Pourriel un jour, pourriel toujours

Un SIEM (Security Information and Event Management) dans sa simple définition est un collecteur d’informations et un outil de gestion d’événements de sécurité avec des fonctions d'analyse intelligente. Les efforts marketing des vendeurs de SIEM proposent de (re)prendre le contrôle du réseau pour en améliorer la sécurité avec des fonctions aussi alléchantes que la «surveillance proactive» ou bien  « la protection contre les failles Zero-Day ».Cet article tente de présenter ce qu'il est possible de faire en terme de surveillance de sécurité et les axes d'amélioration de l'utilisation de votre SIEM. Nous allons utiliser les attaques ciblées pour structurer notre analyse.

D’origine anglophone, le mot « artefact » vient du latin ars, artis (art), et du participe passé de facere (faire).Voici la définition d’artefact que nous utiliserons tout au long de cet article : altération non désirée de données résultant de l’exécution d’un processus ou d’une application. Ici on parle d’informations sur l’utilisateur, non souhaitées ou non contrôlées, d’informations partielles ou complètes dont la durée de vie n’est pas toujours maîtrisée.Nous détaillerons dans la suite les artefacts de Windows 8.1 et IE 10. Les grands changements d’architecture ont eu lieu entre Vista et les versions ultérieures : depuis Windows 7, l’OS sépare clairement applications et données utilisateur (ces dernières incluant les données applicatives de l’utilisateur). Nous allons aborder les nouvelles fonctionnalités de Windows apparues depuis Windows 8. Une majorité des éléments abordés est applicable aux OS Windows plus anciens.Nous allons voir les artefacts de type application, Microsoft, puis les navigateurs, les cookies ensuite les artefacts liés aux fichiers, aux systèmes de fichiers pour finir avec les traces laissées par l’activité d’un utilisateur.