Un bref historique
Si l’on considère 2015, il est difficile de contester que le secteur de la sécurité a été inondé de produits de détection et de réponse aux endpoints (EDR). Parcourez le site du sponsor lors de n’importe quelle conférence ou échantillonnez les livres blancs et les argumentaires marketing de n’importe quel site Web du fournisseur, et vous verrez les mêmes allégations répétées : « Prévenir, détecter et répondre » à « l’échelle de l’entreprise » en « temps réel ». Ajoutez des références obligatoires à la « détection des anomalies », à l’« intelligence sur les menaces » et aux « APT » à titre de mesure.
Il n’est pas étonnant que tant d’organisations aient du mal à sélectionner et évaluer les fournisseurs. Les demandes de propositions produisent des réponses vagues ou exagérées. Les démos et les petits laboratoires de preuve de concept avec des scénarios d’intrusion par étapes peuvent rendre n’importe quel produit efficace. Comme toute solution d’entreprise, les outils EDR montrent inévitablement leurs véritables forces et faiblesses au fil du temps, et seulement une fois entièrement déployés dans des réseaux réels, complexes et désordonnés.
Mon rôle chez Tanium peut m’empêcher de revendiquer un point de vue véritablement indépendant des fournisseurs ; cependant, après avoir passé plus de dix ans en tant que consultant en matière d’évaluations de sécurité, d’enquêtes sur la réponse aux incidents et d’efforts de remédiation, j’essaie continuellement de rester conscient des critères qui auraient le plus d’importance pour moi en tant que praticien.
J’aimerais me concentrer ici sur trois attributs fondamentaux qui affectent l’efficacité de toute solution EDR : la portée des données qu’elle fournit, les performances et l’évolutivité, ainsi que la flexibilité.
Quel champ d’application de données la solution fournit-elle ?
La portée et la rapidité des données qu’un produit endpoint peut rechercher, analyser ou collecter représentent le cœur absolu de ses capacités. Presque tous les produits EDR prétendent désormais fournir une « recherche à l’échelle de l’entreprise », mais la question critique est : « De quelles informations ? » De nombreuses solutions font des compromis significatifs dans la portée des données disponibles pour renforcer l’évolutivité ou les performances. Imaginez si Google permettait uniquement aux utilisateurs de rechercher le contenu des sites qu’il indexait dans les 30 jours ; ou inversement, s’il fournissait un délai de recherche illimité, mais uniquement sur l’étiquette de titre pour les pages Web populaires ?
Les données des endpoints peuvent être divisées en deux domaines : historique et état actuel. Pourquoi les deux sont-ils importants ? Les produits qui enregistrent continuellement la télémétrie des endpoints, tels que les E/S de fichier, les connexions réseau, l’exécution de processus, les événements de connexion ou les modifications de registre, sont de plus en plus populaires pour la détection et la réponse aux incidents. Comme j’ai précédemment publié un blog pendant le lancement de Tanium Trace, cette capacité peut accélérer et simplifier l’effort requis pour trier un lead, générer des alertes ou enquêter sur un système. Il préserve et enrichit les artefacts qui pourraient autrement être perdus en raison des lacunes dans les preuves scientifiques, et réduit la cadence de récupération des données nécessaire pour identifier et conserver les événements à court terme.
Pourtant, s’appuyer exclusivement sur une fenêtre glissante de données historiques entraîne des limitations importantes , en particulier lors de la recherche à grande échelle. De telles solutions limitent à la fois le délai de ce qui est conservé et l’étendue des données disponibles pour l’alerte et l’analyse. S’il n’est pas enregistré, vous ne pouvez pas le trouver.
Pour compléter ce champ d’informations plus restreint, une détection et une réponse efficaces aux incidents nécessitent également un accès à la demande aux données actuelles de tous les systèmes. Cela signifie avoir la possibilité de rechercher ou de collecter des artefacts volatils qui se produisent actuellement. Il y a d’innombrables exemples que j’ai rencontrés lors des enquêtes : où un compte administrateur local compromis est-il actuellement connecté ? Quels systèmes ont actuellement une DLL malveillante chargée en mémoire ?
Les données actuelles englobent également les artefacts latents qui n’ont pas récemment changé, ou qui étaient hors du champ d’application pour la préservation historique, mais peuvent être essentiels pour définir la portée d’un incident. Envisagez la nécessité de rechercher dans l’environnement tout type de fichier « au repos » par nom ou hachage, une valeur de registre qui n’a pas été touchée en un an ou un artefact médico-légal plus ésotérique comme des données dans le référentiel WMI. Que faire si vous devez installer la solution après que les systèmes ont déjà été compromis ? Travailler avec une portée limitée de données conduit inévitablement à des angles morts et à des impasses d’enquête.
Quelles sont les performances et l’évolutivité de la solution ?
Presque tous les fournisseurs d’EDR promettent une variante de la vitesse « en temps réel » qui s’adapte à des « dizaines de milliers » d’endpoints. En pratique, il est malheureusement facile de faire un geste intelligent pour dissimuler les véritables limitations de performance et d’évolutivité d’un produit, en particulier si un processus d’évaluation est limité à de petits laboratoires de test. Comment une organisation peut-elle s’assurer qu’un produit EDR est suffisamment performant pour répondre à ses cas d’utilisation ? La clé est d’adopter une approche plus holistique pour évaluer la vitesse et l’échelle.
Tout d’abord, considérez les modes d’interaction fournis par la solution. Les workflows passifs comprennent la recherche ad hoc (« Où est ce hachage ? »), la détection et l’alerte (« Un IOC a-t-il frappé ou une règle déclenchée ? ») et la collecte de données pour l’analyse des anomalies (« Obtenir tous les auto-exécutions, pile par fréquence d’occurrence. ») Les workflows actifs impliquent des systèmes changeants, qu’il s’agisse de mettre en quarantaine, de tuer un processus, d’éliminer les logiciels malveillants ou de corriger une vulnérabilité de configuration.
Ensuite, superposez la portée des données mises à disposition pour chacun de ces modes d’interaction. Y a-t-il une activité historique ? Activité actuelle ? Fichiers latents ou autres artefacts au repos ? Enfin, évaluez les performances et l’évolutivité de la solution selon chacun de ces ensembles de critères. Certaines solutions peuvent fournir un accès à l’échelle de l’entreprise à un ensemble de données historiques, mais ne sont pas en mesure de travailler facilement avec les données actuelles ou latentes à l’échelle (et vice-versa). Les requêtes ou les actions prennent-elles des secondes pour certaines tâches et des heures pour d’autres ?
Les organisations doivent également évaluer l’empreinte de l’infrastructure et les coûts encourus pour exploiter la solution au niveau de performance et d’échelle souhaités. Pour les solutions sur site qui évoluent horizontalement, les coûts de maintenance augmentent et l’efficacité diminue au fil du temps. Plus de serveurs signifie plus de points de défaillance et la nécessité de réorganiser et d’équilibrer l’utilisation des ressources à mesure que les environnements se développent.
En revanche, les solutions basées sur le cloud doivent régir le volume de données transmises sur Internet. Cela entraîne une dépendance au filtrage côté client et aux mécanismes de déclenchement qui peuvent réduire la portée des données des endpoints disponibles à la demande ou rétroactivement. Selon les cas d’utilisation de votre organisation, ces concessions peuvent être inacceptables.
Quelle est la flexibilité de la plateforme ?
Nous avons déjà souligné que l’IR nécessite un accès rapide et évolutif à un large éventail de données d’endpoints. Chaque outil EDR est capable de travailler avec des preuves médico-légales « fondamentales » : activité du processus, métadonnées du système de fichiers, connexions réseau, activité du compte, artefacts spécifiques au système d’exploitation tels que le registre Windows, etc. Mais tout comme les techniques d’attaque évoluent rapidement, les sources de preuves introduites par les nouvelles mises à jour du système d’exploitation, les applications ou les découvertes de chercheurs évoluent également. La flexibilité d’une solution EDR a un impact direct sur la rapidité à laquelle elle peut intégrer ces nouveaux résultats.
Lors de la comparaison des produits, de nombreuses organisations demandent simplement une liste de fonctionnalités et de capacités. Je vous suggère d’aller plus loin pour comprendre comment le produit a été mis à jour par le passé et comment il est sur le point de continuer à mûrir. Cela peut inclure l’évaluation des éléments suivants :
- Demandez à examiner le journal des modifications du produit pour l’année passée afin d’évaluer le rythme de développement. Quels types de nouvelles fonctionnalités ont été ajoutés et à quelle vitesse ?
- Réfléchissez à la manière dont le logiciel est conçu et si cela se prête à intégrer facilement de nouvelles sources de données ou à interagir avec les endpoints de nouvelles manières. Quel est le degré de contrôle des clients ? Qu’est-ce qui nécessite une mise à jour de l’agent fournie par le fournisseur ?
- Quel est l’état de la communauté d’utilisateurs ? D’autres clients partagent-ils des capacités qui vont au-delà de ce qui est « prêt à l’emploi » ?
Enfin, réfléchissez à la manière dont le produit répond à la partie « Réponse » de « EDR ». Les fonctionnalités de remédiation tactiques, telles que la destruction d’un processus ou l’isolement d’une machine sur le réseau, sont courantes parmi la plupart des outils dans cet espace (bien qu’elles puissent différer en termes d’échelle ou de capacité à orchestrer de telles actions). Mais tout aussi important , et souvent négligé , est de savoir si la solution peut réellement protéger les systèmes, compléter d’autres contrôles préventifs et réduire la surface d’attaque des endpoints. Les capacités clés dans ce domaine comprennent l’application du contrôle sur ce qui est autorisé à s’exécuter ou à communiquer sur le réseau, l’évaluation et le renforcement des paramètres de configuration de sécurité, et le maintien des niveaux de correctifs pour le système d’exploitation et les applications tierces. En d’autres termes, si une solution EDR ne fait que vous aider à détecter et à répondre rapidement aux attaques, cela ne rend pas votre organisation plus résiliente , mais ne vous aide pas à sortir du cycle de recompromission.
Tester, acheter et intégrer n’importe quel logiciel d’entreprise n’est jamais une tâche facile. Et chaque itération de rip-and-replace pour un produit qui n’a pas répondu aux attentes entraîne des risques et des dépenses opérationnels importants. Lorsque vous envisagez une solution EDR, j’espère que certains des points décrits dans ce billet de blog pourront aider votre organisation à former l’ensemble approprié de critères d’évaluation pour identifier le produit le mieux adapté à vos besoins.
Ryan Kazanciyan, Architecte en chef de la sécurité
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
