Alors que les États-nations, les hacktivistes et d’autres acteurs malveillants ne cessent d’accélérer le rythme et d’accroître la sophistication des cyberattaques, de nombreuses organisations franchissent un seuil à partir duquel elles se rendent compte qu’elles ne sont plus en mesure de surveiller, de détecter et de réagir de manière adéquate aux menaces. Elles finissent par mettre en place un dispositif centralisé permettant aux équipes de sécurité de partager des informations et de collaborer en matière de défense et d'intervention, généralement appelé « centre d'opérations de sécurité » (SOC).
La centralisation de la sécurité permet à une organisation de détecter et réagir plus rapidement aux cyberattaques, mais la mise en place d’un SOC ne se fait pas sans une certaine réflexion et des efforts.
Afin de renforcer les opérations de sécurité et de mettre en place rapidement et efficacement un SOC agile, Endpoint s'est entretenu avec trois experts.
« Les SOC ne sont pas des solutions clés en main », déclare Wim Remes, PDG et fondateur du cabinet de conseil Wire Security. « Il ne s’agit pas d’acheter tout un tas de matériel technologique, de mettre tout un tas de personnes devant des claviers, puis de s’attendre à ce que le SOC soit performant », explique-t-il. « Il s'agit de mettre en place les capacités essentielles dans un premier temps, puis d'améliorer et d'étendre progressivement les capacités du SOC au fil du temps. »
Fixez-vous des objectifs
« Les SOC n'ont pas toujours les mêmes objectifs de départ », explique Gal Shpantzer, cofondateur du cabinet de conseil virtuel en sécurité informatique Security Outliers. Pour comprendre quels sont les objectifs d'une organisation, il recommande de poser quelques questions :
- Qui sont les premiers clients du SOC ?
- L'objectif est-il de fournir des tableaux de bord aux dirigeants, ou de répondre à des besoins en matière de conformité, ou encore de fournir des s sur la gestion des incidents de sécurité informatique () ?
- Quelles sont les attentes en matière de surveillance, d'alertes, d'analyse et d'intervention ?
Il vaut peut-être mieux laisser à la sagesse collective de l'ensemble de l'organisation le soin de répondre à ce genre de questions. C'est pourquoi les entretiens avec plusieurs parties prenantes peuvent permettre de mettre en lumière ces objectifs.
«Il ne s’agit pas… de mettre un tas de gens devant des claviers et d’espérer ensuite que le SOC soit performant. »Wim Remes, PDG et fondateur de Wire Security
« Les architectes et ingénieurs en sécurité devraient mener des entretiens avec les différentes divisions de l’entreprise afin de déterminer comment celles-ci souhaitent interagir et communiquer avec les équipes chargées des opérations de sécurité », explique Michael Lyborg, vice-président senior chargé de la sécurité mondiale et de l’informatique d’entreprise chez Swimlane, une société qui conseille les entreprises en matière d’automatisation des opérations de sécurité.
« Procédez ensuite à rebours en définissant les résultats souhaités, les objectifs en matière d'expérience utilisateur, les mesures à prendre et les arborescences de notification. »
Réaliser une analyse des écarts
« Votre organisation dispose peut-être déjà en interne de certaines des capacités nécessaires pour atteindre vos objectifs », explique M. Remes. L'étape suivante consiste à identifier les domaines dans lesquels votre organisation excelle et ceux qui nécessitent des améliorations.
Peut-être que l'organisation maîtrise déjà la gestion des vulnérabilités et dispose d'un tableau de bord de sécurité performant qui offre un aperçu des événements en cours. En revanche, il se peut qu’il ne dispose pas de capacités d’ , de détection des menaces et de réponse aux incidents. Une fois que vous aurez identifié les lacunes, vous pourrez élaborer un plan pour y remédier, que ce soit en interne ou en faisant appel à des ressources externes.
Recrutez les bons talents
Parmi les fonctionnalités essentielles d'un SOC, on peut citer la surveillance et les tests de sécurité, la hiérarchisation des alertes, la gestion des incidents, l'administration de la sécurité, la correction des failles, la recherche active de menaces, la recherche, etc. Ces compétences ne se résument pas à un simple ensemble d'outils : elles font appel à l'esprit qui se cache derrière le clavier.
Les personnes dont vous avez besoin se trouvent peut-être déjà au sein de votre organisation, mais occupent des postes dans des domaines connexes, tels que l'administration système ou la sécurité.
Le recrutement en interne peut souvent s'avérer un bon choix. « Il est essentiel de bien comprendre l’environnement, car on ne peut pas réagir dans un environnement que l’on ne connaît pas », explique M. Remes. « Vous ne serez pas aussi efficace que des personnes moins compétentes en matière de sécurité, mais qui connaissent bien l'organisation. »
En fonction de la nature de l'environnement technologique de l'entreprise, le SOC devra être composé de collaborateurs possédant une diversité de compétences. Une expertise pourrait être requise dans tous les domaines, des systèmes d'exploitation modernes aux ordinateurs centraux, en passant par les systèmes hérités et l'architecture cloud.
Intégrer les flux de données essentiels
Un SOC est essentiellement un moyen d'analyser et de gérer les flux de données provenant de l'ensemble de l'organisation. Pour un nouveau SOC, les flux de données initiaux doivent provenir des systèmes les plus sensibles et les plus stratégiques pour l'entreprise.
M. Lyborg, de Swimlane, conseille aux dirigeants qui mettent en place un SOC tout nouveau de tenir compte du type et de la taxonomie des données. Il est également important de créer un modèle de données commun afin d'accélérer l'intégration des outils et de simplifier la mise en correspondance des informations. En règle générale, les données proviennent non seulement des suites d'outils de sécurité, mais également des serveurs et des terminaux d' , , de divers environnements cloud, des systèmes sur site, des opérations réseau et d'infrastructure, ainsi que des systèmes de gestion des identités.
Pour cartographier les sources de données, Shpantzer conseille de tenir compte de leur emplacement physique : « Se trouvent-elles sur site ? » Se trouvent-ils dans des systèmes cloud ? « Et est-ce que je dispose des compétences en ingénierie des données, qu’elles soient internes ou fournies par des consultants, pour créer ce que certains appelleraient un « pipeline de données », afin de récupérer ces journaux à partir de diverses méthodes, qu’elles soient traditionnelles ou modernes ? »
Adoptez les outils les plus récents
Le plus judicieux est de commencer par mettre en place un ensemble solide de capacités fondamentales, puis de partir de là pour aller de l'avant. Pour un nouveau SOC, commencez par intégrer la surveillance de la sécurité et la détection des événements à vos capacités d'intervention. Une fois les éléments essentiels en place, il est temps d’envisager d’ajouter des fonctionnalités plus avancées, telles que l’ , la recherche de menaces, les exercices de simulation d’attaques (« red teaming »), l’analyse forensic et le renseignement sur les menaces, entre autres spécialités.
Dans une enquête intitulée « 2021 » (), le SANS Institute a constaté que les SOC recourent le plus souvent à des outils et des tactiques tels que les réseaux privés virtuels (VPN), la gestion des informations et des événements de sécurité (SIEM), la sécurité des e-mails, les solutions anti-malware, la correction des vulnérabilités, la détection et la réponse basées sur l'hôte, les pare-feu, les systèmes de détection d'intrusion (IDS) et les systèmes de prévention d'intrusion (IPS). Cet ensemble d'outils montre que la majorité des personnes interrogées souhaitaient sécuriser leurs communications SOC tout en assurant la surveillance des menaces, la prévention des attaques et la réponse aux incidents.
Déterminez ce qu'il convient d'externaliser
Compte tenu du fait que des millions d'offres d'emploi dans le domaine de la sécurité de l'information restent sans réponse, il peut s'avérer plus pratique et plus rentable pour les organisations d'externaliser les tâches qui ne peuvent pas être facilement confiées en interne.
«Les architectes et ingénieurs en sécurité devraient mener des entretiens avec les différentes unités opérationnelles afin de déterminer comment celles-ci souhaitent interagir et communiquer avec les équipes chargées des opérations de sécurité. »Michael Lyborg, vice-président senior chargé de la sécurité mondiale et de l'informatique d'entreprise chez Swimlane
L'enquête du SANS a révélé que 38 % des personnes interrogées gèrent leur SOC en interne 24 heures par jour ; que 15 % externalisent entièrement leur SOC ; et que 31 % ont recours à une combinaison de surveillance interne et externalisée. Afin de maîtriser les coûts, 16 % d'entre eux n'exploitent pas leur SOC 07/12.
Souvent, les organisations n'ont pas suffisamment de travail pour occuper à plein temps des spécialistes dédiés. C'est pourquoi beaucoup font appel à des prestataires externes pour des compétences spécialisées, en fonction de leurs besoins. Selon l'enquête du SANS, les missions les plus fréquemment externalisées comprennent les tests d'intrusion, les exercices de simulation d'attaques (« red teaming »), l'analyse numérique et le renseignement sur les menaces.
Visez une maturité constante
Une fois que le SOC est opérationnel, la priorité consiste à ajouter des fonctionnalités, à perfectionner celles qui existent déjà et à optimiser les opérations au fil du temps. Un référentiel de bonnes pratiques peut aider à identifier immédiatement les capacités essentielles et à évaluer le niveau de maturité. Parmi les référentiels courants, on peut citer le référentiel de cybersécurité de l'Institut national des normes et des technologies (NIST CSF), le référentiel ATT&CK de Mitre et le modèle de capacités et de maturité SOC (SOC-CMM).
En règle générale, un SOC gagne en maturité à mesure que de nouvelles fonctionnalités sont ajoutées, que davantage d’opérations peuvent être automatisées, que la sécurité couvre une part croissante des actifs critiques de l’ d’une organisation, et que les menaces sont hiérarchisées et atténuées en fonction des risques opérationnels.
« Il est important de ne pas en attendre trop, trop vite », déclare Remes. « Ce ne sera pas comme si l’on appuyait simplement sur un interrupteur. » « Vous commencerez par des tâches élémentaires et très manuelles, puis vous passerez progressivement à des processus plus opérationnels et automatisés. »
En bref : ne laissez pas la perfection être l'ennemie du bien. Après tout, la mise en place d'une équipe de sécurité agile est un marathon qui commence après le sprint initial.
