La multiplication et la diversité des solutions de sécurité et d'administration ont conduit à l'apparition d'un nouveau problème :
la gestion des logs.

L'abondance et la corrélation de ces informations permettent d'optimiser les systèmes d'information et de retrouver les sources des pannes informatiques.
Cependant, ces données indispensables aux administrateurs deviennent de plus en plus nombreuses sans être forcément pertinentes. De ce fait, sans un traitement automatisé efficace, certaines alertes critiques se retrouvent inondées sous la masse de faux positifs.

Afin de lutter contre l'utilisation frauduleuse ou abusive des ressources informatiques, il est courant de journaliser toutes les connexions aux services et aux applications.

Il est donc important de rappeler que tous les utilisateurs doivent en être informés tout comme la durée pendant laquelle les données qui permettent d'identifier la source seront conservées.
Dans ce contexte, seule la trace de la connexion sera enregistrée, par exemple "L'utilisateur de la machine A s'est connecté à 12h00 sur la machine B pour accéder au fichier C". Aucune information sur le contenu de l'échange ne doit être sauvegardée.

Mis à part l'aspect sécuritaire, les logs peuvent être utilisés dans le but d'élaborer des statistiques. Dans ce cas, les journaux peuvent contenir des données privées (mot de passes, mails, etc.) uniquement si la source est anonyme. Le traitement de ces informations doit empêcher de retrouver le propriétaire.

Figure 1 : Centralisation des journaux d'évènements

Contrairement au suivi des flux applicatifs : processus parfaitement maîtrisé (voir la Figure 1), la corrélation des différentes données sensibles afin d'en ressortir une information pertinente, est une tâche beaucoup plus complexe.

En réponse à ce problème, de nombreuses solutions commerciales ont vu le jour. Une grande majorité des applications de centralisation et de corrélation des logs nécessite un déploiement lourd sur le périmètre informatique qui inclue l'installation d'agents sur des systèmes en production et l'ajout de machines dédiées. Les nouvelles incompatibilités logicielles et les coûts d'exploitation annexes contribuent alors à l'augmentation des risques de pannes plutôt qu'à leurs maîtrises.

Un exemple concret de solution "tout-en-un" serait celle de l'éditeur NetSecureOne : "NetSecure://LOG (3)". Les principaux avantages sont la qualité du reporting et la qualité du support en contrepartie d'une offre généraliste et d'une facturation plus onéreuse. Tous les processus d'intégration et de suivi du client sont ainsi parfaitement maîtrisés. L'éditeur propose même un forum dédié aux clients de ce produit (4). Cependant, l'intégration de nouveaux agents au sein des différents serveurs pourrait altérer le fonctionnement global des services (voir la Figure 2).

D'autre part, les grands éditeurs comme IBM et HP proposent aussi des modules de corrélations pour leurs suites d'administrations respectives TIVOLI et OPENVIEW. Ces solutions s'adressent toutefois à des administrateurs formés disposant d'une importante infrastructure et d'équipements spécifiques.

Figure 2 : Déploiement de NetSecure://LOG

Figure 3 : Exemple d'algorithme de Corrélation

L'algorithme, ci-contre (Figure 3), illustre le croisement des logs d'un serveur web et d'un serveur de bases de données à la suite d'une tentative d'intrusion.

Cet exemple est explicite et synthétique. Il peut être optimisée et croisée avec d'autres informations sans être limitée par une quelconque restriction logicielle. Le principale avantage est de ne fournir une seule réponse complète et non un lot d'informations découpées et inutilisables.

Watchlog est un logiciel de centralisation des journaux d'évènements. Développé par les consultants du cabinet Xmco Partners, cet outil ne nécessite aucune installation d'agents sur les machines en production. La consolidation des logs permet de rapatrier toutes les logs d'applications brutes: serveurs web, proxy, IDS, contrôleurs de domaine, Active Directory, progiciel de gestion intégré, etc., au sein d'une base de donnée unique.

En conformité avec les réglementations SoX et LSF, cet outil contribue à la certification des entreprises.

Développé en JAVA, Watchlog est compatible avec tous les environnements. Il apporte une visibilité instantanée de l'utilisation des applications du système d'information. La récupération des différents journaux est effectuée par des modules configurables qui supportent toutes les méthodes de connexions distantes (ssh, ftp, http, tftp…).

Figure 4 : Capture d'écran de WatchLog

Cette solution se différencie de la concurrence par la simplicité d'installation, de configuration et d'utilisation. Chaque implémentation est unique et l'évolution est assurée par l'ajout de nouveaux modules personnalisés. La force majeure de Watchlog est sa très grande flexibilité : l'outil s'adapte en quelques heures à toutes les applications et nous permet de construire, en collaboration avec les équipes de nos clients, un outil de corrélation et de reporting performant.

L'intégration complète de cette offre est parfois plus longue que certaines solutions industrialisées, cependant, ce laps de temps supplémentaire est indispensable pour répondre entièrement aux attentes et aux besoins de chaque infrastructure.