Comment utiliser Tanium pour répondre à la directive PSPF australienne 002-2024 (Technology Stocktake)

Le 8 juillet 2024, la secrétaire d’État australienne aux Affaires intérieures, Stephanie Foster, a publié une série de directives officielles « » dans le cadre du «Protective Security Policy Framework» (PSPF) , enjoignant à chaque organisme du gouvernement fédéral d’identifier et d’atténuer les risques cybernétiques potentiels, dans un contexte d’inquiétudes croissantes concernant les ingérences étrangères.

Les trois directives obligatoires imposent aux entités du gouvernement australien :

1. Identifier les indicateurs d' s relatifs aux risques liés à la propriété, au contrôle ou à l'influence étrangers dans le cadre de l'acquisition et de la maintenance des actifs technologiques, et gérer et signaler ces risques de manière appropriée
2. Réaliser des inventaires des actifs technologiques d' s sur l'ensemble des systèmes ou services exposés à Internet afin d'identifier et de gérer activement les risques liés aux technologies vulnérables dont elles ont la charge, y compris celles qu'elles gèrent pour le compte d'autres entités
3. Participez au programme de partenariat en matière de cybersécurité de l'Australian Signals Directorate et, pour ceux qui utilisent des plateformes de partage de renseignements sur les menaces, partagez des informations sur les cybermenaces avec l'Australian Signals Directorate

Comment Tanium peut vous aider

Tanium est une puissante plateforme de gestion des terminaux en temps réel qui offre une visibilité et un contrôle en temps réel des environnements informatiques. Tanium offre un large éventail de fonctionnalités, notamment dans les domaines fonctionnels suivants, qui sont directement en lien avec les objectifs de la directive 002-2024 du PSPF.

• de l'inventaire des actifs : Il s'agit d'une activité fondamentale, indispensable à l'efficacité de toute stratégie de gestion et de sécurité. Il est également impératif de déterminer si des actifs et des services à haut risque se trouvent au sein de votre réseau interne, et le cas échéant, où ils se situent.
• Améliorer les normes de cyberhygiène d' : La visibilité et le contrôle en temps réel font ici toute la différence ; c'est comme si vous allumiez la lumière dans votre environnement. Cette activité revêt une importance capitale, car elle réduit, puis élimine à terme la surface d'attaque que les attaquants cherchent à exploiter pour accéder à votre environnement.
• de détection et de recherche : Si un adversaire a réussi à s'introduire dans votre environnement, il est important de le repérer rapidement avant qu'il ne s'y implante davantage et ne mette en œuvre ses intentions malveillantes.
• en matière de réponse aux incidents : Une fois une intrusion identifiée, la priorité est alors donnée à l’enquête visant à en évaluer l’ampleur, à la collecte de toutes les preuves pertinentes, à la mise en quarantaine des terminaux concernés à des fins de confinement, et enfin à la remédiation afin d’expulser l’intrus et d’annuler les activités qu’il a menées jusqu’à ce moment-là.

Les approches innovantes de Tanium concernant la directive 002-2024 du PSPF

Découvrez l'ensemble de vos biens (connaissez votre patrimoine)

• Tirez parti de l'analyse distribuée et centralisée pour identifier les ressources nouvellement connectées en quelques minutes
• Identifier et classer les fabricants d'appareils (qu'ils soient étrangers ou non)
• Regroupez les actifs sous gestion qui peuvent l'être. Une fois que ces éléments sont gérés, vous pouvez :
  • Bénéficiez d'une vue centrée sur les terminaux du réseau, comprenant les processus, les ports et les connexions (sources et destinations)
  • Répertoriez l'ensemble des applications logicielles (éditeurs, noms, versions et utilisation de celles-ci)
  • Utilisez la solution « » ( ) pour générer une nomenclature logicielle (SBOM) afin d'identifier les composants logiciels sous-jacents et de gérer les risques liés à la chaîne d'approvisionnement

Pourquoi Tanium ? Tanium intègre une fonctionnalité de détection native capable d'identifier de manière très efficace tous les actifs connectés via IP sur le réseau. Il est alors possible d'interroger en temps réel l'ensemble du parc informatique afin de disposer d'une vue d'ensemble continue et actualisée de tous les aspects du matériel et des logiciels. L'analyse des points d'accès gérés afin de connaître leurs connexions réseau actuelles (et historiques) offre une vision unique de la manière dont les ressources suspectes ou dignes d'intérêt peuvent interagir au sein de l'environnement et contribue, en fin de compte, à l'identification et à la détermination de leur légitimité.

Hygiène (réduire la surface d'attaque pour empêcher les pirates d'accéder au système)

• Visibilité et contrôle en temps réel de l'ensemble du parc informatique
• Normalisation :
  
  • Il ne devrait pas y avoir trop de versions d'une même application (par exemple, 15 versions de Chrome ou de Firefox sur l'ensemble du parc informatique)
  • Vous ne devriez pas avoir de valeurs aberrantes isolées, telles que des écarts par rapport à une référence connue (par exemple, une version spécifique de Chrome ou de Firefox présente uniquement sur un terminal).
• Supprimez les logiciels que vous n'utilisez pas
• Application des correctifs pour le système d'exploitation et les applications tierces (ainsi que la détection et la correction des vulnérabilités)
• Vulnérabilités « zero-day » (identifier les risques en temps réel et réagir immédiatement pour mettre en œuvre des mesures d'atténuation)
• Comprendre et mettre en évidence les vulnérabilités de la chaîne d'approvisionnement d'

Pourquoi Tanium ? Tanium permet d'obtenir une vue d'ensemble complète, à jour et précise de l'état actuel de l'environnement. Toute information accessible à partir d'un seul point d'accès peut faire l'objet d'une requête en temps réel sur l'ensemble du parc informatique. Cela permet de mettre en évidence les écarts et les valeurs aberrantes par rapport à une référence standard. Une fois identifiées, ces anomalies peuvent être corrigées rapidement au sein de Tanium afin de garantir le respect des normes. Les fonctions de gestion des correctifs et des vulnérabilités bénéficient également d'un accès en temps réel aux terminaux, ce qui permet d'optimiser la conformité et de réduire considérablement la surface d'attaque.

Recherche (recherchez des indices indiquant que des pirates se trouvent déjà dans le système)

• Affichage en temps réel des pilotes, des DLL, des processus, des hachages de fichiers, des connexions réseau, des requêtes DNS et des modifications du registre (comme la détection de la présence de jeux de caractères internationaux)
• Focus sur Étapes MITRE ATT&CK : persistance, mouvement latéral, etc. (des questions de recherche relatives à ces thèmes sont fournies en standard par Tanium)
• Analyse des valeurs aberrantes (par exemple, un hachage ou une DLL « scvhost.exe » isolé(e))

Pourquoi Tanium ? L'accès en temps réel de Tanium aux terminaux permet aux « Threat Hunters » d'effectuer des recherches à la fois de manière globale, sur l'ensemble du parc informatique, pour identifier les éléments et activités présentant un intérêt, et de manière approfondie au sein des terminaux, afin d'obtenir des informations très précises. Le niveau de visibilité est très élevé et garantit qu'un adversaire ne puisse en aucun cas dissimuler sa présence.

Détection (rechercher les attaquants qui sont déjà en train d'agir)

• Détection basée sur Intel : Tanium Signals/IOCs/règles YARA
• Tirez parti des signaux Tanium pour détecter les activités en temps réel (par exemple, le déploiement et l'utilisation de shells Web)

Pourquoi Tanium ? Les « Tanium Signals » constituent un puissant mécanisme de veille permettant d'identifier efficacement et en temps réel les activités se produisant sur les terminaux. Bien que de nombreux « Signals » aient été définis par Tanium et soient intégrés de manière native à la plateforme Tanium, la possibilité pour les opérateurs de les ajuster facilement et d'en créer de nouveaux permet aux organisations de faire preuve d'agilité et de s'adapter rapidement aux nouvelles menaces.

Réponse aux incidents (évaluation, confinement et neutralisation)

• Analyser les alertes (historique complet du processus, chronologie et ascendance)
• Recueillir des éléments de preuve (éléments de preuve techniques, vidages de mémoire, etc.)
• Terminaux en quarantaine (tout en conservant les capacités de gestion)
• Remédier à la situation (s'orienter vers des mesures fondées sur des politiques et des actions ponctuelles)

Pourquoi Tanium ? Tanium propose des fonctionnalités de réponse aux incidents parmi les meilleures de leur catégorie. Une fois les menaces identifiées, Tanium permet de réagir immédiatement et de poser des questions de cadrage à l'échelle de l'ensemble du parc informatique afin de vérifier si d'autres terminaux sont concernés. Les preuves judiciaires peuvent être facilement récupérées et conservées, ce qui permet de mettre en œuvre des mesures de confinement, telles que la mise en quarantaine, sans entraver le déroulement de l'enquête. La capacité à mener des actions ponctuelles ou basées sur des règles à l'échelle de l'ensemble du parc informatique garantit aux opérateurs la possibilité de prendre des mesures défensives et de riposter face à une intrusion.