Log Retention Shorter Than Dwell Time

La durée de rétention effective des journaux est inférieure au temps de séjour typique d’un attaquant. Le temps de séjour se compte en semaines, souvent en mois ; la rétention réelle de nombreuses sources se compte en jours.

C’est structurel parce que la rétention n’est décidée par personne : elle résulte des valeurs par défaut de chaque outil, de la taille fixe des journaux locaux qui s’écrasent en tournant, et d’arbitrages de coût de stockage faits sans lien avec le besoin d’investigation. Aucune fonction ne possède la question « jusqu’où devons-nous pouvoir remonter ? ». Chaque source a donc sa propre fenêtre, généralement courte, parfois de quelques jours sur les machines les plus actives — précisément celles qui intéressent une investigation.

Le résultat : au moment où l’on cherche l’accès initial, la période concernée est déjà sortie de la fenêtre.

La question centrale d’une investigation est « comment sont-ils entrés, et depuis quand ? ». Sans les journaux de la période d’accès initial, la chaîne de conséquences est mécanique :

• impossible de dater le début de la compromission ;
• donc impossible de certifier qu’une sauvegarde donnée est antérieure à la compromission ;
• donc restauration sur une base potentiellement piégée, ou reconstruction complète par prudence — la différence se chiffre en semaines ;
• les obligations de notification demandent de qualifier ce qui a été accédé : sans journaux, on qualifie au pire cas, et on notifie plus large que nécessaire.

S’ajoute le coût direct d’investigation : chaque question sans journal se traite par des méthodes plus lentes et moins concluantes, et le rapport final s’écrit avec des « n’a pas pu être déterminé » — la formulation la plus chère du vocabulaire IR.

La vérification est simple et se fait en quelques heures :

• inventorier les sources qui datent un accès initial : authentification centrale, accès distants, messagerie, journaux des serveurs d’annuaire, pare-feu, plateforme de sauvegarde ;
• pour chacune, mesurer la rétention réelle, pas celle de la documentation : chercher un événement précis daté d’il y a trois mois, puis six mois. Le test tranche là où la configuration rassure ;
• porter une attention particulière aux journaux locaux à taille fixe, qui tournent sur eux-mêmes : sur une machine très sollicitée, la fenêtre peut être de quelques jours ;
• comparer la plus courte fenêtre des sources critiques au temps de séjour documenté par les rapports publics de réponse à incident.

Question de synthèse : « si l’intrusion avait commencé il y a quatre mois, que pourrions-nous encore prouver ? » Si la réponse est « presque rien », le pattern est présent.

Fixer un objectif de rétention motivé par l’investigation, pas par le stockage :

• douze mois est une cible raisonnable pour les sources qui datent un accès initial (authentification, accès distants, messagerie) ; au minimum 90 jours en accès direct, le reste en archive froide ;
• séparer les deux besoins économiques : l’ingestion et la recherche « à chaud » coûtent cher, l’archive compressée coûte peu. La plupart des organisations peuvent s’offrir douze mois d’archive même quand elles ne peuvent pas s’offrir douze mois de plateforme d’analyse ;
• prioriser les sources par valeur de datation plutôt que viser l’exhaustivité ;
• vérifier la rétention par un test périodique (retrouver un événement ancien), intégré à la revue d’exploitation — une rétention se dégrade en silence, par croissance du volume ou changement d’outil.

Deux urgences simultanées : arrêter l’hémorragie, puis élargir la fenêtre par d’autres moyens.

• Geler ce qui existe encore : suspendre les rotations et purges, copier immédiatement les journaux locaux des machines d’intérêt — ils continuent de s’écraser pendant l’incident, chaque jour de délai détruit des preuves.
• Chercher les copies indirectes : sauvegardes de machines qui contiennent leurs journaux au moment de la sauvegarde, exports historiques, données conservées par des tiers (fournisseur d’identité, opérateur de messagerie, prestataires) dont la rétention dépasse souvent la vôtre.
• Dater par artefacts non journalisés : horodatages de fichiers, tâches planifiées, dates de création de comptes et de mécanismes de persistance — moins précis qu’un journal, souvent suffisant pour borner.

Une fenêtre courte réduit la précision de l’investigation ; elle ne l’empêche pas si on exploite tout ce qui reste.