Les journaux, fondation du SOC : quoi collecter, combien de temps conserver, comment centraliser et protéger

À jour au 7 novembre 2026. Les exigences citées proviennent des textes européens et des recommandations de l’ANSSI et de la CNIL. La transposition française de NIS2 pourra les préciser.

Le jour d’un incident, les mêmes questions reviennent : depuis quand l’attaquant est-il là ? Par où est-il entré ? Quelles données a-t-il consultées ? Sans journaux complets, horodatés et intacts, il est impossible d’y répondre. Et donc impossible de remédier correctement, de notifier les autorités dans les délais ou d’apporter des preuves à l’assureur.

Les journaux sont aussi le carburant du SOC : les règles de corrélation du SIEM, la chasse aux menaces et, de plus en plus, l’IA qui assiste les analystes ne valent que par la qualité des données qu’ils exploitent.

Quoi collecter

Mieux vaut partir des risques et des scénarios de détection prioritaires que de chercher à tout collecter : chaque source a un coût de stockage, de licence et d’analyse. Les sources incontournables restent toutefois les mêmes :

les identités et les accès : annuaire (Active Directory, Entra ID), authentification unique, VPN, authentification multifacteur, comptes à privilèges ;
les postes et les serveurs : télémétrie des solutions EDR et XDR, journaux d’événements Windows, journaux système Linux ;
le réseau et le périmètre : pare-feu, proxy, DNS, DHCP ;
la messagerie et les outils collaboratifs ;
le cloud et les services SaaS : journaux d’audit des consoles d’administration, souvent limités ou désactivés par défaut ;
les applications métier et les bases de données sensibles ;
les outils de sécurité eux-mêmes, et l’infrastructure de journalisation ;
les systèmes et agents d’IA : requêtes, réponses, appels d’outils et données consultées (voir notre analyse Sécuriser les agents IA en entreprise).

La correspondance avec les techniques d’attaque de MITRE ATT&CK aide à repérer les angles morts : quelles techniques ne sont visibles dans aucune source collectée ?

Combien de temps conserver

Il n’existe pas de durée unique : elle dépend de la finalité, des textes applicables et de la sensibilité des données. Quelques repères :

la CNIL recommande de conserver les journaux de traçabilité des accès aux données personnelles entre six mois et un an, une durée plus longue pouvant se justifier dans certains cas, par exemple une obligation légale ou un contentieux ;
l’AI Act impose aux fournisseurs et aux déployeurs de systèmes d’IA à haut risque de conserver les journaux générés automatiquement au moins six mois ;
certaines réglementations sectorielles peuvent imposer des durées plus longues.

Côté sécurité, il faut garder à l’esprit que certaines intrusions ne sont découvertes qu’après plusieurs mois. La pratique courante consiste à distinguer :

un stockage « chaud », interrogeable rapidement dans le SIEM, sur quelques semaines ou quelques mois ;
un archivage « froid », compressé et protégé en intégrité, sur la durée définie par la politique de conservation.

Cette politique doit être écrite, justifiée par type de journal et validée avec le DPO, car les journaux contiennent des données personnelles.

Comment centraliser

Une architecture en couches

L’ANSSI détaille dans son guide consacré à l’architecture d’un système de journalisation les principes d’une collecte maîtrisée : centraliser les journaux, cloisonner l’infrastructure de journalisation et homogénéiser l’horodatage. Sans horloge commune à tous les équipements, il est impossible de reconstituer une chronologie fiable.

En pratique, on distingue trois niveaux :

la collecte, au plus près des sources ;
le transport et le traitement : filtrage, normalisation, enrichissement, mise en mémoire tampon en cas de coupure ;
l’exploitation : le SIEM pour la détection et l’investigation, et un stockage d’archives pour la conservation longue.

Le rôle de syslog-ng

Une couche de collecte comme syslog-ng, édité par One Identity, fait le lien entre les sources et leurs destinations. Elle permet de collecter des formats hétérogènes, de filtrer et normaliser les événements avant leur envoi au SIEM pour en maîtriser les volumes, de chiffrer le transport, de conserver les journaux en cas d’indisponibilité de la destination, et d’envoyer un même flux à plusieurs destinations, par exemple le SIEM et un stockage d’archives chiffré et horodaté.

Le SIEM, cœur de l’exploitation

Le SIEM centralise les événements, les corrèle pour détecter les comportements suspects et sert de base à l’investigation. Sa valeur dépend directement de ce qu’il reçoit :

des sources complètes et correctement analysées, pour que chaque champ soit exploitable dans les règles et les recherches ;
des règles de détection maintenues et testées, alignées sur les menaces réelles ;
une volumétrie maîtrisée, car le coût d’un SIEM dépend souvent du volume de données ingérées.

Avec une couche de collecte en amont, les sources ne sont configurées qu’une seule fois, et chaque flux peut être dirigé vers le SIEM, vers l’archivage ou vers les deux, selon sa valeur pour la détection.

Comment protéger les journaux

Un attaquant aguerri cherche à effacer ses traces. Les journaux doivent donc être protégés comme des données sensibles :

les exporter rapidement hors des systèmes surveillés, pour qu’une compromission de la machine ne suffise pas à les effacer ;
restreindre les accès à l’infrastructure de journalisation, avec des comptes d’administration dédiés ;
garantir l’intégrité : empreintes, signatures ou stockage non modifiable ;
chiffrer les journaux en transit et au repos ;
détecter le silence : une source qui cesse d’émettre doit déclencher une alerte, car c’est parfois le premier signe d’une attaque.

Ce que disent les textes

Texte	Exigences sur les journaux
NIS2 (règlement d’exécution 2024/2690, annexe, section 3.2)	Processus de surveillance et de journalisation couvrant un socle d’événements, pour certains fournisseurs numériques (cloud, centres de données, services gérés et services de sécurité gérés, DNS…). Une référence utile pour toutes les entités.
DORA (règlement délégué 2024/1774, article 12)	Procédures et outils de journalisation documentés, protection des journaux contre l’altération, la suppression et les accès non autorisés, détection des défaillances des systèmes de journalisation.
AI Act (articles 12, 19 et 26)	Journalisation automatique des événements des systèmes d’IA à haut risque, conservation des journaux pendant au moins six mois.
RGPD (recommandation de la CNIL de 2021)	Traçabilité des accès aux données personnelles, conservation de six mois à un an sauf justification.

L’ENISA a publié en juin 2025 un guide technique de mise en œuvre de ces mesures NIS2, qui détaille notamment les attendus en matière de surveillance et de journalisation.

Par où commencer

Inventorier les sources et vérifier ce qui remonte réellement au SIEM, et ce qui manque.
Partir des scénarios de détection prioritaires pour décider quoi collecter, en s’appuyant sur MITRE ATT&CK.
Synchroniser l’heure de tous les équipements sur une même référence.
Mettre en place une couche de collecte découplée du SIEM, avec filtrage, chiffrement et mise en mémoire tampon.
Écrire la politique de conservation par type de journal, entre stockage chaud et archivage, et la faire valider par le DPO.
Protéger et surveiller l’infrastructure de journalisation, y compris le silence des sources.
Tester sur un scénario réel : peut-on reconstituer la chronologie complète d’un incident, en quelques heures ?

Ces journaux sont aussi la matière première des notifications d’incident (voir Un incident, plusieurs horloges) et de l’IA appliquée au SOC (voir Le SOC augmenté par l’IA).

Sources

← Toutes les analyses