Tanium’s Technical Account Managers are working closely with our customers to address the Meltdown and Spectre microprocessor vulnerabilities. Here’s a look at some of the ways we’ve started to help with visibility, patching, performance monitoring and detection and response.
(Image : Geralt / Pixabay)
Deux failles de sécurité majeures affectant les processeurs modernes – baptisées « Meltdown » et « Spectre » – ont poussé les professionnels de la cybersécurité et de l'informatique à se mobiliser pour renforcer la sécurité des appareils. Les microprocesseurs concernés sont présents dans pratiquement tous les ordinateurs du monde, des ordinateurs de bureau aux serveurs, en passant par les infrastructures hébergées dans le cloud. Étant donné que Meltdown et Spectre recouvrent un ensemble complexe de vulnérabilités matérielles, il n'est pas possible d'y remédier facilement à l'aide d'un seul correctif. Pour y remédier, un effort en plusieurs phases, menés conjointement par les équipes informatiques et de sécurité, est nécessaire afin de mener à bien les actions suivantes :
- Identifier et recenser le matériel informatique et les autres actifs ;
- Vérifiez la compatibilité ;
- Appliquez les correctifs sur le matériel, les systèmes d'exploitation et les applications concernés ; et
- Surveillez les performances du système.
Les responsables techniques de compte (TAM) de Tanium travaillent avec nos clients pour mettre en œuvre la plateforme Tanium afin de relever ces défis. Voici un aperçu de certaines des mesures que nous avons mises en place pour améliorer la visibilité, la gestion des correctifs, la surveillance des performances, ainsi que la détection des menaces et la réponse à celles-ci.
Visibilité
Les organisations devront dresser une liste exhaustive de tous les systèmes dont le matériel est concerné par ces vulnérabilités. La faille Spectre concerne les processeurs Intel, AMD et ARM, tandis que la faille Meltdown ne concerne que les processeurs Intel. Le module principal de Tanium permet de recueillir des informations complètes sur le matériel, notamment le fabricant du processeur et les détails relatifs à celui-ci, grâce à des requêtes simples telles que « Obtenir les détails du processeur ». Cela peut permettre d'identifier les systèmes équipés de matériel Intel particulièrement vulnérables à Meltdown.
Tanium Asset s'appuie sur ces informations pour regrouper et consolider des dizaines d'attributs relatifs aux terminaux — notamment le matériel, le système d'exploitation, les logiciels, les correctifs et les données utilisateur — afin de générer des rapports d'inventaire précis et complets.
La nécessité de disposer de ces données va bien au-delà des simples informations relatives au processeur ; de nombreuses applications tierces, telles que les navigateurs Web, sont concernées par Spectre et nécessiteront des mises à jour à venir. Compte tenu de l'ampleur du problème, les organisations devront, pendant plusieurs mois, maintenir en toute confiance une visibilité et un contrôle sur les versions des logiciels vulnérables installés dans leurs environnements.
Application de correctifs
Pour remédier à la faille « Meltdown », les entreprises devront jongler entre les correctifs du système d'exploitation et ceux du matériel fournis par les fabricants d'équipements d'origine (OEM). Le site Web consacré à Meltdown et Spectre propose une liste de liens vers les dernières notifications et mises à jour des éditeurs. Toutefois, comme pour toute opération de correction, il peut s'avérer difficile de déployer rapidement les correctifs à grande échelle, de vérifier leur installation et de prendre des mesures correctives en cas de résultats inattendus.
L'architecture Tanium a été conçue pour permettre à un seul serveur Tanium de distribuer et d'installer efficacement des correctifs et des fichiers associés, même sur des centaines de milliers de systèmes. Tanium Patch va encore plus loin en offrant des fonctionnalités puissantes pour la gestion et le déploiement des correctifs Windows d' , notamment la planification, les listes noires et les workflows personnalisés. Les fonctionnalités supplémentaires de Tanium permettent de déployer des correctifs et d'autres packages personnalisables sur les plateformes Linux, OS X, Solaris et AIX. Au cours de l'année écoulée, les responsables techniques de compte de Tanium ont accompagné les clients lors d'incidents antérieurs (tels que WannaCry) afin de les aider à améliorer la rapidité et l'efficacité de leurs programmes de correction.
Pour compliquer encore davantage la situation, Microsoft a indiqué que certains logiciels antivirus pourraient rencontrer des problèmes de compatibilité avec les correctifs Windows, ce qui pourrait entraîner l'apparition d'écrans bleus et d'autres erreurs. Afin de réduire le risque qu'une mise à jour automatique rende les systèmes inutilisables, Microsoft a exigé qu'une valeur spécifique du registre soit définie par le logiciel antivirus (notamment lors d'une mise à jour de compatibilité ou d'un correctif) pour attester qu'il est compatible avec le correctif.
Les clients de Tanium sauront en quelques secondes, à l'aide d'un capteur tel que « Registry Key Value Exists », quels systèmes disposent ou non de cette valeur. Grâce à des questions et à des capteurs qui fournissent des informations sur les applications installées, une organisation peut suivre l'état des mises à jour antivirus et vérifier que les modifications requises du registre ont bien été effectuées.
Suivi des performances
Les mesures correctives mises en œuvre par ces correctifs peuvent avoir un impact négatif sur les performances du processeur pour certaines charges de travail. L'ampleur exacte de la surcharge semble varier considérablement en fonction des types de logiciels et de matériel utilisés. Cette incertitude posera des défis aux organisations qui exploitent des systèmes pour lesquels les performances sont essentielles, qui disposent de machines virtuelles sur du matériel surchargé ou qui doivent établir avec précision le budget de leurs environnements hébergés dans le cloud.
Tanium permet d'obtenir des indicateurs de performances détaillés, notamment la consommation du processeur par processus et l'utilisation des applications, sur les systèmes Windows, Linux, OS X et Unix. En analysant les tendances de ces données, les organisations peuvent facilement visualiser et suivre les performances (ainsi que tout autre ensemble de données ou indicateur relatif aux terminaux) au fil du temps. Le fait de procéder ainsi avant le déploiement des correctifs peut vous aider à établir une base de référence concernant l'utilisation actuelle des ressources au sein de chaque groupe de systèmes concernés. Une fois les correctifs déployés, cela peut vous aider à évaluer l'ampleur des modifications apportées au comportement du processeur et à identifier rapidement les systèmes qui présentent des performances insuffisantes ou qui nécessitent des modifications.
Détection et réaction
Selon les chercheurs, les techniques qui exploitent les failles Spectre et Meltdown peuvent être difficiles à distinguer du comportement normal d'une application. Les entreprises ne doivent pas s'attendre à ce que leurs outils EDR ou anti-malware détectent ce type d'attaques. Toutefois, pour exploiter ces vulnérabilités, un attaquant doit d'abord parvenir à exécuter du code malveillant sur un terminal ciblé. Grâce à cette condition préalable, les équipes ont la possibilité de neutraliser les attaques avant que celles-ci ne déploient des charges utiles post-compromission exploitant les failles Spectre ou Meltdown. Les organisations doivent continuer à s'attacher à éliminer les tactiques du « plus petit dénominateur commun » qui permettent aux attaquants d'obtenir un accès initial, de s'implanter et de se déplacer au sein de l'environnement ciblé.
Tanium Threat Response offre une solution complète pour la détection et l'analyse des activités malveillantes, y compris les différentes phases des techniques utilisées par les attaquants, classées selon le référentiel MITRE ATT&CK. L'équipe EDR (Endpoint Detection and Response) de Tanium met à la disposition de ses clients un flux de signaux régulièrement mis à jour, permettant la génération d'alertes en temps réel et la mise en œuvre de workflows de recherche proactive (Enterprise Hunting) afin de faciliter l'identification des anomalies. Threat Response offre également une prise en charge étendue des flux d'indicateurs de compromission (IOC) et des fournisseurs de données de réputation tiers.
Les travaux de recherche remarquables qui ont conduit à la découverte de Meltdown et Spectre, ainsi que l'ampleur considérable du nombre d'appareils concernés, justifient amplement leur statut de vulnérabilités « historiques ». Néanmoins, les principes fondamentaux des opérations de sécurité nécessaires pour réagir et atténuer les risques, depuis l'identification des actifs affectés jusqu'à la mise en œuvre de mesures correctives et au suivi des résultats, restent les mêmes. Nous avons décrit ci-dessus plusieurs méthodes et composants de la plateforme Tanium qui aident déjà nos clients à faire face à cette divulgation inattendue. Au fur et à mesure que cette affaire évoluera, nous poursuivrons notre travail et vous tiendrons informés en conséquence.
Rejoignez la discussion au sein de la communauté Tanium pour en savoir plus sur la manière dont nous pouvons vous aider à lutter contre Meltdown et Spectre.
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
