Un journal d'audit est un enregistrement chronologique et sécurisé qui indique qui a fait quoi, où et quand dans un système. Au Royaume-Uni, une mauvaise documentation de ce journal figurait dans 15 % des cas de sanctions de la FCA, avec plus de 500 millions de livres sterling d'amendes liées à un enregistrement et une surveillance inadéquats des transactions. Cela est tout aussi important pour le WiFi et l'accès au réseau que pour la finance, car si vous ne pouvez pas reconstituer une session utilisateur, un événement d'authentification ou un changement administratif, vous ne pouvez pas prouver ce qui s'est passé.
Si vous gérez du WiFi invité, les SSO du personnel, des bureaux partagés, des logements étudiants ou un hôtel avec plusieurs réseaux locataires, vous avez probablement déjà été confronté au moment où quelqu'un pose une question simple qui se transforme en une enquête complexe. Qui a connecté cet appareil ? Pourquoi un utilisateur a-t-il été placé sur le mauvais VLAN ? La connexion échouée provenait-elle d'un véritable employé, d'un certificat obsolète ou d'un appareil tentant de réutiliser d'anciennes informations d'identification ?
C'est là que la question de savoir ce qu'est un journal d'audit cesse d'être un terme de conformité abstrait pour devenir utile sur le plan opérationnel. En pratique, c'est l'équivalent numérique des images de vidéosurveillance d'un bâtiment combinées à son journal de contrôle d'accès. Vous avez besoin d'un enregistrement qui vous permet de retracer les mouvements, de valider l'identité et de prouver si une action était légitime, accidentelle ou malveillante.
Qu'est-ce qu'un journal d'audit ?
Une définition utile est la suivante. Un journal d'audit est un enregistrement d'événements infalsifiable et ordonné dans le temps qui permet de reconstituer une activité du début à la fin. En sécurité informatique, cela signifie généralement une séquence d'entrées liées à un utilisateur, un appareil, un système ou une transaction. Dans le cadre d'un WiFi basé sur l'identité, cela signifie que vous pouvez suivre une connexion depuis l'authentification initiale jusqu'à la déconnexion finale, en passant par l'attribution des politiques, l'activité de la session et les changements d'état d'accès.
Pensez à un incident de routine. Un directeur de site indique qu'un invité a été placé par erreur sur un réseau restreint. Un analyste en sécurité constate des échecs d'authentification répétés de la part de l'appareil d'un membre du personnel. Un auditeur demande la preuve que seuls les utilisateurs autorisés ont accédé à un certain service. Si vous ne disposez que de quelques journaux génériques avec des horodatages incohérents, vous en êtes réduit aux conjectures. Si vous disposez d'un véritable journal d'audit, vous pouvez répondre avec des preuves.
Un journal système enregistre des événements. Un journal d'audit vous permet de raconter l'histoire de ces événements dans une séquence défendable.
Pour les équipes réseau, l'important n'est pas la définition du dictionnaire. C'est l'exigence pratique que l'enregistrement doive répondre clairement à quelques questions fondamentales :
Qui a agi
Une identité réelle, un compte de service ou l'identité d'un appareilCe qui s'est passé
Connexion, échec d'authentification, changement de rôle, déploiement de politique, émission de certificat, déconnexion, modification administrativeOù cela s'est passé
Le système, l'SSID, le contrôleur, l'application, le locataire ou la ressource concernéeQuand cela s'est produit
Un horodatage fiable qui s'aligne avec le reste de votre environnementSi cela a réussi
Succès, échec, expiration, rejet ou complétion partielle
Dans les environnements WiFi modernes, cela est crucial car le contrôle d'accès ne se limite plus à "l'utilisateur a-t-il saisi le bon mot de passe ?" Il s'agit d'identité, de posture, de fédération, d'itinérance, de segmentation, de limites de locataires et de décisions de politique appliquées à grande vitesse. Sans piste d'audit, les affirmations de Zero Trust sont difficiles à défendre.
Pourquoi les pistes d'audit sont essentielles pour l'entreprise
Ignorer les pistes d'audit est un risque commercial, pas seulement une lacune technique. Au Royaume-Uni, les pistes d'audit sont un pilier de la gouvernance financière depuis le Companies Act de 1985, et la FCA a souligné dans son rapport 2022/23 que les défaillances dans la documentation des pistes d'audit ont contribué à 15 % des dossiers d'infraction, entraînant plus de 500 millions de livres sterling d'amendes pour journalisation et surveillance inadéquates des transactions. L'ICO a également signalé que 68 % des amendes provenaient de pistes d'audit insuffisantes dans les contrôles d'accès après le GDPR, comme le résume cet aperçu des pistes d'audit .
Voilà pour l'aspect réglementaire. Sur le plan opérationnel, une faible auditabilité cause des dommages plus discrets. Les équipes de sécurité passent plus de temps à enquêter. Les ingénieurs réseau ne parviennent pas à isoler la source d'un changement défectueux. Les exploitants de sites peinent à prouver si la plainte d'un utilisateur est fondée. Les équipes financières et de conformité finissent par dépendre de captures d'écran, d'exports et des souvenirs de chacun.
Défense de la sécurité
Dans un réseau basé sur l'identité, les pistes d'audit sont l'un des premiers endroits où chercher les signes avant-coureurs d'abus. Des échecs d'authentification répétés, des changements soudains de rôle d'accès, un comportement d'itinérance inhabituel entre les sites ou un administrateur modifiant une politique en dehors des fenêtres de changement habituelles sont autant d'éléments qui ressortent lorsque les enregistrements sont bien structurés.
Un mot de passe partagé ne vous apprend presque rien après coup. Une piste d'événements liée à un utilisateur vous en apprend beaucoup plus.
- Les réseaux invités en bénéficient car vous pouvez distinguer un véritable visiteur régulier d'un schéma de connexion répétée suspect.
- L'accès du personnel est plus facile à surveiller car les événements SSO peuvent être rattachés à une identité nominative.
- Les réseaux multi-locataires deviennent plus sûrs car vous pouvez valider si les règles d'isolation ont été appliquées comme prévu.
Analyse informatique légale
Lors d'un incident, le pire scénario n'est pas « nous avons détecté une activité suspecte ». Le pire scénario est « nous ne pouvons pas prouver ce qui s'est passé ». Les pistes d'audit constituent votre couche de reconstruction. Elles vous aident à établir une chronologie, à corréler les modifications et à distinguer la cause racine du bruit de fond.
Règle pratique : Si votre plateforme réseau ne peut pas afficher les événements d'identité, les décisions de politique et les modifications d'administration dans une seule chronologie, votre processus d'investigation sera plus lent qu'il ne devrait l'être.
L'enjeu dépasse le cadre des incidents de sécurité. Les équipes de lutte contre la fraude, l'audit interne et le personnel de conformité s'appuient tous sur des enregistrements traçables. Si votre organisation a besoin d'un soutien spécialisé concernant les contrôles financiers et les enquêtes, une ressource externe pratique consiste à détecter la fraude avec Lighthouse Consultants , en particulier lorsque la journalisation et la gouvernance se recoupent.
Conformité réglementaire
De nombreuses équipes considèrent les pistes d'audit comme des preuves à rassembler uniquement lorsqu'un auditeur le demande. C'est une erreur de méthode. Les bonnes pistes d'audit sont construites en continu afin que les preuves existent déjà lorsque la question se pose.
Pour les plateformes WiFi et d'accès, la conformité dépend souvent de votre capacité à démontrer qui s'est authentifié, quelles données ont été traitées, quel administrateur a effectué une modification et à quel moment. Si ces enregistrements sont incomplets ou modifiables, la posture de conformité s'affaiblit rapidement.
Dépannage opérationnel
Tous les cas d'usage des pistes d'audit ne sont pas critiques. Beaucoup relèvent de la résolution de problèmes d'ingénierie quotidiens.
Un utilisateur signale qu'il a été déconnecté du SSID sécurisé. Un client indique que ses appareils ont été associés au mauvais profil. Un site signale que l'onboarding fonctionnait hier et échoue aujourd'hui. La piste d'audit fournit souvent la réponse rapidement : identité expirée, mappage de politique rejeté, échec de synchronisation de l'annuaire, incompatibilité de certificat ou modification de configuration ayant altéré la logique d'accès.
C'est pourquoi les équipes matures ne considèrent pas les pistes d'audit comme des archives mortes. Elles les traitent comme des données opérationnelles actives.
Les composants essentiels d'une piste d'audit efficace
Une piste d'audit ne vaut que par la structure de chaque événement. Si les entrées sont vagues, modifiables ou incohérentes, la piste ne tiendra pas la route lors d'une enquête. Une bonne auditabilité fonctionne comme une recette. Omettez un ingrédient essentiel et le résultat devient inexploitable.
Conformément au Data Protection Act 2018 du Royaume-Uni, les journaux d'audit doivent être infalsifiables. Les directives techniques du NIST SP 800-53 Rev. 5, adoptées par le NCSC britannique, recommandent une journalisation immuable via un stockage WORM ou un hachage cryptographique tel que SHA-256. Le résumé de la même source rappelle que les sanctions de l'ICO britannique incluaient la pénalité de 18 millions de livres sterling infligée à British Airways, où l'absence de journaux d'audit a retardé la réponse à l'incident de 72 heures. La référence sous-jacente est l' entrée du glossaire du NIST pour l'audit trail .
L'événement lui-même
Commençons par une évidence souvent négligée : chaque entrée doit décrire un événement significatif.
Cela signifie qu'il ne faut pas seulement mentionner "l'authentification a eu lieu", mais préciser le type d'authentification, la source d'identité utilisée, le contexte réseau et le résultat. Il en va de même pour les actions administratives. La mention "Paramètres modifiés" est presque inutile. La mention "Politique de SSID modifiée d'accès personnel à accès invité par le compte administrateur nommé" est exploitable.
Un enregistrement d'événement de qualité doit capturer :
- L'identité de l'utilisateur, telle qu'un utilisateur nommé, un compte de service ou le sujet d'un certificat d'appareil
- L'action effectuée, telle que la connexion, la déconnexion, l'enrôlement, l'attribution de rôle, la mise à jour de politique ou la révocation
- La ressource concernée, telle que le SSID, le tenant, le groupe d'utilisateurs, le profil d'accès ou l'objet du contrôleur
- Le résultat, y compris la réussite, le refus, le motif de l'échec ou le dépassement de délai (timeout)
- Le contexte source, tel que le type d'appareil, la source d'authentification ou le système d'origine
Heure et séquence
Les horodatages semblent simples jusqu'à ce que vous deviez corréler des données entre les contrôleurs WiFi, les fournisseurs d'identité, les pare-feu et les outils SIEM. Si vos sources temporelles ne sont pas alignées, les enquêtes deviennent complexes.
La précision à la milliseconde près peut s'avérer cruciale lorsque plusieurs actions se produisent presque simultanément. Un échec de SSO, une nouvelle tentative, une vérification de politique et l'acceptation d'une session peuvent tous survenir en l'espace de quelques instants. Sans un séquençage précis, les analystes ne peuvent pas déterminer quel événement a provoqué le suivant.
Si les journaux ne peuvent pas être séquencés de manière fiable, les analystes commencent à déduire des causes à partir de preuves incomplètes. C'est ainsi que naissent les rapports d'incidents erronés.
Intégrité et immuabilité
Un journal qui peut être modifié sans préavis n'est pas un journal d'audit. C'est un simple bloc-notes.
L'infalsifiabilité est ce qui donne de la crédibilité à l'enregistrement. En pratique, les équipes mettent généralement cela en œuvre via un stockage en écriture unique (append-only), des chemins d'exportation contrôlés, du hachage cryptographique, une séparation stricte des rôles et des contrôles de rétention centralisés. L'objectif est simple : si quelqu'un modifie un enregistrement, vous devez pouvoir le détecter.
Cela est particulièrement important pour les actions administratives. Les personnes disposant des privilèges les plus élevés représentent le risque le plus important si leurs modifications ne sont pas enregistrées de manière indépendante.
Contexte avant et après
Pour le contrôle d'accès au réseau, l'un des champs les plus précieux est le contexte de modification. Quel était l'ancien état et quel est le nouveau ?
Cela est important pour :
- Les changements de rôle, d'invité à membre du personnel
- Les modifications de mappage des locataires pour les propriétés partagées
- Les mises à jour de politiques qui modifient le comportement des VLAN, des listes de contrôle d'accès (ACL) ou des sessions
- Les événements du cycle de vie des certificats tels que l'émission, le renouvellement et la révocation
Si vous concevez un modèle zero trust, votre piste d'audit doit offrir le même niveau de responsabilité. Cet article sur le zero trust network access constitue une excellente référence pour cette approche opérationnelle.
Exemples de pistes d'audit pour le WiFi et l'accès réseau
Le moyen le plus rapide de comprendre l'utilité pratique des pistes d'audit est d'analyser des séquences d'événements réelles. Pour le WiFi et l'accès réseau, l'intérêt ne réside pas dans une seule ligne de journal, mais dans la chaîne d'enregistrements qui explique l'ensemble d'une session.
Premier exemple, le WiFi invité dans un hôtel
Un client arrive, se connecte au SSID de l'établissement, s'authentifie via un parcours sans mot de passe et accède à Internet. Plus tard, la réception signale que le client se plaint de déconnexions réseau répétées.
Une piste d'audit utile pour cette session pourrait ressembler à ceci :
| Heure de l'événement | Identité | Action | Ressource | Résultat |
|---|---|---|---|---|
| 08:14:22 | enregistrement utilisateur invité | demande d'association | SSID invité | acceptée |
| 08:14:24 | enregistrement utilisateur invité | défi d'authentification réussi | service d'accès invité | succès |
| 08:14:25 | enregistrement utilisateur invité | politique d'accès attribuée | rôle réseau invité | succès |
| 08:14:26 | session de l'appareil | session démarrée | service WiFi de l'établissement | succès |
| 08:37:10 | session de l'appareil | tentative de réauthentification | service d'accès invité | expiration du délai |
| 08:37:14 | session de l'appareil | session reprise | rôle réseau invité | succès |
| 09:02:41 | session de l'appareil | déconnexion | SSID invité | initiée par le client |
Cette séquence permet à un ingénieur de répondre rapidement à plusieurs questions. Le client s'est-il authentifié ? Oui. L'accès a-t-il été accordé ? Oui. La déconnexion est-elle due à un changement de politique ? Non. Y a-t-il eu une expiration de délai lors de la réauthentification ? Oui. Cela permet de cibler immédiatement le dépannage.
Deuxième exemple, l'accès du personnel dans un bâtiment multi-locataires
Prenons maintenant un autre scénario. Un membre du personnel d'un immeuble commercial partagé se connecte via l'authentification unique (SSO) de l'entreprise. Plus tard, l'équipe de sécurité veut comprendre pourquoi l'utilisateur a brièvement perdu l'accès à une application interne.
Le journal d'audit pourrait ressembler à ceci :
user=j.smith
action=authentication_request
identity_source=corporate_directory
resource=staff_secure_ssid
outcome=success
user=j.smith
action=certificate_validated
identity_source=enterprise_ca
resource=network_access_policy
outcome=success
user=j.smith
action=role_assignment
resource=tenant_staff_profile
outcome=success
admin=directory_sync_service
action=group_membership_update
resource=tenant_staff_profile
outcome=success
user=j.smith
action=reauthorisation
resource=application_access_segment
outcome=denied
Cela raconte une histoire bien différente. La connexion WiFi elle-même était peut-être correcte. Le problème provient probablement d'une appartenance à un groupe ou d'un état d'autorisation qui a changé après l'accès initial. Sans ce journal d'audit, l'équipe réseau pourrait accuser à tort la couche sans fil.
Ce que révèlent les bons exemples
L'intérêt de ces exemples ne réside pas dans le formatage. Différents systèmes émettent des journaux syslog, JSON, CEF, des événements API ou des enregistrements propriétaires. Ce qui importe, c'est que le journal d'audit soit assez cohérent pour guider des décisions réelles.
Recherchez trois qualités essentielles :
- La continuité des sessions pour qu'un parcours utilisateur puisse être suivi de bout en bout
- La clarté de l'identité pour que les utilisateurs nominatifs, les invités, les appareils et les services ne soient pas confondus
- La traçabilité administrative pour que les modifications apportées par les ingénieurs, le personnel du centre d'assistance et l'automatisation soient visibles
Dans les environnements WiFi d'entreprise, les journaux d'audit de mauvaise qualité échouent généralement lors des transitions. L'authentification est enregistrée à un endroit, les décisions de politique à un autre, et les modifications administratives ailleurs. Des journaux d'audit de qualité relient ces différents éléments.
Gérer les données des journaux d'audit de manière sécurisée
La collecte des données d'audit est la partie la plus simple. Les maintenir utiles, sécurisées et consultables est la tâche sur laquelle les équipes butent généralement. Le défi consiste à équilibrer la qualité des preuves face aux coûts de stockage, aux exigences de confidentialité et à la charge opérationnelle.
La première décision concerne la rétention. Conservez les données trop peu de temps et vous perdrez des preuves avant qu'un problème ne survienne. Conservez tout indéfiniment sans structure et vous créerez une archive volumineuse que personne ne pourra explorer rapidement. La réponse doit découler de vos obligations réglementaires, de vos besoins en matière de réponse aux incidents et de la valeur commerciale des historiques de connexion.
Stockage et contrôle d'accès
Les journaux d'audit eux-mêmes sont des données sensibles. Ils révèlent souvent des noms d'utilisateurs, des profils d'accès, des actions d'administration et la structure du système. Traitez-les comme des données opérationnelles protégées, et non comme de simples résidus techniques.
Une approche solide comprend généralement :
- Un accès restreint afin que seuls les administrateurs autorisés, les analystes de sécurité et les auditeurs puissent consulter ou exporter les journaux.
- La séparation des tâches pour que la personne qui effectue une modification ne soit pas la seule à pouvoir inspecter ou purger son enregistrement.
- Des règles de rétention centralisées pour que les appareils locaux ne deviennent pas l'unique source de preuves.
- Des exports contrôlés afin que les enquêtes ne propagent pas des copies de données de journalisation sensibles sans gouvernance.
Pour les environnements où les données d'accès et d'occupation se superposent, les équipes immobilières ont souvent besoin de contrôles opérationnels adjacents. Un exemple pertinent est la gestion des accès aux propriétés avec Nimbio , en particulier là où les parcours des visiteurs et les processus d'accès aux bâtiments se croisent.
Comparatif des formats courants de journaux d'audit
| Format | Structure | Idéal pour | Avantage clé |
|---|---|---|---|
| Syslog | Texte brut, orienté événements | Appareils réseau, contrôleurs, pare-feu | Large compatibilité avec les outils d'infrastructure |
| JSON | Format clé-valeur structuré | Plateformes modernes, API, journalisation cloud | Analyse facile et contexte enrichi |
| CEF | Format d'événement normalisé | Intégration SIEM et corrélation multi-fournisseurs | Gestion cohérente des événements de sécurité |
La facilité de recherche importe plus que le volume
Lors d'un incident réel, personne n'est impressionné par la quantité de journaux conservés si l'équipe ne peut pas les interroger rapidement. L'indexation, la normalisation et le nommage logique des champs comptent plus que le stockage d'événements bruts dans un espace de stockage économique.
Conseil opérationnel : Conservez ce que vous pouvez rechercher. Archivez ce que vous pouvez restaurer. Ne confondez pas ces deux états.
La centralisation des données d'audit offre le principal avantage pour les organisations. Elle simplifie le contrôle d'accès, accélère la corrélation et réduit le risque de perdre des enregistrements lorsque les systèmes locaux se réinitialisent ou sont reconstruits. Si vous examinez les contrôles plus larges de la plateforme concernant la gestion des données opérationnelles et des utilisateurs, cet aperçu des pratiques en matière de données et de sécurité est une référence utile.
Mise en œuvre des pistes d'audit dans votre entreprise
Les programmes de pistes d'audit les plus efficaces sont conçus dès le départ dans l'architecture d'accès, et non ajoutés après coup. Si votre réseau, votre plateforme d'identité et vos outils de sécurité produisent tous des journaux de manière indépendante, sans structure commune, vous obtiendrez des fragments de vérité au lieu d'une chaîne de preuves fiable.
Commencez par la centralisation. Envoyez les événements d'accès au réseau, les actions d'administration, les événements d'identité et les modifications au niveau de la plateforme vers une couche d'analyse unique, généralement un SIEM ou une plateforme de gestion des logs. Splunk, Microsoft Sentinel, Elastic, IBM QRadar et des outils similaires sont couramment utilisés à cette fin car ils permettent une corrélation entre les données sans fil, d'annuaire, de point de terminaison et d'application.
Choisissez un modèle de journalisation adapté aux opérations
Un modèle décentralisé peut fonctionner dans de petits environnements, mais il s'effondre dès que plusieurs équipes interviennent sur le même flux d'accès. Dans le WiFi d'entreprise, une session utilisateur peut impliquer un contrôleur sans fil, un fournisseur d'identité, un service de certificat, un moteur de politique et un tableau de bord cloud. Si chacun conserve son propre historique avec des durées de rétention et des contrôles d'accès différents, les enquêtes sont immédiatement ralenties.
Un modèle centralisé fonctionne généralement mieux car il vous offre :
- Un point de recherche unique pour l'activité des sessions et des administrateurs
- Une rétention cohérente sur l'ensemble des systèmes
- Des alertes plus simples pour les modèles d'accès suspects
- Une gestion plus claire des preuves lors des audits et des réponses aux incidents
Cela ne signifie pas que chaque événement brut doit vivre au même endroit pour toujours. Cela signifie que vos enregistrements d'audit importants doivent être collectés et préservés de manière à maintenir intacte leur chaîne de contrôle.
Connectez les pistes d'audit à la politique d'accès
De nombreuses implémentations échouent dans ce domaine. Les équipes enregistrent les événements d'authentification, mais elles n'enregistrent pas les décisions de politique qui y sont associées. Cela laisse un fossé entre "l'utilisateur s'est connecté" et "l'utilisateur a été autorisé à faire cela".
Une conception mature enregistre les deux. Elle doit afficher l'identité, la décision d'accès, l'attribution des rôles et les modifications administratives qui ont influencé ces résultats. Si vous examinez comment l'application des règles d'accès s'intègre dans une posture d'entreprise plus large, ce guide sur les network access control solutions constitue un excellent point de départ.
On constate également un intérêt croissant pour des modèles d'intégrité plus robustes pour les enregistrements d'audit, en particulier lorsque plusieurs organisations partagent des limites de confiance. Dans ces cas, les équipes explorent parfois des approches de vérification distribuée et sans possibilité de modification, telles que les blockchain solutions for enterprises , non pas pour remplacer la journalisation, mais comme couche d'intégrité supplémentaire pour certains enregistrements sélectionnés.
Des meilleures pratiques adaptées à la production
Les équipes qui réussissent dans ce domaine font généralement preuve d'une discipline rigoureuse sur des aspects simples. Elles standardisent les champs, synchronisent l'heure, protègent agressivement les logs d'administration et testent la récupération avant qu'un incident ne les y contraigne.
Une liste de contrôle pratique :
- Enregistrez les événements riches en identité y compris la source d'authentification, le résultat de la politique et les actions d'administration
- Synchronisez l'heure sur l'ensemble des systèmes WiFi, d'identité et de sécurité
- Protégez les journaux avec des contrôles d'ajout uniquement et des privilèges restreints
- Normalisez les champs clés pour que les recherches fonctionnent d'un fournisseur à l'autre
- Testez régulièrement les enquêtes en reconstituant un parcours utilisateur type
- Documentez la responsabilité afin que quelqu'un soit responsable de la rétention, de la révision et des contrôles d'exportation
Exemples de modèles de politique
Une déclaration de rétention peut être simple :
Les registres d'audit liés à la sécurité pour l'accès au réseau, les événements d'identité et les actions administratives doivent être conservés de manière centralisée conformément aux exigences légales, réglementaires et opérationnelles applicables. Les registres doivent rester consultables pendant la période de rétention active et protégés contre toute modification ou suppression non autorisée.
Une déclaration de contrôle d'accès doit être tout aussi claire :
L'accès aux données des pistes d'audit est limité au personnel autorisé ayant un besoin opérationnel, de sécurité, de conformité ou d'enquête défini. Les administrateurs privilégiés ne peuvent pas modifier ou supprimer les registres d'audit en dehors des processus de rétention approuvés.
Ce ne sont pas des politiques glamour. Elles sont efficaces parce qu'elles sont applicables.
Questions fréquemment posées sur les pistes d'audit
Quelle est la différence entre une piste d'audit et un journal système
Un journal système est généralement un enregistrement brut d'événements générés par un appareil, une application ou un service. Une piste d'audit est la séquence reconstituable de ces événements liée à une action de l'utilisateur, à une modification de l'administrateur ou à un processus métier.
Pour le dire autrement, les journaux sont les ingrédients. La piste d'audit est la chaîne de preuves que vous pouvez exploiter.
Combien de temps devons-nous conserver les données des pistes d'audit
Il n'existe pas de période universelle qui convienne à toutes les organisations. La rétention doit suivre l'exigence légale, réglementaire, contractuelle et d'enquête la plus stricte applicable à votre environnement.
D'un point de vue pratique, restez simple. Définissez la rétention par catégorie de système, documentez-en la raison et assurez-vous que les données restent consultables pendant la période de rétention annoncée.
Les pistes d'audit peuvent-elles être modifiées
Elles peuvent être ciblées, c'est précisément pourquoi la preuve d'inviolabilité est essentielle. Une piste d'audit fiable utilise des contrôles qui rendent détectable toute modification non autorisée, tels qu'une gestion en ajout uniquement, des contrôles d'intégrité cryptographiques, des autorisations strictes et une rétention centralisée.
Si une plateforme permet de modifier ou de supprimer silencieusement des enregistrements d'accès clés, elle produit toujours des journaux, mais elle ne vous fournit pas de preuves fiables.
Que doit prioriser une équipe réseau en premier
Commencez par les événements d'identité, les modifications administratives et les décisions d'accès. Ces trois catégories résolvent la plupart des questions délicates dans les environnements WiFi d'entreprise.
Si vous vous contentez d'enregistrer les tentatives de connexion, vous saurez simplement qu'un appareil s'est manifesté. Vous ne saurez pas à qui il appartenait, quelle politique lui a été appliquée, ni si une modification administrative est à l'origine du résultat.
Si vous remplacez des mots de passe WiFi partagés, modernisez l'accès invité ou cherchez à simplifier l'audit de la connectivité du personnel et des locataires, Purple mérite toute votre attention. Son approche basée sur l'identité aide les organisations à passer de simples journaux de connexion à des enregistrements plus clairs et plus fiables de l'authentification des invités, de l'accès du personnel et de l'activité réseau multi-locataires.
