Alors que des millions de personnes sont passées au télétravail, la source d’attaques internes malveillantes en est de même. Pour suivre le rythme, les équipes de cybersécurité ont besoin d’une nouvelle manière de lutter contre ces attaques.
Jusqu’à récemment, les équipes de sécurité répondaient souvent à une attaque d’initié suspectée avec ce que l’on appelle l’informatique légale en boîte morte. Cela implique de prendre une image complète d’un système, de collecter toutes les données du disque dur bit par bit, puis de l’analyser hors ligne.
Il existe plusieurs problèmes avec l’approche « boîte morte ». D’une part, cela prend beaucoup de temps. De plus, il nécessite des outils spécialisés, dont certains fonctionnent constamment sur les systèmes, consommant des ressources.
Des déplacements peuvent également être nécessaires, car un ou plusieurs membres de l’équipe d’informatique légale peuvent avoir besoin de visiter un site distant pour ce que l’on appelle une acquisition. Le système acquis est ensuite maintenu en attente comme preuve d’une éventuelle affaire judiciaire ou d’une analyse approfondie. Avec autant d’employés qui travaillent désormais à domicile ou partout dans le monde, l’acquisition peut prendre plus de temps que cela en vaut la peine.
Malheureusement, une alternative évidente, l’exécution d’une analyse médico-légale à distance, peut être presque aussi difficile. La capacité de stockage des PC s’est étendue à la plage des téraoctets, mais les réseaux domestiques n’ont pas suivi le rythme. Aussi intéressant que frustrant, il existe un défi aux lois internationales entourant une main-d’œuvre véritablement distribuée dans les pays, chacun à diverses étapes du confinement lié à la pandémie. Par conséquent, certaines entreprises ont choisi d’effacer et de remplacer le système plutôt que d’effectuer une analyse médico-légale approfondie.
« Malgré les fardeaux supplémentaires liés à l’obtention d’une image légale d’un ordinateur présent dans une autre partie du pays ou du monde, les actions juridiques et/ou RH qui pourraient finalement être portées contre un initié reposent toujours sur des processus judiciaires traditionnels et le sentiment qu’une image légale complète d’un appareil est la meilleure preuve à partir de laquelle travailler », explique Sankara Shanmugam, directeur général de Stroz Friedberg.
« Bien que les meilleures preuves théoriques puissent être obtenues, dans de nombreuses enquêtes, les retards et la logistique impliqués dans l’obtention de cette image entraînent une perte de temps précieux pour atténuer la menace et (pire encore) informer l’initié lorsque des mesures correctives commencent à être prises. »
Une meilleure façon de lutter contre les initiés malveillants
Les équipes de sécurité de premier plan ont adopté une approche nouvelle et améliorée pour lutter contre les attaques internes. Cette approche permet aux professionnels de la sécurité d’effectuer une analyse approfondie, mais sans avoir besoin d’une acquisition légale complète. De cette manière, ils peuvent se concentrer sur la reprise des activités de l’entreprise en toute sécurité et rapidement.
Cette nouvelle approche implique l’analyse du comportement de l’utilisateur final pour s’assurer que les PC distants sont exploités en toute sécurité. Si une analyse détecte qu’un système individuel fonctionne de manière dangereuse, l’équipe de sécurité peut arrêter le système à distance.
De plus, cette nouvelle approche se concentre sur la collecte ciblée de données uniquement lorsque cela est nécessaire. Les analystes collectent des fichiers et des dossiers spécifiques et exploitent les données d’analyse du système d’exploitation natif ainsi que les enregistreurs de vol à boîte noire qui augmentent la journalisation du système d’exploitation (OS) natif.
De cette manière, l’organisation évite le coût d’une acquisition complète. Il peut également remédier à la situation pour restaurer les opérations commerciales le plus rapidement possible, sans avoir à exécuter constamment des agents d’analyse légale sur tous les systèmes.
L’une des clés de cette nouvelle approche est de surveiller les endpoints pour détecter une séquence anormale de comportement logiciel, ce que les experts en sécurité appellent un indicateur de compromission (IoC). Les meilleurs IoC sont ceux de haute fidélité, ceux qui ciblent les outils, tactiques et procédures (TTP).
Les TTP sont la manière dont les attaquants accomplissent leur mission, et ils sont beaucoup plus difficiles à modifier et à éviter pour les attaquants. Par conséquent, ils sont devenus précieux dans la lutte contre la cybercriminalité.
4 nouvelles étapes pour lutter contre les menaces internes
Ce type de détection de sécurité nécessite de nouvelles capacités et pratiques. Il existe également un cycle de vie réaménagé de la réponse aux incidents avec quatre étapes principales :
Étape 1 : Préparer
Pour commencer, une organisation évaluera, intégrera et mieux gérera ses logiciels d’informatique légale tiers, y compris les outils commerciaux et personnalisés. Leur santé doit d’abord être déterminée afin que les lacunes de visibilité puissent être identifiées.
Si possible, l’organisation réduira également le nombre de licences logicielles légales, réduisant ainsi les coûts logiciels. Et en déployant des outils d’analyse au besoin uniquement, l’organisation peut également réduire le « gonflement des endpoints ».
Étape 2 : Identifier
À cette étape, les organisations trouvent des incidents possibles et définissent leur échelle.
Cela se fait, en partie, en affichant des informations historiques qui ne sont normalement pas conservées par un système d’exploitation. Ces données fournissent un meilleur contexte et une meilleure compréhension de ce qui s’est passé sur un endpoint que d’essayer de reconstruire un incident uniquement sur la base d’artefacts hors ligne.
Les enquêtes doivent être couvertes et effectuées rapidement. Les faux positifs doivent être identifiés. Et tous les systèmes et données affectés doivent être identifiés.
Une autre action souvent importante est la capture et l’analyse de la mémoire. Cela implique de prendre des captures d’écran de mémoire de divers systèmes d’exploitation (principalement Windows, Linux et Mac), puis de les analyser avec des outils spécialisés.
La recherche des IoC est également importante. Il en va de même de l’exécution d’une recherche pour identifier les logiciels malveillants. La recherche doit contenir tous les indicateurs connus sur le disque ainsi que ceux présents uniquement en mémoire (si connus ou applicables).
Étape 3 : Contenir
L’objectif : limiter l’exposition et supprimer les menaces actives.
Une tactique puissante consiste à mettre en quarantaine un endpoint suspecté. Cela peut empêcher l’appareil de communiquer avec toutes les autres ressources réseau. Il peut également être utilisé pour permettre au endpoint de communiquer uniquement avec les systèmes de gestion utilisés pour mener l’enquête.
Étape 4 : remédier, récupérer et renforcer
Dans cette dernière étape, vous corrigez les systèmes compromis et vous vous efforcez également d’empêcher des attaques similaires de se produire à l’avenir.
Pour commencer, créez des politiques de remédiation qui tuent les processus, arrêtent les services, suppriment les fichiers/entrées de registre ou apportent des modifications au système qui empêcheront l’exécution de logiciels malveillants.
Ensuite, appliquez tous les correctifs nécessaires. Cela peut inclure l’application de correctifs au système d’exploitation d’un endpoint ainsi qu’à ses applications tierces. Dans un environnement idéal, les endpoints seront déjà corrigés. Mais si un endpoint a été compromis en raison d’un correctif manquant, il est probable qu’il manque également un correctif ailleurs. C’est le bon moment pour remédier et identifier les processus rompus.
Vous pouvez également modifier les workflows des endpoints ou définir de nouvelles politiques et configurations de sécurité des endpoints. Enfin, vous pouvez également modifier les paramètres des endpoints pour une plus grande sécurité.
Comment Tanium peut vous aider
Si tout cela vous semble compliqué, détendez-vous. Tanium peut vous aider dans les quatre étapes.
Pour la préparation, Tanium prend en charge les intégrations avec des outils d’analyse technico-légale personnalisés et commerciaux. Tanium peut également aider à éliminer la prolifération des endpoints. Et il peut être exploité pour exécuter des outils d’investigation autonomes.
Pour l’identification, Tanium offre une visibilité instantanée sur vos endpoints. Tanium peut également récupérer des données arbitraires (telles que l’exécution de processus avec des hachages) à partir des endpoints avec une échelle et une vitesse à la fois. Tanium peut également rechercher des IoC sur les endpoints.
Pour vous aider à contenir les menaces, Tanium peut mettre en quarantaine un endpoint suspecté, tout en lui permettant de communiquer avec Tanium ainsi qu’avec d’autres systèmes de gestion. Tanium peut même informer un utilisateur que son système est en quarantaine, et cela peut lui faire savoir d’appeler l’équipe de sécurité pour obtenir des instructions de débriefing supplémentaires.
Pour la remédiation et la récupération, Tanium peut vous aider à automatiser l’application des correctifs aux systèmes d’exploitation et aux applications, à créer de nouvelles politiques et configurations d’endpoints, et à modifier les paramètres des endpoints.
Une fois tout cela fait, Tanium peut vous aider à prévenir les attaques à l’avenir en recherchant continuellement des preuves, des IoC et des restes des attaques précédentes.
Avec l’évolution de la source des attaques internes, votre approche de la sécurité des endpoints et de l’informatique légale doit également changer.
Découvrez comment Tanium peut vous aider à lutter contre les menaces internes.
