Les cyberattaques menées par les nations et les États-nations contre des entreprises privées, et les unes contre les autres, ne sont pas nouvelles. Mais leur audace, leur fréquence et leur sophistication n’ont cessé d’augmenter.
Dans ce blog, nous verrons comment un connecteur Tanium récemment développé pour OpenCTI fournit aux organisations le type de renseignements sur les menaces dont elles ont besoin pour identifier et remédier plus rapidement aux cybermenaces.
« En ce moment, la cybersécurité est fournie par des entreprises individuelles », explique Jerome Warot, vice-président de la gestion technique des comptes chez Tanium. « Les fournisseurs fournissent des solutions, mais la mondialisation des menaces signifie que les pays doivent commencer à travailler ensemble. Et la meilleure façon de le faire est avec des communautés qui traversent les frontières et créent des plateformes ouvertes et flexibles de cybersécurité et de renseignement sur les menaces. »
Warot fait une analogie avec la manière dont le monde a formé des alliances pour lutter contre la pandémie de COVID-19.
« La pandémie est un problème mondial », poursuit Warot. « Et les laboratoires du monde entier commencent à travailler ensemble pour y remédier avec le vaccin, le développement de tests et le partage de la recherche. Dans le cas de la cybersécurité, OpenCTI donne aux gens la possibilité de partager des connaissances pour lutter contre les menaces. »
Qu’est-ce qu’OpenCTI ?
OpenCTI (Open Cyber Threat Intelligence) est une plateforme open source qui permet aux organisations de gérer les connaissances en matière de cybermenace. Il a été créé pour structurer, stocker, organiser et visualiser les informations techniques et non techniques sur les cybermenaces.
Son développement a débuté par l’ agence nationale française de cybersécurité (ANSSI) et la CERT-EU (Équipe d’intervention d’urgence informatique de l’Union européenne). Depuis lors, la plateforme a été publiée en open source et mise à la disposition de l’ensemble de la communauté de renseignements sur les cybermenaces.
Tanium et OpenCTI
Avant de rejoindre Tanium en tant que directeur de la stratégie et des opérations de sécurité, Samuel Hassine était responsable de la cyberveille pour l’ANSSI. Il sait à quel point la plateforme Tanium peut être puissante lorsqu’elle est connectée à OpenCTI.
« Tanium est comme une voiture puissante avec ce qu’elle peut faire en termes de détection, de réponse aux cyberattaques et de capacités judiciaires de son module Threat Response », déclare Hassine. « Une voiture a besoin de carburant. Tanium fournit déjà des signatures comportementales prêtes à l’emploi, tandis que l’intégration à OpenCTI apporte d’autres types d’indicateurs pour augmenter la couverture mondiale. »
Le connecteur prend les données de renseignement sur les menaces d’OpenCTI et les livre à Tanium à des fins de recherche et de détection des menaces. OpenCTI dispose également de connecteurs pour collecter des données de renseignement sur les menaces auprès de sources ouvertes ou fermées telles que FireEye, FS-ISAC, AlienVault, Kaspersky, VirusTotal ou MISP (Malware Information Sharing Platform).
« OpenCTI dispose de connecteurs avec de nombreux fournisseurs de cybersécurité », explique Hassine. « Cela permet aux organisations de collecter des informations à partir de diverses sources et de les avoir en un seul endroit. Ensuite, il est beaucoup plus facile d’utiliser des signatures ou des indicateurs dans les activités de détection ou de recherche de menaces. Et les connecteurs sont tous ouverts et libres d’utilisation. »
Qualité, contexte et rapidité des données
Le connecteur OpenCTI permet aux organisations de sélectionner les données de menace les plus pertinentes pour leur secteur et leur posture de sécurité. Ils peuvent configurer des sources de données avec différents niveaux de confiance. Et lors de l’enquête sur une alerte ou un indicateur de menace, les analystes peuvent se référer à OpenCTI pour voir la signature d’une menace et examiner le contexte à son sujet, comme son attribution aux acteurs de la menace et les tactiques utilisées par les cibles en réponse.
L’un des plus grands défis pour les organisations, en plus d’avoir de bonnes données, est de réduire le temps nécessaire pour identifier si un événement représente une activité malveillante. Pour un analyste, disposer des données et du contexte fournis par OpenCTI peut réduire considérablement le temps nécessaire à la qualification.
Les renseignements sur les cybermenaces fournis par OpenCTI peuvent être utilisés de plusieurs manières. Par exemple, il peut être utilisé pour rechercher des menaces potentielles dans un lac de données. Et, comme mentionné, il peut alimenter un outil d’analyse légale, de détection et de remédiation comme le module Réponse aux menaces dans Tanium.
Les données OpenCTI contiennent également des directives de détection et de remédiation pour différentes classes de menaces. Bien sûr, les données peuvent éclairer les rapports au niveau de la direction et du conseil d’administration sur la posture de sécurité d’une entreprise et les vulnérabilités potentielles.
Mais il est important de se rappeler qu’OpenCTI ne peut pas prendre des mesures seule.
La plateforme OpenCTI est en constante évolution
À mesure que la plateforme OpenCTI mûrit, son propre hub de données se développe. OpenCTI maintient également constamment ses connecteurs de source de données et suit une cadence de publication mensuelle pour la plateforme. L’architecture ouverte de Tanium en fait une solution naturelle pour une intégration à OpenCTI.
« Tanium est unique, car il est assez ouvert », déclare Hassine. « D’autres systèmes de détection des endpoints sont difficiles à intégrer, car ils disposent de leurs propres flux de renseignements sur les menaces. Mais avec Tanium, vous pouvez vous connecter à d’autres sources de données pour améliorer vos capacités de détection. »
Cette flexibilité signifie également que les organisations peuvent choisir les flux de données d’OpenCTI qui correspondent le mieux à leur entreprise. Ils n’ont pas besoin de prendre tout ce qui est disponible. Ils peuvent prendre des informations pertinentes pour un marché, une menace verticale ou un vecteur de menace particulier.
Tendances en matière de détection des menaces et des vulnérabilités
« Lorsque j’ai commencé à travailler sur OpenCTI, c’était pour les besoins internes de l’Agence nationale de cybersécurité française », se souvient Hassine. « Il nous manquait un outil comme celui-ci. Et nous n’avons pas pu le trouver commercialement. Nous avons donc commencé le développement et je n’ai jamais pensé que cela aurait un tel impact ou que tant de gens voudraient l’utiliser. »
Hassine estime qu’il s’agit d’un indicateur de l’évolution du domaine de la recherche des menaces et de la détection des vulnérabilités. Elle est de plus en plus axée sur les données, même parmi les organisations relativement immatures en termes de cybersécurité.
« Ce que je vois sur le terrain, c’est que les gens ont commencé à comprendre ce qu’est la cybersécurité et ce qu’ils doivent faire », déclare Hassine. « Les organisations souhaitent renforcer leur capacité de cybersécurité, mais elles disposent de ressources limitées. Ils doivent donc donner la priorité. »
Étant donné qu’il peut falloir des années pour construire une capacité de détection complète, les données peuvent soutenir l’effort de hiérarchisation et de réduction de la surface d’attaque d’une organisation. Les données fournissent une feuille de route pour la hiérarchisation, afin que les organisations puissent répondre aux menaces les plus importantes.
« C’est comme un hameçonnage malveillant et massif », muses Hassine. « Vous n’essayez pas de percer tous les poissons. Vous recherchez les plus dangereux. La plupart des équipes en charge du développement des capacités de détection comprennent cela et utilisent les renseignements sur les menaces pour hiérarchiser leur développement et leurs intégrations. Aucun système ne peut traiter toutes les tactiques et procédures ; vous devez faire des choix. »
Dans leurs efforts, l’utilisation du cadre MITRE ATT&CK (Tactiques, techniques et connaissances communes) comme une matrice complète de tactiques et techniques utilisées par les chasseurs de menaces, les équipes rouges et les défenseurs pour mieux classer les attaques pourrait se révéler très utile.
« Imaginons que vous estimez que votre couverture représente près de 60 % du cadre », déclare Hassine. « Vous comprendrez rapidement qu’il faudra des années pour combler les lacunes restantes. L’utilisation des données pertinentes de Cyber Threat Intelligence peut certainement aider à hiérarchiser les prochaines étapes. »
Le connecteur Tanium-OpenCTI est désormais prêt à être utilisé en production et disponible pour tous les clients Tanium.
« Le connecteur tire parti des dernières avancées techniques de la plateforme OpenCTI, qui fournit un flux d’événements en temps réel de données de renseignement sur les menaces. Tanium Platform est donc alimentée en temps réel avec les dernières signatures et les derniers indicateurs », déclare Hassine. « Ce n’est pas difficile à installer. La configuration est facile. Ce qui est difficile, c’est de savoir exactement de quel type de connaissances vous avez besoin. Vous ne pouvez pas tout intégrer à Tanium. Vous devez choisir et cela nécessite une certaine expertise en cybersécurité. »
En savoir plus sur l’annonce du connecteur OpenCTI dans le communiqué de presse.
Pour obtenir des informations et une documentation plus détaillées sur la configuration du connecteur, consultez ce site Web.
