Ne serait-ce pas formidable si vous pouviez regrouper tous vos risques liés à la cybersécurité et concevoir une « boîte à astuces » pour les neutraliser ? Cela vous faciliterait grandement la vie.
Pour de nombreuses organisations, les plateformes de détection et de réponse au niveau des terminaux (EDR) semblent justement remplir cette fonction. Elles constituent une première ligne de défense simple en collectant, en stockant et en analysant les données provenant des appareils des employés et d'autres terminaux afin de détecter les signes d'une intrusion informatique. Mais cela ne rend pas nécessairement votre réseau plus sûr.
Des chercheurs de l'université du Pirée, en Grèce, ont récemment démontré ce. Dans le cadre d'une expérience, ils ont lancé des attaques simulées contre 11 produits EDR courants, régulièrement déployés par les administrations publiques et les entreprises privées.
À l'aide de techniques de phishing de type « spear-» et d'outils de diffusion de logiciels malveillants, ainsi que d'outils permettant de se déplacer latéralement au sein du réseau d'une organisation, les chercheurs ont cherché à répondre à quatre questions cruciales : L'EDR est-il capable de détecter l'attaque ? Quels sont ses points faibles ? Quels types de données utilise-t-il pour générer des alertes ? Et pourriez-vous réduire le bruit global dans la télémétrie ou la collecte de données afin de mieux détecter les menaces ?
Il en résultait bien trop souvent un échec sur tous les fronts. Sur les 20 attaques lancées par l'équipe, la moitié ont abouti sans déclencher d'alerte.
« Il est assez inquiétant qu’aucun des EDR n’ait réussi à détecter l’ensemble des attaques », conclut l’étude. « Plus précisément, 10 attaques ont abouti… et aucune alerte n’a été émise ; trois attaques ont abouti, mais ont donné lieu à une alerte de faible importance ; une attaque n’a pas abouti, mais n’a pas déclenché d’alerte ; et six attaques ont été détectées et correctement signalées par les EDR. »
Au sein des équipes chargées de la sécurité informatique, les produits EDR ont gagné en popularité, grâce à leur facilité d'utilisation et à la conviction que les terminaux « » peuvent fournir les données les plus complètes sur les intrus potentiels. Cependant, à mesure que les menaces de sécurité ont évolué, la surface d'attaque a elle aussi évolué. Ce ne sont pas seulement les ordinateurs portables et les téléphones portables qui sont la cible d'attaques. Il s'agit de serveurs sur site, d' d'applications cloud et de plateformes existantes. Pour compliquer encore davantage la situation, les EDR ne peuvent détecter que certains types d'actions suspectes, ou d'activités malveillantes « connues », sur un réseau.
De ce fait, les administrations publiques et les entreprises de toutes tailles ne peuvent plus se contenter de s'appuyer uniquement sur les solutions EDR pour se protéger contre ces menaces. Il leur en faut davantage.
Lorsque les EDR ne suffisent pas
Le secret, c'est de savoir s'adapter en utilisant de nouveaux outils, lorsque cela s'avère nécessaire, et d'adopter un nouvel état d'esprit.
« L’EDR n’est pas un boîtier que l’on sort d’une étagère et que l’on branche », explique Matt Marsden, vice-président chargé de la gestion technique des comptes pour le secteur public chez Tanium. « L’EDR est une combinaison d’outils, d’équipes et de processus. » « Il s’agit d’une approche nuancée : il faut comprendre les renseignements sur les menaces et agir plus vite que les cybercriminels. »
«» Il ne s’agit pas seulement de protection des terminaux. Il s'agit des données aberrantes, des anomalies et de la détection des écarts par rapport à la norme. »Matt Marsden, vice-président chargé de la gestion technique des comptes pour le secteur public chez Tanium
Dave Gruber, analyste senior en cybersécurité chez ESG, affirme que les organisations subissent une pression croissante pour élaborer des stratégies de sécurité informatique leur permettant de prendre en compte un éventail plus large de réseaux et d'appareils informatiques. « La prévention ne permettra pas d’empêcher tout », dit-il.
Une approche dite « détection et réponse étendues » (XDR) devrait permettre de combler certaines lacunes. XDR est une suite d'outils intégrée qui couvre les architectures informatiques hybrides, permettant aux organisations de regrouper en un seul système les points de contrôle, les données issues de la télémétrie de sécurité et les analyses opérationnelles.
Pensez au processus, pas seulement au produit
Si l'adoption de l'approche XDR constitue un pas dans la bonne direction, il est essentiel de la considérer comme une stratégie ou un processus évolutif, susceptible d'être mis à jour, plutôt que comme un produit figé. Et elle devrait utiliser des outils qui ne se contentent pas de surveiller les intrusions, mais qui explorent également activement les réseaux afin de localiser les intrus.
« Cela va bien au-delà de la simple protection des terminaux », explique M. Marsden. « Il s’agit également d’une recherche active ou proactive, visant à identifier les incohérences et à mettre en place des mesures correctives adaptables. » « Il s’agit des données aberrantes, des anomalies et de la détection des écarts par rapport à la norme. »
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
La recherche de menaces est un outil essentiel en matière de cybersécurité. Cela aide les équipes informatiques à réorienter leur approche, en passant d'une gestion réactive des incidents à une prévention proactive des incidents. Cela exige de la créativité et de l'ingéniosité ; sans cela, les risques pesant sur votre réseau ne sont pas toujours faciles à identifier. Au moment où une solution EDR tierce vous alerte d'une fuite de données, ou lorsque vous recevez une demande de rançon de la part du ransomware « », le mal est peut-être déjà fait pour votre système et le coût de la remise en état pourrait s'avérer très élevé.
Alors que de plus en plus d’organisations passent d’une approche consistant uniquement à prévenir les cyberintrusions à une approche qui inclut la détection des compromissions du réseau et l’atténuation de l’impact des attaques, il est essentiel qu’elles mettent en place des stratégies adaptables, capables de détecter les menaces potentielles, de mettre en œuvre des mesures correctives et de surveiller les violations de sécurité.
Les chercheurs grecs ont conclu leur rapport par quelques conseils avisés. Afin de prévenir les cyberattaques, affirment-ils, les organisations devraient adopter une « approche globale », déployer un large éventail d'outils de sécurité et « ne pas se reposer uniquement sur une seule solution ».
