Un bref historique
Looking back at 2015, it’s hard to dispute that the security industry has been flooded with Endpoint Detection and Response (EDR) products. Il suffit de parcourir l'espace réservé aux exposants lors d'une conférence ou de consulter les livres blancs et les argumentaires marketing sur le site web de n'importe quel fournisseur pour constater que les mêmes promesses sont répétées à l'envi : « Prévenir, détecter et réagir » à « l'échelle de l'entreprise » et « en temps réel ». Ajoutez-y, pour faire bonne mesure, les inévitables références à la « détection des anomalies », au « renseignement sur les menaces » et aux « APT ».
Il n'est pas étonnant que tant d'organisations aient du mal à présélectionner et à évaluer leurs fournisseurs. Les appels à propositions donnent lieu à des réponses vagues ou exagérées. Les démonstrations et les petits laboratoires de validation de concept, avec des scénarios d'intrusion mis en scène, peuvent donner l'impression que n'importe quel produit est efficace. Comme toute solution d'entreprise, les outils EDR révèlent inévitablement leurs véritables atouts et faiblesses au fil du temps, et ce, uniquement une fois qu'ils sont pleinement déployés au sein de réseaux réels, complexes et hétérogènes.
Mon rôle chez Tanium pourrait m'empêcher de prétendre avoir un point de vue véritablement impartial vis-à-vis des fournisseurs ; cependant, ayant passé plus d'une décennie en tant que consultant à réaliser des évaluations de sécurité, des enquêtes sur les incidents et des mesures correctives, je m'efforce en permanence de garder à l'esprit les critères qui auraient compté le plus pour moi en tant que professionnel de terrain.
Je souhaiterais m'attarder ici sur trois caractéristiques fondamentales qui influent sur l'efficacité de toute solution EDR : l'étendue des données qu'elle fournit, ses performances et son évolutivité, ainsi que sa flexibilité.
Quelle est l'étendue des données fournies par cette solution ?
La portée et l'actualité des données qu'un produit de gestion des terminaux est capable de rechercher, d'analyser ou de collecter constituent le cœur même de ses capacités. Presque tous les produits EDR prétendent désormais offrir une « recherche à l'échelle de l'entreprise », mais la question essentielle est la suivante : « De quelles informations s'agit-il ? » De nombreuses solutions font des compromis importants quant à l'étendue des données disponibles afin d'améliorer l'évolutivité ou les performances. Imaginez que Google n'autorise les utilisateurs à effectuer des recherches que sur le contenu des sites qu'il a indexés au cours des 30 derniers jours ; ou, à l'inverse, qu'il propose une période de recherche illimitée, mais uniquement sur la balise « title » des pages web les plus populaires ?
Les données relatives aux terminaux peuvent être globalement classées en deux catégories : les données historiques et celles concernant l'état actuel. Pourquoi ces deux éléments sont-ils importants ? Les produits qui enregistrent en continu les données télémétriques des terminaux, telles que les opérations d'entrée-sortie de fichiers, les connexions réseau, l'exécution des processus, les événements de connexion ou les modifications du registre, sont de plus en plus utilisés pour la détection des incidents et la réponse à ceux-ci. Comme je l'ai déjà mentionné dans un article de blog à l'occasion du lancement de Tanium Trace, cette fonctionnalité permet d'accélérer et de simplifier les opérations nécessaires au triage d'une piste, à la génération d'alertes ou à l'analyse d'un système. Ce système permet de préserver et d'enrichir des éléments de preuve qui, sans cela, risqueraient d'être perdus en raison de lacunes dans les preuves judiciaires, et réduit la fréquence des opérations de récupération de données nécessaires pour identifier et conserver les événements de courte durée.
Cependant, le fait de s'appuyer exclusivement sur une fenêtre glissante de données historiques présente des limites importantes, notamment lors de la recherche à grande échelle. De telles solutions limitent à la fois la durée de conservation des données et l'étendue des données disponibles à des fins d'alerte et d'analyse. Si ce n'est pas consigné, vous ne pourrez pas le retrouver.
Pour compléter ce champ d'information plus restreint, une détection et une réponse efficaces aux incidents nécessitent également un accès à la demande aux données d'état actuel de tous les systèmes. Cela signifie être capable de rechercher ou de collecter des artefacts éphémères qui se produisent en ce moment même. J'ai rencontré d'innombrables exemples de ce genre au cours de mes enquêtes : sur quel système un compte d'administrateur local piraté est-il actuellement connecté ? Quels sont les systèmes sur lesquels une DLL malveillante est actuellement chargée en mémoire ?
Les données relatives à l'état actuel englobent également les artefacts latents qui n'ont pas subi de modifications récentes ou qui ne relevaient pas du champ d'application de la conservation historique, mais qui peuvent s'avérer essentiels pour cerner la portée d'un incident. Pensez à la nécessité de rechercher, dans l’ensemble de l’environnement, tout type de fichier « au repos » par nom ou par hachage ; une valeur du registre qui n’a pas été modifiée depuis un an ; ou encore un élément de preuve informatique plus pointu, comme les données contenues dans le référentiel WMI. Que faire si vous devez installer la solution alors que les systèmes ont déjà été compromis ? Travailler avec un ensemble de données limité conduit inévitablement à des angles morts et à des impasses dans l'enquête.
Quelles sont les performances et l'évolutivité de cette solution ?
Presque tous les fournisseurs de solutions EDR promettent une vitesse dite « en temps réel », sous une forme ou une autre, capable de s'adapter à des « dizaines de milliers » de terminaux. Dans la pratique, il est malheureusement facile de dissimuler, à grand renfort d'arguments spécieux, les véritables limites d'un produit en matière de performances et d'évolutivité, surtout si le processus d'évaluation se limite à de petits laboratoires de test. Comment une organisation peut-elle s'assurer qu'un produit EDR est suffisamment performant pour répondre à ses besoins concrets ? L'essentiel est d'adopter une approche plus globale pour évaluer la rapidité et l'ampleur.
Commencez par examiner les modes d'interaction proposés par la solution. Les flux de travail passifs comprennent la recherche ponctuelle (« Où se trouve cet hachage ? »), la détection et l'alerte (« Un indicateur de compromission (IOC) a-t-il été détecté ou une règle s'est-elle déclenchée ? ») et la collecte de données à des fins d'analyse des anomalies (« Récupérez tous les éléments s'exécutant automatiquement, classés par fréquence d'occurrence. ») Les workflows actifs impliquent des modifications au niveau des systèmes, qu'il s'agisse de mettre en place une quarantaine, d'arrêter un processus, de supprimer un logiciel malveillant ou de corriger une faille de configuration.
Ensuite, superposez l'étendue des données mises à disposition pour chacun de ces modes d'interaction. Cela inclut-il l'activité historique ? Activité actuelle ? Des fichiers latents ou d'autres artefacts au repos ? Enfin, évaluez les performances et l'évolutivité de la solution au regard de chacun de ces ensembles de critères. Certaines solutions peuvent offrir un accès à l'échelle de l'entreprise à un ensemble de données historiques, mais ne permettent pas d'exploiter facilement les données actuelles ou latentes à grande échelle (et inversement). Certaines requêtes ou actions prennent-elles quelques secondes pour certaines tâches, et plusieurs heures pour d'autres ?
Les organisations doivent également évaluer l'empreinte de l'infrastructure et les coûts liés à l'exploitation de la solution au niveau de performance et à l'échelle souhaités. Dans le cas des solutions sur site qui évoluent horizontalement, les coûts de maintenance augmentent et l'efficacité diminue avec le temps. Un nombre accru de serveurs implique davantage de points de défaillance, ainsi que la nécessité de repenser l'architecture et d'équilibrer l'utilisation des ressources à mesure que les environnements se développent.
En revanche, les solutions basées sur le cloud doivent gérer le volume de données transmises via Internet. Cela conduit à recourir à des mécanismes de filtrage et de déclenchement côté client, susceptibles de limiter l'étendue des données des terminaux disponibles à la demande ou a posteriori. Selon les cas d'utilisation de votre organisation, ces concessions pourraient s'avérer inacceptables.
Dans quelle mesure cette plateforme est-elle flexible ?
Nous avons déjà souligné que l'IR nécessite un accès rapide et évolutif à un large éventail de données provenant des terminaux. Chaque outil EDR est capable de traiter les éléments de preuve « essentiels » en matière d'investigation : l'activité des processus, les métadonnées du système de fichiers, les connexions réseau, l'activité des comptes, les artefacts spécifiques au système d'exploitation tels que le registre Windows, etc. Mais tout comme les techniques des pirates évoluent rapidement, il en va de même pour les sources de preuves issues des nouvelles mises à jour des systèmes d'exploitation, des applications ou des découvertes des chercheurs. La flexibilité d'une solution EDR a une incidence directe sur la rapidité avec laquelle elle peut intégrer ces nouvelles découvertes.
Lorsqu'elles comparent des produits, de nombreuses organisations se contentent de demander une liste des fonctionnalités et des capacités. Je vous suggère d'aller un peu plus loin pour comprendre comment le produit a évolué par le passé et comment il devrait continuer à mûrir. Cela peut notamment consister à évaluer les éléments suivants :
- Demandez à consulter le journal des modifications du produit pour l'année écoulée afin d'évaluer le rythme de développement. Quels types de nouvelles fonctionnalités ont été ajoutées — et à quel rythme ?
- Réfléchissez à la manière dont le logiciel est conçu et demandez-vous si sa conception permet d'intégrer facilement de nouvelles sources de données ou d'interagir avec les terminaux de manière innovante. Dans quelle mesure les clients ont-ils le contrôle ? Dans quels cas une mise à jour de l'agent fournie par le fournisseur est-elle nécessaire ?
- Quelle est la situation de la communauté des utilisateurs ? D'autres clients proposent-ils des fonctionnalités qui vont au-delà de celles proposées « prêtes à l'emploi » ?
Enfin, examinez dans quelle mesure le produit répond pleinement à la composante « Réponse » de l’« EDR ». Les fonctionnalités de correction tactique, telles que l'arrêt d'un processus ou l'isolation d'un poste au sein du réseau, sont courantes dans la plupart des outils de ce secteur (même si elles peuvent varier en termes d'ampleur ou de capacité à orchestrer de telles actions). Mais il est tout aussi important — et souvent négligé — de se demander si la solution est réellement capable de protéger les systèmes, de compléter d’autres mesures préventives et de réduire la surface d’attaque des terminaux. Les principales capacités dans ce domaine consistent notamment à contrôler ce qui est autorisé à s'exécuter ou à communiquer sur le réseau, à évaluer et à renforcer les paramètres de configuration de sécurité, ainsi qu'à maintenir à jour les correctifs du système d'exploitation et des applications tierces. En termes simples, si une solution EDR vous permet uniquement de mieux détecter et de mieux réagir rapidement aux attaques, elle ne renforce pas pour autant la résilience de votre organisation — elle ne vous aide pas à sortir du cercle vicieux des compromissions répétées.
Tester, acheter et intégrer un logiciel d'entreprise n'est jamais une tâche aisée. Et chaque opération de remplacement complet d'un produit qui n'a pas répondu aux attentes entraîne des risques opérationnels et des coûts importants. Lorsque vous envisagerez de mettre en place une solution EDR, j'espère que certains des points abordés dans cet article de blog aideront votre organisation à définir un ensemble de critères d'évaluation pertinents afin d'identifier le produit le mieux adapté à vos besoins.
Ryan Kazanciyan, architecte en chef de la sécurité
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
