La recherche de menaces est l'une des activités les plus gourmandes en ressources dans un processus opérationnel de sécurité. Cela nécessite des analystes compétents, capables de formuler une hypothèse, de rechercher des éléments probants dans un environnement étendu, de filtrer les informations superflues et de consigner leurs conclusions de manière à ce que d'autres puissent en tirer parti. L'équipe HuntIQ de Tanium intervient directement dans les environnements des clients, et Threat Navigator a été conçu à partir de ces flux de travail concrets, en les intégrant à la console Tanium afin de rendre le processus plus rapide, plus collaboratif et plus reproductible.
Duncan passe en revue chacune des trois composantes principales de Threat Navigator : les recherches, les hypothèses et les techniques MITRE. Il montre comment les recherches utilisent la syntaxe IOC ou Signal pour interroger l'environnement en temps réel, sans avoir à diffuser au préalable des informations ni à attendre l'agrégation des journaux. Il montre également comment les itérations permettent aux chasseurs de filtrer progressivement les résultats afin de mettre en évidence ce qui compte réellement, et comment les recherches menées à bien peuvent être directement converties en signaux pour la détection continue.
Si vous gérez des opérations de recherche de menaces ou si vous souhaitez comprendre comment Tanium rend la sécurité proactive plus accessible à l'échelle de l'entreprise, cet épisode aborde les mécanismes spécifiques du fonctionnement de Threat Navigator, depuis l'épinglage de résultats individuels jusqu'à l'exportation d'hypothèses destinées à être utilisées dans d'autres outils de suivi. Regardez l'épisode dans son intégralité ci-dessous.
Points clés
- Conçu à partir de véritables flux de travail HuntIQ : Threat Navigator a été développé en collaboration avec les « chasseurs » HuntIQ de Tanium ( ). Ce projet a consisté à transposer dans la console Tanium les flux de travail qu’ils utilisent dans les environnements des clients, souvent en dehors de la console.
«Il s’agit de reprendre les workflows que nous utilisons dans les environnements clients, souvent en dehors de la console, et d’essayer de les intégrer à la console Tanium. »Duncan Miller, chasseur de menaces senior chez Tanium
- Les recherches sont effectuées dans l’ensemble de l’environnement sans diffusion préalable d’informations : . Grâce à la syntaxe IOC ou Signal, les recherches couvrent l’ensemble de l’environnement sans diffusion préalable d’informations, sans collecte de journaux et sans génération d’alertes, ce qui les rend particulièrement adaptées à la recherche active plutôt qu’à la génération d’alertes.
«Vous pouvez utiliser la syntaxe IOC ou la syntaxe Signal pour créer une recherche qui couvrira l’ensemble de votre environnement sans avoir à pré-distribuer des informations, sans collecter de journaux ni attendre leur agrégation. »Duncan Miller, chasseur de menaces senior chez Tanium
- Les itérations affinent progressivement les résultats : Chaque recherche active enregistre jusqu'à cinq itérations de données, ce qui permet aux chercheurs d'exclure les résultats déjà validés et de relancer la recherche pour faire ressortir ce qui importe réellement, le nombre total de résultats étant plafonné à 10 000 et pouvant aller jusqu'à 100 résultats par hôte.
- La fonction « Épingler » permet de conserver les résultats à un moment donné : Les utilisateurs peuvent « épingler » des éléments spécifiques issus des résultats de recherche afin de les conserver, même lorsque ces données sont effacées, ce qui permet de conserver une référence à un moment donné concernant les résultats importants nécessitant une analyse plus approfondie ou dont la nature malveillante a été confirmée. Lorsque vous épinglez un élément, cette itération est automatiquement enregistrée.
- Recherches groupées dans Hypotheses et exportation : Les « Hypotheses » regroupent plusieurs recherches liées entre elles et peuvent être exportées sous forme de fichier Markdown, offrant ainsi aux chercheurs un résumé qu'ils peuvent coller directement dans d'autres outils de suivi. L'exportation au format PDF est également prévue.
- La recherche collaborative renforce le savoir-faire institutionnel : La console Tanium conservant l'historique des recherches et leurs différentes itérations, les membres de l'équipe peuvent reprendre là où d'autres se sont arrêtés, créant ainsi un environnement de recherche collaborative plus où chaque membre de l'équipe peut voir ce qui a déjà été fait, repérer des éléments intéressants ou affiner ses recherches beaucoup plus rapidement.
- Les analyses se transforment rapidement en détection : Dès qu'une analyse détecte un élément malveillant, la recherche peut être convertie en signal à l'aide du bouton « Créer un signal », transformant ainsi une analyse ponctuelle en une détection automatisée et reproductible, sans qu'il soit nécessaire qu'une personne examine les données à chaque fois.
«La chasse est, par nature, une activité coûteuse. » Il faut qu'une personne vérifie les données. Vous devez comprendre ce que vous avez sous les yeux. Une fois que j’ai terminé une analyse et que j’ai détecté un élément malveillant lors de cette analyse, je peux relancer l’analyse, mais cela ne devrait pas me permettre de retrouver ce que j’avais déjà détecté auparavant, n’est-ce pas ? »Duncan Miller, chasseur de menaces senior chez Tanium
Ressources complémentaires
- de Tanium Threat Response pour la détection, l'analyse et la correction des menaces sur les terminaux : découvrez comment Tanium Threat Response permet aux équipes de sécurité de détecter, d'analyser et de répondre aux menaces sur l'ensemble des terminaux de l'environnement.
- Comment HuntIQ propose une « chasse aux menaces » menée par des experts : Découvrez comment le service HuntIQ de Tanium renforce les opérations de sécurité grâce à une « chasse aux menaces » menée par des experts, conçue pour détecter les menaces avancées avant qu’elles ne causent des dommages.
- Cas d'utilisation concrets de la détection avec Tanium Threat Response : Premier volet d'une série en trois parties consacrée à la manière dont les clients utilisent Tanium pour détecter les incidents, les intrusions et les failles de sécurité, depuis la recherche comportementale de menaces et l'analyse des indicateurs de compromission (IOC) jusqu'à l'exploitation de multiples sources de renseignements sur les menaces à l'échelle de l'entreprise.
Les déclarations et les informations fournies par Tanium concernant ses projets, ses orientations et ses intentions sont susceptibles d'être modifiées sans préavis, à la seule discrétion de Tanium. Les informations relatives aux produits ou fonctionnalités potentiels à venir ont pour but de présenter les grandes orientations des produits Tanium et ne doivent pas servir de base à une décision d'achat, ni être intégrées dans un contrat. Il ne s'agit pas d'un engagement, d'une promesse ou d'une obligation légale. Le développement, la mise en production et le calendrier de tout produit ou fonctionnalité à venir restent à la seule discrétion de Tanium.
