Depuis plus d’une décennie, je me consacre à la conception de réseaux sécurisés, aux tests des dispositifs de sécurité et aux enquêtes sur des violations complexes. Dans chacune de ces fonctions, j'ai eu du mal à trouver des outils offrant la visibilité et le contrôle nécessaires sur l'ensemble des terminaux pour mieux prévenir, détecter et résoudre les incidents de sécurité. C'est pourquoi j'étais à la fois enthousiaste — et sceptique au départ — lorsqu'un ancien client m'a présenté Tanium. Après avoir visionné la démonstration, j'ai rapidement pris conscience de la puissance de la plateforme et des nouvelles applications potentielles qu'elle offrait, lesquelles étaient impossibles à réaliser avec les solutions existantes. Et depuis que j’ai pris mes fonctions de directeur de la sécurité chez Tanium, j’ai pu constater de près les capacités révolutionnaires que Tanium offre à ses clients — et je suis ravi de vous présenter notre dernière évolution technologique.
Tanium Trace (Trace) est notre tout dernier module, qui renforce encore davantage la rapidité et l'évolutivité de la plateforme Tanium. Cette solution offre la souplesse nécessaire pour mener des enquêtes judiciaires immédiates et approfondies sur un seul terminal, ainsi que pour effectuer des recherches précises à l'échelle de l'entreprise à partir d'éléments de preuve capturés sur des millions de terminaux ; ces opérations, qui prenaient auparavant 15-seconds — what jours ou semaines, sont désormais réalisées en quelques jours ou semaines. Les organisations qui continuent de s'appuyer sur des technologies obsolètes, incapables d'atteindre ce niveau de rapidité et de visibilité, se retrouveront largement à la traîne par rapport aux pirates et courront un risque accru de faire la une des journaux.
Comment est-ce possible ? Trace enregistre en continu l'activité des terminaux, y compris les éléments système qui ne sont pas conservés par les mécanismes de journalisation habituels, tels que les détails des connexions réseau de courte durée, les hachages des processus exécutés, ainsi que la création, la suppression ou la modification de fichiers et de clés de registre. Trace assure également une surveillance fiable au niveau du noyau et est capable de détecter les rootkits ou d'autres techniques anti-investigation sophistiquées utilisées par les attaquants pour dissimuler leurs activités. Grâce à ces informations, les équipes de sécurité disposent d'un accès direct à un historique complet des activités malveillantes, ce qui ne serait pas possible dans des circonstances normales.
Les avantages de Tanium Trace pour les entreprises
Au vu de mon expérience passée en matière de gestion de violations de données à grande échelle, il est évident que mes équipes d’intervention en cas d’incident auraient grandement bénéficié des fonctionnalités offertes par Trace, et ce de trois manières distinctes.
Trace permet à ses clients de détecter les activités malveillantes.
Dans le cadre de mes fonctions précédentes, où je dirigeais des interventions en cas d'incident, nous recevions en permanence de nouvelles informations, souvent appelées « indicateurs de compromission » (IOC). De même, la plupart des organisations reçoivent des indicateurs de compromission (IOC) provenant de diverses sources et recherchent ces indicateurs à l'aide d'outils variés. Dans la plupart des cas, les IOC sont simples (par exemple : MD5, IP, nom de fichier) et les recherches peuvent prendre des heures, voire des jours, si ces informations sont effectivement disponibles. Trace révolutionne ce modèle en permettant aux organisations d'effectuer des recherches dans les données enregistrées sur l'ensemble des terminaux, en quelques secondes. Le module peut également surveiller en continu n'importe quelle combinaison d'indicateurs enregistrés par Trace. Grâce à la plateforme Tanium, les alertes générées par Tanium Trace peuvent être utilisées pour automatiser des actions spécifiques, telles que le téléchargement d'un fichier vers VirusTotal, la transmission d'informations vers un SIEM ou la création d'un instantané de la base de données Trace en vue d'une analyse ultérieure.
Trace peut aider les organisations à évaluer la portée des incidents avec plus de précision et de rapidité.
Les entreprises sont souvent submergées d'alertes de sécurité. En conséquence, les organisations doivent soit consacrer une énergie considérable à l'analyse des alertes, soit choisir de simplement reconstruire tous les systèmes susceptibles d'avoir été compromis. Ces deux options sont à éviter. L'analyse de tous les incidents à l'aide des méthodes d'investigation traditionnelles peut surcharger des équipes de sécurité déjà très occupées et ne permet pas d'obtenir le même niveau de détail que celui enregistré par Trace. La remise en place de systèmes sans analyse entraîne souvent des coûts inutiles lorsque l'alerte initiale s'avère être un faux positif, ou empêche les analystes de détecter une violation bien plus importante. Trace permet aux analystes d'accéder à une multitude d'événements pertinents sur le plan de l'investigation, afin que les organisations puissent évaluer correctement chaque incident, de manière rapide et exhaustive.
Trace peut également aider les organisations à remédier aux incidents avec plus de précision et d'efficacité.
Une fois qu'un incident a été correctement cerné, les analystes peuvent utiliser la plateforme Tanium pour lancer des mesures correctives visant à nettoyer les systèmes affectés et à éliminer toute trace de l'activité des attaquants. Cette approche intègre le processus d'investigation et de remédiation, ce qui permet de limiter l'impact sur vos utilisateurs finaux et le temps nécessaire à la résolution d'un incident.
Trace respecte les mêmes principes fondamentaux que le reste de la plateforme Tanium, notamment la capacité à obtenir une visibilité instantanée sur des centaines de milliers de systèmes à grande échelle. Par conséquent, il n'est pas nécessaire de déployer du matériel ou de l'espace de stockage supplémentaire, quel que soit le nombre de terminaux. De même, les utilisateurs de Trace peuvent toujours tirer pleinement parti de la plateforme Tanium pour accéder aux données enregistrées par le module et y effectuer des recherches, en quelques secondes.
Le fait d’avoir accès à des données aussi détaillées, gérées par cette solution, ainsi que la possibilité d’effectuer des recherches rapides et à grande échelle sur les informations qu’elles contiennent, aurait pu me faire gagner — ainsi qu’aux équipes que j’ai dirigées — des milliers d’heures d’enquête. Au cours des prochaines semaines, nous vous communiquerons davantage d'informations sur ce module, à mesure que nos clients continueront à déployer et à utiliser Trace de manière innovante et passionnante.
Si vous souhaitez en savoir plus sur Trace ou assister à une démonstration de la plateforme Tanium Endpoint, cliquez ici.
David Damato, responsable de la sécurité
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
