Avec les États-nations, les pirates informatiques et d’autres acteurs malveillants qui augmentent constamment le rythme et la sophistication des cyberattaques, de nombreuses organisations franchissent un seuil lorsqu’elles constatent qu’elles ne peuvent plus surveiller, détecter et répondre aux menaces de manière adéquate. Ils finissent par créer un moyen centralisé pour les équipes de sécurité de partager des informations et de collaborer sur la défense et la réponse, généralement appelé centre d’opérations de sécurité (SOC).
La centralisation de la sécurité accélère la capacité d’une organisation à détecter les cyberattaques et à y répondre , mais la création d’un SOC ne se produit pas sans une certaine réflexion et un certain effort.
Pour développer les opérations de sécurité et créer un SOC agile rapidement et efficacement, Endpoint a discuté avec un trio d’experts.
« Les SOC ne sont pas clés en main », déclare Wim Remes, PDG et fondateur du cabinet de conseil Wire Security. « Il ne s’agit pas d’acheter un tas de technologies, de mettre un tas de personnes sur des claviers, puis d’attendre que le SOC fonctionne », dit-il. « Il s’agit d’abord de développer les capacités essentielles, puis d’améliorer et d’étendre de plus en plus les capacités SOC au fil du temps. »
Définir vos objectifs
Les SOC n’ont pas toujours les mêmes objectifs initiaux de démarrage, déclare Gal Shpantzer, cofondateur du cabinet de conseil virtuel CISO Security Outliers. Pour savoir ce qu’une organisation vise, il recommande de poser quelques questions :
- Qui sont les clients initiaux pour le SOC ?
- L’objectif est-il de fournir des tableaux de bord aux cadres, à la conformité ou à la réponse aux incidents ?
- Quelles sont les attentes en matière de surveillance, d’alertes, d’analyse et de réponse ?
Répondre à ce type de questions peut être laissé à la sagesse collective de l’organisation au sens large. C’est pourquoi les entretiens avec plusieurs parties prenantes peuvent aider à découvrir des objectifs.
« Il ne s’agit pas de... mettre un groupe de personnes sur les claviers, puis de s’attendre à ce que le SOC fonctionne. »Wim Remes, PDG et fondateur de Wire Security
« Les architectes et ingénieurs de sécurité doivent interroger les différentes unités commerciales pour identifier comment ils souhaitent interagir et communiquer avec les équipes des opérations de sécurité », déclare Michael Lyborg, vice-président principal de la sécurité mondiale et de l’informatique d’entreprise chez Swimlane, qui conseille les entreprises sur l’automatisation des opérations de sécurité.
« Ensuite, travaillez en arrière en reconnaissant les résultats souhaités, les objectifs d’expérience utilisateur, les actions de réponse et les arbres de notification. »
Effectuer une analyse des écarts
Votre organisation dispose peut-être déjà de certaines des capacités nécessaires en interne pour atteindre vos objectifs, déclare Remes. L’étape suivante consiste à identifier les domaines où votre organisation est forte et les domaines qui doivent être améliorés.
Peut-être que l’organisation est déjà efficace dans la gestion des vulnérabilités et dispose d’un tableau de bord de sécurité efficace qui fournit des informations sur les événements en cours. D’autre part, il peut manquer de capacités de recherche des menaces et de réponse aux incidents. Une fois que vous avez identifié les lacunes, vous pouvez élaborer un plan pour les combler en interne ou en externe.
Obtenir les bons talents à bord
Certaines des capacités essentielles d’un SOC comprennent la surveillance et les tests de sécurité, la hiérarchisation des alertes, la réponse aux incidents, l’administration de la sécurité, la remédiation, la recherche sur les menaces, etc. Ces compétences sont plus que de simples ensembles d’outils : elles impliquent le cerveau derrière le clavier.
Les personnes dont vous avez besoin peuvent déjà se trouver au sein de votre organisation, mais travailler dans des domaines connexes de l’administration ou de la sécurité du système.
Embaucher en interne peut souvent être un bon choix. « Comprendre l’environnement est essentiel, car vous ne pouvez pas répondre dans un environnement que vous ne connaissez pas », déclare Remes. « Vous ne serez pas aussi efficace que les personnes moins qualifiées en matière de sécurité, mais qui connaissent réellement l’organisation. »
En fonction de la nature de l’environnement technologique de l’entreprise, le SOC devra être composé de membres de l’équipe ayant une diversité de compétences. Une expertise peut être nécessaire dans tout, des systèmes d’exploitation modernes aux mainframes, en passant par les systèmes existants et l’architecture cloud.
Intégrer des flux de données essentiels
Un SOC est essentiellement un moyen d’analyser et de répondre au flux de données de l’ensemble de l’organisation. Pour un nouveau SOC, les flux de données initiaux doivent provenir des systèmes les plus sensibles et les plus critiques pour l’entreprise.
Lyborg de Swimlane conseille aux dirigeants de créer un SOC nouvellement étudié de garder à l’esprit le type et la taxonomie des données. Il est également important de créer un modèle de données commun pour accélérer l’intégration des outils et simplifier la cartographie des informations. Généralement, les données circulent non seulement à partir d’ensembles d’outils de sécurité, mais également à partir de serveurs et de endpoints, de plusieurs environnements cloud, de systèmes sur site, d’opérations réseau et d’infrastructure, et de systèmes de gestion des identités.
Pour cartographier les sources de données, Shpantzer conseille d’examiner où elles se trouvent physiquement : « Sont-elles sur site ? Sont-ils dans des systèmes cloud ? Et ai-je les compétences en ingénierie des données, en interne ou consultées, pour créer essentiellement ce que certaines personnes appelleraient un pipeline de données, pour récupérer ces journaux à partir de diverses méthodes à l’ancienne et modernes ? »
Adopter les derniers outils
Il est plus logique d’obtenir un ensemble solide de capacités de base qui s’exécutent en premier et se développent à partir de là. Pour un nouveau SOC, intégrez d’abord la surveillance de la sécurité et la détection des événements dans vos capacités de réponse. Une fois les éléments essentiels en place, il est temps d’envisager d’ajouter des capacités plus avancées, telles que la chasse aux menaces, le travail en équipe rouge, l’informatique légale et les renseignements sur les menaces, entre autres spécialités.
Dans une enquête de 2021, l’Institut SANS a découvert que les SOC utilisent le plus souvent des outils et des tactiques tels que les réseaux privés virtuels (VPN), la gestion des informations et des événements de sécurité (SIEM), la sécurité des e-mails, la lutte contre les logiciels malveillants, la remédiation des vulnérabilités, la détection et la réponse basées sur l’hôte, les pare-feux, les systèmes de détection des intrusions (IDS) et les systèmes de prévention des intrusions (IPS). Cet ensemble d’outils démontre que la majorité des personnes interrogées souhaitaient assurer la sécurité de leurs communications SOC tout en assurant la surveillance des menaces, la prévention des attaques et la réponse aux incidents.
Décider de ce qu’il faut externaliser
Étant donné que des millions d’offres d’emploi en matière de sécurité de l’information ne sont pas pourvues, il peut être plus pratique et rentable pour les organisations d’externaliser des tâches qui ne peuvent pas être facilement attribuées en interne.
« Les architectes et ingénieurs de sécurité doivent interroger les différentes unités commerciales pour identifier comment ils souhaitent interagir et communiquer avec les équipes des opérations de sécurité. »Michael Lyborg, vice-président senior de la sécurité mondiale et de l’informatique d’entreprise, Swimlane
L’enquête SANS a révélé que 38 % des répondants exploitent leur SOC en interne 24 heures par jour ; 15 % externalisent entièrement leur SOC ; et 31 % utilisent un mélange de surveillance interne et externalisée. Pour contrôler les coûts, 16 % n’exploitent pas leur SOC 07/12.
Les organisations n’ont souvent pas assez de travail pour occuper des spécialistes dédiés. Beaucoup externalisent donc des capacités spécialisées en fonction des besoins. Les tâches les plus fréquemment externalisées comprennent les tests d’intrusion, l’équipe rouge, l’informatique légale et les renseignements sur les menaces, selon l’enquête SANS.
S’efforcer d’atteindre une maturité continue
Une fois qu’un SOC est opérationnel, la priorité s’oriente vers l’ajout de capacités, la maturation des capacités déjà en place et l’optimisation des opérations au fil du temps. Un cadre de meilleures pratiques peut aider à identifier immédiatement les capacités essentielles et à évaluer la maturité. Les cadres communs comprennent le cadre de cybersécurité du National Institute of Standards and Technology (NIST CSF), le cadre ATT&CK de Mitre et le modèle de capacité et de maturité SOC (SOC-CMM).
En général, un SOC mûrira à mesure que davantage de capacités seront ajoutées, que plus d’opérations pourront être automatisées, car la sécurité couvre une part croissante des actifs critiques d’une organisation, et que les menaces sont priorisées et atténuées en fonction du risque commercial.
« Il est important de ne pas s’attendre trop vite », déclare Remes. « Ce ne sera pas un commutateur qui est retourné. Vous commencerez par une approche basique et très manuelle et deviendrez plus opérationnel et automatisé au fil du temps. »
En bref : ne laissez pas le parfait être l’ennemi du bien. Après tout, la création d’une équipe d’opérations de sécurité agile est un marathon après le sprint initial.
