Les organisations ne peuvent pas se permettre de rester entièrement dépendantes d’une ligne de vie de flux de données uniques afin de détecter les attaques. Ryan Kazanciyan, architecte en chef de la sécurité chez Tanium, propose des conseils sur la manière de trouver les meilleures données sur les menaces pour répondre aux besoins uniques de votre organisation.
(Image : Geralt/Pixabay)
Demandez à tout RSSI d’identifier ses priorités principales et vous entendrez systématiquement un élément en haut de la liste : une meilleure utilisation des données sur les menaces. En effet, les renseignements sur les menaces ont évolué pour devenir un segment de plusieurs milliards de dollars du secteur de la cybersécurité, et un point central de nombreux efforts politiques et législatifs en matière de cybersécurité, tels que la loi Cybersecurity Information Sharing Act de 2015.
Mais un problème critique est souvent négligé : avec des ressources limitées et une multitude d’indicateurs de menace, où les organisations peuvent-elles trouver les meilleures informations sur leurs réseaux ? J’ai parlé de ce sujet lors du Sommet sur les perturbations cyber du Center for Strategic and International Studies à Washington, DC, la semaine dernière.
Le partage des données sur les menaces a de la valeur et des limites, et il est important que les organisations et les décideurs comprennent ce qu’elles sont, comment les prendre en compte et quelles stratégies supplémentaires hiérarchiser.
Les limites des données sur les menaces
Les données sur les menaces partagées entre les organisations ont trois limites clés interconnectées :
- Il est facile pour les attaquants de modifier leurs « empreintes » numériques. Les indicateurs de menace généralement partagés entre les organisations, à savoir les adresses réseau, les hachages de fichiers, les noms DNS et les URL, sont fragiles et peuvent être rapidement modifiés. Les informations les plus précieuses, telles que les modèles d’attaque et d’artisanat, sont souvent conservées dans des « jardins clos » par des fournisseurs de sécurité, dans des formats qui ne sont souvent pas interchangeables entre des organisations ou des technologies disparates.
- Il est difficile de valider la qualité des données sur les menaces. Les programmes de partage des menaces se concentrent sur l’obtention d’indicateurs auprès des consommateurs concernés le plus rapidement possible, plutôt que de les valider. Cependant, peu d’organisations ont la capacité ou les ressources nécessaires pour effectuer des évaluations qualitatives continues des données sur les menaces qu’elles ingèrent, ou de la manière dont leurs outils de surveillance du réseau et des endpoints les consomment et les analysent. Cela entraîne des taux plus élevés de faux négatifs et de faux positifs, un contexte insuffisant pour prendre des décisions éclairées à grande échelle et le risque de mal attribuer les menaces. Cela est particulièrement difficile, car les attaquants cooptent de plus en plus avec des ressources légitimes de réseau et d’endpoints pour dissimuler leurs activités.
- Vous jouez toujours au rattrapage. Vous pouvez apprendre de nouvelles techniques et méthodes de détection, mais c’est toujours après que les attaquants aient déjà introduit leurs tactiques sur le terrain.
Compléter les données sur les menaces externes en regardant vers l’intérieur
La base des efforts de sécurité de toute organisation doit être de comprendre votre propre réseau et de distinguer facilement les anomalies « normales » des anomalies réellement malveillantes. En pratique, le bruit de fond de la plupart des grands réseaux hétérogènes peut rendre cela extrêmement difficile. La première étape pour maîtriser le problème consiste à appliquer une technologie et des processus qui peuvent identifier en permanence tous les actifs que vous défendez. L’étape suivante consiste à énumérer et regrouper automatiquement ces actifs en fonction des dizaines d’attributs critiques qui définissent leur surface d’attaque.
De nombreuses organisations ont encore du mal à gérer la première moitié de cet effort. Par exemple, dans l’espace fédéral, plusieurs agences subissant la phase 1 du programme de diagnostic et d’atténuation continus (Continuous Diagnostics and Mitigation, CDM) ont constaté qu’elles ont sous-estimé leur nombre d’appareils de 200 % à 300 %. Dans l’ensemble du secteur public et privé, il est courant de voir la dépendance aux inventaires de systèmes obsolètes et aux bases de données de gestion des changements remplies de données obsolètes. Ces systèmes et bases de données obsolètes ne fournissent pas un contexte système suffisant pour évaluer et surveiller correctement les risques.
Les caractéristiques affectant la sensibilité d’un système à la compromission comprennent : ses applications et services installés ; les utilisateurs qui s’authentifient auprès de lui et à partir de lui ; ses interfaces réseau ; les données qu’il stocke ; et la configuration et les paramètres de sécurité clés. La catégorisation automatique des groupes de systèmes en fonction d’attributs en constante évolution constitue la base d’un inventaire dynamique qui peut vraiment servir de base aux efforts de détection et de réponse.
Une approche mixte de la détection des menaces
La détection moderne des menaces nécessite une approche équilibrée. Pour toutes ses limitations, les données sur les menaces provenant de sources externes, si elles sont appliquées avec une portée et une visibilité suffisantes dans un environnement, peuvent automatiquement identifier et contextualiser un sous-ensemble d’activité malveillante. Des outils spécialisés de surveillance de la sécurité des endpoints et du réseau peuvent ajouter des mécanismes de détection supplémentaires pour des modèles d’attaque plus larges. Ces outils complètent les pratiques de dérivation des informations à partir de votre propre environnement et détectent automatiquement les changements qui introduisent des anomalies ou affectent le profil de risque de vos actifs.
Nous ne pouvons plus continuer sur le chemin que nous avons suivi au cours des 20 dernières années, dépendant entièrement d’une ligne de vie de flux de données uniques de fournisseurs de sécurité pour détecter les attaques. Heureusement, les décideurs politiques et les entreprises commencent à réaliser cela et à suivre des processus et des technologies qui permettent aux organisations de comprendre et de défendre réellement leurs propres actifs.
Si vous souhaitez en savoir plus sur ce sujet, consultez mes remarques complètes au Sommet sur les cyberruptures du Center for Strategic and International Studies à Washington ici (à partir de la marque 6 :286:48 ).
À propos de l’auteur : Dans son rôle d’architecte en chef de la sécurité de Tanium, Ryan Kazanciyan apporte plus de 14 ans d’expérience dans la réponse aux incidents, l’analyse médico-légale et les tests de pénétration. Ryan supervise la conception et la feuille de route des offres de réponse aux menaces de Tanium et dirige l’équipe de détection et de réponse aux endpoints (EDR) de Tanium. Avant de rejoindre Tanium, Ryan supervisait les efforts d’enquête et de remédiation chez Mandiant, en s’associant à des dizaines d’entreprises du Fortune 500 touchées par des attaques ciblées. Ryan a formé des centaines d’intervenants en cas d’incident en tant qu’instructeur pour Black Hat et l’équipe informatique du FBI. Il est un auteur contributeur pour « Incident Response and Computer Forensics 3rd Edition » (McGraw-Hill, 2014). Ryan travaille également comme consultant technique pour la série télévisée « M. Robot », où il collabore avec les écrivains et l’équipe de production pour concevoir les piratages décrits dans l’émission.
