MISE À JOUR : cette publication, initialement publiée le 12 février 2021, a été mise à jour pour refléter l’état actuel de PICERL, les cadres de cybersécurité et le paysage des menaces en évolution drastique.
Dans le paysage en constante évolution des menaces numériques, la compréhension et la mise en œuvre des plans de réponse aux incidents (IR) sont cruciales pour toute organisation cherchant à renforcer ses défenses en matière de cybersécurité et à réagir efficacement aux incidents. L’une de ces méthodologies est PICERL, un cadre de cybersécurité que les organisations peuvent adopter pour augmenter leur capacité à répondre aux incidents de sécurité aujourd’hui et à renforcer leurs défenses contre les incidents qui pourraient se produire à l’avenir.
Répondre à un incident de cybersécurité, qu’il s’agisse d’une violation de données, d’un événement de rançongiciel ou d’une autre cyberattaque, peut compromettre considérablement les opérations commerciales courantes d’une organisation.
Sans une réponse efficace aux incidents, les incidents de sécurité peuvent briser la confiance du public, éroder la valeur de la marque et réduire considérablement le chiffre d’affaires.
Dans ce blog, nous explorons tout ce qui concerne PICERL, y compris un bref historique de son origine, comparer PICERL à d’autres modèles de cybersécurité courants, et fournir des informations réelles sur la gestion des incidents qui peuvent aider à faire de la mise en œuvre d’un processus tel que PICERL ou d’autres cadres de sécurité un succès dans votre organisation.
Qu’est-ce que PICERL dans la cybersécurité ?
PICERL est un processus de réponse aux incidents en six étapes pour P repare, I dentify, C ontain, E radicate, R ecover et L essons Learned.
Créé par SANS, une organisation privée créée en 1989 pour fournir des recherches et une éducation en matière de sécurité, le modèle PICERL est devenu une norme du secteur pour la réponse aux incidents. Beaucoup considèrent PICERL comme un cadre efficace car il fournit une approche structurée et complète de la gestion des incidents de sécurité.
Suivre PICERL garantit que les organisations sont bien préparées aux incidents (Préparation), peuvent rapidement les identifier (Identification), contenir la menace pour prévenir d’autres dommages (Contenu), éradiquer la menace du système (Éradication), se remettre de l’incident aux opérations normales (Reprise) et apprendre de l’incident pour améliorer les réponses futures (Enseignements tirés).
Passons en revue les étapes PICERL plus en détail tout en mettant en évidence les enseignements exploitables que vous pouvez mettre en pratique dès aujourd’hui pour vous aider à minimiser l’impact des incidents et à renforcer la posture de sécurité globale de votre organisation.
Étape 1. Préparer
La préparation garantit que les bonnes personnes des bonnes équipes sont impliquées, comprennent leurs rôles et savent quoi faire lorsqu’un incident se produit.
La phase de préparation doit générer un plan sur lequel les membres de l’équipe de réponse aux incidents peuvent s’entraîner, comme la manière dont les organisations pratiquent leurs procédures de sauvegarde et de récupération des données (DR).
Les plans IR doivent être répétés régulièrement pour remédier à toute faiblesse. Les simulations d’exercices IR donnent aux membres de l’équipe la confiance nécessaire pour exécuter sous la pression d’un incident réel.
Les équipes IR participant à des simulations d’exercices doivent être en mesure de répondre à des questions telles que :
- Qui informe l’équipe des relations publiques (RP) ?
- Qui informe le service juridique ?
- Qui informe le service financier ?
- Quand les forces de l’ordre ou les agences réglementaires doivent-elles être informées ?
La phase de préparation détermine également si vous disposez des bons outils. Si ce n’est pas le cas, disposez-vous du financement dont vous avez besoin pour les obtenir et fournir une formation aux membres de l’équipe ? Il est important qu’une fois qu’un plan de réponse aux incidents a été créé, la direction l’examine et l’approuve, y compris un budget pour soutenir le plan.
Étape 2. Identifier
Une fois que vous avez déterminé que vous avez un incident, la phase d’identification est l’endroit où vous commencez à essayer de trier en répondant à des questions telles que :
- Quand cela a-t-il commencé et comment cela s’est-il produit ?
- Quel était le point d’entrée ?
- S’agissait-il d’une vulnérabilité non corrigée ?
- Qui l’a trouvé et comment l’avons-nous trouvé ?
- Connaissons-nous la portée ? Est-elle limitée à une ou deux personnes ou actifs, ou est-elle généralisée ?
- Pouvons-nous continuer à faire des affaires ?
- Quelles que soient les mesures que nous prenons, celles-ci affecteront-elles l’un de nos secteurs d’activité ?
Très souvent, les informations d’identification compromises sont le point d’entrée. À partir de là, un incident s’intensifie et les mauvais acteurs tirent parti de toutes les opportunités dans votre environnement.
Tanium utilise des informations approfondies sur vos endpoints pour enquêter minutieusement sur les menaces
Pour améliorer la réussite de l’identification des menaces, les organisations ont commencé à gamifier la préparation et le test de leur processus de réponse. Par exemple, vous pouvez offrir des récompenses à l’équipe qui trouve l’ e-mail d’hameçonnage ou suit son plan de liste de contrôle de la manière la plus rapide et la plus claire. La gamification est particulièrement utile pour les professionnels de la sécurité d’entrée de gamme.
Étape 3. Contenir
Une fois qu’un incident a été déclaré, le confinement consiste à exécuter votre plan pour empêcher le comportement indésirable de se propager. Il existe deux écoles populaires de réflexion sur les méthodologies de confinement, chacune fournissant des avantages et des inconvénients :
Une stratégie de confinement à court terme peut être aussi simple que l’émission d’une commande de quarantaine pour empêcher les systèmes, actifs ou applications compromis de communiquer avec quoi que ce soit, à l’exception d’un outil de sécurité. Cela implique des mesures rapides telles que l’isolation des systèmes affectés, le blocage du trafic malveillant ou la désactivation des comptes compromis pour éviter d’autres dommages pendant le développement d’une solution plus permanente.
Avoir une stratégie de confinement à court terme est une étape essentielle pour limiter l’impact immédiat d’un incident de sécurité. Il aide à maintenir les opérations commerciales et à minimiser les perturbations pendant les étapes initiales de la gestion des incidents.
[Lire également : Qu’est-ce que la gestion des actifs informatiques ? ITAM expliqué]
Le confinement à long terme est un correctif mis en œuvre à l’échelle de l’entreprise, mais pourrait être considéré comme une remédiation incomplète de la cause profonde de l’incident. Une stratégie de confinement à long terme dans la réponse aux incidents est conçue pour fournir une solution durable aux failles de sécurité, garantissant que la menace est non seulement temporairement contrôlée, mais également empêchée de se reproduire. Cela peut impliquer des mises à niveau du système, la gestion des correctifs, la segmentation du réseau ou la mise en œuvre de protocoles de sécurité avancés.
Par exemple, avez-vous des vulnérabilités non corrigées liées à un incident ? Si tel est le cas, l’accélération du calendrier des correctifs pour le logiciel en question, l’application ou le système d’exploitation, doit être incluse dans le cadre d’une stratégie de confinement à long terme.
Une autre tâche cruciale à inclure pendant le processus de confinement consiste à réexaminer quels utilisateurs ont un accès administratif et quels systèmes, tels que :
- Quelle est votre surface d’attaque par rapport à Active Directory ?
- Avez-vous activé l’authentification multifacteur ?
Il est judicieux d’avoir des stratégies de confinement à long terme connectées à vos systèmes de sauvegarde et de récupération de données, car cela peut aider à augmenter la probabilité que vos données aient été correctement dupliquées et facilement récupérables dans un état avant que l’incident ne se produise.
Étape 4. Éradiquer
Vous essayez maintenant d’éliminer la cause de la violation, racine et branche, comme ils le disent. Qu’est-ce que cela signifie ? Cela signifie, par exemple, dans le cas de logiciels malveillants que vous avez trouvés, vous pouvez supprimer en toute sécurité chaque instance que vous pouvez identifier. Vous avez renforcé et corrigé les systèmes, le cas échéant. Vous avez réinventé des systèmes que vous ne pouvez pas durcir. Vous avez mis à jour vos informations sur les menaces pour vous assurer que vous pouvez identifier les artefacts liés à la violation.
Alors que le processus de gestion des incidents se déroule, il peut modifier la portée de vos efforts. Après une attaque par rançongiciel, par exemple, vous pouvez avoir beaucoup de systèmes qui doivent être réimagés et restaurés à partir de leur dernière bonne sauvegarde connue. Et si vous ne détectez pas tous les artefacts liés à l’attaque ou si vous n’avez pas traité la vulnérabilité exploitée pour y pénétrer, vous pourriez être attaqué à nouveau.
La clé de l’éradication est la rigueur. Cette question ultime est de savoir si vous avez tout trouvé, quel que soit le « problème ». Un partenaire ou un tiers disposant d’une expertise spécialisée peut souvent aider au nettoyage.
Étape 5. Récupérer
Passer de l’éradication à la récupération est comme sortir de la chirurgie. Les dommages ont été causés, et il est maintenant temps de se concentrer sur la guérison.
Du point de vue de la réponse aux incidents, il est temps d’être très honnête avec vous-même en répondant :
- Quand pouvez-vous remettre les systèmes affectés en production ?
- Les avez-vous corrigés, renforcés et testés ?
- Avez-vous utilisé votre équipe rouge interne pour exécuter une attaque simulée contre ces systèmes en utilisant les mêmes techniques que les attaquants ?
La récupération est mesurée par la rapidité à laquelle vous pouvez restaurer les systèmes et processus affectés à leur fonctionnalité de pré-violation. La récupération signifie également définir comment vous modifierez la portée de votre surveillance après l’incident. Déterminez combien de temps vous surveillerez l’activité qui a causé la violation (par exemple, 30 jours, trois mois ou six mois) et précisément ce que vous recherchez.
Encore une fois, les tests de l’équipe rouge et les artefacts collectés pendant le confinement seront utiles ici. À la fin de la phase de récupération, vous souhaitez pouvoir dire : « Nous avons traité les vulnérabilités, et voici notre preuve. »
Il existe une forte tendance parmi les professionnels de la sécurité à réduire le nombre moyen de temps de réparation (MTTR) ou le temps nécessaire pour passer à travers les phases d’identification, de confinement et d’éradication. À mesure que les plans IR mûrissent et que les équipes s’améliorent dans la pratique de leurs plans IR, le temps moyen de détection (MTTD) devrait diminuer. Le suivi de ces mesures au fil du temps peut vous aider à comprendre si le cadre PICERL est un modèle de réponse aux incidents efficace pour votre organisation.
Étape 6. Leçons apprises
Cette étape doit commencer par une réunion après l’action qui inclut tous les membres de l’équipe de réponse aux incidents et les services connexes, tels que la sécurité de l’information, la conformité, le service juridique, les relations publiques, etc. C’est là que vous pouvez examiner et documenter ce que vous avez appris sur l’incident, par exemple :
- Quelle partie de votre plan IR a bien fonctionné ? Qu’est-ce qui ne l’a pas fait ?
- Y avait-il des lacunes où des personnes supplémentaires étaient nécessaires ? Avons-nous dû contacter un tiers ou une équipe interne qui ne figure pas sur notre liste de ressources ?
- En fonction de l’incident, devons-nous modifier notre mode de fonctionnement ?
- utilisions-nous les outils dont nous disposions efficacement ? Étaient-ils configurés correctement ?
- Comment la communication entre les équipes a-t-elle eu lieu ? Pourrait-il être amélioré ?
- Y avait-il un aspect employé à la violation, tel qu’une attaque d’ingénierie sociale ou un traitement inapproprié des données ? Cela peut-il être traité par une formation ?
- La vulnérabilité exploitée était-elle unique à un secteur d’activité ou endémique dans l’ensemble de l’organisation ?
- Pouvons-nous traiter la vulnérabilité à l’aide d’une structure ou d’un processus opérationnel différent ?
Plus le plan IR est flexible, plus vous tirerez des leçons d’un incident lorsqu’il se produit. Ensuite, tout ce que vous apprenez doit revenir sur votre phase de préparation pour être affiné et amélioré.
PICERL est-il différent du NIST ?
PICERL et NIST Cybersecurity Framework sont des méthodologies populaires pour la réponse aux incidents, mais diffèrent en termes de structure et de concentration.
[Lire également : Opérationnaliser le cadre de cybersécurité 2,0 du NIST avec Tanium]
PICERL propose une approche séquentielle de la gestion d’un incident de sécurité en six phases. En revanche, le NIST est un ensemble plus large et plus flexible de directives structurées autour de cinq fonctions principales (Identifier, Protéger, Détecter, Répondre et Récupérer) pour aider les organisations à gérer les risques de cybersécurité.
PICERL est un guide détaillé pour la réponse aux incidents, tandis que le cadre NIST est un guide plus complet pour la gestion globale des risques de cybersécurité. Cependant, le cadre NIST est généralement considéré comme non prescriptif et n’offre qu’une taxonomie de résultats de cybersécurité de haut niveau et de liens vers des ressources pour atteindre ces résultats.
Qu’est-ce que cela signifie pour votre plan de réponse aux incidents ? Les organisations utilisent généralement PICERL pour la réponse aux incidents dans le contexte plus large du cadre NIST afin de gérer efficacement les risques de cybersécurité.
PICERL est-il le meilleur modèle de réponse aux incidents ?
PICERL propose une approche détaillée et structurée de la réponse aux incidents, qui peut profiter aux grandes organisations ou aux personnes disposant d’environnements informatiques plus complexes. Cependant, le cadre PICERL peut également présenter des défis, tels que le besoin d’une préparation approfondie, le potentiel de complexité pour identifier et contenir les incidents, et s’assurer que tout le personnel est correctement formé.
Ces défis ont ouvert la voie à des modèles émergents de réponse aux incidents conçus pour fournir des approches plus flexibles par rapport aux cadres avec des processus agiles tels que PICERL, et signifiant un tournant critique dans la manière dont les organisations doivent repenser les stratégies nécessaires pour effectuer une réponse efficace aux incidents.
L’un de ces modèles est SOAR, ou S ecurity O rchestration, A utomation, et R esponse. SOAR se concentre sur l’automatisation des réponses et peut être particulièrement utile pour les organisations disposant de ressources limitées pour traiter les incidents nécessitant des réponses immédiates.
De même, DAIR, ou D ynamic A pproach to I ncident R esponse, gagne également en popularité car il met l’accent sur l’approche de la réponse aux incidents à l’aide de points de cheminement, ou jalons, qui ne doivent pas nécessairement se produire dans un ordre séquentiel comme PICERL. Le modèle DAIR vous guide pour vous concentrer sur les résultats et les activités qui aident à atteindre ces résultats au lieu de suivre une approche progressive.
Étant donné la nature chaotique des cybermenaces, la capacité à traiter rapidement les attaques de plus en plus sophistiquées signifie que les plans de réponse aux incidents modernes et les outils utilisés pour les soutenir doivent être en mesure de faire pivoter et de remédier rapidement aux menaces et le faire avec des budgets plus serrés et des lacunes en matière de cyber-talents.
Étant donné que les incidents de sécurité d’aujourd’hui ne suivent pas un règlement, pourquoi votre plan de réponse aux incidents doit-il être mis en œuvre ?
Comment choisir un cadre de réponse aux incidents
Dans cette publication, nous avons appris comment PICERL s’est traditionnellement démarquée dans le paysage des modèles de sécurité en offrant une feuille de route détaillée pour la réponse aux incidents. Cependant, chaque modèle de réponse aux incidents a ses points forts et ses défis.
En fin de compte, les plans de réponse aux incidents auxquels votre organisation adhère doivent être adaptés aux problèmes de cybersécurité spécifiques de votre secteur. Pour que les plans IR soient efficaces, ils doivent également tirer efficacement parti des ressources, des outils et du personnel disponibles, tout en s’avérant exploitables dans des scénarios réels et adaptables pour contrer les nouvelles menaces lorsqu’elles apparaissent.
L’amélioration et l’évolution continues de votre plan de réponse aux incidents sont essentielles pour garder une longueur d’avance dans la cybersécurité. Qu’il s’agisse de PICERL, DAIR ou d’un autre modèle conçu de manière unique pour répondre aux besoins de votre organisation, la clé est de créer un plan qui répond aux besoins de sécurité actuels et positionne votre organisation pour faire face aux cybermenaces futures en toute confiance.
Tanium offre une assistance inégalée en matière de cybersécurité pour tous les frameworks avec Tanium Incident Response, qui remplace les outils de produits ponctuels incohérents par une solution unifiée qui permet aux organisations d’identifier, de gérer et de corriger rapidement les vulnérabilités.
Tanium améliore les capacités de vos outils SIEM et EDR actuels, transformant les efforts de détection des menaces et de réponse aux incidents en mesures de défense proactives qui garantissent une perturbation minimale de la productivité des utilisateurs et renforcent votre cyber-résilience.
En tirant parti d’une visibilité en temps réel et de données complètes sur les endpoints parallèlement à Tanium Automate, notre technologie de pointe conçue pour automatiser des tâches complexes à grande échelle nécessitant peu ou pas d’expertise en codage, les équipes de toutes tailles et de tous niveaux peuvent devenir plus efficaces, productives et efficientes.
Planifiez une démo personnalisée en direct pour voir Tanium dans votre environnement.
