Organizations cannot afford to remain wholly dependent on a lifeline of one-size-fits-all data feeds in order to detect attacks. Tanium’s Chief Security Architect Ryan Kazanciyan offers guidance on how to find the best threat data to address your organization’s unique needs.
Demandez à n'importe quel RSSI d'énumérer ses principales priorités et vous constaterez qu'un élément revient systématiquement en tête de liste : mieux exploiter les données relatives aux menaces. En effet, le renseignement sur les menaces est devenu un secteur de plusieurs milliards de dollars au sein de l'industrie de la cybersécurité, et un élément central de nombreuses initiatives politiques et législatives en matière de cybersécurité, telles que la loi « » (loi sur le partage d'informations en matière de cybersécurité) de 2015.
Mais un enjeu crucial est souvent négligé : face à des ressources limitées et à une multitude d'indicateurs de menaces, où les entreprises peuvent-elles trouver les meilleures informations sur leurs réseaux ? J'ai abordé ce sujet lors du Cyber Disrupt Summit organisé par le Center for Strategic and International Studies à Washington, DC, la semaine dernière.
Le partage des données sur les menaces présente à la fois des avantages et des limites ; il est donc important que les organisations et les décideurs politiques comprennent en quoi elles consistent, comment en tenir compte et quelles stratégies supplémentaires privilégier.
Les limites des données relatives aux menaces
Le partage des données sur les menaces entre les organisations présente trois limites essentielles et interdépendantes :
- Il est facile pour les pirates de modifier leurs « traces » numériques. Les indicateurs de menace généralement partagés entre les organisations — adresses réseau, hachages de fichiers, noms DNS et URL — sont fragiles et peuvent être modifiés rapidement. Les informations les plus précieuses, telles que les modes opératoires des attaques et les techniques utilisées, sont souvent conservées dans des « jardins clos » par les éditeurs de solutions de sécurité, sous des formats qui ne sont généralement pas compatibles entre des organisations ou des technologies différentes.
- Il est difficile de vérifier la qualité des données sur les menaces. Les programmes de partage d'informations sur les menaces visent avant tout à transmettre les indicateurs aux destinataires concernés le plus rapidement possible, plutôt qu'à les valider. Cependant, rares sont les organisations qui disposent des capacités ou des ressources nécessaires pour mener des évaluations qualitatives continues des données relatives aux menaces qu’elles collectent, ou de la manière dont leurs outils de surveillance du réseau et des terminaux les exploitent et les analysent. Cela entraîne une augmentation des taux de faux négatifs et de faux positifs, un manque de contexte pour prendre des décisions éclairées à grande échelle, ainsi que le risque d'attribuer à tort certaines menaces. Cela représente un défi particulier, car les attaquants exploitent de plus en plus les ressources légitimes du réseau et des terminaux pour dissimuler leurs activités.
- Vous êtes toujours à la traîne,. Vous pouvez certes découvrir de nouvelles techniques et méthodes de détection, mais c'est toujours après que les attaquants ont déjà mis leurs tactiques en œuvre sur le terrain.
Compléter les données sur les menaces externes en se tournant vers l'intérieur
La base des efforts de sécurité de toute organisation doit résider dans la compréhension de son propre réseau et dans la capacité à distinguer facilement les anomalies « normales » de celles qui sont véritablement malveillantes. Dans la pratique, le bruit de fond présent dans la plupart des grands réseaux hétérogènes peut rendre cette tâche extrêmement difficile. La première étape pour maîtriser ce problème consiste à mettre en œuvre des technologies et des processus permettant d'identifier en permanence l'ensemble des actifs que vous protégez. L'étape suivante consiste à recenser et à regrouper automatiquement ces actifs en fonction des dizaines d'attributs essentiels qui définissent leur surface d'attaque.
De nombreuses organisations ont encore du mal à mener à bien la première partie de cette démarche. Par exemple, au niveau fédéral, plusieurs agences engagées dans la phase 1 du programme « Continuous Diagnostics and Mitigation » (CDM) ont constaté qu’elles avaient sous-estimé le nombre de leurs appareils de 200 % à 300 %. Tant dans le secteur public que dans le secteur privé, il est fréquent de constater que l'on s'appuie sur des inventaires de systèmes obsolètes et sur des bases de données de gestion des changements contenant des données périmées. Ces systèmes et bases de données obsolètes ne fournissent pas suffisamment d'informations contextuelles pour permettre une évaluation et un suivi adéquats des risques.
Les caractéristiques qui influent sur la vulnérabilité d'un système comprennent : les applications et services qui y sont installés ; les utilisateurs qui s'authentifient sur ce système et à partir de celui-ci ; ses interfaces réseau ; les données qu'il stocke ; ainsi que sa configuration et ses principaux paramètres de sécurité. Le classement automatique de groupes de systèmes en fonction d'attributs en constante évolution constitue la base d'un inventaire dynamique qui peut véritablement servir de fondement aux efforts de détection et de réaction.
Une approche combinée de la détection des menaces
La détection des menaces modernes nécessite une approche équilibrée. Malgré toutes leurs limites, les données sur les menaces provenant de sources externes — à condition d'être mises en œuvre avec une portée et une visibilité suffisantes à l'échelle de l'environnement — permettent d'identifier et de replacer automatiquement dans leur contexte un sous-ensemble d'activités malveillantes. Des outils spécialisés de surveillance de la sécurité des terminaux et des réseaux peuvent apporter des mécanismes de détection supplémentaires permettant de couvrir un éventail plus large de schémas d'attaque. Ces outils viennent compléter les pratiques consistant à tirer des informations de votre propre environnement et à détecter automatiquement les changements qui entraînent des anomalies ou affectent le profil de risque de vos actifs.
Nous ne pouvons plus continuer sur la voie que nous suivons depuis 20 ans, en dépendant entièrement d'une source unique de flux de données standardisés fournis par les éditeurs de solutions de sécurité pour détecter les attaques. Heureusement, tant les décideurs politiques que les entreprises commencent à en prendre conscience et s'orientent vers des processus et des technologies qui permettent aux organisations de véritablement comprendre et de protéger leurs propres actifs.
Si ce sujet vous intéresse, vous pouvez consulter l'intégralité de mon intervention lors du Cyber Disrupt Summit organisé par le Center for Strategic and International Studies à Washington ici (à partir de 6:28 -6:48 ).
À propos de l'auteur : En tant qu'architecte en chef de la sécurité chez Tanium, Ryan Kazanciyan apporte plus de 14 ans d'expérience dans les domaines de la gestion des incidents, de l'analyse forensic et des tests d'intrusion. Ryan supervise la conception et la feuille de route des offres de Tanium en matière de réponse aux menaces, et dirige l'équipe EDR (Endpoint Detection and Response) de Tanium. Avant de rejoindre Tanium, Ryan a supervisé les opérations d'enquête et de remédiation chez Mandiant, en collaboration avec des dizaines d'entreprises du classement Fortune 500 victimes d'attaques ciblées. En tant que formateur pour Black Hat et la brigade cybercriminalité du FBI, Ryan a formé des centaines de spécialistes de la gestion des incidents. Il est l'un des auteurs de l'ouvrage « Incident Response and Computer Forensics, 3e édition » (McGraw-Hill, p. 2014). Ryan travaille également en tant que consultant technique pour la série télévisée « Mr. Robot », où il collabore avec les scénaristes et l'équipe de production afin de concevoir les piratages informatiques mis en scène dans la série.
