Les outils EDR — à l'instar des produits d'analyse judiciaire qui les ont précédés — s'adaptent à de nombreux cas d'utilisation dans lesquels les solutions EPP s'avèrent insuffisantes. Pourtant, une stratégie de sécurité des terminaux efficace et intègre des solutions EDR et EPP autonomes, ce qui vous permet de faire face à la grande diversité d'incidents courants dans tout environnement d'entreprise.
(Image : Macedo Media/Pixabay)
Le marché actuel de la sécurité des terminaux regorge de solutions de type « Endpoint Protection Platform » (EPP) qui intègrent certaines fonctionnalités d’« Endpoint Detection and Response » (EDR), de solutions EDR de type « » qui intègrent certaines fonctionnalités EPP, ainsi que de solutions antivirus « traditionnelles » qui se battent pour conserver leur place et rester dans la course face à ces nouveaux concurrents. Alors que 70 % des organisations prévoient d’augmenter leurs dépenses en matière de cybersécurité (s’ouvre dans un nouvel onglet), la sécurité des terminaux constituant un domaine prioritaire, le flot incessant de nouvelles attaques rendues publiques, associé aux promesses audacieuses et agressives des fournisseurs, engendre incertitude et frustration. Ces mêmes facteurs ont également inspiré de nombreux produits de sécurité qui, pourrait-on dire, font de mauvais compromis en matière de conception et de fonctionnalités afin de susciter un engouement initial auprès du grand public.
La course à la simplification de la sécurité des terminaux — et la nécessité de s'adapter aux contraintes architecturales de nombreux outils — a conduit à un recours excessif à la télémétrie d'analyse. La quasi-totalité des produits de ce secteur (y compris Tanium Threat Response) proposent une « boîte noire » côté client qui enregistre en continu les événements au niveau du système d'exploitation : exécution des processus, connexions réseau, opérations sur les fichiers, etc. Ce type de données peut s'avérer inestimable pour mener des enquêtes rétrospectives sur des attaques, ainsi que pour détecter et bloquer les activités indésirables.
Cependant, les terminaux contiennent également d’innombrables autres éléments, qui ne relèvent pas du champ d’application de cette télémétrie mais qui restent essentiels pour de nombreuses techniques courantes de détection et d’intervention. Envisagez la nécessité d'analyser les journaux d'applications décentralisées (par exemple, ceux générés par les serveurs web) à la recherche d'un schéma d'attaque spécifique, ou d'effectuer une recherche à grande échelle sur d'importants volumes de données, tels que les fichiers stockés sur disque. Les outils EDR efficaces associent un accès à l'échelle de l'entreprise aux données télémétriques historiques à des informations sur les états actuels, qui sont réparties sur l'ensemble des systèmes.
Dans la pratique, j’ai constaté plusieurs limites courantes au niveau des fonctionnalités EDR proposées par des outils initialement conçus pour la gestion des politiques de sécurité (EPP). Le premier se manifeste lorsqu'un outil EPP est déployé dans un nouvel environnement ou sur un ensemble de systèmes qui ont déjà été compromis. La télémétrie des terminaux, les alertes et les workflows axés sur la prévention ne vous aident qu’en cas d’événements récurrents ou nouveaux. Ces outils ne permettent pas de traiter les sources de preuves existantes qui pourraient être conservées de manière native par le système d'exploitation et les applications. Vous devrez peut-être effectuer des recherches dans les journaux d'événements du système d'exploitation, dans des éléments tels que les enregistrements Prefetch ou dans des fichiers stockés créés il y a longtemps. Sans cette capacité, vous risquez de mal évaluer l'ampleur d'un incident.
Le deuxième exemple se présente lorsque l'on examine l'activité d'un terminal qui n'a pas déclenché de règle de prévention ou d'alerte. De nombreux outils EPP s'attachent à enregistrer l'historique et le contexte d'un événement de détection, ce qui implique de ne conserver que peu de données télémétriques détaillées (voire aucune) lorsque tout semble normal. Ce phénomène est particulièrement fréquent pour les produits qui reposent sur la centralisation de toutes les données dans le cloud, car cela a un impact direct sur leurs coûts d'exploitation. Cependant, cela peut également entraver votre capacité à rechercher ou à collecter de manière adéquate les données des terminaux provenant de systèmes qui n’ont pas généré d’alerte, en particulier si vous devez obtenir des réponses à grande échelle en quelques minutes.
Les outils EDR offrent la souplesse nécessaire pour s'adapter à de nombreux cas d'utilisation
Les outils EDR, à l'instar des produits d'analyse judiciaire qui les ont précédés, s'adaptent à de nombreux cas d'utilisation. Un outil de sécurité des terminaux flexible doit vous aider à faire face à la grande diversité d'incidents courants dans tout environnement d'entreprise. Envisagez les scénarios suivants :
- Cas d'abus ou de licenciement d'un salarié - « Quels fichiers Jane a-t-elle copiés sur des disques externes au cours de la semaine dernière ? »
- Fuites de données accidentelles - « Quelqu’un a mis la main sur un tableau Excel contenant les salaires et l’a fait circuler. » « Recherchez tous les systèmes sur lesquels se trouve ce fichier. »
- Attaques au niveau de la couche application - « Cet exploit Struts laisse une trace caractéristique dans les journaux du serveur web. » « Recherchez tous les systèmes qui contiennent cette entrée. »
- Attaques visant la chaîne d'approvisionnement logicielle - « Un éditeur de texte utilisé par la plupart de nos ingénieurs vient d'être victime d'une mise à jour malveillante que aucun logiciel anti-malware ne détecte. » « Qui a été touché et y a-t-il eu une activité post-infection ? »
- Dépannage - « L'équipe informatique soupçonne une application tierce d'être à l'origine des écrans bleus. » « Identifiez tous les systèmes présentant des fichiers de vidage mémoire et déterminez s'il existe une corrélation. »
La plupart des produits EPP n'ont pas été conçus avec la souplesse nécessaire pour faire face à ce type d'incidents. Ils sont conçus pour bloquer certaines catégories d'exploits, de fichiers binaires malveillants ou d'activités post-compromission au niveau du système d'exploitation.
En limitant le champ des données que vous collectez et analysez, vous risquez également de passer à côté de nouvelles techniques d'attaque que les outils axés sur la prévention ne sont pas encore en mesure de bloquer de manière fiable. Vos intervenants de première ligne peuvent avoir besoin de travailler à partir d'événements très précis, mais votre équipe d'intervention en cas d'incident informatique (CIRT) et votre équipe de recherche active doivent être en mesure d'explorer et d'analyser l'intégralité des données provenant d'un terminal, et pas seulement celles signalées comme suspectes. Cela leur permet d'établir une base de référence des activités au sein de groupes d'ordinateurs et d'utilisateurs, de détecter de nouveaux types d'anomalies et de mettre en place de nouveaux mécanismes de détection pouvant être automatisés à l'avenir.
Les pirates continuent de perfectionner leurs techniques d'attaque
L'évolution des attaques basées sur PowerShell en est un bon exemple. Les intrus ont fait évoluer leurs techniques d'attaque, passant de l'exécution de scripts malveillants à diverses méthodes, notamment des commandes « one-liner » qui transmettent du code de script sous forme d'arguments, des techniques furtives utilisant le framework d'automatisation PowerShell pour éviter la création de shell, ainsi que des techniques d'obfuscation visant à échapper à la détection basée sur des mots-clés. Le contournement des contrôles d'application à l'aide de .NET et d'autres interpréteurs de code natif constitue un autre exemple de domaine de recherche sur les attaques en pleine évolution, dans lequel les outils EPP peinent à suivre le rythme de manière fiable . Si votre stratégie de sécurité des terminaux repose sur des règles de prévention de type « boîte noire » adaptées au plus petit dénominateur commun, vous aurez toujours un temps de retard sur les nouvelles techniques d'attaque.
Enfin, l'efficacité d'une solution de sécurité axée sur la prévention dépend entièrement de son niveau de couverture — ainsi que de sa capacité à maintenir un état opérationnel et une configuration optimaux — dans l'ensemble d'un environnement. De nombreuses organisations ont encore du mal à s'assurer que l'ensemble de leurs outils de gestion des terminaux est bien déployé sur tous les systèmes. Tanium constate généralement qu'en moyenne, 20 % des systèmes ne sont pas gérés correctement en raison de problèmes tels que des outils manquants ou « défaillants ».
De plus, de nombreuses organisations choisissent d’« assouplir » les paramètres de leurs logiciels anti-malware afin de limiter les faux positifs. Les fonctions de prévention se transforment ainsi en fonctions de détection qui génèrent des alertes systématiquement ignorées, ce qui entraîne donc davantage de zones d'ombre. Une solution efficace de sécurité des terminaux doit offrir la visibilité et le contrôle indispensables pour optimiser la couverture et l'utilisation des produits anti-malware, ainsi que d'autres mesures de contrôle telles que les correctifs et les paramètres de sécurité « renforcés ».
L'évolution du secteur des produits EPP, issu du domaine plus large de l'EDR, est une conséquence naturelle des efforts continus visant à automatiser et à simplifier les fonctions de sécurité qui nécessitaient auparavant des connaissances pointues et spécialisées. Toutefois, son apparition ne résout pas bon nombre des problèmes fondamentaux liés à la sécurité des terminaux qui continuent d’affecter la plupart des entreprises, et elle ne remplace ni ne rend obsolètes bon nombre des cas d’utilisation essentiels qui ont donné naissance au marché de l’EDR. À mesure que les organisations continuent d'investir dans les technologies de protection des terminaux, elles devraient s'efforcer d'équilibrer leur portefeuille en y intégrant des solutions qui couvrent un large éventail de défis en matière de sécurité et qui, à terme, s'attaquent à la cause profonde des incidents ayant un impact sur leur activité.
Vous avez des questions ? Nous avons les réponses. Rejoignez la conversation dès aujourd'hui et échangez avec vos pairs et les experts techniques de Tanium sur notre forum « » () et au sein de la communauté des utilisateurs de Tanium ().
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
À propos de l'auteur : En tant qu'architecte en chef de la sécurité chez Tanium, Ryan Kazanciyan apporte plus de 14 ans d'expérience dans les domaines de la gestion des incidents, de l'analyse forensic et des tests d'intrusion. Ryan supervise la conception et la feuille de route des offres de Tanium en matière de réponse aux menaces et dirige l'équipe EDR (Endpoint Detection and Response) de Tanium. Avant de rejoindre Tanium, Ryan a supervisé les opérations d'enquête et de remédiation chez Mandiant, en collaboration avec des dizaines d'entreprises du classement Fortune 500 victimes d'attaques ciblées. En tant que formateur pour Black Hat et la brigade cybercriminalité du FBI, Ryan a formé des centaines de spécialistes de la gestion des incidents. Il est l'un des auteurs de l'ouvrage « Incident Response and Computer Forensics, 3e édition » (McGraw-Hill, p. 2014). Ryan travaille également en tant que consultant technique pour la série télévisée « Mr. Robot », où il collabore avec les scénaristes et l'équipe de production afin de concevoir les piratages informatiques mis en scène dans la série.
