Analyse en Sécurité des Bases de Données

Dans l’un des articles précédents, nous avons abordé l’importance des journaux d’audit. Vous pouvez le consulter ici : Le But d’un Journal d’Audit de Base de Données

Dans cet article, nous allons expliquer comment ces journaux peuvent être utilisés pour améliorer la sécurité de votre base de données. Lorsqu’ils sont utilisés efficacement, les journaux d’audit peuvent aider à identifier les points faibles, à combler ces lacunes et à protéger l’entreprise contre les problèmes liés à la sécurité des bases de données.

Quelques Conseils Utiles

Les journaux d’audit sont plus efficaces lorsqu’ils sont automatisés. En effet, l’audit peut également contribuer à révéler une activité interne suspecte ou abusive. L’endroit où les journaux sont stockés et les personnes ayant accès à ces derniers sont également des éléments cruciaux pour maintenir l’intégrité des journaux d’audit.

Il est aussi important de déterminer quelles informations inclure dans les journaux. Nous recommandons d’y inscrire des informations de base, telles que les utilisateurs de la base de données impliqués, la date, l’heure et les résultats des requêtes. Notez que les journaux de DataSunrise comportent ces informations.

D’autres informations spécifiques peuvent être ajoutées, en fonction des besoins de sécurité, des normes de sécurité auxquelles vous aspirez et des exigences en matière de rapports.

Voici quelques conseils importants :

Assurez-vous que les informations du journal d’audit soient stockées dans un endroit sécurisé et sauvegardées régulièrement ;
N’incluez que les informations utiles et nécessaires dans le journal d’audit afin d’éviter un débordement de stockage ;
Examinez régulièrement les journaux d’audit pour atténuer les risques ;
Coordonnez-vous avec vos partenaires afin d’assurer la sécurité et la disponibilité des journaux d’audit de leur système.

Outils pour Analyser les Journaux d’Audit

Selon le NIST Handbook, les outils d’analyse des journaux d’audit doivent satisfaire aux exigences suivantes :

Permettre aux examinateurs de reconnaître aussi bien une activité normale qu’une activité inhabituelle ;
Permettre d’interroger et de filtrer les enregistrements d’audit afin d’obtenir des informations spécifiques ;
Permettre d’intensifier l’analyse des journaux d’audit si un problème est détecté ;
Élaborer des directives d’examen afin d’identifier les activités non autorisées ;
Utiliser des outils automatisés pour limiter les informations enregistrées dans le journal d’audit et en extraire les informations utiles à partir des données collectées.

DataSunrise intègre certaines des fonctionnalités mentionnées ci-dessus. Toutefois, DataSunrise n’est pas un système d’analyse SIEM – il se contente de collecter les événements d’audit et de les transmettre à des programmes dédiés via Syslog. Nous ne recommandons pas d’outils spécifiques – c’est à vous de choisir le logiciel à utiliser.

Par ailleurs, la fonctionnalité d’Audit de Données de DataSunrise vous permet de surveiller l’activité de la base de données et de collecter les informations suivantes :

Nom d’utilisateur de la base de données ;
Utilisateur de l’application cliente ;
Application cliente utilisée pour interroger la base de données ;
Hôte client ;
Durée de la session ;
Nombre de lignes affectées ;
Texte de la requête ;
Bases de données, schémas, tables et colonnes affectées par la requête interceptée.

Quelques Bonnes Pratiques

Combien de temps conserver la trace ?

Il n’existe aucune directive concernant une durée spécifique de conservation des enregistrements d’audit. La seule réponse est : le plus longtemps possible. La durée spécifique dépend principalement de votre capacité de stockage. Cependant, il est important de pouvoir retrouver un journal d’audit associé à un événement précis. C’est pourquoi vous devez conserver l’enregistrement d’audit pendant toute la durée de vie de l’enregistrement dans la base de données.

À quelle fréquence examiner les traces ?

Les révisions des journaux d’audit varient d’une entreprise à l’autre et peuvent être effectuées trimestriellement ou annuellement au cours d’un audit de sécurité. Il est recommandé d’élaborer vos propres directives d’examen afin de maintenir une régularité dans ces vérifications.