Les organisations ont besoin d’une vision plus large de la sécurité pour se défendre contre les menaces actuelles.
Dans un article de blog précédent, j’ai écrit sur l’acte d’équilibrage auquel les DSI sont confrontés pour protéger la surface d’attaque informatique tout en faisant progresser la transformation numérique.
J’ai également écrit sur les stratégies de défense que les organisations peuvent utiliser pour protéger leur surface d’attaque.
Dans ce dernier article de blog de la série, je explique comment les équipes de sécurité peuvent utiliser des chaînes de cyberattaque pour renforcer leur surface d’attaque réseau. Les résultats souhaités se concentrent sur l’identification, la réduction ou l’élimination des points faibles du réseau en durcissant les surfaces d’attaque grâce aux données ou aux effets combinés de plusieurs cybercapacités.
Cette approche est destinée à contrer les chaînes de cyberattaques utilisées par les adversaires. Rappelez-vous qu’une chaîne de destruction est une séquence d’activités interdépendantes nécessaires pour obtenir le résultat souhaité. L’utilisation de la chaîne de destruction comme outil de planification défensive implique d’examiner chaque maillon de la cyberchaîne de destruction pour concevoir des approches de protection qui brisent le maillon.
Les défenseurs de réseau doivent être parfaits chaque minute de chaque jour, tandis que les acteurs malveillants n’ont besoin de trouver qu’un seul vecteur d’attaque pour poursuivre avec succès un ou plusieurs maillons de chaîne au sein d’une chaîne de cyberattaque afin de compromettre un réseau. L’application défensive des cyberchaînes est une approche pour identifier les lacunes en matière de capacités ou les angles morts dans votre écosystème de cybersécurité.
L’objectif de cette publication est d’appliquer les concepts de la chaîne de cyberattaque pour aider les DSI et les RSSI à améliorer leur posture en matière de cybersécurité et, au final, à accroître leur préparation en matière de cybersécurité. Les chaînes de destruction sont utiles pour décomposer des problèmes complexes en problèmes plus petits et plus faciles à gérer.
En se concentrant sur chaque maillon de la chaîne de cybercriminalité, les défenseurs de réseau peuvent obtenir des résultats synergiques qui améliorent l’efficacité des outils de sécurité et les niveaux globaux de préparation et de protection de leurs réseaux. À l’inverse, casser un maillon dans la chaîne de destruction bloque une attaque. Cette analyse se concentrera sur les approches pour bloquer chaque maillon de la chaîne de destruction des cyberattaques de Lockheed Martin.
Se défendre contre la reconnaissance
La reconnaissance consiste à prendre conscience d’un environnement cible. D’un point de vue physique, cela implique d’identifier des terrains clés tels que des collines qui permettent la visibilité ou des vallées qui dissimulent les mouvements. Du point de vue des endpoints, le réseau dispose d’un cyber-terrain clé où les adversaires peuvent gagner un avantage. Deux catégories de cyber-terrains clés seraient :
- Services qui font la publicité d’informations sur les applications
- Interfaces de programmation d’applications (API) qui permettent un accès à distance
L’instrumentation de gestion Windows (WMI) est un exemple de cyber-terrain clé. Se défendre contre la reconnaissance du point de vue de la chaîne de cyberattaque impliquerait la détection de nouveaux abonnements WMI. Un autre exemple de cyber-terrain clé serait les services tels que les informations de messagerie ou de mib SNMP.
Refuser l’accès aux informations de ces applications est une meilleure pratique depuis de nombreuses années. Se défendre contre la reconnaissance implique d’identifier les cyber-terrains clés, puis d’utiliser des techniques de détection, de refus ou de défense pour entraver ou arrêter l’activité de reconnaissance adverse. Le résultat souhaité est une combinaison de refus d’information et de détection des activités de reconnaissance.
Se défendre contre l’armement
L’étape d’armement au sein de la chaîne de cyberattaque repose sur les informations de l’étape de reconnaissance et est limitée par la troisième étape de la chaîne de cyberattaque (livraison).
L’armement peut être le séquençage d’actions pour exploiter une vulnérabilité, le développement d’artefacts logiciels pour corrompre une chaîne d’approvisionnement logicielle ou l’introduction de logiciels malveillants dans le réseau bleu. Bien que l’acte ou le processus d’armement ait souvent lieu sur des réseaux rouges ou gris, l’activité est adaptée au réseau bleu ciblé.
La défense contre l’armement se concentre sur la gestion de la surface d’attaque, en particulier la réduction et le renforcement de la surface d’attaque de l’organisation. En d’autres termes, cette étape de la chaîne de cyberattaque consiste à refuser l’opportunité aux adversaires.
La suppression des vulnérabilités connues du plateau de jeu augmentera le coût pour l’adversaire tout en réduisant le risque réseau bleu. Près de 60 % des violations de données réussies tirent parti des vulnérabilités dans les systèmes d’exploitation et les applications que les organisations informatiques connaissaient, mais n’ont pas corrigées à temps.
L’une des meilleures façons de se défendre contre l’étape de l’armement dans la chaîne de cyberattaque est d’effectuer des opérations de correction efficaces qui permettent un état élevé de cyberpréparation grâce à la cyberhygiène.
Se défendre contre la livraison
La vulnérabilité Log4j récente illustre comment l’exécution de code à distance (RCE) peut être fournie à l’aide d’une interface Web pour accéder à une vulnérabilité. Les acteurs malveillants disposent d’autres outils qu’ils peuvent utiliser pour fournir un code ou des actions malveillants.
Les pare-feux et la segmentation du réseau peuvent aider les pirates de canaux à se concentrer sur les défenseurs du réseau qui utilisent des outils pour bloquer et détecter les actions de livraison pour les données en transit. Se défendre contre la livraison de code malveillant est un impératif qui nécessite une implication active des utilisateurs finaux, des praticiens de la sécurité informatique et des professionnels de la sécurité physique.
Des clés USB infectées aux demandes de navigateur mal formées en passant par la visite accidentelle d’un site Web compromis, la défense contre la livraison de code malveillant est un sport d’équipe impliquant l’éducation des utilisateurs, des pratiques de sécurité physique informées des menaces et la gestion des risques et de la résilience.
Se défendre contre l’exploitation
La défense contre l’exploitation consiste à identifier les logiciels malveillants, à empêcher l’exécution des logiciels malveillants et/ou à corriger les vulnérabilités afin de limiter l’effet que les logiciels malveillants peuvent avoir sur le système. Ces concepts se résument aux services de réputation, aux contrôles des applications et à la cyberhygiène.
La cyberhygiène (correction, maintenance des logiciels à jour et configuration correcte des logiciels) est la meilleure approche pour empêcher les informations connues dans la boîte à outils de l’attaquant. Les DSI et les RSSI peuvent régir les pratiques de cyberhygiène dans leur organisation en surveillant les bons indicateurs tels que le temps moyen de correction ou la durée du cycle de correction.
La visibilité et le contrôle à grande échelle des endpoints sont essentiels pour obtenir des données opportunes, précises et véridiques caractérisant la cyberhygiène. L’exploitation des services de réputation et des logiciels antivirus complète une cyberhygiène efficace. La capacité à identifier les écarts par rapport aux comportements normaux, les événements à risque et les indicateurs de compromission est tout aussi importante.
Alors que la première (hygiène cyber) est axée sur la maturité et l’optimisation des performances, la seconde (traque au hachage et détection des CIO) implique agilité et adaptabilité.
Se défendre contre l’installation
Les équipes de sécurité ont besoin d’une visibilité en temps réel sur les installations logicielles et les modifications de configuration sur tous les endpoints, à tous les emplacements. Se défendre contre l’étape d’installation au sein de la chaîne de cyberattaques se concentre sur la prévention des exécutions de code à distance (Remote Code Executions, RCE).
L’arrêt de toutes les attaques RCE peut ressembler à l’arrêt de tous les crimes. La gamme d’actions disponibles pour empêcher ou entraver la détection des attaques RCE couvre le continuum d’outils de détection antivirus et de logiciels malveillants qui identifient les signatures logicielles malveillantes et alertent sur les anomalies qui indiquent un risque de compromission.
L’application de la phase d’installation des attaques de la chaîne d’attaque doit se concentrer sur les inconnues, qui englobent les logiciels malveillants inconnus (potentiellement polymorphes), les attaques de fichiers inconnus ou les angles morts (ce que nous ne réalisons pas que nous ne savons pas).
L’un des domaines que les DSI et les RSSI peuvent prendre en compte est le développement d’une liste de logiciels approuvés qui exploite les outils de système d’exploitation natifs tels qu’AppLocker de Microsoft. De plus, les services de réputation peuvent être utilisés pour identifier de manière agressive les logiciels malveillants.
En combinant la technologie avec les talents et les techniques, les DSI et les RSSI peuvent tirer parti d’approches de développement spiralées pour configurer les capacités de cybersécurité afin de détecter, d’alerter ou de contrer les anomalies qui indiquent des événements à risque ou des événements qui caractérisent les compromissions. L’exploitation de sources de renseignements commerciales ou open source pour tester, adapter et ajuster les alertes générera également un élément d’adaptabilité et d’agilité dans les efforts de l’organisation pour se défendre contre l’étape d’installation de la chaîne de cybercriminalité.
Se défendre contre les communications C2
Les équipes de sécurité disposent de diverses façons de détecter et de bloquer les communications de commande et de contrôle. Les pare-feux et les outils de surveillance réseau peuvent détecter les activités réseau suspectes, telles que les communications avec un serveur DNS inconnu ou un hôte distant inhabituel. Les équipes de sécurité peuvent bloquer un grand nombre de ces communications de manière proactive en déployant des contrôles Zero Trust qui bloquent toutes les communications non autorisées par défaut.
Se défendre contre les actions sur les objectifs
La défense contre les actions sur les objectifs est axée sur la limitation de l’accès et le refus de la possibilité pour un acteur malveillant d’atteindre les résultats souhaités. En termes simples, l’objectif ici est de verrouiller chaque porte et de faire travailler dur l’acteur malveillant pour chaque gain incrémentiel.
Il existe une hypothèse selon laquelle plus un acteur effectue de travail, plus le potentiel sera détecté. L’alerte sur les activités anormales peut être un défi si les alertes ne sont pas informées des menaces et axées sur l’intelligence. Envisagez d’appliquer MITRE ATT&CK ou Shields Up de CISA comme sources de renseignements pour guider les réunions de l’équipe de sécurité sur le développement d’alertes pertinentes. La sécurité des endpoints fournit une défense finale et critique contre la chaîne de destruction.
Pour accroître l’efficacité, il est judicieux de s’assurer que tous les outils de sécurité fournissant ces défenses fonctionnent ensemble de manière transparente. Les outils qui se complètent les uns les autres peuvent jouer un rôle essentiel dans la lutte contre un ou plusieurs maillons de la chaîne de cybercriminalité. Les données sont un catalyseur clé pour générer un avantage décisionnel ; une plateforme prête à l’emploi qui complète d’autres outils tout en permettant une visibilité et un contrôle à grande échelle avec rapidité fournira des informations, de la confiance et de la confiance.
La plateforme Tanium pour se défendre contre les attaques de chaîne de destruction
Chez Tanium, nous proposons une plateforme unique de sécurité des endpoints qui fournit des données complètes, précises et en temps réel sur les endpoints, indépendamment de l’échelle et de la complexité. Notre plateforme, disponible sous forme de service cloud rapide, flexible et évolutif, comprend des modules pour :
- Découverte et inventaire des actifs, aidant les équipes informatiques à trouver et suivre les endpoints sur tous les sites
- Gestion des risques et de la conformité, y compris la gestion des correctifs
- Recherche des menaces, y compris des outils pour enquêter sur les menaces et y remédier avant qu’elles ne perturbent les opérations
- Gestion des clients, y compris les contrôles pour gérer et dépanner les endpoints en temps réel
- Surveillance des données sensibles, y compris l’audit et l’automatisation des contrôles d’accès
Pour voir comment la plateforme Tanium peut aider votre organisation à se défendre contre les attaques de la chaîne d’attaque, planifiez une démo.
Consultez l’ensemble de cette série pour en savoir plus sur la protection de la surface d’attaque informatique de votre organisation ici :
Partie 1 : Loi d ’aujourd’hui sur l’équilibrage des DSI : protéger la surface d’attaque informatique tout en faisant progresser la transformation numérique
