Les outils EDR, comme les produits d’analyse légale qui les ont précédés, s’adaptent à de nombreux cas d’utilisation où l’EPP n’est pas à la hauteur. Pourtant, une stratégie efficace de sécurité des endpoints intègre un EDR et un EPP autonomes afin que vous puissiez répondre au large éventail d’incidents courants dans n’importe quel environnement d’entreprise.
(Image : Macedo Media/Pixabay)
Aujourd’hui, le marché de la sécurité des endpoints est encombré de solutions de plateforme de protection des endpoints (EPP) qui font un peu de détection et de réponse des endpoints (EDR), de solutions EDR qui font un peu d’EPP et de solutions antivirus « héritées » pour garder leur empreinte et suivre le rythme des nouveaux concurrents. Alors que 70 % des organisations prévoient d’augmenter les dépenses de cybersécurité, la sécurité des endpoints étant un domaine d’intérêt, le flux infini d’attaques nouvellement médiatisées, associé aux promesses audacieuses et agressives des fournisseurs, entraîne l’incertitude et la frustration. Ces mêmes facteurs ont également inspiré de nombreux produits de sécurité qui font sans doute les mauvais compromis en termes de conception et de capacité afin de susciter l’attrait initial parmi les masses.
La course à la simplification de la sécurité des endpoints et à l’adaptation aux limitations architecturales dans de nombreux outils a conduit à une dépendance excessive à la télémétrie légale. Presque tous les produits de cet espace (y compris Tanium Threat Response) fournissent une « boîte noire » côté client qui préserve en permanence les événements au niveau du système d’exploitation : exécution des processus, connexion réseau, opérations de fichiers, etc. Cette forme de données peut être inestimable pour enquêter rétroactivement sur les attaques ainsi que pour détecter et bloquer les activités indésirables.
Cependant, les endpoints contiennent également d’innombrables autres artefacts, qui ne relèvent pas du champ d’application de cette télémétrie, mais restent essentiels à de nombreuses techniques de détection et de réponse courantes. Envisagez la nécessité d’examiner les journaux d’applications décentralisés (par exemple, ceux générés par les serveurs Web) pour un modèle d’attaque spécifique, ou d’effectuer une recherche large sur de grands volumes de données, tels que les fichiers au repos sur le disque. Les outils EDR efficaces combinent l’accès à l’ensemble de l’entreprise à la télémétrie historique avec des preuves sur les états actuels qui sont distribués entre les systèmes.
En pratique, j’ai vu plusieurs limitations courantes dans la fonctionnalité EDR fournie par des outils principalement conçus pour l’EPP. Le premier se manifeste lorsqu’un outil EPP est déployé dans un nouvel environnement ou ensemble de systèmes qui ont déjà été compromis. Les workflows basés sur la télémétrie, les alertes et la prévention des endpoints ne vous aident qu’avec les événements récurrents ou nouveaux. Ces outils n’aident pas avec les sources de preuves existantes qui pourraient être nativement préservées par le système d’exploitation et les applications. Vous devrez peut-être effectuer une recherche dans les journaux d’événements du système d’exploitation, les artefacts tels que les enregistrements de préextraction ou les fichiers au repos créés il y a longtemps. En l’absence de cette capacité, vous risquez de délimiter l’étendue d’un incident.
Le deuxième exemple se produit lors de l’enquête sur l’activité des endpoints qui n’a pas déclenché de règle de prévention ou d’alerte. De nombreux outils EPP se concentrent sur la capture de l’historique et du contexte autour d’un événement de détection, avec le compromis de retenir moins de télémétrie verbeuse (ou rien du tout) lorsque tout semble normal. Cela est particulièrement fréquent pour les produits qui s’appuient sur la centralisation de toutes les données dans le cloud, car cela a un impact direct sur leurs coûts opérationnels. Cependant, cela peut également entraver votre capacité à rechercher ou collecter de manière adéquate les données des endpoints à partir de systèmes qui n’ont pas généré d’alerte, en particulier si vous devez obtenir des réponses à grande échelle en quelques minutes.
Les outils EDR ont la flexibilité nécessaire pour s’adapter à de nombreux cas d’utilisation
Les outils EDR, comme les produits d’analyse légale qui les ont précédés, s’adaptent à de nombreux cas d’utilisation. Un outil flexible de sécurité des endpoints devrait vous aider à répondre au large éventail d’incidents courants dans n’importe quel environnement d’entreprise. Réfléchissez aux scénarios suivants :
- Cas d’utilisation abusive ou de licenciement d’un employé - « Quels fichiers Jane a-t-elle copiés sur des disques externes au cours de la semaine passée ? »
- Fuites de données involontaires - « Quelqu’un s’est emparé d’une feuille de calcul de salaire et l’a transmise. Trouvez tous les systèmes qui ont ce fichier. »
- Attaques de la couche applicative - « Cet exploit Struts laisse derrière lui un événement distinctif dans les journaux du serveur Web. Trouvez tous les systèmes qui contiennent cette entrée. »
- Attaques de la chaîne d’approvisionnement logicielle - « Un éditeur de texte utilisé par la plupart de nos ingénieurs vient d’être touché par une mise à jour malveillante qu’aucun produit anti-programme malveillant ne détecte. Qui a été affecté et une activité post-infection s’est-elle produite ? »
- Dépannage - « L’équipe informatique soupçonne qu’une application tierce est à l’origine de BSOD. Trouvez tous les systèmes avec des artefacts de plantage et déterminez s’il existe une corrélation. »
La plupart des produits EPP n’ont pas été conçus avec la flexibilité nécessaire pour traiter ce type d’incidents. Elles visent à arrêter des catégories spécifiques d’exploits, de binaires malveillants ou d’activités post-compromission de la couche du système d’exploitation.
Réduire l’ouverture sur les données que vous collectez et analysez peut également vous rendre aveugle aux techniques d’attaque émergentes, que les outils axés sur la prévention ne peuvent pas encore bloquer de manière fiable. Vos intervenants de premier niveau devront peut-être travailler avec des événements de haute fidélité, mais votre équipe de réponse aux cyber-incidents (CIRT) et votre équipe de chasse doivent être en mesure de rechercher et d’analyser des données complètes à partir d’un endpoint, non seulement ce qui est signalé comme suspect. Cela leur permet de référencer l’activité entre des ensembles d’ordinateurs et d’utilisateurs, de découvrir de nouveaux types d’anomalies et d’établir de nouveaux mécanismes de détection qui pourront être automatisés à l’avenir.
Les intrus continuent à faire évoluer leur métier
L’évolution des attaques basées sur PowerShell en est un bon exemple. Les intrus ont fait évoluer leur métier en passant de l’exécution de scripts malveillants à diverses méthodes, y compris des commandes « d’un seul trait » qui transmettent le code de script dans les arguments, des techniques secrètes qui utilisent le cadre d’automatisation PowerShell pour éviter le shelling et l’obscurcissement pour échapper à la détection basée sur des mots-clés. Le contrôle des applications contourne l’exploitation de .NET et d’autres interprètes de code natifs. Il s’agit d’un autre exemple de domaine en développement rapide de recherche sur les attaques dans lequel les outils EPP ont du mal à suivre le rythme de manière fiable. Si votre stratégie de sécurité des endpoints s’appuie sur des règles de prévention en boîte noire axées sur le dénominateur commun le plus bas, vous serez constamment un pas en avant derrière les nouvelles techniques d’attaque.
Enfin, toute solution de sécurité axée sur la prévention n’est aussi efficace que son degré de couverture et sa capacité à maintenir un statut opérationnel et une configuration sains dans un environnement. De nombreuses organisations ont encore du mal à s’assurer qu’elles disposent de leur pile complète d’outils d’endpoint entièrement déployée sur tous les systèmes. Tanium constate généralement qu’en moyenne 20 % des systèmes ne sont pas gérés correctement en raison de problèmes tels que des outils manquants ou « cassés ».
De plus, de nombreuses organisations choisissent de « régler » leurs produits anti-programme malveillant pour gérer les faux positifs. Les fonctionnalités de prévention se transforment ainsi en fonctionnalités de détection produisant des alertes qui sont systématiquement ignorées et entraînent donc plus d’angles morts. Une solution efficace de sécurité des endpoints doit fournir la visibilité et le contrôle fondamentaux nécessaires pour maximiser la couverture et l’utilisation des produits anti-malware, ainsi que d’autres contrôles tels que les correctifs et les paramètres de sécurité « renforcés ».
L’évolution du secteur des produits EPP à partir de l’espace EDR plus large est une conséquence naturelle des efforts continus pour automatiser et simplifier les fonctions de sécurité qui nécessitaient auparavant des connaissances spécialisées avancées. Cependant, son émergence n’élimine pas beaucoup des problèmes fondamentaux de sécurité des endpoints qui nuisent toujours à la plupart des entreprises, et ne déplace pas ou ne rend pas obsolètes de nombreux cas d’utilisation de base qui ont généré le marché EDR en premier lieu. Alors que les organisations continuent d’investir dans les technologies des endpoints, elles doivent s’efforcer d’équilibrer leur portefeuille avec des solutions qui couvrent un large éventail de défis de sécurité et, en fin de compte, traitent la cause profonde des incidents qui ont un impact sur leur entreprise.
Vous avez des questions ? Nous avons des réponses. Participez à la conversation dès aujourd’hui et contactez vos pairs et les experts techniques Tanium de notre Communauté d’utilisateurs Tanium.
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
À propos de l’auteur : Dans son rôle d’architecte en chef de la sécurité de Tanium, Ryan Kazanciyan apporte plus de 14 ans d’expérience dans la réponse aux incidents, l’analyse médico-légale et les tests de pénétration. Ryan supervise la conception et la feuille de route des offres de réponse aux menaces de Tanium et dirige l’équipe de détection et de réponse aux endpoints (EDR) de Tanium. Avant de rejoindre Tanium, Ryan supervisait les efforts d’enquête et de remédiation chez Mandiant, en s’associant à des dizaines d’entreprises du Fortune 500 touchées par des attaques ciblées. Ryan a formé des centaines d’intervenants en cas d’incident en tant qu’instructeur pour Black Hat et l’équipe informatique du FBI. Il est un auteur contributeur pour « Incident Response and Computer Forensics 3rd Edition » (McGraw-Hill, 2014). Ryan travaille également comme consultant technique pour la série télévisée « M. Robot », où il collabore avec les écrivains et l’équipe de production pour concevoir les piratages décrits dans l’émission.
