Les équipes chargées des opérations de sécurité sont confrontées à un défi récurrent : les outils sont en place, les alertes affluent, mais l'expertise et les ressources nécessaires pour donner suite aux informations révélées par ces données font souvent défaut.
HuntIQ est la réponse de Tanium à cette lacune : une option d'assistance avancée en trois volets qui combine les tableaux de bord de recherche avancée Guardian, les capacités de Tanium Security Operations, ainsi que des chasseurs de menaces expérimentés et sur le terrain, intégrés directement dans les environnements des clients pendant 12 mois.
Michael Bailey, directeur de la recherche de menaces chez Tanium, s'appuie sur plus de 20 ans d'expérience (notamment dans l'analyse des logiciels malveillants et des paquets au niveau national pour le compte du ministère de la Défense) pour diriger cette initiative et définir à quoi ressemble une recherche proactive de menaces à grande échelle au sein des environnements d'entreprise.
Dans cet épisode, Michael vous explique en quoi consiste HuntIQ, comment ses trois composantes fonctionnent ensemble et à quoi ressemble concrètement le modèle d'engagement. Il explique comment les chasseurs de menaces élaborent des hypothèses à l'aide d'approches fondées sur les données, sur le renseignement, sur les entités et sur les TTP, et pourquoi le modèle d'engagement sur 12 mois est essentiel pour apporter une valeur ajoutée que de nombreux engagements de sécurité à court terme ne sont pas en mesure d'offrir. Il aborde également une question que se posent de nombreux professionnels de la sécurité lorsqu’ils entendent parler de HuntIQ pour la première fois : cette équipe va-t-elle remplacer mon personnel actuel ?
Michael montre également comment les capacités de collecte de données en temps réel de Tanium et les outils de recherche de menaces basés sur Jupyter Notebook prennent en charge l'ensemble du processus de recherche de menaces, depuis la formulation d'hypothèses jusqu'à l'analyse, en passant par une détection reproductible et documentée.
Si votre équipe de sécurité peine à tirer pleinement parti de votre investissement dans Tanium ou à combler les lacunes en matière de visibilité au sein de votre environnement, cet épisode est incontournable. Regardez l'épisode dans son intégralité ci-dessous.
Points clés
- Les trois composantes de HuntIQ : HuntIQ se compose de l'équipe de recherche avancée Guardian d' (qui produit les tableaux de bord Guardian fournissant aux dirigeants et aux équipes de sécurité des informations pertinentes sur leur parc informatique), du produit d'opérations de sécurité Tanium (Direct Response, le produit dédié à la réponse aux incidents, qui évolue vers Security Operations), ainsi que de chasseurs de menaces expérimentés et sur le terrain, intégrés dans les environnements des clients depuis 12 mois.
- Le modèle d'engagement sur 12 mois : contrairement aux missions de courte durée consistant à analyser et à établir un rapport, les « chasseurs » de HuntIQ consacrent 12 mois à comprendre les cas d'utilisation métier, les difficultés et les capacités de leurs clients ; ces derniers citent souvent l'accompagnement comme une source essentielle de valeur apportée par ce service.
«L’une des choses que je n’apprécie pas dans le secteur de la sécurité, c’est cette attitude du genre : « Hé, payez-moi. » « Je vais passer, je vais juste faire quelques analyses, vous remettre un rapport, puis je m'en irai, c'est ça ? »« Il s'agit d'une mission à très court terme ; ce que nous faisons est très différent. »Michael Bailey, directeur de la recherche de menaces chez Tanium
- Réalisations concrètes des clients issues de l’« Aperçu privé » : les premiers déploiements chez les clients ont démontré la capacité de HuntIQ à détecter les activités malveillantes des pilotes — y compris le minage de cryptomonnaies — dans des environnements où les outils de sécurité traditionnels présentaient des angles morts.
«Nous avons analysé 46 000 pilotes chez ce client et avons détecté 16 pilotes potentiellement malveillants. » Une partie de ces activités concernait spécifiquement le minage de cryptomonnaies, qui était effectué au sein de leur environnement. »Michael Bailey, directeur de la recherche de menaces chez Tanium
- Renforcer les équipes, sans les remplacer : les « chasseurs » de HuntIQ travaillent en étroite collaboration avec le personnel de sécurité en place, leur apprenant à utiliser l’API et les outils avancés de Tanium, et mettant à la disposition des clients les outils de chasse développés par l’équipe, de sorte que la valeur de cette collaboration s’étend bien au-delà des opérations de chasse individuelles.
«Nous ne sommes pas là pour leur prendre leur emploi. » « Nous sommes là pour les accompagner en tant que membres à part entière de leur équipe. »Michael Bailey, directeur de la recherche de menaces chez Tanium
- Catégories d’hypothèses de recherche de menaces : Les recherches s’appuient sur des observations fondées sur des données, des flux de renseignements, une connaissance axée sur l’entité de ce qui est le plus important pour l’organisation, les TTP (tactiques, techniques et procédures) issues des menaces persistantes avancées, ou des combinaisons hybrides de tous ces éléments, les recherches axées sur l’entité étant mises en avant comme un facteur clé de différenciation, car elles nécessitent une connaissance approfondie de l’environnement du client.
- Tanium, source centrale de visibilité : Tanium peut aider les organisations à identifier les lacunes en matière de visibilité des terminaux au sein de leur infrastructure de sécurité, à valider les données, à répondre aux questions soulevées par d’autres outils et, dans certains cas, à collecter des données qui n’auraient peut-être pas été mises en évidence ailleurs, comme l’illustre un exemple concret concernant un client de Tanium 2023 , dans lequel un raccourci malveillant n’avait pas été détecté par les contrôles existants.
- Les Jupyter Notebooks comme outils de détection : L'équipe HuntIQ utilise les Jupyter Notebooks et Python pour l'analyse des données, créant ainsi des procédures de détection reproductibles et documentées qui peuvent être transmises directement aux clients et réutilisées par l'équipe d'ingénierie de Tanium en vue d'une éventuelle intégration dans le produit lui-même.
Ressources complémentaires
- des fonctionnalités de détection et de réponse au niveau des terminaux de Tanium Threat Response : découvrez le produit Tanium, qui est au cœur du module « HuntIQ » dédié aux opérations de sécurité, et apprenez notamment comment il facilite la détection, l'analyse et la réponse sur l'ensemble de votre parc de terminaux.
- Comment Tanium HuntIQ propose une recherche de menaces menée par des experts aux équipes de sécurité des entreprises : découvrez en détail HuntIQ et comment les experts en recherche de menaces de Tanium collaborent avec les équipes de sécurité pour détecter de manière proactive les menaces avancées et renforcer les opérations de sécurité.
- Guide de l'utilisateur de Tanium Threat Response 4,12 : détection, analyse et réponse aux incidents : Documentation technique expliquant comment configurer et utiliser Tanium Threat Response pour la gestion des alertes, la détection et l'analyse des terminaux.
