Le rythme des directives visant à renforcer les pratiques laxistes du gouvernement américain en matière de cybersécurité s'est accéléré. Ce mois-ci, l'administration Biden a ordonné à toutes les agences fédérales de corriger près de 300 failles de sécurité que des pirates informatiques pourraient exploiter pour s'infiltrer dans les réseaux informatiques du gouvernement et y causer des dommages.
Mais c'est une directive antérieure qui a suscité l'inquiétude des experts en sécurité. Le 8 octobre, le Bureau américain de la gestion et du budget (OMB) a informé les administrations qu'elles disposaient de trois mois pour adopter plusieurs propositions clés. Parmi celles-ci : prendre des mesures pour intégrer des outils de détection et de réponse au niveau des terminaux (EDR) dans les réseaux des administrations.
Ces outils font toutefois l'objet d'une attention accrue de la part d' . En effet, de nombreuses organisations, tant dans le secteur public que dans le secteur privé, s'appuient excessivement sur ces outils et ne prennent pas conscience de leurs limites. J.R. Cunningham, responsable de la sécurité chez Nuspire, un fournisseur de services gérés, met en garde : si vous installez des produits EDR de manière incorrecte ou si vous estimez que leur champ d'action est plus étendu qu'il ne l'est en réalité, les conséquences peuvent s'avérer aussi désastreuses pour le fonctionnement du réseau qu'une cyberattaque.
M. Cunningham cite souvent le cas d'un hôpital qui a tenté de mettre en place un produit EDR.
« Ils voulaient bénéficier du niveau de protection le plus élevé possible et ont complètement bouleversé leur réseau », explique-t-il. « Vous manipulez des boutons et des molettes qui peuvent nuire à la disponibilité autant qu’une attaque. »
En effet, des chercheurs ont récemment soulevé de sérieuses questions quant à l'efficacité de l'EDR. Une étude intitulée « » menée à l'université du Pirée, en Grèce, a consisté à simuler des attaques informatiques contre 11 produits EDR courants, régulièrement déployés par des organismes publics et des entreprises privées. Les chercheurs, qui ont publié leurs conclusions dans la revue « juillet 2021 », ont constaté que 50 % des cyberattaques simulées avaient échappé aux solutions EDR et n'avaient pas déclenché d'alerte.
Malgré ces inquiétudes, l'administration Biden tient à tirer parti de la grande popularité des EDR auprès des entreprises privées pour les étendre au secteur public, afin de montrer que les organismes publics progressent dans le renforcement de leur cyberdéfense. Voici pourquoi l'approche EDR, à elle seule, peut s'avérer dangereuse.
Pourquoi l'EDR ?
Les développeurs ont conçu des outils EDR afin de détecter les activités suspectes sur les terminaux, tels que les ordinateurs portables et les PC, et d'y réagir. Mais ces outils automatisés se limitent souvent à détecter uniquement les types d'attaques déjà connus. Les entreprises déploient ces produits en pensant bénéficier d'une gamme de services bien plus étendue, comme la détection des menaces ou la possibilité de surveiller de manière proactive l'ensemble du réseau de l'entreprise.
«Ils voulaient bénéficier du niveau de protection le plus élevé possible et ont fait exploser l’ensemble de leur réseau. »J.R. Cunningham, directeur de la sécurité (CSO), Nuspire
Il peut être difficile d'évaluer les capacités et l'efficacité d'un produit EDR. En effet, les fonctions de l'EDR sont sujettes à interprétation. L'efficacité et la finalité des produits varient souvent. Demandez à un fournisseur de vous donner une définition de ce que devrait être son EDR, et il vous présentera souvent son propre produit comme étant représentatif de l'ensemble du marché. Les cabinets de conseil et les consultants brouillent encore davantage les pistes en appliquant leur propre terminologie et leurs propres critères d'évaluation aux fonctionnalités des produits, et en présentant leurs conclusions comme des faits avérés.
Matt Brown, directeur de la sécurité chez Involta, fournisseur de services cloud et cabinet de conseil, explique que les entreprises affirment souvent disposer d’une solution EDR alors qu’en réalité, elles se contentent d’utiliser des protocoles de sécurité basés sur les signatures, qui identifient des modèles tels que les logiciels malveillants dans le trafic réseau. « Ça, ça marchait il y a 20 ans », dit-il. « Ce n'est pas ce dont les gens ont besoin aujourd'hui. »
Pour faire face aux attaques visant la chaîne d'approvisionnement, aux ransomwares de type « » et aux campagnes de phishing sophistiquées, les entreprises ont besoin d'outils de sécurité modernes, capables de lutter contre la cybercriminalité sur plusieurs fronts et de détecter de manière proactive les menaces potentielles. Et ce n'est pas ce qu'offrent les produits EDR de base, affirment les experts.
[Read also: Endpoint detection and response 101—what EDR is and where it falls short]
« Il y a beaucoup d’exagérations » concernant les fonctionnalités et les avantages de l’EDR, déclare Ben Goodman, PDG de 4A Security & Compliance. Pour y remédier, une nouvelle approche appelée « détection et réponse étendues (XDR) de l' » pourrait permettre de combler les lacunes laissées par les produits EDR. Mais cela complique également la tâche en matière de cybersécurité. De ce fait, de nombreuses entreprises ne savent pas comment gérer ces produits et commencent à en avoir assez. « Ils finissent par désactiver les alertes », explique M. Brown, « ce qui va à l'encontre du but recherché. »
L'EDR est un processus, et non un outil
De nombreux experts estiment que l'EDR devrait être mis en œuvre comme un processus flexible, plutôt que comme un produit prêt à l'emploi. Les organisations doivent tout d'abord tenir compte des faiblesses des produits EDR. Souvent, elles sont conçues pour ne détecter que certains types d'activités spécifiques sur les terminaux. Il existe donc des zones d'ombre sur le réseau où les pirates peuvent se cacher. Les produits EDR limitent également souvent les activités qu'ils enregistrent, afin de préserver la bande passante et de réduire la consommation d'espace de stockage.
«J’ai un client que j’ai pris l’habitude d’appeler Neo, comme dans Matrix, car il a échappé à tant de situations périlleuses. »Ben Goodman, PDG de 4A Security & Compliance
En revanche, les processus EDR ( ) de gestion des — et non des produits — sont bien plus efficaces pour assurer la sécurité d'une organisation. Ils surveillent les terminaux et parcourent l'ensemble des réseaux à la recherche d'activités suspectes. Les organisations peuvent intégrer ces processus afin de détecter des menaces jusqu'alors non identifiées. Par ailleurs, les stratégies de remédiation — je le répète, il ne s'agit pas de produits — peuvent être adaptées au réseau d'une entreprise. Les équipes de sécurité peuvent alors mettre fin aux processus indésirables, supprimer des clés de registre et désinstaller des services sur plusieurs systèmes simultanément.
Le processus EDR permet de détecter bien plus de menaces que les outils EDR ou les logiciels antivirus traditionnels. « Il s’agit d’étudier les schémas comportementaux », explique M. Goodman. « Mais ce qui a vraiment de la valeur, c’est la partie consacrée aux réponses. » « Cela permet de déconnecter des systèmes du réseau », et ce à une vitesse qu’une intervention manuelle ne pourra jamais égaler, précise-t-il.
Non seulement les dégâts causés par une attaque menée par un État ou par un logiciel de rançon sont limités, mais une entreprise n'a pas non plus à mettre l'ensemble de ses systèmes hors service puis à les remettre en marche un par un, ce qui peut perturber son activité pendant plusieurs jours. « J’ai un client que j’ai pris l’habitude d’appeler Neo, d’après The Matrix , car il a esquivé tant de balles », explique M. Goodman. « Toute cette histoire d’ , de télétravail a renforcé l’importance du processus EDR. »
Mise en pratique de l'EDR
Pour être efficaces, les processus EDR doivent être conçus par des professionnels de la sécurité qualifiés. Elles devraient inclure des architectures capables de protéger contre toutes les vulnérabilités. Ces fonctionnalités ne sont généralement pas proposées par les produits EDR.
Les processus EDR ne constituent pas non plus le genre de plateforme que l'on peut simplement activer puis oublier. L'EDR ne devrait pas non plus constituer un pilier de la cyberdéfense d'une organisation s'il est exploité indépendamment des autres logiciels de sécurité. Les processus EDR doivent plutôt s'appuyer sur de bonnes pratiques de cyberhygiène , des stratégies de sécurité telles que , l'inventaire des actifs , la gestion des configurations réseau et la gestion des correctifs . L'EDR n'est pas un outil que l'on configure une fois pour toutes.
[À lire également : Un ancien ministre de la Défense : « Nous sommes notre pire ennemi »]
« La technologie EDR ne représente qu’une partie de ce qu’est l’EDR dans son ensemble », déclare Andrew Plato, pionnier du secteur de la sécurité depuis 25 ans et actuellement PDG de la société de services professionnels Zenaciti. « Vous achetez un logiciel EDR, c'est très bien. « Mais si vous ne mettez pas en œuvre les pratiques liées à l'EDR, autant ne pas l'avoir acheté. »
Ed Amoroso, ancien responsable de la sécurité informatique chez AT&T et PDG du cabinet d'analyse TAG Cyber, affirme que les processus EDR nécessitent des mises à jour régulières pour garantir leur efficacité en matière de détection des menaces.
Avec l’EDR, ajoute-t-il, « l’idée selon laquelle l’ des terminaux doit être gérée ne disparaît pas pour autant ».
