VPN et SIEM : collecte, normalisation et vérification des événements

Pour SIEM, partez de l’heure UTC, utilisateur, type, résultat et session. Testez livraison, déduplication et horloge ; validez les règles sur un événement test, pas un cas inventé.

Principaux types de journaux VPN

• Authentification : connexions réussies/échouées, causes d’échec (mot de passe erroné, refus MFA, groupe interdit, appareil non conforme à la politique).
• Sessions : démarrage/arrêt, durée, adresse attribuée, bytes entrants/sortants, protocole du tunnel, mode split/full-tunnel.
• Administration : changement de configuration, mise à jour de certificats, chargement de firmware, activation/désactivation de modules, tentatives de connexion à l’administration.
• Infrastructure : état des interfaces, échec de l’accélération matérielle, erreurs IPSec (négociations, SA), défaillances TLS, redémarrage des démons.

Schéma minimal de normalisation

• event.category : authentication, session, configuration
• event.action : vpn_auth_success, vpn_auth_failure, vpn_session_start, vpn_session_stop, vpn_config_change
• user.name, user.domain, user.id
• src.ip, src.port, src.geo.country, src.asn
• dst.ip (passerelle), assigned.ip (adresse client VPN), session.id
• tunnel.protocol (openvpn, wireguard, ikev2, ssl-vpn, l2tp, sstp), mfa.result, device.os, device.id
• bytes.in, bytes.out, duration, reason, status

Pourquoi c’est crucial

• Gestion des accès : savoir qui se connecte, d’où et quand. Couplé à IdP, PAM et EDR, un contrôle contextuel efficace.
• Détection des menaces : spray de mots de passe, brute force, déplacements impossibles, sessions depuis TOR/proxy, pics de trafic, non-conformité des appareils.
• Investigation : reconstitution de la chronologie, corrélation avec mails, proxy, DNS et EDR.
• Conformité : traces pour audits, preuve de MFA, politique d’accès et mesures de réponse.

Vérifications pratiques

Commencez par un inventaire des utilisateurs, applications, sites et flux de données. Désignez les responsables des accès et de leur révocation. Un VPN fournit un canal réseau ; il ne remplace ni gestion des appareils, ni identité, ni résilience, ni examen des exigences applicables. Ne promettez pas de conformité juridique sur le seul critère d’un protocole ou d’un pays serveur.

Vérifiez les versions précises de la passerelle, du client et du fournisseur d’identité. N’autorisez que les routes et rôles nécessaires ; une authentification réussie ne doit pas ouvrir tout le réseau. Utilisez MFA prise en charge, vérification des certificats et stockage protégé des secrets. Confirmez les intégrations dans la documentation produit.

Menez un pilote limité sur des ressources de test. Vérifiez accès normal, refus, changement d’appareil, révocation, panne de nœud et reprise. Convenez des critères : délai de reprise, pertes, disponibilité des applications et journaux complets. Conservez configuration initiale et procédure de retour arrière. Définissez champs minimaux, conservation et droits de lecture des journaux ; évitez de collecter inutilement le contenu du trafic.

Documentation officielle

• Splunk Documentation