et de réponse, capacités que les journaux d'audit SIEM produisent en standard. 13
- Journalisation exhaustive : regroupement des journaux provenant de toutes les sources pertinentes (périphériques réseau, serveurs, points de terminaison et pare-feu) afin de garantir des enregistrements d’activité complets.
- Gestion de la conservation : Stocker les journaux pendant les durées requises par les cadres réglementaires applicables, avec des politiques qui peuvent être ajustées en fonction de la réglementation.
- Surveillance des modifications : alerte en cas d'élévation de privilèges, de modifications de fichiers système, de changements d'état de l'antivirus et de configurations de ports ou de services non sécurisées.
- Pistes d'audit : Conserver un historique complet des événements de sécurité, des journaux d'accès et des activités du système pour examen lors d'audits ou d'enquêtes.
- Modèles de conformité prédéfinis : La plupart des plateformes SIEM sont livrées avec des règles et des modèles intégrés pour les cadres courants, ce qui réduit le travail de configuration nécessaire pour être prêt pour un audit.
- Génération de rapports automatisée : Collecter et formater les données de journalisation en rapports de conformité adaptés aux auditeurs, aux organismes de réglementation et aux examens internes.
Exemple concret 14
RCO Engineering disposait d'une visibilité limitée sur les événements de sécurité informatique. L'équipe informatique examinait manuellement l'Observateur d'événements Windows pour identifier la cause première des incidents, un processus lent et sujet à des erreurs d'identification des liens entre les événements.
Solutions et résultats : RCO Engineering a déployé ManageEngine Log360 pour une gestion unifiée des journaux et une sécurité réseau renforcée. Le tableau de bord, les rapports prédéfinis et les alertes personnalisables de Log360 ont offert à l’équipe la visibilité qui lui faisait défaut, améliorant ainsi le contrôle du réseau et sa conformité.
FAQ
Le SIEM repose essentiellement sur deux fonctions clés :
La gestion des informations de sécurité (SIM) collecte, stocke et met en corrélation les données historiques relatives à la sécurité.
La gestion des événements de sécurité (SEM) est un système de surveillance en temps réel qui génère des alertes en réponse aux incidents de sécurité.
Les solutions SIEM intègrent et analysent les données provenant de diverses sources, aidant ainsi les organisations à identifier et à traiter les menaces et les vulnérabilités de sécurité avant qu'elles ne perturbent leurs opérations.
Les plateformes SIEM s'appuient sur des données précises concernant les terminaux. Découvrez comment les logiciels de gestion des terminaux améliorent la détection et la réponse en garantissant une gestion et une sécurité optimales des appareils.
Liens de référence
À lire ensuite
Modèles de monde à grande échelle : cas d'utilisation et exemples
Plus de 10 cas d'utilisation courants de l'authentification multifacteurs (MFA)
Les 13 meilleurs outils SIEM open source
Les 5 principaux cas d'utilisation du web scraping dans l'industrie alimentaire
Cas d'utilisation et exemples des technologies de commerce électronique
Apprentissage fédéré : 7 cas d'utilisation et exemples
Soyez le premier à commenter
Votre adresse courriel ne sera pas publiée. Tous les champs sont obligatoires.