Qu’est-ce que la cyber-préparation ? Il s’agit d’une discipline de technologie de l’information (IT) qui implique une approche gauche de Bang de la gestion des endpoints, de la détection des menaces en temps réel et de la remédiation rapide des menaces. Dans les opérations de combat, une approche bang consiste à concevoir des opérations pour générer un avantage avant une attaque, le premier coup et l’explosion. Cela peut impliquer de mener un convoi au bon moment, de sélectionner la bonne route, de rechercher des acteurs malveillants ou de réagir à des événements de manière imprévisible qui confondent l’attaquant. À gauche, il faut rechercher les menaces, puis évaluer rapidement les risques et l’impact pour contrer ces menaces. En connectant ces idées à la gestion des endpoints, à la détection des menaces en temps réel et à la remédiation rapide des menaces, la visibilité devient le dénominateur commun. La visibilité est fondamentale pour la recherche et est une capacité fondamentale qui permet la cyberhygiène, la détection des menaces et l’évaluation des actions contre les menaces.
Dans un article de blog précédent, j’ai proposé cette équation comme un moyen succinct d’expliquer la cyber-préparation.
Cyberhygiène + Détection des menaces + Actions contre les menaces = Cyber préparation
Voici une explication rapide de chacun de ces éléments :
- La cyberhygiène se concentre sur les endpoints et les réseaux, garantissant que toutes les mesures de défense ont été prises de manière appropriée.
- La détection des menaces est, comme son nom l’indique, une détection rapide des menaces allant des attaques par rançongiciel qui arrêtent les appareils aux attaques par compromission des e-mails professionnels (BEC) qui incitent les employés à transférer des fonds aux criminels. La détection rapide et précise des menaces permet aux équipes de sécurité de les empêcher de se propager dans l’ensemble de l’organisation et de causer plus de dommages.
- Les actions contre les menaces impliquent de prendre des mesures pour arrêter les attaques et même, parfois, compromettre les capacités des attaquants.
Si une organisation exécute bien ces pratiques, elle améliorera considérablement sa cyber préparation, c’est-à-dire sa capacité à éviter et à résister aux cyberattaques.
Cyberhygiène : maintenir une santé optimale de notre environnement informatique
Examinons de plus près le premier de ces éléments : la cyberhygiène. L’hygiène, essentiellement un terme médical, fait référence à la pratique consistant à maintenir la santé et à prévenir les maladies grâce à la propreté. Dans le domaine de la cybersécurité, la cyberhygiène prévient les attaques en éliminant les vulnérabilités, les défauts logiciels, les failles de sécurité ou les mauvaises configurations. Ces efforts s’apparentent au lavage des mains pour éliminer les germes afin de prévenir la propagation de la maladie. Mark Rober l’a démontré dans sa vidéo YouTube « Comment voir l’expérience de propagation des germes » qui a démontré la facilité avec laquelle les germes se propagent.
La cyberhygiène fournit de nombreux parallèles à l’hygiène médicale dans la mesure où nous voulons éliminer les vulnérabilités ou les menaces, c’est-à-dire les moyens par lesquels un pirate informatique peut pénétrer notre réseau. Nous devons savoir ce qui se passe sur chaque endpoint (c’est-à-dire chaque ordinateur portable, ordinateur de bureau, serveur, appareil IoT, application cloud, etc.), quel que soit l’endroit où il se trouve et le réseau sur lequel il se connecte. En effet, nous avons besoin d’une collecte continue de données de cyberhygiène pour chaque endpoint que nous essayons de sécuriser. Et nous avons besoin de traitements (pensez aux politiques de sécurité informatique ou aux meilleures pratiques de renforcement des endpoints) pour aider à repousser les attaquants et restaurer les endpoints à leur pleine capacité opérationnelle. En termes techniques, nous avons besoin que notre environnement technologique soit pleinement opérationnel et exempt de défauts. Une approche bang positionne nos opérations informatiques et notre environnement de sécurité dans un état continu d’une santé optimale.
Étudions plus en détail les quatre exigences en matière de cyberhygiène.
Exigence n° 1 : visibilité complète
Notre première exigence est une visibilité complète : une visibilité sur chaque endpoint traitant les données de l’organisation ou se connectant à ses réseaux.
Une visibilité globale semble être un objectif évident qui peut être atteint grâce à un outil de surveillance de base. En réalité, la visibilité des endpoints est un défi pour la plupart des organisations informatiques, même celles qui ont investi massivement dans la cybersécurité. Les organisations disposent souvent de nombreux outils qui énumèrent leurs endpoints, et les résultats de ces différents outils sont constamment incohérents. Cette incohérence résulte à la fois d’une couverture inadéquate des endpoints et d’un BZO médiocre de l’environnement. Les outils sont déployés, mais pas entièrement opérationnels, ou l’outil n’est tout simplement pas déployé. Des audits détaillés des réseaux d’entreprise révèlent que la plupart des organisations négligent 10-20 % des endpoints.
Pourquoi cet écart de visibilité ? De nombreux produits de gestion des endpoints se limitent à travailler avec certains systèmes d’exploitation et certains types d’appareils, ou leur algorithme de découverte ne fonctionne qu’avec des appareils avec un logiciel de gestion des endpoints déjà installé. En d’autres termes, ces produits peuvent confirmer qu’ils savent ce que vous savez déjà, mais ils ne peuvent pas découvrir quoi que vous ayez négligé : les germes invisibles dans la vidéo YouTube de Mark Rober. Par conséquent, il existe un écart entre l’ensemble de tous les endpoints posant des menaces de cybersécurité et le plus petit ensemble d’endpoints que l’équipe de sécurité pense gérer.
Malheureusement, un adversaire tel qu’un gang de rançongiciels n’a besoin de violer qu’un seul endpoint pour s’implanter dans une organisation. Les équipes de sécurité ne peuvent pas se permettre de négliger un endpoint unique, et encore moins 10 % ou 20 % de leur parc d’endpoints.
Assurez-vous d’avoir un moyen de découvrir et de gérer tous les endpoints de votre environnement, y compris les endpoints des bureaux à domicile, des espaces de travail distants et des environnements cloud. Ensuite, vous aurez satisfait à la première exigence importante en matière de cyberhygiène.
Exigence n° 2 : visibilité en temps réel
Une fois que vous avez établi une visibilité complète, vous devez vous assurer d’avoir une visibilité continue et en temps réel sur l’intégrité de tous vos endpoints, qu’ils soient locaux ou distants. Un avantage décisionnel est essentiel à une approche bang gauche ; cet avantage est alimenté par les données des endpoints.
Assurez-vous de pouvoir répondre à ces questions :
- De quel type d’endpoint s’agit-il ?
- Quel logiciel y a été installé ?
- Quels outils de sécurité sont installés, configurés et sains sur l’endpoint ?
- Quels processus sont exécutés sur l’endpoint ?
- Si l’endpoint était impliqué dans une activité à risque, avec quels autres endpoints communiquait-il ?
Les équipes de sécurité doivent pouvoir répondre rapidement à ces questions en enrichissant et contextualisant les événements ou les risques avec les données des endpoints. Alors que les fonctions commerciales déterminent si un endpoint fait partie de Key-Cyber Terrain (KCT), la visibilité en temps réel permet aux données de contextualiser les risques et l’impact si un adversaire saisit un endpoint KCT. Si une attaque est en cours, consulter un rapport de conformité, de modification ou de configuration du mois dernier produira un aperçu minimal lorsqu’il est comparé à une visibilité en temps réel. Pour réagir rapidement et efficacement, vous devez savoir quel logiciel est installé et actif maintenant, afin de comprendre les vulnérabilités et les menaces logicielles. Vous devez également être en mesure de voir ce qui se passe sur n’importe quel endpoint à tout moment. Vous devez être un chasseur avec un état d’esprit bang . Vous devez détecter les processus, activités et comportements qui n’appartiennent pas à l’endpoint.
La visibilité en temps réel est un outil clé pour la planification, la prise de décision et la détection des menaces. C’est donc un élément essentiel de la cyberhygiène.
Exigence n° 3 : Visibilité approfondie des logiciels – Informations sur la nomenclature des logiciels (SBOM)
La vulnérabilité logicielle Log4Shell (ou Log4j) (CVE-2021-44228), signalée pour la première fois sur 9 décembre 2021, a changé à jamais le travail de cybersécurité de l’entreprise. Il s’agissait d’un composant logiciel open source largement utilisé, intégré dans des milliers d’applications commerciales, y compris des applications provenant des noms les plus fiables du secteur des logiciels, qui se sont révélées vulnérables aux attaques. Dans certains scénarios, la vulnérabilité pourrait donner aux cybercriminels un contrôle total sur l’exécution des processus, leur permettant d’exécuter tous les programmes ou commandes shell auxquels les applications pourraient accéder.
Dans la plupart des grandes organisations, le composant Log4Shell a été intégré non seulement dans les applications commerciales, mais également dans les applications développées en interne, élargissant considérablement la recherche. Un correctif était disponible, en supposant que vous puissiez trouver tous les emplacements où Log4j a été installé. Mais ce processus de découverte était difficile et chronophage, en partie parce que la portée était si vaste et comprenait de nombreuses applications, mais également parce que les Log4Shell artefacts étaient regroupés dans des archives d’archives au sein des applications JAVA.
Pendant ce temps, les attaquants étaient occupés. Dans les 72 heures suivant l’annonce de la vulnérabilité, les cybercriminels ont lancé plus de 800 000 attaques tirant parti de la vulnérabilité.
Log4Shell a placé la barre plus haut en matière d’hygiène en matière de cybersécurité. Avant Log4Shell, les équipes de sécurité pouvaient pratiquer une bonne gestion des correctifs en assurant le suivi des applications et des niveaux de correctifs. Après Log4Shell, les équipes de sécurité ont réalisé qu’elles avaient besoin d’une loupe ou d’une lumière infrarouge (IR) pour les germes invisibles à l’œil humain. Elles avaient besoin de visibilité sur tous les composants de chaque application et service exécutés sur leurs réseaux. En termes de chasse au combat, nous voulons de la visibilité à toute heure de la journée ; nous avons besoin de lunettes de vision nocturne afin de pouvoir voir les logiciels pour évaluer les menaces, les vulnérabilités, l’hygiène et la préparation.
En d’autres termes, les équipes de sécurité ont désormais besoin d’une visibilité en temps réel sur les nomenclatures logicielles (SBOM). Une SBOM est la liste de tous les composants composant une application ou un service à tout moment. Ce n’est qu’avec ce niveau d’analyse détaillée que les équipes de sécurité peuvent être prêtes à réagir lorsque la vulnérabilité du composant logiciel suivant est annoncée. Et étant donné l’utilisation intensive des bibliothèques open source populaires, la complexité des logiciels et la probabilité de défauts de conception, une autre annonce similaire à Log4j est inévitable.
Il convient de noter qu’une capacité développée en 2007 n’a pas été conçue pour le problème SBOM Log4j . Les capacités modernes sont extensibles, adaptables et agiles. Les cybercapacités modernes ressemblent plus à un langage informatique qu’à une fonction monolithique au sein d’un programme. C’est là que les opportunités et le travail se croisent dans l’histoire de la cyber-réussite. La possibilité de créer du contenu personnalisé est un outil essentiel pour voir les menaces de demain. Le temps et l’espace sont les LimFacs dans ce défi ; nous n’avons peut-être pas besoin de toutes les données, juste les bonnes données pour prendre la bonne décision pour prendre la bonne mesure en temps opportun.
C’est pourquoi les informations sur la SBOM sont désormais une exigence essentielle pour la cyberhygiène.
Exigence n° 4 : variance de configuration (opérations de correction et gestion des logiciels)
Nous avons parlé de trouver tous les endpoints et de comprendre leurs vulnérabilités et risques. Nous avons maintenant besoin d’un moyen de les renforcer en nous assurant que chaque endpoint dispose de la bonne configuration en installant des correctifs, en utilisant une gestion logicielle active et en configurant correctement chaque endpoint. Rendre les endpoints résilients aux attaques implique une prévisibilité où l’organisation minimise les écarts de configuration. En substance, chaque endpoint est dans la configuration prescrite.
Pour poursuivre notre métaphore de l’hygiène, une mauvaise hygiène entraîne des facteurs de risque ; à l’inverse, une bonne hygiène augmente la santé et la résilience en éliminant les germes qui peuvent causer des maladies. Nous allons maintenant appliquer une approche bang pour améliorer la préparation de notre environnement en maintenant notre environnement propre contre les vulnérabilités, les erreurs de configuration et les anciens logiciels.
Chaque organisation dispose d’outils qu’elle utilise pour installer des correctifs et déployer des logiciels ; ces outils sont souvent des solutions ponctuelles qui consomment du temps et des efforts. L’effet est que des résultats médiocres sont obtenus grâce au temps et aux efforts. Les indicateurs de performance sont importants, mais l’impact plus important sur la cyber-préparation réside dans la variance de la configuration de tous les endpoints. Le rythme d’application de correctifs et de déploiement de logiciels est important, mais la prise en charge de plusieurs configurations augmente la complexité et entraîne une approche réactive axée sur la conformité, les données obsolètes et les rapports historiques. Cela peut être dû à un trop grand nombre d’outils, entraînant des processus de gestion de la configuration complexes et incohérents, ou le problème pourrait être le mauvais outil, une dette de connaissances technologiques au sein de l’organisation et une approche « travailler plus dur, pas plus intelligente » de la gestion de la configuration.
Lorsque vous vous appuyez sur cinq ou dix outils différents pour analyser les appareils, évaluer les vulnérabilités, installer des correctifs, confirmer que les correctifs sont réellement installés (avec de nombreux outils, les rapports de réussite peuvent être largement exagérés) et générer des rapports pour les audits et la conformité, le workflow lui-même devient un nouveau type de risque. Les étapes peuvent être manquées ou retardées. Les formats de données et de rapports peuvent varier. Les détails clés peuvent être négligés. Les processus peuvent être dangereusement prolongés.
En revanche, une gestion efficace des correctifs est capable de :
- Agir sur les informations sur le statut des correctifs et SBOM recueillies par d’autres outils et workflows de gestion des endpoints
- Installation rapide et efficace des correctifs sans compromettre les performances des endpoints ou du réseau
- Génération de rapports sur le statut en temps réel des endpoints
- Aider les équipes de sécurité à trouver et résoudre rapidement les problèmes lorsque de nouvelles attaques zero-day sont annoncées
- Intégration à d’autres aspects de la gestion des endpoints pour des transferts transparents entre les opérations des endpoints
En centralisant les outils sur une seule plateforme, les équipes technologiques peuvent éliminer les retards de correction tout en garantissant l’authenticité des logiciels introduits dans leur environnement, ce qui entraîne une source de données faisant autorité, précise, disponible et activement gérée. En vérité, les organisations informatiques numériques modernes ont de nombreuses équipes, et chaque équipe a besoin d’une image de site commune qui élargit la recherche dans une approche à gauche. Les organisations atteignent la quatrième exigence en matière de cyberhygiène en élevant toutes les équipes à l’intersection du travail et des opportunités où la collaboration peut mener des activités qui minimisent la variance de configuration et garantissent que le réseau est toujours dans un état connu.
Cyberhygiène : un élément essentiel de la cyberpréparation
Répondre aux quatre exigences en matière de cyberhygiène permettra aux organisations de connaître et de comprendre l’état de leur environnement. Le résultat sera un niveau plus élevé de cyber-préparation qui réduit les surfaces d’attaque, durcit les endpoints et positionne le collectif d’endpoints pour être propre ou exempt de vulnérabilités. Lorsque les équipes au sein de l’organisation partagent une vision commune informée des menaces, une solution efficace de gestion des endpoints permet aux organisations de façonner leur environnement grâce au travail d’équipe, à la cyberhygiène et à un aperçu de la variance de configuration de leur parc d’endpoints. Ce niveau de sensibilisation crée un avantage décisionnel qui favorise l’agilité, l’adaptabilité et la sensibilisation aux menaces.
En savoir plus sur la plateforme Tanium et son rôle dans la gestion des endpoints, y compris l’application de correctifs et la conformité.
