Sophos Next-Gen SIEM : quand XDR ou MDR ne suffit plus

Un accès suspect n’est découvert que plusieurs mois plus tard. L’IT doit maintenant déterminer quels comptes étaient impliqués, quels systèmes ont été atteints et si les événements sont liés. Un tableau de bord clair n’aide guère si les données pertinentes ont déjà été supprimées ou ne sont jamais arrivées.

Sophos Next-Gen SIEM complète XDR et MDR par une ingestion de données supplémentaire, des analyses et une conservation prolongée. Cela peut combler une véritable lacune. Mais cela peut aussi devenir une licence de plus pour des données dont personne n’a défini l’utilité au préalable.

Qu’est-ce qu’un SIEM, et qu’apporte cette offre ?

SIEM signifie Security Information and Event Management. Un SIEM rassemble les journaux d’événements, ou logs, de différents systèmes informatiques dans un emplacement central. Il peut s’agir, par exemple, de connexions à Microsoft Entra ID, de connexions sur le pare-feu, d’alertes de la protection Endpoint ou de modifications apportées à des serveurs ou applications. Un log consigne ce qui s’est passé, quand et sur quel système, ainsi que le compte ou l’appareil concerné.

Collecter les données et les rendre compréhensibles

Chaque produit journalise différemment. Un pare-feu décrit une connexion par son adresse source, sa destination et l’action ; un service d’identité enregistre, par exemple, l’utilisateur, l’heure de connexion et le résultat. Le SIEM ingère les données fournies et associe les champs pertinents à un schéma commun. Cette normalisation permet de rechercher ensemble des événements provenant de différentes sources. Elle ne fonctionne que si les informations nécessaires figurent dans le log d’origine.

Repérer les liens et investiguer

La véritable utilité apparaît lorsque l’on peut relier des événements individuels. Par exemple, plusieurs échecs de connexion sont suivis d’une connexion réussie au même compte. Peu après, ce compte reçoit des droits supplémentaires et accède à un serveur. Chaque événement pris isolément peut s’expliquer ; leur enchaînement mérite une investigation.

Les règles de détection et les corrélations peuvent mettre en évidence de telles combinaisons et déclencher des alertes. Les analystes vérifient ensuite s’il s’agit d’une attaque, d’un comportement fautif ou d’une opération légitime. Pour cela, ils interrogent les données, filtrent par compte ou appareil et reconstituent la chronologie. Les faux positifs doivent être évalués et les règles adaptées à l’environnement. Un SIEM ne comprend pas automatiquement chaque opération métier.

Conserver, analyser et réagir

Les logs conservés sont également utiles lorsqu’un soupçon apparaît plus tard. Les rapports montrent, par exemple, des schémas de connexion, des changements de droits ou des lacunes dans les sources connectées. La profondeur historique d’une investigation dépend des données réellement collectées et de leur conservation.

Une alerte ne suffit pas à arrêter une attaque. Bloquer un compte ou isoler un appareil exige une intégration de réponse adaptée, des autorisations et une procédure définie. Des réponses automatisées sont possibles si la solution utilisée et les systèmes connectés les prennent en charge et si elles ont été configurées. Sinon, la personne responsable doit intervenir.

Où intervient Sophos Next-Gen SIEM ?

Sophos intègre ces fonctions à Sophos Fusion, anciennement Sophos Central. Les sources, analyses et réponses disponibles dépendent des produits souscrits et des intégrations configurées.

XDR associe des données de sécurité pour la détection et l’investigation. MDR ajoute un service opéré avec des analystes et des prestations de réponse convenues. Next-Gen SIEM élargit les données disponibles et leur exploitation sur de plus longues périodes. Posséder XDR ne donne pas encore accès à un service d’analystes disponible en permanence ; avec MDR, une licence SIEM n’ajoute pas automatiquement toutes les analyses imaginables aux prestations du service.

La présentation technique de notre KB aide à planifier le projet. Avant l’achat, il faut définir une question concrète à laquelle le périmètre XDR/MDR existant ne permet pas de répondre de manière fiable.

Quand une conservation supplémentaire est-elle utile ?

Les incidents d’identité anciens en sont un exemple. Il peut falloir des événements de connexion, des changements d’autorisations et les événements correspondants du pare-feu. Les trois sources doivent être connectées, fournir les champs nécessaires et conserver les données sur la période pertinente. Une année supplémentaire de télémétrie Endpoint ne remplace pas des événements de connexion manquants.

Un deuxième usage consiste à fournir des justificatifs aux auditeurs internes ou aux clients. Des analyses prédéfinies peuvent aider à présenter clairement les événements et la couverture. Mais un tableau de bord de conformité ne délivre aucune certification et ne satisfait automatiquement aucune réglementation. L’organisation doit définir les données nécessaires et leur durée de conservation, puis les confronter à ses exigences.

Je commencerais donc par deux ou trois questions d’investigation réelles. Peut-on, par exemple, retracer les anciens accès d’un prestataire parti ? Peut-on montrer les modifications de comptes privilégiés sur la période nécessaire ? C’est seulement ensuite que se définissent les sources, les champs, la conservation et les coûts.

Que signifie « jusqu’à dix ans » ?

L’aide technique d’administration du 1er octobre 2026 indique 13 mois de conservation standard et des extensions à trois, cinq, sept ou dix ans. La page produit Sophos actuelle indique en revanche un an. Au 28 octobre, cette différence n’est pas expliquée de façon univoque. Pour la présentation technique, nous retenons les 13 mois de l’aide d’administration propre au produit ; la durée contraignante pour le tenant concerné et les données nécessaires doit néanmoins être confirmée dans l’offre.

« Jusqu’à dix ans » ne désigne pas un socle systématiquement inclus. Notre KB sur la planification de la rétention distingue les indications du fabricant, la conservation commandée et sa vérification ultérieure. Si plus de douze mois d’historique sont nécessaires, il faut clarifier explicitement la période supplémentaire avant l’achat.

Autre point essentiel : une source configurée aujourd’hui ne fournit pas automatiquement les événements historiques manquants. Pour la période à investiguer, ce qui compte est la date à partir de laquelle les données ont réellement été collectées. Lors d’une migration, il faut donc clarifier le devenir des anciens logs et la durée pendant laquelle ils restent accessibles.

La conservation n’est pas non plus la restauration. Un SIEM ne remplace pas une sauvegarde des données métier. Même après un incident bien documenté, il faut des sauvegardes opérationnelles pour remettre les applications touchées en service.

Comment ingérer les bons événements ?

Sophos propose des intégrations de produits et des possibilités pour les sources de données personnalisées. La présence d’une source au catalogue ne garantit toutefois pas que la catégorie d’événements souhaitée arrive dans le tenant. La licence, l’accès aux interfaces, le connecteur et les champs réellement fournis doivent correspondre. Notre guide des intégrations MDR/XDR décrit les vérifications opérationnelles.

Pour une application interne, il faut par exemple connaître le format envoyé, la manière d’associer les utilisateurs et les horodatages, et savoir si les actions décisives sont réellement journalisées. Un enregistrement techniquement lisible mais sans identité claire peut rester inutilisable pour l’enquête. Un parseur facilite le rapprochement, mais ne crée pas les événements que le système source n’a jamais fournis.

La connexion Syslog d’un Sophos Firewall illustre le chemin de transport. Un envoi réussi ne prouve d’abord que le transport. Pour la réception opérationnelle, un événement de test connu doit apparaître dans l’analyse avec l’heure, le système et l’action attendus, et rester retrouvable sur la période prévue.

Combien coûte réellement Next-Gen SIEM ?

L’extension s’adresse aux clients XDR ou MDR et se licencie par utilisateur et par serveur. Selon la politique de licence Sophos, la quantité doit correspondre au nombre total d’abonnements XDR/MDR concernés. Compter uniquement les administrateurs ou un petit groupe pilote ne constituerait donc pas un calcul complet.

Sophos présente ce modèle sans frais d’ingestion dépendant du volume. Le prix n’est donc pas calculé au gigaoctet ingéré comme dans un modèle classique. Cela ne signifie pas une ingestion illimitée : la politique de licence indique une limite de 1 GB de données brutes ingérées par jour, toutes sources confondues ; l’application de cette limite à la quantité commandée doit être clairement précisée dans l’offre.

Le prix total inclut aussi les extensions de conservation souhaitées, éventuellement les licences des sources de données, la mise en place et l’exploitation courante. Pour une comparaison utile, le devis doit couvrir le même périmètre de données et la même conservation que l’alternative.

Qui analyse les données collectées ?

L’exploitation d’un SIEM exige de surveiller les sources, de maintenir la correspondance des champs et de permettre les analyses. La panne d’une intégration ne doit pas être découverte seulement lors d’un incident. Quelqu’un doit savoir quelles données sont arrivées pour la dernière fois et quand, ainsi que les modifications du système source qui influencent le flux.

Avec MDR, des analystes assurent déjà le service de sécurité convenu. Cela n’implique toutefois pas le traitement systématique de chaque rapport de conformité ou de chaque source personnalisée. Avant l’extension, il faut déterminer quelles données supplémentaires Sophos examine dans le service souscrit et quelles analyses restent à l’IT interne. Un stockage commun ne supprime pas ces limites de responsabilité.

Quand achèterais-je cette extension ?

Si l’investigation ou la conservation nécessaire est impossible avec le périmètre actuel, Next-Gen SIEM peut être pertinent. Un pilote doit disposer d’une source représentative, d’une question précise et d’un responsable nommé. Il doit produire une analyse compréhensible, dont on connaît l’exhaustivité des données et la charge de travail.

Une organisation qui ne répond déjà pas aux alertes actuelles gagnera peu à simplement conserver les données plus longtemps. Il faut d’abord des responsabilités et des contrôles existants opérationnels. J’achèterais l’extension si elle comble une lacune identifiée, pas seulement parce que « plus de logs » semble promettre plus de sécurité.

Questions fréquentes