L'analyse d'une alerte de sécurité a toujours exigé des analystes qu'ils agissent rapidement tout en gardant à l'esprit de nombreuses informations contextuelles : comprendre ce que fait une commande PowerShell codée, pourquoi une alerte s'est déclenchée, ce que signifie l'arborescence des processus associés, et quelle action entreprendre ensuite. Pour les analystes débutants, il faut des années pour acquérir cette compréhension du contexte. Même pour les analystes chevronnés, une expérience approfondie ne permet pas de couvrir tous les cas de figure particuliers. Comme le signalent de nombreuses équipes de sécurité, cela se traduit par un ralentissement des enquêtes, une baisse de la confiance des analystes et une capacité réduite des équipes. Les fonctionnalités d’enrichissement et d’analyse basées sur l’IA d’ , intégrées à Tanium Threat Response , sont conçues pour combler cette lacune directement au sein du flux de travail, là où les enquêtes sont effectivement menées.
Duncan présente deux nouvelles fonctionnalités de Threat Response : l'enrichissement via la ligne de commande et l'analyse des alertes. La fonctionnalité d'enrichissement décode les commandes codées et décompose chaque élément d'une ligne de commande, en expliquant le rôle de chaque paramètre et en signalant les implications en matière de sécurité dans un langage simple. La fonctionnalité « Analyze » va plus loin : elle prend en compte l'alerte dans son intégralité comme contexte et fournit un résumé structuré comprenant la raison du déclenchement de l'alerte, les principales conclusions, une évaluation de l'impact et les actions recommandées.
Si vous vous êtes déjà retrouvé à perdre le fil de votre enquête en changeant de fenêtre pour vérifier la signification d'une ligne de commande, ou si vous avez eu du mal à expliquer à un analyste débutant pourquoi une alerte spécifique devait l'intéresser, cet épisode présente précisément les fonctionnalités qui permettent de résoudre ces problèmes. Découvrez le tutoriel complet dans la vidéo ci-dessous.
Points clés
- Enrich décode et explique : Le bouton « Enrich » situé dans une alerte ne se contente pas de décoder une commande PowerShell encodée. Il décompose chaque élément de la ligne de commande, explique le rôle de chaque paramètre et met en évidence les implications en matière de sécurité, telles que « Souvent utilisé dans un contexte malveillant pour contourner les contrôles basés sur des politiques. »
- Les cmdlets non standard sont signalés : Lorsque le processus d'enrichissement détecte une commande telle que
get-uac, il identifie qu'il ne s'agit pas d'une cmdlet intégrée, mais probablement d'une fonction personnalisée, et recommande d'examiner la source et l'activité précédente afin de détecter une éventuelle préparation. - Alert Analyze fournit un contexte complet : La fonctionnalité Analyze prend en compte l'alerte dans son intégralité comme contexte, y compris l'historique du processus, les lignes de commande et les détails des informations, et fournit un aperçu initial de l'alerte expliquant précisément pourquoi celle-ci s'est déclenchée, les conclusions clés mettant en évidence les éléments inhabituels, une évaluation de l'impact et les actions recommandées.
«» Car si je dois quitter cette page pour demander à un LLM ou chercher sur Google la signification de cette ligne de commande en particulier, je quitte cette page et j’augmente le risque de perdre le fil de ma réflexion lorsque j’y reviendrai, n’est-ce pas ? Alors, qu'est-ce que je regardais ? Qu'est-ce qu'il y avait avant ça ? Quelles étaient les choses que j'avais prévu de faire ensuite ? J'essaie de ne pas m'y perdre pendant que je m'éloigne de la console pour aller ailleurs. Le fait de conserver le contexte au sein de la console vous permet de rester concentré et de ne pas avoir à vous rappeler ce que vous étiez en train de faire auparavant ; je trouve donc cela extrêmement utile. »Tanium HuntIQ : Duncan Miller, chasseur
- Les mesures recommandées doivent être replacées dans leur contexte environnemental : Duncan souligne que, bien que les mesures recommandées soient judicieuses – telles que l'isolation du terminal, la suppression et la mise en quarantaine de la requête SQL dans « Users splunkd », ainsi que le blocage du trafic sortant vers le domaine associé –, elles doivent être replacées dans le contexte de l'environnement. Isoler un contrôleur de domaine clé ou une machine génératrice de revenus sans tenir compte de ce contexte pourrait entraîner de graves problèmes.
- L'enrichissement s'étend aux connexions directes et aux grilles de données : La même fonctionnalité d'enrichissement disponible dans les alertes est également présente dans les connexions directes et au sein de la grille de données. Partout où ces symboles apparaissent, les analystes peuvent enrichir une ligne de commande afin d'obtenir davantage de contexte, y compris les lignes de commande des navigateurs Chrome ou Edge, qui sont par ailleurs difficiles à interpréter.
«Je vous conseillerais de rechercher les éléments qui attirent l’attention ; si vous les repérez, vous pourrez mieux cerner le contexte. »Tanium HuntIQ : Duncan Miller, chasseur
- Pour bénéficier de cette fonctionnalité, les fonctionnalités « Threat Response », « cloud » et « IA » doivent être activées : . Ces fonctionnalités sont actuellement disponibles sans frais supplémentaires pour les clients disposant d’une licence pour « Threat Response », qui sont des clients cloud et dont les fonctionnalités d’IA « » sont activées dans leur environnement.
Ressources complémentaires
- Comment Tanium HuntIQ propose aux équipes de sécurité une recherche de menaces menée par des experts : Découvrez comment les spécialistes de Tanium HuntIQ interviennent concrètement au sein des environnements des clients afin de rechercher de manière proactive les menaces sophistiquées et d'améliorer le niveau de sécurité.
- Présentation du guide de l'utilisateur de Tanium Threat Response Cloud : Page de présentation du guide de l'utilisateur de Tanium Threat Response Cloud, qui constitue le point d'accès à la documentation du produit pour les clients du cloud.
