Guide de la « Blue Team » : SOC, SIEM et chasse aux menaces (French Edition)

Chapitre 18. Analysemanuelle des journaux pour l'IR et le SOC

Cet ouvrage a été traduit à l'aide de l'IA. Tes réactions et tes commentaires sont les bienvenus : [e-mail]

« Ce qui est intéressant dans ce scénario de violation, c’est ce qui a conduit à l’enquête et à la découverte finale de cette menace sophistiquée. Bien que Microsoft ait finalement identifié l’APT, c’est un client de Microsoft qui a été le premier à signaler et à enquêter sur des événements anormaux liés à MailItemsAccessed via le journal d’audit de Microsoft. »

Article de la Cloud Security Alliance sur Storm-0558

La citation d’ouverture de ce chapitre souligne l’importance pour le client d’analyser ses propres données de journaux, qui, dans ce cas précis, étaient présentées au format JSON. Ce chapitre présente des techniques d’analyse manuelle pour les fichiers CSV et au format JSON, car ce sont les deux formats les plus courants auxquels un analyste est confronté ; il fournit également une liste de contrôle et un processus structuré à l’intention des équipes d’intervention en cas d’incident et des équipes du SOC lorsque l’analyse manuelle des journaux est nécessaire, en particulier lorsqu’aucune solution SIEM ou de gestion des journaux aboutie n’est en place, une situation qui se produit plus souvent qu’on ne le pense. Par exemple, une équipe SOC peut demander des données à une filiale située dans un fuseau horaire différent, ou les journaux d’un système source peuvent ne pas se trouver ...