Formation du Centre d’intégration de Cyber Threat Intelligence
Le Sommet de la Maison Blanche sur la cybersécurité d’aujourd’hui est le summum d’une période de huit jours mémorable au cours de laquelle nous avons été témoins de la plus grande cyberattaque jamais réalisée sur une entreprise de soins de santé et de la création d’une nouvelle agence gouvernementale.
La formation du Centre d’intégration des renseignements sur les cybermenaces (CTIIC) légitime certainement le besoin urgent de créer des solutions de partage des renseignements modernes et plus agiles et les meilleures pratiques pour lutter contre la cybercriminalité. Plus important encore, la création du CTIIC est une étape importante dans la promotion de la collaboration entre les agences fédérales qui ont des cyber missions et des capacités disparates, la création d’informations finies plus complètes et la diffusion en temps réel d’indicateurs de compromission exploitables (IOC) comme défense clé contre les menaces actuelles.
Les directeurs généraux d’Apple, d’American Express, de Visa et autres se sont réunis pour le Sommet de la Maison-Blanche afin de discuter du partage d’informations. Nous avons entendu Kenneth Chenault, président-directeur général d’American Express, parler du partage d’informations comme étant le moyen le plus rentable ayant le plus grand impact sur la réduction des cybermenaces. Ce sentiment a été réprimé par Bernard Tyson de Kaiser Permanente et a finalement nommé un principe directeur pour relever le défi de notre ère numérique par le Président dans son discours.
Le partage d’informations doit être à l’esprit de tous les DSI, RSSI et professionnels de la sécurité : qu’est-ce que cela signifie pour ceux d’entre nous qui sont confrontés à une matrice de menaces constante, mais en constante évolution, chaque jour ? Et, plus important encore, que pouvons-nous faire à ce sujet ?
Redéfinir le « partage d’informations »
Le partage d’informations entre les professionnels de la sécurité est traditionnellement informel et anecdotique au mieux. Les pairs contactent ou se rencontrent en personne pour obtenir des conseils sur une base trimestrielle, mensuelle ou ad hoc et échangent des informations sur les incidents notables et les menaces perçues. Malheureusement, cette approche n’est plus viable et le « partage d’informations » doit être redéfini.
Le partage d’informations modernisé peut être divisé en trois actions continues :
- Collecter des indicateurs de compromission (IOC) en temps réel à partir de plusieurs sources dans des formats standard lisibles par machine.
- Partager cette intelligence par programme sans avoir besoin d’interaction humaine.
- Utiliser ces IOC pour rechercher et remédier aux menaces en temps réel, même dans les plus grands réseaux mondiaux.
Bien qu’une stratégie de défense en profondeur doive inclure des technologies antivirus, nous devons abandonner l’accent sur les signatures de menaces précises et les indicateurs réseau pour détecter les intrusions, étant donné que ces signatures datent de plusieurs jours ou, pire encore, de plusieurs semaines ou mois. De plus, les logiciels malveillants peuvent être modifiés aussi légèrement et assez facilement pour mener des attaques de suivi qui contourneront les signatures antivirus traditionnelles.
Par conséquent, la meilleure défense d’une entreprise réside dans la construction d’une forte infraction qui utilise des renseignements sur les menaces concernant les méthodologies d’attaque, les comportements et les IOC réels pour chasser et remédier aux menaces sur les endpoints en temps réel.
Se connecter aux données communautaires et sectorielles
Vos informations sur les menaces sont exponentiellement plus solides lorsque vous recevez des données et des informations provenant de plusieurs sources. Une première étape facile consiste à s’abonner à de nombreuses sources IOC, telles que Virus Total, IOC Bucket et iSIGHT Partners. Effectuez un suivi avec une simple sensibilisation auprès de partenaires de données précieux :
- Rejoignez et recevez des informations pour le chapitre InfraGard du FBI dans votre région. Les agents spéciaux du FBI partageront régulièrement les menaces spécifiques au secteur ou à l’entreprise pour vous aider à vous protéger.
- Contactez et établissez des relations avec votre État local, ou
- Les fournisseurs leaders du secteur en matière de menaces persistantes avancées (APT) peuvent fournir des appliances ou basées sur le cloud pour s’asseoir sur votre réseau afin de diffuser les signatures de menaces IOC.
Bien que le partage d’informations passe de l’anecdote à l’analyse, vos pairs restent des partenaires importants. Élargissez votre réseau en assistant à des conférences et événements du secteur, et connectez-vous avec vos pairs à l’intérieur et à l’extérieur de votre secteur. Facebook a annoncé mercredi une nouvelle plateforme permettant aux organisations de partager des informations appelée ThreatExchange. Dans ce nouveau climat, notre réussite collective sera définie par la valeur que nous extrayons des leçons apprises. La CTIIC vise à transformer ces leçons en de meilleures méthodologies pour mieux communiquer et collaborer, et je vous invite à suivre leur exemple. Néanmoins, toutes les données dans le monde sont inutiles si vous ne pouvez pas les utiliser en temps réel et à grande échelle . La nouvelle approche du partage d’informations nécessite des outils qui transforment l’intelligence en action instantanée. Êtes-vous prêt ?
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
