Why SIEM Rules Fail and How to Fix Them: Insights from 160 Million Attack Simulations

La Détection des Menaces Compromise : Les Lacunes des Systèmes SIEM

Les systèmes de gestion des informations et des événements de sécurité (SIEM) sont essentiels pour identifier les activités suspectes sur les réseaux d’entreprise. Cependant, une étude portant sur plus de 160 millions de simulations d’attaques révèle que seulement 1 attaque simulée sur 7 est détectée. Ce taux de détection alarmant met en évidence des failles significatives dans la capacité des organisations à se défendre contre les menaces modernes, créant un faux sentiment de sécurité.

Plusieurs facteurs contribuent à ces échecs :

• Défaillances de la Collecte de Journaux (50% des défaillances) : L’absence de journaux fiables et complets constitue la base de nombreux échecs. Les problèmes incluent des sources de journaux ignorées, des agents mal configurés ou des problèmes de transfert. Sans données précises, même les règles SIEM les plus efficaces deviennent inutiles.
  • Exemples : Journalisation incomplète des données clés, échec du transfert des journaux pertinents.
  • Impact : Manque d’alertes critiques, faux sentiment de sécurité, non-détection d’activités malveillantes.
• Règles de Détection Mal Configurées (13% des défaillances) : Des seuils incorrects, des ensembles de référence mal définis ou une logique de corrélation défectueuse entraînent soit le passage inaperçu d’événements critiques, soit des faux positifs.
  • Exemples : Règles trop larges générant du bruit, ensembles de référence imprécis.
  • Impact : Écrans d’alerte surchargés, alertes importantes manquées ou ignorées.
• Problèmes de Performance (24% des défaillances) : Les systèmes SIEM peuvent rencontrer des ralentissements dus à des règles gourmandes en ressources, des définitions de propriétés personnalisées étendues ou des requêtes inefficaces. Cela retarde la détection et la réponse.
  • Exemples : Règles inefficaces, requêtes lentes.
  • Impact : Ralentissement des temps de réponse, surcharge des ressources système.
• Problèmes Courants Spécifiques :
  • Fusion des sources de journaux : L’activation de la fusion pour des sources comme le DNS ou les journaux Windows peut entraîner une perte de données, rendant les règles moins efficaces.
  • Sources de journaux indisponibles (10% des défaillances) : Des interruptions réseau, des agents mal configurés ou des blocages de pare-feu empêchent les journaux d’atteindre le SIEM.
  • Retard dans l’implémentation de filtres de test (8% des défaillances) : L’absence de filtres efficaces rend les règles trop larges, surcharge le système et augmente le risque de manquer des événements clés.

Pour pallier ces lacunes, une validation continue des règles SIEM est impérative. Face à l’évolution constante des tactiques des attaquants, il est crucial de tester régulièrement les règles SIEM contre des menaces réelles. Les simulations d’attaques, telles que celles utilisées par les solutions de simulation de brèche et d’attaque (Breach and Attack Simulation), permettent d’identifier les points faibles, d’affiner les contrôles et de s’assurer que les défenses restent efficaces contre les comportements malveillants les plus récents. Sans cette validation proactive, les organisations s’exposent à des risques inutiles.

Source