Fiche 5 - Journalisation, traçabilité et modèle AAA

Comprendre le modèle AAA (Authentication, Authorization, Accountability) et les bonnes pratiques de journalisation des accès.

Avancé — SISR 2ème année ⏱️ 20 min 📁 Cybersécurité avancée

🎯 Objectifs de la fiche

Le modèle AAA — Authentication, Authorization, Accountability
Pourquoi journaliser les accès ? — Obligation RGPD, sécurité, preuve
Que journaliser et que ne pas journaliser — Bonnes pratiques, données personnelles
Centralisation des journaux — Syslog, serveur centralisé, SIEM
Stratégie d'audit d'accès — Mise en œuvre sur un fichier ou dossier

Prérequis

Notions de base sur les comptes utilisateurs et les permissions (voir fiche Habilitations). Cette fiche est au programme du Bloc 3 (B3.4 — Journaliser les accès, principes) et complète le RGPD déjà étudié.

1. Le modèle AAA

Le modèle AAA structure la gestion de la sécurité des accès en trois fonctions distinctes mais complémentaires, répondant chacune à une question précise.

Composant	Question	Exemple
Authentication (Authentification)	Qui es-tu ?	Vérification du login/mot de passe ou MFA
Authorization (Autorisation)	Qu'as-tu le droit de faire ?	Vérification des habilitations sur la ressource demandée
Accountability (Traçabilité/Imputabilité)	Qui a fait quoi ?	Journalisation de l'action effectuée, horodatée et attribuée

ℹ️ Ces trois fonctions sont complémentaires et doivent être traitées ensemble : authentifier sans tracer ne permet pas de prouver une action en cas de litige ; tracer sans authentifier correctement rend la traçabilité peu fiable (on ne sait pas qui a réellement agi).

2. Pourquoi journaliser les accès ?

Raison	Détail
Obligation réglementaire	Le RGPD impose la journalisation des accès aux données personnelles
Détection d'incidents	Les logs permettent de repérer une activité suspecte (tentatives répétées, horaires inhabituels)
Investigation post-incident	En cas d'incident, les logs permettent de reconstituer la chronologie et d'identifier la cause
Preuve juridique	Les journaux peuvent constituer une preuve recevable en cas de contentieux
Imputabilité	Permettre d'attribuer une action précise à une personne ou un système identifié

3. Que journaliser — et que ne pas journaliser

À journaliser	Exemple
Authentifications réussies et échouées	Connexion réussie, tentative de connexion échouée
Actions sur les ressources sensibles	Lecture, modification, suppression d'un fichier sensible
Changements de configuration	Modification des droits d'accès, des règles de pare-feu
Actions d'administration	Création/suppression de comptes, élévation de privilèges

⛔ Les fichiers de logs ne doivent pas comporter de données personnelles sensibles non nécessaires, conformément au RGPD. Journaliser un identifiant technique d'action plutôt qu'un contenu personnel détaillé limite les risques en cas de fuite des journaux eux-mêmes.

Élément à inclure dans une entrée de log	Pourquoi
Horodatage précis	Permet de reconstituer une chronologie exacte
Identifiant de l'acteur	Qui (utilisateur, compte de service, adresse IP)
Action effectuée	Quoi (connexion, lecture, modification, suppression)
Résultat	Succès ou échec de l'action
Ressource concernée	Sur quoi a porté l'action

4. Centralisation des journaux

Conserver les logs uniquement sur chaque machine individuelle pose un risque : en cas de compromission, un attaquant peut effacer les traces locales de son passage. La centralisation des journaux sur un serveur dédié protège contre cette manipulation.

Solution	Rôle
Syslog	Protocole standard de transmission de journaux vers un serveur central
Serveur syslog centralisé	Reçoit et stocke les logs de multiples équipements et serveurs
SIEM (Security Information and Event Management)	Centralise, corrèle et analyse les logs de multiples sources pour détecter des incidents
Wazuh, Graylog, ELK Stack	Exemples de solutions open source de centralisation et d'analyse de logs

💡 Un serveur de centralisation des logs doit lui-même être particulièrement sécurisé et isolé, car il devient une cible privilégiée : un attaquant cherchant à effacer ses traces tentera de compromettre ce serveur en priorité.

5. Stratégie d'audit d'accès sur un dossier ou un fichier

Sur les systèmes Windows et Linux, il est possible de mettre en place un audit fin des accès à des ressources spécifiques particulièrement sensibles.

# Exemple Linux — auditer les accès à un fichier sensible avec auditd

# Installer auditd si nécessaire
sudo apt install auditd

# Ajouter une règle de surveillance sur un fichier sensible
sudo auditctl -w /etc/passwd -p wa -k surveillance_passwd

# Consulter les événements journalisés
sudo ausearch -k surveillance_passwd

☐ 3 composants du modèle AAA mémorisés (Authentication, Authorization, Accountability)
☐ 5 raisons de journaliser les accès identifiées
☐ Éléments à inclure dans une entrée de log connus (horodatage, acteur, action, résultat, ressource)
☐ Interdiction de journaliser des données personnelles non nécessaires (RGPD) comprise
☐ Intérêt de la centralisation des logs assimilé (protection contre l'effacement de traces)
☐ Notion de SIEM identifiée comme solution de corrélation des logs

🎯 Passer l'évaluation de cette fiche