Qu’est-ce que la provenance des données ? Exemples et bonnes pratiques

La provenance des données enregistre l’origine des données, qui y accède et comment elles évoluent. Elle constitue la chaîne de conservation forensique pour la réponse aux incidents et la conformité.

Qu'est-ce que la provenance des données ?

Une violation frappe votre infrastructure cloud à 1h47 du matin. Votre équipe d'intervention en cas d'incident s'efforce de répondre à trois questions : D'où proviennent ces données ? Qui y a accédé ? Comment ont-elles évolué entre l'ingestion et l'exfiltration ? Sans réponses claires issues de données de provenance détaillées et de pistes d'audit, votre enquête judiciaire s'enlise, votre posture de conformité s'affaiblit et votre équipe juridique manque de preuves recevables.

La provenance des données résout ce problème. Selon le NIST Computer Security Resource Center, la provenance des données « implique la méthode de génération, de transmission et de stockage de l'information qui peut être utilisée pour retracer l'origine d'une information » traitée par des systèmes et des flux de travail. Elle suit chaque donnée depuis sa création à travers chaque transformation, événement d'accès et emplacement de stockage tout au long de son cycle de vie.

La provenance des données est l'empreinte judiciaire de vos données. Elle vous indique d'où proviennent les données, qui les a manipulées et ce qui leur est arrivé à chaque étape.

Comment la provenance des données s'applique à la cybersécurité

La provenance des données relie l'intégrité judiciaire, la chasse aux menaces et la conformité réglementaire. Les CISA Incident Response Playbooks (août 2024) intègrent le suivi de la provenance tout au long des phases de réponse aux incidents du NIST SP 800-61, en particulier lors de la phase d'analyse où la compréhension de l'origine des données devient essentielle pour une remédiation efficace.

Des recherches évaluées par des pairs publiées dans ACM Computing Surveys confirment la valeur opérationnelle de ces systèmes, notant que la détection d'intrusions basée sur la provenance s'impose comme une approche prometteuse pour réduire les fausses alertes, identifier les véritables attaques et faciliter l'investigation en reliant causalement les activités système dans des graphes de provenance.

Des incidents réels montrent pourquoi la provenance est cruciale. L' attaque MGM Resorts de 2023 a causé plus de 100 millions de dollars de pertes lorsque les attaquants ont utilisé l'ingénierie sociale pour obtenir un accès initial. Les organisations disposant d'un suivi solide de la provenance peuvent reconstituer de tels scénarios d'attaque en quelques heures au lieu de plusieurs semaines, identifiant précisément quels identifiants ont été compromis et quels systèmes ont été accédés.

Lorsque vous enquêtez sur un incident de mouvement latéral, les données de provenance permettent une reconstruction complète de la chaîne d'attaque. Elles documentent quels identifiants ont été utilisés, quels systèmes ont été accédés et dans quel ordre. Cette documentation transforme des alertes de sécurité dispersées en récits d'attaque cohérents sur lesquels votre équipe d'intervention peut agir immédiatement.

Comprendre les différents types de provenance vous aide à déterminer quoi capturer et comment l'appliquer à vos opérations de sécurité.

Types de provenance des données

La provenance des données se divise en deux grandes catégories, chacune remplissant un objectif distinct dans les opérations de sécurité.

1. La provenance prospective capture la spécification de ce qui devrait se produire. Elle définit les flux de travail attendus, les chemins de données approuvés et les étapes de traitement autorisées avant l'exécution. En cybersécurité, la provenance prospective établit votre référentiel de sécurité. Elle documente les chaînes de compilation logicielle approuvées, les flux de données autorisés entre systèmes et les schémas d'accès attendus. Lorsqu'une politique de chaîne d'approvisionnement logicielle exige que le code de production passe par trois étapes de compilation vérifiées avant le déploiement, cette spécification relève de la provenance prospective.
2. La provenance rétrospective capture ce qui s'est réellement passé. Elle enregistre l'historique d'exécution détaillé de chaque processus, transformation et événement d'accès a posteriori. C'est le type le plus directement pertinent pour l'investigation judiciaire. La provenance rétrospective indique à votre équipe SOC exactement quels processus ont été exécutés, quels fichiers ont été modifiés et quels identifiants ont été utilisés lors d'un incident. Lorsque la technologie Storyline de SentinelOne reconstitue une chronologie d'attaque depuis la création de processus jusqu'au mouvement latéral, elle construit une provenance rétrospective.

La valeur en sécurité émerge de la comparaison des deux. Lorsque la provenance rétrospective diverge de la provenance prospective, vous avez une anomalie à investiguer. Une chaîne de compilation qui inclut soudainement une étape non autorisée, un flux de données qui transite par un serveur inattendu ou un compte utilisateur accédant à des ressources en dehors de son schéma approuvé représentent tous des écarts entre ce qui devrait se produire et ce qui s'est produit.

La recherche en bases de données distingue également la provenance selon les questions auxquelles elle répond :

• La why-provenance identifie quelles entrées ont contribué à une sortie spécifique. En opérations de sécurité : Pourquoi cette alerte a-t-elle été déclenchée ?
• La how-provenance documente les transformations appliquées. En opérations de sécurité : Comment ce fichier a-t-il été modifié ?
• La where-provenance retrace de quelles sources une valeur de donnée particulière provient. En opérations de sécurité : D'où provient cet identifiant ?

Ces catégories correspondent directement aux questions que votre équipe SOC pose lors de chaque investigation, et déterminent ce que votre système de provenance doit capturer.

Provenance des données vs. lignage des données

La provenance des données et le lignage des données se recoupent mais remplissent des objectifs opérationnels différents. Les confondre crée des lacunes tant dans vos capacités judiciaires que dans votre posture de conformité.

• Le lignage des données cartographie le flux des données de la source à la destination. Il répond à « comment ces données sont-elles arrivées ici ? » en retraçant les chemins de transformation, les étapes de traitement et les mouvements de système à système. Le lignage montre qu'un enregistrement client est passé d'une base CRM via un pipeline ETL vers un entrepôt de données, où il a été agrégé dans un rapport trimestriel. En contexte de sécurité, le lignage aide à comprendre comment une attaque s'est propagée dans votre environnement.
• La provenance des données ajoute la couche judiciaire qui manque au lignage. Elle répond à « qui a manipulé ces données, quand et sous quelle autorité ? » La provenance enregistre les agents responsables, les horodatages de chaque interaction et la chaîne de garde de l'origine à l'état actuel. Lors d'une enquête, la provenance vous indique qu'un compte de service spécifique a accédé à cet enregistrement client à 2h14, modifié trois champs et transféré le résultat vers une adresse IP externe, le tout lié à une identité unique avec toutes les métadonnées d'audit.

Les équipes de sécurité ont besoin des deux. Le lignage reconstitue le chemin de l'attaque. La provenance établit la chaîne de garde qui résiste aux audits réglementaires et aux procédures judiciaires. Le standard W3C PROV encode les deux dimensions via son modèle entité-activité-agent, où les entités capturent l'état des données, les activités les transformations (lignage) et les agents la responsabilité (provenance).

Voir comment la provenance et le lignage fonctionnent concrètement dans différents secteurs rend ces distinctions tangibles.

Exemples de provenance des données

La provenance des données s'applique à tous les secteurs où l'intégrité des données, la responsabilité judiciaire ou la conformité réglementaire sont requises.

• Sécurité de la chaîne d'approvisionnement logicielle. Lors de la violation SolarWinds de 2020, des attaquants ont injecté du code malveillant dans une chaîne de compilation logicielle légitime. Les organisations disposant d'un suivi de la provenance logicielle, incluant des SBOM et des attestations de compilation signées, pouvaient vérifier si leurs versions déployées correspondaient à la chaîne attendue. Celles sans données de provenance ont mis des mois à déterminer quels builds étaient compromis. Le NIST Secure Software Development Framework impose désormais des contrôles de provenance pour les artefacts logiciels.
• Conformité des données de santé. Les hôpitaux et organismes de recherche clinique suivent la provenance des données patients pour se conformer aux contrôles d'audit HIPAA selon §164.312(b). Chaque accès, modification et transfert d'informations de santé protégées nécessite une chaîne de garde documentée. En cas de violation, les enregistrements de provenance permettent aux équipes conformité de déterminer précisément quels dossiers patients ont été consultés et par qui.
• Investigation d'incident cloud. Dans les environnements cloud éphémères, les conteneurs sont lancés et arrêtés en quelques minutes. Le suivi de la provenance au niveau de l'orchestration capture ce que chaque conteneur a fait avant sa suppression, y compris les données accédées, les API appelées et les connexions réseau établies. Sans cette provenance, les preuves judiciaires disparaissent avec la charge de travail.
• Intégrité des données d'entraînement IA. À mesure que les organisations déploient des modèles d'apprentissage automatique pour les opérations de sécurité, le suivi de la provenance vérifie que les jeux de données d'entraînement n'ont pas été altérés. Un avis conjoint de 2025 de la CISA, de la NSA et du FBI identifie la provenance des données comme un contrôle clé pour protéger les systèmes IA contre les attaques par empoisonnement de données.

Ces exemples montrent la provenance à différents niveaux de granularité, des accès à des fichiers individuels à la vérification de la chaîne d'approvisionnement à l'échelle de l'entreprise. Les composants sous-jacents restent constants dans tous les cas.

Composants clés de la provenance des données

Tout système de provenance des données repose sur un cadre structuré de composants interconnectés. Le standard W3C PROV définit trois éléments fondamentaux :

• Entités : Les objets de données suivis, incluant fichiers, enregistrements de base de données, entrées de journaux, paquets réseau et artefacts de preuve numérique. Le standard W3C PROV définit les entités comme « des choses physiques, numériques, conceptuelles ou autres avec des aspects fixes ».
• Activités : Les processus, actions et flux de travail qui créent ou transforment les entités, tels que les opérations de chiffrement, transferts de fichiers, appels API et événements d'accès utilisateur. Le standard W3C définit les activités comme « des aspects dynamiques tels que processus, actions et flux de travail ».
• Agents : Les personnes, organisations ou logiciels responsables des activités, couvrant comptes utilisateurs, principaux de service, processus autonomes et intégrations tierces. Selon W3C PROV, les agents sont « des entités portant la responsabilité des activités ou de l'existence d'entités ».

Ces trois éléments sont reliés par des types de relations comme wasGeneratedBy, wasAttributedTo et wasDerivedFrom, formant des graphes de provenance qui cartographient les relations causales dans votre environnement.

Les systèmes de provenance opérationnels capturent également des métadonnées spécifiques requises par les contrôles d'audit du NIST SP 800-171 : horodatages, adresses source et destination, identifiants d'utilisateur ou de processus, descriptions d'événements, indicateurs de succès ou d'échec, noms de fichiers concernés et règles de contrôle d'accès invoquées.

Les bases de données orientées graphe fournissent la fondation de stockage, permettant la traversée des relations requise par les requêtes de provenance. Les standards de format d'événement comme le Common Event Format (CEF) et l'Open Cybersecurity Schema Framework (OCSF) normalisent les données de provenance entre outils de sécurité hétérogènes, permettant une analyse unifiée sur les endpoints, réseaux et plateformes cloud.

Avec ces briques en place, la question suivante est de savoir comment elles s'articulent dans un environnement de sécurité opérationnel.

Fonctionnement de la provenance des données

En production, les systèmes de provenance font passer les données par cinq étapes : de la capture brute d'événements au contexte d'investigation exploitable.

• Étape 1 : Capture et collecte d'événements. Les systèmes de provenance ingèrent la télémétrie brute des endpoints, équipements réseau, journaux d'audit cloud, fournisseurs d'identité et couches applicatives. Chaque événement est étiqueté avec des métadonnées au point de capture : horodatages, identifiants source et contexte de processus.
• Étape 2 : Normalisation et mappage de schéma. Les événements bruts arrivent dans des formats variés issus de dizaines de sources. La Singularity Platform de SentinelOne utilise nativement la normalisation OCSF, brisant les silos de données et permettant la corrélation inter-sources sans transformation manuelle.
• Étape 3 : Construction et corrélation du graphe. Les événements normalisés sont reliés en graphes de provenance via des relations causales. Les événements de création de processus sont liés aux modifications de fichiers, les connexions réseau à l'utilisation d'identifiants, et les actions d'identité à l'accès aux ressources. Cette structure transforme des entrées de logs isolées en chaînes d'attaque connectées.
• Étape 4 : Analyse comportementale et détection d'anomalies. Les graphes de provenance permettent des analyses comportementales alignées sur le MITRE ATT&CK framework. En mappant les entités de provenance aux techniques ATT&CK, vos outils de sécurité identifient des schémas suspects : un compte de service accédant à des fichiers inhabituels, un processus générant des processus enfants anormaux ou une utilisation d'identifiants suggérant un mouvement latéral.
• Étape 5 : Investigation et réponse. Lorsqu'une alerte est investiguée, les données de provenance fournissent tout le contexte. Au lieu de corréler manuellement des logs sur plusieurs plateformes, vous interrogez un graphe de provenance unifié qui reconstitue la chronologie complète de l'attaque depuis l'accès initial jusqu'à chaque action subséquente.

Ce cycle opérationnel apporte des avantages mesurables aux opérations de sécurité, de l'accélération des investigations à un renforcement de la conformité.

Principaux avantages de la provenance des données

Lorsqu'elle est correctement mise en œuvre, la provenance des données offre des avantages opérationnels en termes de rapidité d'investigation, d'intégrité des preuves, de conformité, de détection de menaces et de forensic cloud.

Accélération de l'investigation des incidents

Les graphes de provenance éliminent la corrélation manuelle des logs qui consomme la majeure partie du temps des analystes lors des investigations. Au lieu de naviguer entre des plateformes de sécurité déconnectées, votre équipe interroge une chronologie unifiée montrant exactement comment une attaque a progressé. La technologie Storyline de SentinelOne l'illustre en reconstituant automatiquement des événements de sécurité disparates en récits d'attaque complets sans intervention manuelle.

Intégrité des preuves judiciaires

Les approches basées sur la provenance renforcent la crédibilité des  preuves numériques lors de la réponse aux incidents. Une étude exhaustive dans ACM Computing Surveys confirme que la documentation de la provenance sur la manipulation et la transformation des preuves soutient directement les exigences de l' ISO/IEC 27037 pour l'identification, la collecte, l'acquisition et la préservation des preuves numériques.

Automatisation de la conformité réglementaire

L'article 30 du RGPD impose aux responsables de traitement de tenir des registres détaillés des activités de traitement, incluant finalités, catégories de personnes concernées, destinataires et transferts internationaux. Les systèmes de provenance des données génèrent ces registres de façon autonome, transformant une charge de conformité manuelle en sous-produit des opérations de sécurité courantes.

Détection avancée des menaces

Les systèmes d'identification d'intrusions basés sur la provenance détectent des attaques que les outils à base de signatures manquent, en analysant les relations causales entre événements. Les graphes de provenance révèlent des campagnes APT multi-phases, des mouvements latéraux inter-machines et des techniques d'évasion qui paraissent bénignes lorsqu'observées isolément.

Forensic cloud dans les environnements éphémères

Une étude évaluée par des pairs dans Computer Science Review a montré que la provenance des données aide à capturer les données volatiles avant qu'elles ne disparaissent dans les environnements cloud. Cette capacité est essentielle pour enquêter sur des incidents où les méthodes traditionnelles de collecte de preuves échouent en raison de l'allocation dynamique des ressources.

Ces avantages s'accompagnent de défis de mise en œuvre réels que votre équipe doit anticiper.

Défis et limites de la provenance des données

Le suivi de la provenance introduit ses propres coûts opérationnels et sa complexité. Les défis suivants concernent la plupart des organisations déployant la provenance à grande échelle.

Augmentation du stockage et impact sur la performance

Les données de provenance s'accumulent rapidement. Chaque événement de sécurité, accès à un fichier et exécution de processus ajoute des nœuds et des arêtes à votre graphe de provenance. Selon une étude publiée dans Computers & Security, les besoins de stockage et de traitement des graphes de provenance augmentent fortement avec la fréquence de capture des événements, et la surcharge à l'exécution reste un défi majeur pour le déploiement réel.

Fragmentation inter-plateformes

Chaque fournisseur cloud maintient des mécanismes d'audit distincts avec des formats, représentations d'horodatage et modèles de rétention différents. GCP utilise deux flux de logs distincts par projet. AWS utilise CloudTrail avec sa propre structure d'événements. Des standards comme OCSF émergent pour normaliser les schémas de données entre fournisseurs, permettant un suivi unifié de la provenance à partir de sources multiples.

Angles morts sur les charges éphémères

Les outils de provenance traditionnels ciblent l'infrastructure persistante et peinent avec les fonctions serverless, les conteneurs auto-scalés et les processus en mémoire uniquement. Les données volatiles peuvent être écrasées avant collecte dans le cloud, créant des lacunes judiciaires précisément là où opèrent les attaques modernes.

Complexité de la corrélation d'identité

Les attaquants qui pivotent entre AWS, Azure, GCP et les systèmes on-prem exploitent la fragmentation des identités pour rompre les chaînes de provenance. Chaque plateforme maintient ses propres référentiels d'identité, et corréler les actions d'un même acteur sur ces environnements nécessite un mappage d'identité unifié avant que le suivi de provenance puisse reconstituer les chaînes d'attaque inter-plateformes.

Connaître ces défis vous aide à éviter les erreurs qui compromettent les programmes de provenance et à appliquer les bonnes pratiques dès le départ.

Bonnes pratiques pour la provenance des données

La maturité opérationnelle en matière de provenance des données exige à la fois de savoir quoi faire et d'éviter ce qui freine les progrès.

1. Commencez par une analyse des écarts par rapport aux contrôles d'audit NIST SP 800-171. Cartographiez votre couverture de journalisation actuelle par rapport aux exigences du  NIST SP 800-171 pour les horodatages, identifiants d'utilisateur, adresses source et destination, descriptions d'événements et règles de contrôle d'accès. Identifiez où les métadonnées de provenance manquent.
2. Normalisez tôt vers un schéma unique, de préférence OCSF. L'Open Cybersecurity Schema Framework est devenu la norme du secteur pour la normalisation inter-plateformes de la provenance. Normaliser toutes les données de provenance à l'ingestion élimine les difficultés de corrélation entre endpoints, réseaux et infrastructures cloud.
3. Mettez en œuvre une capture basée sur le risque avec une rétention hiérarchisée. Suivez tout sur les actifs à forte valeur comme les contrôleurs de domaine et bases financières, et utilisez l'échantillonnage pour les postes de travail standards. Utilisez le stockage à chaud pour les données récentes interrogées lors d'investigations actives et des niveaux froids pour la rétention réglementaire.
4. Mappez les entités de provenance aux techniques MITRE ATT&CK. Alignez les nœuds et arêtes de votre graphe de provenance avec les tactiques ATT&CK afin que vos analystes SOC puissent interroger les données de provenance selon le même cadre utilisé pour la  chasse aux menaces et l'ingénierie de détection.
5. Établissez la préparation judiciaire avant les incidents. Le  cadre de préparation judiciaire ISACA insiste sur la définition proactive des procédures de collecte de preuves et la spécification des métadonnées de provenance requises. Intégrez la validation des données de provenance à chaque exercice de simulation et engagement purple team.
6. Fédérez l'identité et protégez l'intégrité de la provenance. Assurez-vous qu'un acteur unique puisse être corrélé de façon définitive sur AWS, Azure, GCP et les systèmes on-prem. Utilisez le hachage cryptographique, le stockage en écriture seule et des  contrôles d'accès stricts pour garantir que les enregistrements de provenance ne puissent être modifiés après création, protégeant à la fois l'exactitude judiciaire et la recevabilité légale selon la norme ISO/IEC 27037:2012.
7. Prenez en compte les charges éphémères. Les fonctions serverless et conteneurs auto-scalés nécessitent une capture de provenance au niveau de l'orchestration. Configurez la journalisation des événements de données pour toutes les fonctions serverless et le stockage d'objets afin d'assurer la couverture dans les environnements dynamiques.

Avec ces pratiques en place, la bonne plateforme permet d'opérationnaliser la provenance à grande échelle.

Renforcez la provenance des données avec SentinelOne

La sécurité IA commence par les données, non parce qu'elles sont abondantes, mais parce que les erreurs commises à ce stade sont irréversibles. Avec des capacités DSPM intégrées, Singularity™ Cloud Native Security permet aux organisations d'établir une barrière « safe-to-train » avant que les données cloud n'atteignent un pipeline IA. CNS offre une visibilité approfondie sur les bases de données cloud-native et les stockages d'objets, aidant les équipes à découvrir des sources de données non gérées ou oubliées, à classifier les informations sensibles avec une précision pilotée par la politique, et à empêcher l'utilisation de données à haut risque dans les workflows d'entraînement ou d'inférence. Le DSPM de SentinelOne établit un lignage et une gouvernance des données clairs, garantissant que les organisations peuvent suivre précisément comment les données sensibles circulent, se transforment et sont accédées dans leurs pipelines IA et environnements cloud. 

La  Singularity Platform de SentinelOne fournit la provenance des données via des capacités intégrées conçues pour les opérations de sécurité.

La technologie Storyline offre une reconstruction autonome de la chronologie des attaques en reliant en continu les événements de création de processus, connexions réseau, modifications de fichiers et utilisation d'identifiants en chaînes de provenance cohérentes. Lors des  évaluations MITRE ATT&CK 2024, SentinelOne a atteint 100 % de détection sans délai et 88 % d'alertes en moins que la médiane de tous les fournisseurs évalués.

Purple AI agrège et corrèle les informations de provenance issues des endpoints, du cloud, du réseau et des données utilisateur. Les analystes sécurité interrogent les données de provenance en langage naturel au lieu de schémas propriétaires complexes, et la plateforme recommande des actions de réponse que votre équipe peut exécuter immédiatement.

Le  Singularity Data Lake fournit la base de stockage requise pour la provenance. Toutes les données restent en stockage à chaud pour l'analytique quasi temps réel, la normalisation OCSF brise les silos de données de façon autonome, et des options de rétention flexibles jusqu'à 365+ jours garantissent la disponibilité des preuves judiciaires pendant toute la durée des investigations prolongées. Singularity RemoteOps Forensics déclenche la collecte autonome de preuves judiciaires dès qu'une menace est détectée, avec ingestion directe des preuves collectées dans le Data Lake pour une analyse immédiate.

Demandez une démo avec SentinelOne pour évaluer comment des opérations de sécurité pilotées par la provenance peuvent renforcer vos workflows d'investigation.

Points clés à retenir

La provenance des données suit les données depuis leur origine à travers chaque transformation, fournissant la base judiciaire pour l'investigation d'incident, la conformité et la détection de menaces. Deux types principaux, prospective et rétrospective, se combinent pour révéler les anomalies en comparant le comportement attendu à l'exécution réelle. 

La Singularity Platform de SentinelOne opérationnalise la provenance via la reconstruction d'attaque Storyline, l'investigation en langage naturel avec  Purple AI, le stockage Data Lake normalisé OCSF et la collecte autonome de preuves via RemoteOps Forensics.

FAQ

Qu’est-ce que la provenance des données ?

La provenance des données est l'enregistrement documenté de l'origine, du déplacement et de la transformation des données tout au long de leur cycle de vie. Elle permet de suivre l'origine des données, les personnes qui y ont accédé ou les ont modifiées, ainsi que les actions effectuées à chaque étape. 

En cybersécurité, la provenance des données fournit la chaîne de traçabilité nécessaire pour reconstituer les chronologies d'attaque, soutenir la conformité réglementaire, et préserver l'intégrité des preuves pour les procédures judiciaires et les enquêtes sur les incidents.

En quoi la provenance des données diffère-t-elle d’un journal d’audit standard ?

Les journaux d’audit enregistrent des événements individuels de manière isolée. La provenance des données relie ces événements en chaînes causales montrant comment les données ont circulé, qui y a accédé et ce qui les a transformées à chaque étape. 

Un journal indique qu’un fichier a été consulté à 2h14. La provenance indique que ce fichier a été créé par un processus spécifique, modifié par un compte de service, déplacé vers un serveur de préproduction, puis exfiltré via un appel API, le tout relié dans un graphe interrogeable unique.

Quels cadres réglementaires exigent des capacités de provenance des données ?

Plusieurs cadres majeurs exigent des capacités de provenance des données. L’article 30 du RGPD impose la tenue de registres des activités de traitement. Le NIST SP 800-171 Contrôle 3.3.1 requiert des journaux d’audit avec des métadonnées de provenance incluant des horodatages, des identifiants d’utilisateur et des descriptions d’événements. 

Les contrôles d’audit HIPAA selon §164.312(b) imposent le suivi des accès aux informations de santé protégées. Les niveaux 2 et 3 du CMMC imposent le contenu et la revue des journaux d’audit conformément aux pratiques de provenance.

La provenance des données peut-elle aider à détecter les menaces internes ?

Oui. Les graphes de provenance suivent les schémas d’activité des utilisateurs à travers les systèmes, fichiers et applications dans le temps, permettant des analyses comportementales alignées sur le framework MITRE ATT&CK. 

Lorsqu’un utilisateur interne s’écarte des schémas établis, comme accéder à des bases de données hors de son périmètre habituel ou transférer des fichiers vers des destinations non autorisées, les analyses basées sur la provenance signalent l’anomalie avec tout le contexte montrant précisément ce qui a changé et quand.

Quel surcoût de stockage faut-il prévoir pour le suivi de la provenance des données ?

Les besoins de stockage évoluent selon le volume d’événements et la granularité de la capture. Les stratégies de capture basées sur les risques, qui appliquent une provenance complète aux actifs de grande valeur et aux comptes privilégiés tout en échantillonnant les opérations standard, réduisent considérablement les besoins de stockage. 

La rétention hiérarchisée, utilisant le stockage à chaud pour les enquêtes actives et le stockage à froid pour la conformité, aide les organisations à gérer la croissance tout en maintenant la reconstruction complète de la chaîne d’attaque pour leurs actifs les plus importants.