Après près de cinq ans d'évolution, Tanium Impact est devenu un outil puissant permettant de visualiser et d' , de contrer les mouvements latéraux avant même qu'ils ne se produisent. Dans cet épisode, Josh vous explique comment Impact construit une représentation graphique de votre environnement à l'aide des données des capteurs, des relations Active Directory et de l'analyse des sessions afin de mettre en évidence les risques liés aux identifiants. Vous découvrirez comment les appartenances à des groupes imbriqués, les sessions exposées et les droits mal configurés peuvent créer des voies d'accès invisibles pour les attaquants, et comment Impact vous aide à les détecter et à y remédier.
Que vous interveniez suite à un incident ou que vous renforciez de manière proactive la sécurité de votre environnement, cet épisode vous montre comment utiliser Impact pour hiérarchiser les mesures correctives, évaluer l'étendue des répercussions et réduire rapidement les risques. Avec de nouvelles améliorations de l'interface utilisateur, l'intégration de Tanium Threat Response à , ainsi qu'un aperçu des futures fonctionnalités de terminaison de session, ce guide pratique regorge d'informations utiles.
Points clés à retenir
- Le déplacement latéral fait partie intégrante de toute intrusion. Tanium Impact vous aide à identifier de manière proactive les prochaines cibles potentielles des attaquants avant même qu'ils ne les atteignent.
«Chaque intrusion ou compromission comporte une phase de déplacement latéral dans la chaîne d’attaque. » Ainsi, dès qu’un adversaire s’introduit dans l’environnement, il commence immédiatement à chercher d’autres endroits où il pourrait se propager. »Josh Bryant, directeur de la gestion des produits chez Tanium
- Impact établit une cartographie de votre environnement à l'aide des données des capteurs Tanium, de la synchronisation avec Active Directory et de l'analyse des sessions, afin de cartographier les relations d'exposition et de contrôle.
- Identifiez les comptes et groupes imbriqués présentant un risque au sein des domaines Active Directory. Impact met en évidence les relations de contrôle directes et indirectes, y compris les appartenances à des groupes profondément imbriquées qui peuvent, sans le vouloir, accorder des privilèges d'administrateur sur l'ensemble des terminaux.
[À lire également : Qu'est-ce que la sécurité Active Directory ? Risques et bonnes pratiques]
- Les services partagés « Tanium Directory Query » et « Criticality » constituent des éléments essentiels au bon fonctionnement d'Impact. La fonction « Requête d'annuaire » extrait les données relatives aux objets « utilisateur », « groupe » et « ordinateur » de l'annuaire d'Active Directory, tandis que la fonction « Criticité » attribue des niveaux d'importance, appelés « niveaux de criticité », à des actifs tels que les terminaux, les utilisateurs et les groupes.
- Utilisez les niveaux de criticité pour établir les priorités lors du triage. Les actifs peuvent être classés comme « faible », « moyen », « élevé » ou « critique ». Les paramètres par défaut sont appliqués aux contrôleurs de domaine et aux groupes privilégiés à l'aide de SID bien connus.
- Parmi les nouvelles améliorations apportées à l'interface utilisateur d' , on trouve une vue « Résultats » à onglets, des filtres par colonnes et un graphique « Chemin le plus court » qui illustre comment les qualifications peuvent être utilisées pour évoluer latéralement.
«Si un attaquant parvient, par exemple, à accéder à ce point de terminaison situé tout en haut, nous constatons que le trafic sortant est nul. » Cela signifie qu’il n’y a aucun risque de déplacement latéral à partir de ce point de départ, et que nous pouvons facilement y remédier. »Josh Bryant, directeur de la gestion des produits chez Tanium
- Identifiez rapidement les terminaux lors d'une intervention en cas d' . Utilisez l'analyse des sauts sortants et les graphiques visuels pour déterminer dans quelles directions un utilisateur ou un terminal compromis pourrait se déplacer latéralement et sur quels éléments concentrer votre enquête.
- L'analyse des sessions permet de déterminer quels utilisateurs ont des sessions actives ou inactives sur les terminaux, quels types de connexion ont été utilisés et si des identifiants ont été exposés.
- Découvrez l'impact des mouvements latéraux sur les alertes dans Tanium Threat Response. Impact s'intègre à Threat Response pour montrer jusqu'où un attaquant pourrait se déplacer à partir du point d'origine d'une alerte, ce qui permet de hiérarchiser le triage et la réponse.
- Parmi les fonctionnalités à venir , citons la résiliation de session via Tanium Automate, qui permettra aux équipes de sécurité de bloquer immédiatement l'accès aux comptes compromis.
