Alors que de plus en plus d’entreprises investissent dans l’automatisation numérique pour tout gérer, des opérations de support client au traitement des réclamations pour fraude, les responsables informatiques envisagent certaines questions délicates : les algorithmes finiront-ils par mettre leurs équipes hors service ou les déplacer vers différents rôles ?
Une cohorte au sein de l’informatique, cependant, adopte l’automatisation avec des bras ouverts : des équipes de cybersécurité significativement sous-chargées et surchargées. Depuis plus d’une décennie, l’offre d’analystes de sécurité est loin derrière la demande. En 2021, plus de 3,5 millions d’emplois en cybersécurité ne seront pas pourvus, selon Cybersecurity Ventures.
Pendant ce temps, le nombre de menaces auxquelles ces équipes sont confrontées explose. Les attaques de rançongiciel en 2020 ont été multipliées par sept par rapport à leur niveau de 2019 , selon une étude de Bitdefender. Une enquête de Ponemon, quant à elle, a révélé que 60 % du personnel du centre d’opérations de sécurité (SOC) affirment qu’ils envisagent de quitter leur emploi ou même de changer de carrière.
Pour les professionnels de la sécurité désireux de se démarquer un peu plus longtemps, l’aide est en route. Un nombre croissant d’ outils d’automatisation de la sécurité conçus pour gérer les tâches répétitives de bas niveau peut éliminer une grande partie du tédium requis pour la plupart des tâches de cybersécurité, ainsi qu’un nombre croissant de fonctions de niveau supérieur.
« Le burnout SOC n’est pas seulement une phrase secrète, c’est une réalité », déclare Neal Dennis, un spécialiste de la cyberveille pour Cyware, une société de cybersécurité basée à New York. « La mise en œuvre de l’automatisation réduirait une grande majorité des problèmes rencontrés par les analystes SOC. »
L’automatisation apporte plus qu’un soulagement aux équipes de cybersécurité. Il réduit les coûts de cybercriminalité et accélère les délais de résolution. Une juillet 2020 étude menée par IBM et Ponemon a révélé que les outils d’automatisation sont un facteur clé pour réduire le coût des violations de données. Le déploiement de logiciels qui automatisent le processus d’identification et d’atténuation des menaces permet aux organisations d’économiser en moyenne près de 3,6 millions USD par violation (contre un coût total moyen par violation d’un peu plus de 6 millions USD) et de réduire les créneaux de résolution d’environ 25 % (d’une moyenne de 308 jours à 234).
Sans surprise, le nombre d’organisations déployant une certaine forme d’automatisation de la sécurité est passé de 49 % à 59 % depuis 2018. La plus grande question, alors, est évidente : pourquoi d’autres organisations ne le font-elles pas ?
Le facteur non humain
L’une des raisons est que de nombreuses équipes d’intervention en matière de sécurité ne sont pas suffisamment sophistiquées pour tirer pleinement parti de l’automatisation, déclare Richard Stiennon, analyste de recherche en chef chez IT-Harvest.
« L’automatisation des réinitialisations de mot de passe est facile », déclare Stiennon. « Mais la recherche des menaces et le contournement automatique des connexions réseau constituent un cas d’utilisation plus sophistiqué. Moins d’entreprises sont en mesure de le faire. »
Au cours des dernières années, les SOC ont demandé aux opérateurs humains de répondre aux alertes, d’analyser les menaces et d’écrire ou de coder des règles en réponse. Aujourd’hui, les machines et les algorithmes gèrent de nombreuses tâches de sécurité nécessaires mais répétitives, telles que la gestion des privilèges d’accès, l’analyse des journaux ou la réponse aux menaces de bas niveau.
L’augmentation du nombre de personnes travaillant à distance au début de la pandémie a accéléré la nécessité d’automatiser un aspect de toute équipe de sécurité : la gestion des accès. Les systèmes de billetterie manuelle qui valident et autorisent les employés ne pouvaient pas répondre à la demande, selon Manav Mital, PDG de la société de sécurité des données cloud Cyral, ralentissant le processus et introduisant des erreurs.
« Chez Cyral, nous sommes fortement investis dans l’automatisation de la sécurité », déclare Mital. « Notre principe de fonctionnement principal est la « sécurité en tant que code ».
En remplaçant le provisionnement manuel par des scripts et des fichiers de configuration gérés par des machines, les responsables SOC peuvent minimiser les erreurs humaines et s’assurer que seules les personnes appropriées ont accès aux bonnes ressources, ajoute Mital.
« L’automatisation des réinitialisations de mot de passe est facile. Mais la recherche des menaces et le contournement automatique des connexions réseau constituent un cas d’utilisation plus sophistiqué. »Richard Stiennon, analyste de recherche en chef chez IT-Harvest
Les outils d’automatisation améliorent également la réponse aux incidents en consolidant les informations sur les menaces provenant de plusieurs sources, déclare Joe Partlow, directeur technique de ReliaQuest, une plateforme SaaS qui offre une visibilité sur l’ensemble de la pile de sécurité. Ils peuvent même fournir des réponses scriptées aux menaces de bas niveau, telles que le blocage des adresses IP suspectes ou l’émission automatique de réinitialisations de mot de passe.
« Nous ne serons jamais en mesure d’automatiser tout », déclare Partlow. « Mais si nous pouvons réduire le temps que les analystes passent à se connecter à différents outils et à répondre aux alertes bruyantes ou à faible impact, ils peuvent passer plus de temps sur l’analyse réelle des événements importants. »
Délai jusqu’au SOAR
Les organisations qui cherchent à faire évoluer les avantages de l’automatisation commencent à utiliser un ensemble plus large d’outils, appelés plateformes SOAR (Security Orchestration, Automation, and Response). Cela permet aux SOC d’intégrer des ressources qui pourraient autrement ne pas fonctionner ensemble, telles que des pare-feux ou des outils de détection et de réponse des endpoints (EDR) de fournisseurs concurrents, déclare Dennis de Cyware.
Grâce à SOAR, les analystes du centre d’exploitation peuvent générer un ticket basé sur une alerte de sécurité, l’enrichir avec du matériel provenant d’autres flux de renseignements, le transmettre à un moteur d’analyse des risques pour générer un score de menace, puis soit signaler la menace comme un faux positif, soit la transmettre à un analyste humain pour une étude plus approfondie.
« Ce qui pourrait prendre 10 ou 15 minutes à un analyste SOC de niveau 1 pourrait prendre quelques secondes à une plateforme d’orchestration », ajoute Dennis. « Cela permet aux analystes de faire de véritables recherches sur les incidents plus critiques. »
[Lire également : Comment Tanium permet l’orchestration, l’automatisation et la réponse de sécurité]
Le retour sur investissement peut être significatif. Les agences fédérales telles que le Département de la sécurité intérieure et l’armée américaine utilisent les plateformes SOAR comme multiplicateur de force, ce qui permet aux SOC en sous-effectif de réduire le temps nécessaire à l’analyse des menaces. Selon une étude de cas de Swimlane, un fournisseur de solutions SOAR, une agence gouvernementale qui traitait manuellement plus de 10 000 alertes de sécurité chaque jour a réduit le temps nécessaire pour analyser et remédier aux menaces de plus de 75 %, tout en maintenant les effectifs et en stimulant le moral du personnel.
Mais il existe des limites aux types de tâches de sécurité que toute organisation peut automatiser, bien sûr. Alors que les menaces augmentent en sophistication et en portée, les équipes de sécurité s’appuieront toujours sur le jugement humain pour passer des appels difficiles.
« Vous ne souhaitez pas isoler la machine du PDG du réseau parce que vous avez obtenu un faux positif », déclare Partlow de ReliaQuest. « Vous souhaitez vérifier plusieurs sources de vérité avant de faire quelque chose comme ça. Dès que vous commencerez à arrêter les machines, cela mettra fin rapidement à votre projet d’automatisation. »
Zéro jour après demain
Pour les responsables informatiques qui ne peuvent toujours pas doter complètement leurs équipes de talents externes ou d’employés requalifiés, les workflows automatisés peuvent servir de couverture critique contre la certitude que les risques ne feront que continuer à augmenter.
Alors que des dizaines de millions de nouveaux appareils se mettent en ligne au cours des prochaines années, augmentant considérablement la surface d’attaque de chaque organisation, le besoin de réponses automatisées augmentera considérablement, note Kenneth Mendelson, directeur général senior de Guidepost Solutions, un cabinet de conseil en sécurité mondial.
« Avec la présence croissante d’appareils IdO dans les réseaux, il sera essentiel d’automatiser la tâche d’identification de tous les appareils sur le réseau, ainsi que d’évaluer les vulnérabilités de ces appareils et de corriger les faiblesses », déclare-t-il.
Les organisations de sécurité qui ne mettent pas déjà en œuvre l’automatisation présentent de nouveaux risques, en partie parce que les pirates informatiques utilisent eux-mêmes des outils d’automatisation. « Nous avons déjà vu des exploits qui se propagent automatiquement, comme le ver NotPetya », déclare Stiennon, « et des attaques préprogrammées comme Stuxnet qui peuvent fonctionner indépendamment ».
Il est sur le point de s’aggraver. Les futures attaques par ransomware, ajoute-t-il, sont susceptibles d’utiliser une certaine forme d’IA pour comprendre le réseau, extraire des informations d’identification des endpoints et extraire des données. « Les attaques s’exécuteront en quelques minutes et un jour en quelques secondes », ajoute-t-il. « Le seul moyen de contrer cela est l’automatisation. »
