Quand les technologies Big Data menacent le SIEM

Dépasser les limites du SIEM

Et en particulier pour aller au-delà de ce que permettent généralement les SIEM. Laurent Besset souligne ainsi que ceux-ci ont souvent « des difficultés à gérer des temps très longs en corrélation ». Opérer des corrélations sur la dernière heure n’est pas un problème, « mais certains clients veulent voir ce qui se passe sur la journée, la semaine, le mois, ou l’année. Et plus on dépasse l’heure, plus le SIEM est mis en difficulté ».

Et de ce n’est pas tout :  « le croisement avec de très gros référentiels d’entreprise peut également mettre en difficulté le SIEM traditionnel. Ce sont par exemple des scénarios dans lesquels on essaie de croiser des logs ou d’autres types de données comme le trafic réseau avec le plan d’adressage. Ajouter des listes référentielles à plat, un SIEM sait faire. Mais plus le référentiel est complexe ou la liste est longue, plus les performances se dégradent ».

Jusqu’à rendre matériellement impossibles certaines analyses… « alors même que ce sont des scénarios sur lesquels ils n’est pas nécessaire du faire du temps réel » dont on pourrait s’attendre à ce qu’il soit le plus exigeant. A l’inverse, « certaines choses, y compris possibles à lancer avec un SIEM, se sont avérées beaucoup plus rapides avec le Big Data ». D’autres, trop complexes à réalisées avec un SIEM, peuvent être effectuées simplement avec le nouvel environnement. En résumé, pour Michel Vujicic, « aujourd’hui, il n’y a pas de limite fonctionnelle ni technique aux analyses et aux traitements que l’on peut vouloir lancer ».

Profiter d’une infrastructure flexible

La plateforme Big Data déployée par I-Tracing s’appuie sur une distribution Hadoop HortonWorks, assortie de « batchs et micro-batchs en MapReduce pour la fourniture des statistiques », explique Michel Vujicic. A cela s’ajoute, en amont, des couches Flume pour l’intégration des logs. L’ensemble est complété par « une brique d’indexation ElasticSearch, qui est en train de grossir », et mais aussi Kibana pour la partie recherche, indispensable aux analystes.

Un moteur de corrélation temps réel Open Source est également utilisé, pour la génération des alertes, mais il pourrait être remplacé, à terme, par le couple Storm/Kafka.

La partie manquante dans l’environnement Big Data, au final, est à chercher du côté de la production de tableaux de bords. Mais là, I-Tracing est aidé par son historique. Car si les SIEM modernes sont dotés de fonctions de reporting agréables et flexibles, « historiquement, les SIEM étaient très pauvres en matière de visualisation », se souvient Laurent Besset.

Dès lors, I-Tracing a été contraint, très tôt, à développer ses propres interfaces de visualisation et de reporting pour ses clients : « elles étaient largement mûres lorsqu’on s’est posé la question de les alimenter à partir de notre plateforme Big Data ».

Souplesse et indépendance

Pour les clients d’I-Tracing, cette souplesse et cette puissance nouvelles se traduisent pas la possibilité d’en demander plus en matière de personnalisation de la politique de surveillance et des alertes. Car en définitive, relève Laurent Besset, « s’il en a le temps et qu’il dispose des logs nécessaires, il n’y a pas de limite pour l’analyste dans les recherches qu’il peut conduire ».

En outre, I-Tracing peut répondre aux demandes de ses clients en matière d’évolution tarifaire suivant l’extension du périmètre couvert sans dépendre de la politique tarifaire d’un éditeur SIEM. Une indépendance qui lui évitera à l’avenir des « difficultés » qui ont eu être rencontrées, par le passé, avec certains.

Et accessoirement, le prestataire de service disposer désormais du savoir-faire et de l’outillage nécessaire pour accompagner des clients dans l’utilisation de leur propre plateforme Big Data existante dans le cadre du recours à ses services de surveillance de la sécurité.