Un système de détection comportementale en Rust produit des alertes transformées en preuves juridiques immuables conformes NIS2.
Apporter la preuve pour chaque alerte
- authenticité : source de l'information identifiable et reconnue ;
- intégrité : contenu non modifié depuis la création ;
- traçabilité : chaque étape enregistrée ;
- horodatage fiable : date et heure sourcées de manière sécurisée ;
- attribution : acteur ou système ayant généré la donnée identifié ;
- contextualisation : document inséré dans un processus décrit ;
- disponibilité pendant la période requise ;
- lisibilité durable (PDF/A, JSON signé).
Chaîne de conservation d'une alerte SSA
Une alerte SSA est générée par le moteur Rust avec métadonnées (source IP, identité du compte). Chaque alerte porte un UUID, un timestamp et l'identifiant du service producteur. Un appel à la TSA interne obtient un timestamp signé. Le hash SHA-256 de la charge complète est stocké dans un journal immutable. L'écriture s'effectue sur une couche WORM ou dans un bucket S3 Object Lock en mode Compliance.
Registre des preuves NIS2 - exemple
| Champ | Valeur exemple |
|---|---|
| ID | UUID v4 unique |
| Type de preuve | Alerte comportementale |
| Source | Plugin Rust SSA |
| Format | JSON signé |
| Horodatage | Certificat TSA |
| Hash | SHA-256 |
| Stockage | S3 Object Lock |
| Rétention | 7 ans |
Le registre est maintenu dans un dépôt Git ; toute modification ouvre une pull request validée par le DPO ou le RSSI.
Scénario d'audit : de la détection à la remise des preuves
Le déclenchement d'une alerte SSA apparaît sur le tableau de bord du SOC. Le CSIRT isole le compte, applique un correctif, consigne l'action dans un ticket. Sur demande d'audit d'une autorité, un script extrait l'événement du bucket S3, vérifie le hash, ajoute le certificat TSA et empaquete le tout dans audit-package.zip contenant JSON, certificat et registre des preuves.
Mise en œuvre pragmatique PME et ETI
- cartographier les obligations NIS2 sous forme de tableau exigence/preuve ;
- définir un registre des preuves (outil simple : Git, base immutable) ;
- assigner un responsable par catégorie (alertes, sauvegardes, politiques) ;
- spécifier source, fréquence, format et durée ;
- automatiser la collecte : le plugin Rust pousse directement vers S3 avec signature TSA ;
- protéger via ACL strictes, chiffrement au repos, réplication multi-zone.
Limites à ne pas masquer
- un enregistrement immuable peut contenir des informations erronées : qualité de la source primordiale ;
- conflit RGPD / NIS2 nécessitant une analyse d'impact ;
- L'immuabilité ne remplace pas la prévention.
Pour aller plus loin
Pour aller plus loin :
Lire l'article Challenges sur KARL →
