Journalisation et Audit Logs

La fonctionnalité Audit Log de Nucleon EDR enregistre toutes les actions importantes effectuées sur la plateforme.
Elle permet de suivre les activités des utilisateurs et administrateurs, de faciliter les analyses forensiques et de répondre aux exigences de conformité. 

Chaque événement d’audit comporte plusieurs informations : la date et l’heure (timestamp) de l’action, l’utilisateur ou l’administrateur qui l’a effectuée, le type d’action (création, modification, suppression, lecture), l’entité impactée (comme un endpoint, une règle EDR ou un utilisateur), le résultat de l’action (succès ou échec).

Types d’événements d’audit log

1. Création d’entités

Lorsqu’un nouvel objet est ajouté à la plateforme, l’événement est enregistré.
Par exemple, la création d’un nouvel utilisateur administrateur, l’ajout d’un endpoint dans l’inventaire ou la création d’une règle de détection.
Les informations typiques enregistrées sont : l’utilisateur qui a effectué l’action, l’entité créée, le moment exact de la création, le succès de l’opération et un commentaire éventuel précisant le contexte (par exemple "Création via console web").

2. Modification d’entités

Toute modification d’un objet existant génère un événement d’audit.
Cela peut inclure le changement des droits d’un utilisateur, la modification d’une règle de détection ou la mise à jour d’un endpoint.
L’événement indique l’utilisateur qui a effectué le changement, l’entité concernée, l’ancienne valeur et la nouvelle valeur, le moment de la modification et le succès de l’opération.

3. Suppression d’entités

La suppression d’objets critiques est également tracée.
Exemples : suppression d’un utilisateur, suppression d’un endpoint ou d’une règle de détection.
Le journal indique qui a effectué la suppression, quelle entité a été retirée, le moment exact, le résultat de l’opération et un commentaire éventuel pour expliquer le contexte.

4. Autres événements importants

• Connexion et déconnexion des utilisateurs : suivi des sessions pour l’audit de sécurité.

• Échec d’action : tentative de modification ou de suppression non autorisée.

• Alertes de sécurité : événements générés par des détections de menace ou des règles EDR.

• Export de logs : enregistrement des actions d’export vers un SIEM ou un autre outil d’analyse.