Découvrez comment Orange Business Services utilise la Suite Elastic pour refondre et moderniser leur infrastructure SIEM et améliorer davantage leurs méthodes de détection d’anomalies et d’intrusions.

Je suis analyste sécurité à Orange Business Services à Paris et l’un de mes projets actuels pour le groupe Orange est la mise en place d’un nouveau SIEM avec la Suite Elastic. Dans cet article de blog, je souhaite revenir sur les raisons qui ont motivé le choix d’Elastic et la façon dont nous avons intégré la Suite Elastic à notre SIEM existant. La mise en place d’Elastic nous a permis d’accélérer notre temps d’investigation et de faire gagner du temps à nos ingénieurs.&nbsp;
Voici notre histoire :&nbsp;
Le groupe Orange est un opérateur de réseau multi-services et fournisseur de services digitaux au sein de 26 pays servant 253 millions de clients avec 147,000 employés. Orange Business Service, l'entité d’Orange dédiée aux entreprises et organisations, est une entreprise de services digitaux. Depuis la connectivité, l’Internet des Objets (IoT) ou le Cloud, en passant par l’Intelligence Artificielle (IA), le développement applicatif ou encore la cybersécurité, Orange Business Services accompagne ses clients à chaque étape de la mise en valeur de leurs données.
<h2>Intégrer la Suite Elastic dans notre stratégie SIEM</h2>Le département en charge des Infrastructure réseau, chargé de la construction du réseau international du groupe Orange, avait identifié le besoin de renouveler les outils de supervision de sécurité utilisés au sein d’Orange. En conséquence, deux de nos départements ont récemment collaboré ensemble pour revoir et moderniser l’infrastructure SIEM d’Orange Business Services. Les critères-clés de sélection pour notre nouvelle solution furent: rapidité, simplicité d’intégration des données et de meilleurs outils de visualisation.&nbsp;
Dès 2018, nous avons commencé à nous intéresser à Elastic. Nous avons finalement été convaincus de tenter l'aventure avec Elastic suite à l'ElasticON tour Toronto et le retour d'expérience de l'équipe sécurité de <a href="https://www.elastic.co/elasticon/tour/2018/toronto/security-events-logging-bell-canada">Bell Canada</a>&nbsp;(avant qu’Elastic ne débute leur propre solution SIEM prête à l’emploi que nous déploierons bientôt). Dans une situation similaire à la nôtre, ils avaient rapidement pris l'initiative de remplacer complètement leur SIEM par la Suite Elastic pour ingérer tous leurs logs de sécurité, de pouvoir détecter automatiquement des menaces et normaliser le format de leurs logs. Nous étions aussi intéressés par le Machine Learning d’Elastic pour nous aider à moderniser notre approche SIEM.&nbsp;
Nous avons fini par implémenter la Suite Elastic pour une preuve de concept fonctionnelle en moins de 3 mois. Suite à cela, nous avons dupliqué tous nos logs vers la nouvelle infrastructure, et avons installé les fonctionnalités de sécurité de la Suite Elastic pour sécuriser l'accès à nos clusters. Nous avons commencé par nous former seuls à partir du blog d’Elastic où nous avons pu trouver toutes les informations nécessaires pour démarrer. Par la suite, nous avons travaillé étroitement avec les équipes Elastic dans le déploiement des nouvelles fonctionnalités. Le support d'Elastic a toujours su être très réactif, que ce soit pour des questions de débogage applicatif, des conseils sur l’intégration ou bien sur l’architecture de sécurité.&nbsp;&nbsp;
Très rapidement, notre infrastructure a évolué en fonction :
<ul>
	<li aria-level="1">Nous avons séparé les environnements Dev, Preprod et Prod afin de pouvoir tester rapidement les nouvelles fonctionnalités d'Elastic et déterminer si nous souhaitions ou non les passer en production.</li>
	<li aria-level="1">Logstash est aussi rapidement passé de simple outil de parsing à un outil d’enrichissement essentiels de nos logs.&nbsp; <img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt55e97368aeb1aae2/60f0b58c03d890274e98c050/blog-orange-business-architecture-diagram.png" data-sys-asset-uid="blt55e97368aeb1aae2" alt="blog-orange-business-architecture-diagram.png"></li>
</ul><figcaption>Schéma d'architecture</figcaption><ul>
	<li aria-level="1">Nous avons aussi appliqué les formats Hot/warm/cold pour la gestion du cycle de vie de nos indices afin de gagner en performance et en sécurité.&nbsp;</li>
	<li aria-level="1">Enfin nous avons ajouté un cluster de monitoring pour collecter les métriques des différentes composantes de nos systèmes et suivre de près la performance de nos clusters.</li>
</ul><img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltd1dad5b8d4c21ea6/60f0b5d6d7458412f609683b/blog-orange-business-server-distribution-diagram-fr.png" data-sys-asset-uid="bltd1dad5b8d4c21ea6" alt="blog-orange-business-server-distribution-diagram-fr.png">
<figcaption>Schéma de répartition des serveurs</figcaption>Dans ces architectures, nous utilisons les produits de la Suite Elastic (Elasticsearch, Logstash, Kibana) et nous avons déployé les agents Beats pour des besoins très spécifiques (logs applicatifs, netflow) qui ne sont pas encore normés.&nbsp; Nous comptons aujourd'hui une vingtaine de nœuds Elasticsearch répartis sur deux sites géographiques différents. En comptant tous les composants, cela représente 80 serveurs, près de 100 milliards de logs indexés et plusieurs dizaines de téraoctets.
<h2>Vue à 360°, rapidité et performance avec Elastic Security</h2>Depuis l’intégration de la Suite Elastic, nous avons vu rapidement une amélioration de nos capacités d’investigation du SOC. Grâce à notre nouvelle infrastructure nous récupérons plus rapidement les résultats de nos investigations et nous bénéficions aussi d’une centralisation de toutes nos informations relatives à la sécurité de notre SI (inventaires, mapping réseau, gestion du parc informatique, alarmes d'équipement externes etc.). Nous avons ainsi une meilleure maîtrise de l’ingestion de nos logs et avons mis en place un tableau de bord permettant de visualiser la qualité de nos différentes pipelines, nos ingénieurs SIEM ne perdent donc plus de temps à détecter si un format de log a été modifié lors de l’ajout d’une nouvelle application ou version.&nbsp;
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/bltb72080bcb2755c5f/60f0b60a03d890274e98c05a/blog-orange-business-ingestion-pipeline-performance.png" data-sys-asset-uid="bltb72080bcb2755c5f" alt="blog-orange-business-ingestion-pipeline-performance.png">
<figcaption>Tableau de bord pour visualiser la performance de nos pipelines d’ingestion</figcaption>Nous sommes aujourd’hui en mesure de détecter rapidement les anomalies réseaux et n’avons plus à requêter plusieurs bases de données pour obtenir une information. L’enrichissement des informations tirées d’un IPAM (IP Address Management) nous permet également de situer sur une carte tous nos équipements et de retracer les communications effectuées.&nbsp;
L’adoption de la Suite Elastic a aussi été rapide, dans la mesure où nos utilisateurs utilisent quotidiennement Kibana pour visualiser leurs données, Kibana Spaces nous permet aussi d’aller plus loin en séparant les différents espaces de travail en fonction du cas d’usage.
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blt481dbb60a0e412c9/60f0b63db1bfa71471c7e2e7/blog-orange-business-kibana-spaces-fr.png" data-sys-asset-uid="blt481dbb60a0e412c9" alt="blog-orange-business-kibana-spaces-fr.png">
<figcaption>Schéma de répartition des espaces de travail avec Kibana Spaces</figcaption>Nous avons aussi intégré <a href="https://www.elastic.co/guide/en/ecs/current/index.html">Elastic Common Schema</a> (ECS). Nous nous sommes rendu compte de l'importance d'avoir des données suivant ce modèle avant de pouvoir nous lancer sur le Machine Learning et le SIEM. Une fois ECS mis en place, nous avons pu travailler sur de nouveaux scénarios de sécurité basés sur le Machine Learning d'Elastic. En à peine quelques semaines, celui-ci s'est avéré concluant et a permis de détecter des anomalies non-détectables avec un engin de corrélation traditionnel. La facilité de mise en place des jobs machine learning a permis aussi de déployer plus facilement ces règles "dynamiques".&nbsp;
<img src="https://images.contentstack.io/v3/assets/bltefdd0b53724fa2ce/blte9aa75f0b9c3e097/60f0b68b890eea276283c782/blog-orange-business-siem-process-diagram-fr.png" data-sys-asset-uid="blte9aa75f0b9c3e097" alt="blog-orange-business-siem-process-diagram-fr.png"> 
<figcaption>Processus suivi par nos ingénieurs SIEM</figcaption>Il s’agit aujourd'hui du processus par défaut suivi par nos ingénieurs SIEM. Le SOC intervient à l'étape 5 sur l'analyse et l'exploitation des alertes remontées par les différents jobs de machine learning.&nbsp;
<h2>Prochaines étapes: l’intégration d’Elastic Security</h2>Nos premiers pas avec la Suite Elastic se sont avérés concluants, nous souhaitons continuer à améliorer nos techniques de détections, d’anomalies et d’intrusions en déployant des outils supplémentaires d’Elastic. Nous allons augmenter le nombre de serveurs et le type de logs collectés avec la Suite Elastic, nous migrerons aussi nos nœuds COLD vers une nouvelle infrastructure basée sur&nbsp; l’API Amazon S3 pour pouvoir utiliser les fonctions&nbsp; snapshot de Kibana ce qui nous permettra d’augmenter la rétention des données sans pour autant augmenter le coût du stockage. Nous sommes aussi en train de développer une interface “tour&nbsp; de contrôle” pour pousser notre utilisation de Kibana plus loin avec <a href="https://www.elastic.co/fr/blog/getting-started-with-canvas-in-kibana">Canvas</a>.&nbsp;
Nous souhaitons aussi améliorer notre utilisation de machine learning et utiliser <a href="https://www.elastic.co/fr/security">Elastic Security</a>. D’une part, nous testerons <a href="https://www.elastic.co/fr/siem">Elastic SIEM</a>, et plus particulièrement les règles de corrélation pour mieux automatiser la détection de menaces, et d’autre part nous souhaitons implémenter Endpoint Security. Coupler l’outil SIEM et <a href="https://www.elastic.co/fr/endpoint-security/">Endpoint Security</a> nous permettrait d’améliorer nos capacités de SOAR (remédiation) et donc nous assurerait un gain en productivité. Concentrer tous les outils de sécurité en une seule solution nous permettra aussi de faciliter les investigations. Nous espérons que les données générées par le machine learning et Endpoint compléteront les données collectées par nos équipements de sécurité. Au final, cela renforcera le périmètre de sécurité supervisé par ce SIEM, en particulier sur nos serveurs.&nbsp;
Jocelyn est analyste sécurité chez Orange Business Services à Paris depuis plus de 2 ans et se consacre à la mise en place d’un nouveau SIEM basé sur la Suite Elastic.

blog-banner-gears-close.jpg

blog-thumb-gears-close.jpg

How Orange Business Services is building a better SIEM with Elastic

Booster la sécurité d’Orange Business Services avec Elastic Security

Start free trial

Blog Footer CTA

Sign up for Elastic Cloud free trial

Analyste Sécurité

Jocelyn Renouf

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_self">Terms of Service</a>, and you agree to receive the <a href="/legal/privacy-statement#how-we-use-the-information" target="_self">selected communications</a> at the contact details you provided above. See <a href="/legal/privacy-statement/" target="_self">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Communication Preferences - ONLY for /communication-preferences

En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/elastic-cloud-account-terms" target="_self">Conditions générales d'utilisation</a>, et vous acceptez de recevoir les <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">types de notification sélectionnés</a> à l'adresse que vous avez fournie plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/elastic-cloud-account-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.By submitting this form, I agree to Elastic sharing my contact information with Google Cloud. I also agree to Elastic giving my information to the vendor for the purpose of shipping my food package.

GDPR Text + Google Cloud

By submitting you acknowledge that you've read and agree to our <a href="/legal/serverless-preview-terms" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Serverless GDPR Text

En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/serverless-preview-terms" target="_self">Conditions générales d'utilisation</a>, et vous permettez à Elastic de <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">vous contacter</a> à propos de produits et services similaires en utilisant les informations que vous avez fournies plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.

By submitting you agree to <a href="/agreements/global/cloud-services-monthly" rel="nofollow">Elastic Cloud Terms of Service</a>. Your personal data will be processed in accordance with <a href="/legal/privacy-statement">Elastic's Privacy Statement</a>.

Cloud Trial GDPR Text

En envoyant votre demande d'inscription, vous acceptez les <a href="/fr/agreements/global/cloud-services-monthly" rel="nofollow">conditions générales d'utilisation d'Elastic Cloud</a>. Vos données personnelles seront traitées conformément à la <a href="/fr/legal/privacy-statement">déclaration de confidentialité d'Elastic</a>.

By submitting you acknowledge that you've read and agree to our <a href="/legal/terms-of-use" target="_blank">Terms of Service</a>, and that Elastic may <a href="/legal/privacy-statement#how-we-use-the-information" target="_blank">contact you</a> about our related products and services, using the details you provide above. See <a href="/legal/privacy-statement/" target="_blank">Elastic’s Privacy Statement</a> for more details or to opt-out at any time.

Newsletter GDPR Text

En confirmant votre envoi, vous reconnaissez que vous avez lu et que vous acceptez nos <a href="/fr/legal/terms-of-use" target="_self">Conditions générales d'utilisation</a>, et vous permettez à Elastic de <a href="/fr/legal/privacy-statement#how-we-use-the-information" target="_self">vous contacter</a> à propos de produits et services similaires en utilisant les informations que vous avez fournies plus haut. Pour en savoir plus ou pour revenir sur votre décision (possible à tout moment), consultez la <a href="/fr/legal/privacy-statement/" target="_self">Déclaration de confidentialité d'Elastic</a>.

Explore similar demos

Overview

You'll also receive an email with related content.

You'll also receive an email with related content

Nous vous enverrons plus de contenu susceptible de vous intéresser.

Speakers

Close

The content on this page is not available in the selected language. As Elastic grows globally, we continue to support content in multiple languages.

The content on this page is not available in the selected language.

Le contenu de cette page n'est pas disponible dans la langue sélectionnée. Chez Elastic, nous mettons tout en œuvre pour vous proposer du contenu dans différentes langues. En attendant, nous vous remercions de votre patience !

See more insights

Articles by

Author

Learn more

Watch now (no PT)

Watch now

See all top stories

All (no PT translation)

Contact information

Press Release

Share on Reddit

Share this story

Share by Email

Thank you for your interest!

Contact Info

Follow us on Youtube

Load More

Share on LinkedIn

Follow us on LinkedIn

Search Integrations

All Solutions

Video for

Follow us on Twitter

See when this webinar starts in my time zone

Voir à quelle heure débute le webinar dans mon fuseau horaire

Register to Watch

Register now

See All Posts

Can't make it? Register and we'll send you the recording. You'll also receive an email with related content

Si vous ne pouvez pas vous libérer le jour J, inscrivez-vous et nous vous enverrons l'enregistrement. Vous recevrez aussi un e-mail contenant des ressources connexes.

Small image for

On-demand webinar

Featured webinar

Register to Attend

Share on Facebook

Reset all

Upcoming webinar

View more posts

Print

Hosted by

Sign In to Attend

View next

Follow us on Facebook

Share

Highlights

Read less

Thank you for registering. We will send you a confirmation email soon.

Nous vous remercions de votre inscription. Vous allez recevoir un e-mail de confirmation.

Author

Articles by Jocelyn Renouf

Analyste Sécurité, Orange Business Services

Booster la sécurité d’Orange Business Services avec Elastic Security