Questions-réponses avec David Damato et Kris McConkey
David Damato, directeur de la sécurité chez Tanium, et Kris McConkey, associé spécialisé en cybersécurité chez PwC UK, ont passé leur carrière en première ligne de la lutte contre les cybercriminels au sein des réseaux des plus grandes entreprises et institutions mondiales. Alors qu’ , Tanium et PwC s’associent pour révolutionner la manière dont les équipes chargées de la sécurité et des opérations informatiques détectent les intrusions et y réagissent, nous avons rencontré Dave et Kris pour discuter métier… et voir en quoi ce nouveau partenariat va changer la donne.
Pourquoi Tanium ? Quels avantages les clients de PwC tirent-ils des fonctionnalités de Tanium ?
Kris McConkey : Nous sommes régulièrement appelés à intervenir chez nos clients pour gérer des incidents de sécurité, et chaque fois que nous demandons des données spécifiques, on nous répond souvent que notre client ne dispose ni de la visibilité nécessaire, ni des moyens de se connecter à ses terminaux pour en extraire des éléments spécifiques. Lorsqu'ils le font, il faut souvent des heures, voire des jours, pour rassembler les traces numériques qui nous aident à localiser précisément où se cachent les intrus dans un environnement. Nous étions confrontés, entre autres incidents, à des cas d'espionnage impliquant plusieurs continents, et nous nous sommes globalement rendu compte que nous devions abandonner l'idée de faire intervenir des équipes sur place pour chaque problème. Nous avions besoin d'une solution qui nous aide à gérer l'analyse des incidents à grande échelle, car nous travaillons avec certaines des plus grandes organisations au monde. Nous souhaitions disposer d'un outil permettant de mener des enquêtes à distance de manière beaucoup plus approfondie et d'effectuer des analyses en temps réel des environnements d'entreprise.
Nous avons donc commencé à rechercher des solutions dans le domaine de la détection des menaces au niveau des terminaux. Nous en avons examiné un certain nombre et avons constaté que Tanium est véritablement la seule solution suffisamment flexible pour nous permettre de réaliser tout ce que nous souhaitions dans un environnement : pouvoir extraire l'ensemble des données télémétriques d'un environnement afin de les analyser dans d'autres solutions que nous avons développées et observer ce qui se passe réellement sur les terminaux ; mais aussi diffuser l'ensemble des renseignements sur les menaces et des signatures que nous générons dans l'infrastructure informatique et faire en sorte que les terminaux effectuent eux-mêmes une partie de ces analyses et recherches à notre place.
Nous avons tout de suite été séduits par la flexibilité de la plateforme Tanium. Nous nous considérons généralement comme des « utilisateurs avancés » et sommes capables de concevoir de nombreuses solutions personnalisées. La plupart des autres solutions étaient trop fermées à notre goût.
David Damato : Ayant exercé et dirigé des missions de conseil au cours de la dernière décennie, je sais que chaque mission de conseil est unique. Par conséquent, les consultants doivent disposer d'outils offrant une grande flexibilité afin de pouvoir répondre aux défis spécifiques de chaque client. Tanium offre cette flexibilité : il prend en charge un large éventail de normes, permet le développement de contenus personnalisés et s'intègre à d'autres outils grâce à une API bien documentée. Kris et son équipe chez PwC tirent déjà parti de cette flexibilité et de cette architecture pour proposer des solutions sur mesure à leurs clients.
Je comprends les défis auxquels sont confrontés PwC et ses clients. Les entreprises sollicitent de l'aide pour enquêter sur des incidents complexes et cherchent des moyens d'améliorer la visibilité sur les risques présents au sein de leurs environnements. La plateforme Tanium permet aux experts de PwC d'accéder rapidement à des données relatives aux terminaux, qui n'étaient pas disponibles auparavant. Cette nouvelle visibilité et la rapidité avec laquelle les données essentielles peuvent être obtenues confèrent à Kris et à son équipe un avantage concurrentiel par rapport aux autres cabinets de conseil qui s'appuient sur la génération précédente de technologies de gestion des terminaux.
Comment avez-vous vu le paysage des menaces évoluer au cours de votre carrière ? Qu'est-ce qui vous empêche de dormir la nuit ?
Dave : Honnêtement, le paysage des menaces n’a pas beaucoup évolué — c’est là le problème. Bien que les tactiques des pirates restent relativement similaires à celles observées lors des violations de sécurité survenues il y a cinq ou dix ans, nous constatons aujourd’hui davantage de violations qu’il y a trois ou quatre ans.
Ce qui est le plus préoccupant, c'est la rapidité avec laquelle les pirates agissent aujourd'hui. La plupart des pirates savent comment s'introduire rapidement dans un environnement et se déplacer latéralement en très peu de temps. Ce qui prend désormais quelques heures prenait autrefois des jours, voire des semaines. Par conséquent, les entreprises doivent être en mesure de détecter et de neutraliser les attaques très rapidement — c’est l’une des raisons pour lesquelles la rapidité de Tanium et sa capacité à intervenir directement sur un terminal séduisent nos clients.
Kris : Si l’on examine l’historique des intrusions de type APT, on constate qu’il s’agit en réalité d’un problème qui touche à la fois les États-Unis et le Royaume-Uni depuis plus de 10 ans, l’ampleur du phénomène ayant considérablement augmenté au cours de cette période et s’étendant à de nombreux autres pays. Ce qui s'est avéré très intéressant, et peut-être surprenant, c'est de voir de plus en plus d'acteurs se lancer dans cette aventure. Dans « novembre 2014 », nous suivions des groupes répartis dans 12 pays. Rien qu'au cours des 9 derniers mois, cette liste s'est allongée de 8 pays supplémentaires.
Il est intéressant de constater que cette activité est de plus en plus le fait de nouveaux acteurs qui font leur entrée sur le marché. Il y a beaucoup d'acteurs de la vieille école qui continuent de réussir grâce à leurs vieilles astuces, comme le dit Dave, mais certaines techniques vraiment sophistiquées font assez peur quand on en mesure toute l'ampleur.
Qu'est-ce qui vous surprend le plus lorsque vous travaillez en première ligne face aux violations de données ?
Kris : Eh bien, l'un des aspects les plus passionnants de notre métier, c'est le frisson de la chasse. Lorsqu’un client sait qu’un intrus s’est introduit dans son réseau mais ignore où il se trouve — par exemple lorsqu’il a été alerté par un organisme gouvernemental —, ces premières heures ou ces premiers jours de recherche, au sein d’un réseau qui lui est inconnu, visant à trouver des indices sur la cachette des malfaiteurs et à identifier l’auteur de la menace, se déroulent à un rythme effréné et dans une atmosphère intense.
Ce qui est surprenant, c'est la façon dont certains d'entre eux réagissent chaque fois que vous les rencontrez. Nous avons constaté un changement radical dans le comportement de certains acteurs malveillants dès lors qu'ils se sont rendu compte que nous les avions démasqués. Dave l'aura également constaté à plusieurs reprises : ils essaient de comprendre comment diable nous parvenons à les repérer, afin de pouvoir prendre des mesures pour nous échapper. Cela nous rappelle en quelque sorte que ce que nous faisons s'apparente, dans le monde numérique, à un combat au corps à corps. C'est littéralement l'homme contre l'homme.
Dave : Je suis toujours surpris de la facilité avec laquelle les pirates parviennent à s'introduire dans les réseaux sans être détectés. La plupart des organisations s'appuient sur des solutions telles que les antivirus ou les capteurs réseau pour détecter les attaques. Je pense que nous sommes tous conscients que les antivirus ne sont pas très efficaces. Cependant, je pense également que les entreprises ne se rendent pas compte que les capteurs réseau ne permettent pas de déterminer ce qui s'est réellement passé sur un terminal et ne sont pas conçus pour analyser le trafic chiffré, qui peut représenter entre 20 % et 50 % de votre trafic Internet.
Les organisations doivent se concentrer sur les terminaux. C'est la source de toutes les informations dont vous avez besoin. Si vous parvenez à obtenir ces informations rapidement et à grande échelle, vous pourrez répondre à pratiquement n'importe quelle question. Combien y a-t-il d'ordinateurs sur mon réseau ? Ont-ils été corrigés ? Quel est l'état de leurs dispositifs de sécurité ? Constate-t-on une activité suspecte sur un terminal ? Si tel est le cas, que s'est-il passé et quelles mesures devons-nous prendre ? C'est pourquoi de nombreuses organisations prennent conscience de la valeur ajoutée de Tanium.
Orion (cofondateur et directeur technique de Tanium) a récemment déclaré : « Le concept de périmètre autour de votre réseau a complètement disparu. » Êtes-vous d'accord ?
Kris : Tout à fait d'accord. C'est l'un des changements les plus marquants qui se soient produits, même au cours des 5 dernières années, en ce qui concerne les organisations. Si l'on examine la manière dont ils défendent leurs biens, on constate qu'il existait un périmètre bien défini il y a 5 ans. Tout se trouvait bien à l'intérieur des quatre murs d'une organisation, et c'est ce qu'elle devait protéger pour empêcher les malfaiteurs d'entrer et autoriser l'accès aux personnes habilitées. Mais avec le télétravail, les équipes mobiles, la politique « apportez votre propre appareil », etc., il est en réalité difficile pour les organisations d’avoir une visibilité complète sur l’emplacement des équipements.
Dave : Tout à fait. Il y a cinq ou dix ans, tous les actifs appartenaient à l'entreprise et étaient fixes, ce qui facilitait la définition des réseaux et des périmètres. Aujourd'hui, nous disposons de téléphones portables, de tablettes, de services cloud et de supports de stockage abordables et faciles à transporter. Les appareils et les données ne sont plus confinés dans les limites d’un réseau bien défini, entouré de murs. C'est pourquoi nous constatons que les organisations ont du mal à répondre à des questions simples concernant le nombre, le type ou la sécurité des appareils présents sur leurs réseaux. Ils ne le savent tout simplement pas, car tout évolue si rapidement. Il s'agit sans aucun doute d'un domaine dans lequel nous continuons à aider nos clients à trouver des solutions grâce à notre architecture unique.
Que doit faire le service informatique pour renforcer sa résilience en matière de cybersécurité ?
Dave : Être résilient en matière de cybersécurité, c'est avoir la capacité de réagir à un incident et de s'adapter rapidement. Face à la plupart des incidents, le service informatique sera chargé de mettre en œuvre une mesure corrective — une série d’actions visant à éliminer rapidement un attaquant ou des failles de sécurité d’un environnement. Cela peut consister à corriger une faille de sécurité, à sécuriser les comptes administratifs locaux, à modifier les pare-feu côté hôte ou à supprimer des logiciels malveillants. Grâce à la plateforme Tanium, ces actions peuvent être accélérées, ce qui permet d'apporter une réponse plus résiliente aux incidents de sécurité.
De manière proactive, le service informatique devrait se concentrer sur ce que l'on appelle souvent « l'hygiène de sécurité ». Cela comprend l'installation des derniers correctifs, l'identification des modifications non autorisées apportées aux configurations de sécurité et le suivi des actifs. De nombreuses failles de sécurité résultent de mauvaises configurations, d’actifs non gérés ou de systèmes non mis à jour — les services informatiques peuvent jouer un rôle déterminant dans la prévention des incidents s’ils disposent d’une visibilité adéquate sur ces domaines, qui sont essentiels pour renforcer la résilience en matière de sécurité. Nous constatons en effet que de nombreux services informatiques de nos clients utilisent Tanium pour traiter ces aspects, en collaboration avec leur équipe de sécurité.
Kris : En matière d'informatique, et plus particulièrement en matière de sécurité, il est généralement nécessaire de savoir faire quelques choses très bien. Il y a beaucoup de choses pour lesquelles on peut s'en sortir en procédant de manière un peu improvisée, mais certaines sont absolument essentielles. Il s'agit avant tout de la capacité à surveiller en temps réel ce qui se passe au sein de leur organisation, de la capacité à comprendre rétrospectivement ce qui s'est passé au sein de leur organisation (par exemple, grâce à Tanium Trace), ainsi que de la capacité à prendre des mesures correctives et à appliquer des règles en temps réel également. Ainsi, si vous identifiez l'auteur de la menace en question, par exemple s'il exploite une vulnérabilité dans un programme spécifique, vous pouvez déterminer en temps quasi réel quels programmes sont vulnérables à cette faille, puis appliquer le correctif.
La plupart des organisations, dans ces trois ou quatre domaines différents, y consacrent probablement plusieurs jours, voire plusieurs semaines, pour chacun d'entre eux. Disposer d'un programme tel que Tanium, capable de vous aider à réduire tous ces délais à quelques minutes, est ce dont la plupart des services informatiques rêveraient.
Comment réagissent les clients lorsque vous leur annoncez qu'une intrusion a eu lieu ?
Kris : Certains abordent cela comme un problème technique et estiment que, dès lors qu’ils ont éliminé le logiciel malveillant et réinitialisé certains comptes utilisateurs, l’affaire est close. Nous constatons que de plus en plus d’organisations abordent cette question comme un véritable enjeu commercial, à savoir : quelles données avons-nous perdues ? Quel impact cela a-t-il sur nos futurs plans d’activité ? À qui devons-nous en faire part ? Quelles sont nos obligations juridiques, réglementaires et éthiques concernant la communication de ces pertes, le cas échéant ?
Je pense que les clients les plus expérimentés, notamment lorsque nous les aidons à faire face à une nouvelle intrusion, se rendent compte qu’il existe une certaine différence entre ce que nous considérons comme un succès pour un attaquant et ce que l’attaquant lui-même considère comme un succès. Ainsi, au moment où un pirate parvient à s'introduire dans un réseau, il n'a en réalité pas encore obtenu ce qu'il cherchait. Ils avaient probablement pour mission de recueillir certaines données précises. Il existe donc une période propice, entre le moment où ils pénètrent dans le réseau et celui où ils obtiennent ce qu'ils sont venus chercher, durant laquelle les organisations ont la possibilité de les repérer et de les exclure du réseau. C'est précisément dans ce contexte que la visibilité offerte par Tanium s'avère extrêmement utile. Une fois qu'ils ont réussi à s'introduire, ils s'efforcent d'être aussi discrets que possible lorsqu'ils se déplacent sur le réseau. Lorsque vous leur retirez cette capacité à agir en toute discrétion, vous parvenez à mieux mettre en évidence leurs mouvements. Cela se traduit par une « durée de présence » considérablement réduite pour les intrusions.
Dave : Chaque client réagit différemment à un incident. Vous espérez que la réaction soit planifiée : l'organisation dispose d'un plan de gestion des relations avec les investisseurs et est en mesure de réunir rapidement toutes les parties prenantes concernées. Les organisations bien préparées disposent également d'un accès immédiat aux informations relatives aux terminaux, aux réseaux, aux journaux et à d'autres données susceptibles d'être nécessaires au cours de l'enquête. Les organisations qui ne sont pas préparées n'ont souvent pas une très bonne compréhension de leur environnement, de leurs données de journalisation ou de leurs principales parties prenantes. De ce fait, les organisations mal préparées sont souvent confrontées à des incidents de longue durée. Nous constatons que Tanium aide ses clients à se préparer aux incidents grâce à une visibilité inégalée sur l’ensemble des terminaux, ce qui permet aux entreprises de ne pas avoir à chercher des réponses une fois l’incident déclaré.
En quoi Tanium se distingue-t-il de ses concurrents en matière de sécurisation d'une entreprise ?
Dave : De nombreux éditeurs de solutions de sécurité se concentrent sur la résolution d’un seul défi — qu’il s’agisse de détecter des logiciels malveillants ou d’appliquer des correctifs aux systèmes. Le problème avec la sécurité, c'est qu'il n'existe pas de solution unique. Il existe un certain nombre de tâches qui doivent être réalisées par un nombre limité de personnes compétentes et encadrées par des processus bien rodés.
Contrairement à ces solutions ponctuelles, Tanium est une plateforme. It provides 15 second visibility across all endpoints, even in the largest organizations. Cette rapidité et cette flexibilité permettent aux organisations de relever de nombreux défis en matière de sécurité, et pas seulement un seul. Cette plateforme permet de rechercher différents formats d'indicateurs de compromission (IOC), de surveiller les comportements anormaux, d'appliquer des correctifs aux terminaux, de surveiller les configurations, d'identifier les ressources non gérées, ou encore d'enquêter sur un incident et d'y répondre.
La rapidité et la simplicité de la plateforme permettent également aux petites équipes d'être plus efficaces, en accédant plus rapidement aux informations nécessaires, en automatisant les tâches clés et en consacrant moins de temps à la gestion d'une architecture complexe, propre aux architectures de type « hub and spoke ». L'API disponible et la possibilité de développer de nouveaux contenus permettent également aux organisations d'intégrer la plateforme à leurs processus existants et à d'autres solutions ponctuelles.
Nous constatons d'ores et déjà comment PwC utilise cette plateforme pour se démarquer de ses concurrents. Kris et son équipe utilisent nos outils IR et notre module Trace pour recueillir des preuves et surveiller l'activité des attaquants, et ce, plus rapidement qu'auparavant. La recherche d'un fichier ou le recensement de tous les processus en cours d'exécution ne prend désormais que quelques secondes, alors qu'auparavant cela prenait plusieurs jours. De même, PwC dispose d'une visibilité immédiate sur les vulnérabilités, les erreurs de configuration et les autorisations des utilisateurs, ce qui lui permet de remédier rapidement à une attaque.
Si vous deviez donner un seul conseil au PDG d'une grande multinationale en matière de cybersécurité, quel serait-il ?
Kris : Identifiez les données dont dépend fondamentalement votre organisation, la manière dont ces données circulent au sein de celle-ci, les systèmes concernés et leur emplacement. À ce stade, vous pouvez commencer à vous faire une idée précise des motivations qui pourraient pousser les acteurs malveillants à vouloir accéder à ces systèmes ou à ces données, ainsi que des moyens qu’ils sont susceptibles d’utiliser pour y parvenir, afin d’adapter en conséquence vos mesures de défense et vos investissements en matière de sécurité.
Dave : Presque tous les PDG avec lesquels je m'entretiens se soucient de la sécurité, mais ne disposent pas toujours de l'expertise nécessaire pour poser à leurs collaborateurs les bonnes questions concernant l'état de la sécurité au sein de leur organisation. Je recommande toujours aux PDG et aux membres du conseil d'administration de poser les questions fondamentales suivantes afin d'évaluer l'état de la sécurité au sein de leur organisation :
- Quelles sont les données les plus importantes conservées par l'organisation et où se trouvent-elles ?
- Veuillez présenter au moins trois scénarios différents dans lesquels un pirate pourrait dérober les données importantes décrites précédemment.
- Quelles mesures de sécurité avez-vous mises en place pour empêcher les pirates de voler des données importantes dans les scénarios précédents ?
- À quand remonte le dernier test d'intrusion interne ? Quels ont été les résultats du dernier test d'intrusion interne réalisé sur le réseau et comment ces problèmes ont-ils été traités ?
- À quand remonte le dernier exercice de simulation d'intervention en cas d'incident organisé en salle ? Quels ont été les résultats et comment ont-ils été pris en compte ?
Pourriez-vous nous en dire davantage sur les « Tanium Accelerators » de PwC ?
Kris : Dans l'ensemble, le programme « Tanium Accelerators » est conçu et s'aligne étroitement sur la manière dont nous [PwC] utilisons nous-mêmes Tanium dans le cadre de nos missions auprès de nos clients.
Le premier accélérateur est, en réalité, un flux d'informations sur les menaces. Nous sommes en mesure de tirer parti de l'ensemble de nos travaux de recherche, ainsi que de toutes les nouvelles informations que nous recueillons dans le cadre de nos interventions en cas d'incident, et de les exploiter de manière à ce que Tanium puisse automatiquement les utiliser et les mettre en œuvre.
Le deuxième point concerne l'accès effectif aux contenus rédigés par PwC pour Tanium. Notre utilisation principale concerne la détection des menaces et les enquêtes. Nous avons développé de nombreux modules personnalisés pour Tanium qui nous permettent d'extraire pratiquement tous les éléments de preuve auxquels ils pourraient vouloir accéder au cours d'une enquête. Les utilisateurs ont également la possibilité de rédiger du contenu personnalisé en réponse aux demandes des clients.
La troisième autorise le recours à des équipes de chasse à distance dans le cadre des interventions en cas d'incident. Si les organisations ne disposent pas d'équipes expérimentées en matière de recherche de menaces ou de gestion des incidents et qu'elles souhaitent externaliser cette fonction, nous pouvons nous connecter à Tanium et analyser leur environnement afin d'identifier les éléments que leurs solutions de sécurité existantes ne détectent pas.
Quatrièmement, les prestations de conseil un peu plus traditionnelles : conception de processus, gestion des flux de travail, intégration avec différentes équipes et différents systèmes, qu’il s’agisse d’un système CMDB, d’un système de gestion des vulnérabilités ou d’une solution de liaison.
Enfin, PwC dispose d'un atout tout à fait unique sur le marché : son propre cabinet d'avocats. Certains des plus grands experts mondiaux en matière de confidentialité et de protection des données ont déjà eu recours à ce service : nous sommes en mesure de fournir des conseils juridiques à nos clients et de réaliser efficacement des analyses d'impact sur la confidentialité des données afin de les aider à tirer le meilleur parti de leur licence Tanium. Ils peuvent utiliser Tanium sans enfreindre aucune réglementation en matière de confidentialité et de protection des données en vigueur dans leur pays.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
