Le rythme des directives destinées à renforcer les pratiques de cybersécurité laxistes du gouvernement américain s’est accéléré. Ce mois-ci, l’administration Biden a ordonné à toutes les agences fédérales de corriger près de 300 cyber-vulnérabilités que les pirates informatiques peuvent utiliser pour infiltrer et endommager les réseaux informatiques gouvernementaux.
Mais c’était une directive précédente qui a provoqué des alarmes chez les experts en sécurité. Le 8 octobre, le Bureau américain de la gestion et du budget (OMB) a déclaré aux agences qu’elles avaient trois mois pour adopter plusieurs propositions clés. Parmi eux : prenez des mesures pour intégrer les outils de détection et de réponse des endpoints (EDR) dans les réseaux d’agences.
Cependant, ces outils ont fait l’objet d ’un examen récent. En effet, de nombreuses organisations des secteurs public et privé comptent trop sur elles et ne réalisent pas leurs limites. J.R. Cunningham, directeur de la sécurité chez Nuspire, un fournisseur de services gérés, avertit que si vous installez des produits EDR de manière incorrecte ou si vous pensez que leur portée est plus grande qu’elle ne l’est, l’impact peut être aussi désastreux pour les opérations réseau qu’une cyberattaque.
Cunningham cite souvent le cas d’un hôpital qui a essayé de déployer un produit EDR.
« Ils voulaient le niveau maximum de protection qu’ils pouvaient obtenir et exploser l’ensemble de leur réseau », dit-il. « Vous vous heurtez à des boutons et des cadrans qui peuvent être aussi perturbateurs pour la disponibilité qu’une attaque. »
En effet, les chercheurs ont récemment soulevé de sérieuses questions sur l’efficacité de l’EDR. Une étude de l’Université du Pirée en Grèce a utilisé des piratages simulés contre 11 produits EDR populaires qui sont régulièrement déployés par des agences gouvernementales et des entreprises privées. Les chercheurs, qui ont publié leurs résultats en juillet 2021, ont découvert que 50 % des cyberattaques simulées ont glissé par les EDR et n’ont pas généré d’alerte.
Malgré ces préoccupations, l’administration Biden souhaite paralyser la popularité généralisée des EDR parmi les entreprises privées dans le secteur public, pour montrer que les agences gouvernementales font des progrès dans le renforcement de leur cyberdéfense. Voici pourquoi l’approche EDR seule peut être dangereuse.
Pourquoi EDR ?
Les développeurs ont conçu des outils EDR pour détecter et répondre aux activités suspectes sur les endpoints, tels que les ordinateurs portables et les PC. Cependant, ces outils automatisés se limitent souvent à repérer uniquement les types d’attaques précédemment connus. Les organisations installent les produits en pensant qu’elles bénéficient d’une gamme beaucoup plus large de services, tels que la détection des menaces ou la capacité à surveiller de manière proactive l’ensemble d’un réseau d’entreprise.
« Ils voulaient le niveau maximum de protection qu’ils pouvaient obtenir et faire exploser l’ensemble de leur réseau. »J.R. Cunningham, CSO, Nuspire
Il peut être difficile d’évaluer la capacité et l’efficacité d’un produit EDR. En effet, les fonctions EDR sont ouvertes à l’interprétation. Les produits varient souvent en termes d’efficacité et d’objectif. Demandez à un fournisseur de fournir une définition de ce que son EDR est censé être et il présentera souvent son propre produit comme étant représentatif de l’ensemble du marché. Les cabinets de conseil et les consultants bousculent davantage les eaux en appliquant leur propre terminologie et des filtres sur les capacités des produits, présentant leurs résultats comme des faits.
Matt Brown, directeur de la sécurité chez Involta, fournisseur et consultant en cloud, déclare que les entreprises diront souvent qu’elles ont une approche EDR alors qu’en fait, elles utilisent uniquement des protocoles de sécurité basés sur la signature, qui reconnaissent des modèles tels que les logiciels malveillants dans le trafic réseau. « C’était bien il y a 20 ans », dit-il. « Ce n’est pas ce dont les gens ont besoin aujourd’hui. »
Pour faire face aux attaques de la chaîne d’approvisionnement, aux rançongiciels et aux expéditions de phishing sophistiquées d’aujourd’hui, les organisations ont besoin d’outils de sécurité modernes capables de lutter contre la cybercriminalité sur plusieurs fronts et d’être proactives dans la détection des menaces potentielles. Et ce n’est pas ce que les produits EDR de base offrent, disent les experts.
« Il y a beaucoup de bloat » sur les fonctionnalités et les avantages de l’EDR, déclare Ben Goodman, PDG de 4A Security & Compliance. Pour contrer cela, une nouvelle approche appelée détection et réponse étendues (XDR) peut potentiellement combler les lacunes laissées par les produits EDR. Mais cela complique également la tâche de cybersécurité. Par conséquent, de nombreuses entreprises ne savent pas comment gérer les produits et sont en train de se fatiguer. « Ils finissent par désactiver les alertes », déclare Brown, « ce qui va à l’encontre de l’objectif. »
L’EDR est un processus et non un outil
De nombreux experts affirment que l’EDR doit être appliquée comme un processus flexible, plutôt qu’un produit emballé. Les organisations doivent d’abord tenir compte de la faiblesse des produits EDR. Souvent, ils sont conçus pour ne voir que des types d’activité spécifiques sur les endpoints. Il existe donc des angles morts sur le réseau dans lesquels les attaquants peuvent se cacher. Les produits EDR limitent également souvent l’activité qu’ils enregistrent, afin de protéger la bande passante et la consommation de stockage.
« J’ai un client que j’ai amené à appeler Neo de The Matrix parce qu’il a esquivé tant de puces. »Ben Goodman, PDG, 4A Sécurité et conformité
D’autre part, les processus EDR, et non les produits, sont beaucoup plus efficaces pour assurer la sécurité d’une organisation. Ils surveillent les endpoints et se déplacent sur des réseaux entiers à la recherche d’activités suspectes. Les organisations peuvent ajouter ces processus pour localiser les menaces précédemment non définies. De plus, les stratégies de remédiation, une fois de plus, et non les produits, peuvent être adaptées au réseau d’une entreprise. Les équipes de sécurité peuvent ensuite tuer les processus indésirables, supprimer les clés de registre et désinstaller les services sur plusieurs systèmes simultanément.
Le processus EDR peut détecter bien plus que des outils EDR ou des logiciels antivirus traditionnels. « Il s’agit d’examiner les modèles comportementaux », déclare Goodman. « Mais ce qui est vraiment précieux, c’est la partie réponse. Cela peut extraire les systèmes du réseau » et, à une vitesse, une action manuelle ne correspondra jamais, dit-il.
Non seulement les dommages causés par une attaque nationale ou un code de rançongiciel sont limités, mais une organisation n’a pas besoin de tout supprimer et de le remonter une pièce à la fois, ce qui peut perturber une organisation pendant des jours. « J’ai un client que j’ai amené à appeler Neo de The Matrix parce qu’il a esquivé tant de puces », dit Goodman. « L’ensemble du travail à domicile a rendu le processus EDR plus important. »
Pratiquer l’EDR
Pour être efficaces, les processus EDR doivent être conçus par des professionnels de la sécurité qualifiés. Elles doivent inclure des architectures qui peuvent protéger toutes les vulnérabilités. Ces capacités ne sont généralement pas offertes par les produits EDR.
Les processus EDR ne sont pas non plus le type de plateforme qui peut être activé puis oublié. L’EDR ne doit pas non plus être une planche de cyberdéfense d’une organisation qui est exploitée indépendamment d’autres logiciels de sécurité. Les processus EDR doivent plutôt être soutenus par de bonnes stratégies de cyberhygiène telles que la gestion de l’ inventaire des actifs , la configuration du réseau et la gestion des correctifs . L’EDR n’est pas un outil Set-it-and-forget-it.
[Lire également : Ex-chef de la défense—« Nous sommes notre pire ennemi »]
« La technologie EDR n’est qu’une partie de la totalité de ce qu’est l’EDR », déclare Andrew Plato, pionnier de la sécurité depuis 25 ans et PDG actuel de la société de services professionnels Zenaciti. « Vous achetez un programme EDR, c’est formidable. Mais si vous n’avez pas de cabinet EDR, vous ne l’avez peut-être pas acheté. »
Ed Amoroso, ancien directeur de la sécurité de l’information chez AT&T et PDG du cabinet d’analystes TAG Cyber, déclare que les processus EDR nécessitent des mises à jour régulières pour soutenir leurs capacités de détection des menaces.
Avec l’EDR, il ajoute : « l’idée que l’endpoint doit être géré ne disparaît pas. »
