On ne peut pas arrêter ce qu'on ne voit pas.
De nombreuses cyberattaques passent désormais inaperçues pendant des jours, des semaines, voire des mois.
Pendant ce temps, ils se propagent au sein du réseau de leur cible, compromettent autant de systèmes et de données que possible, et s’assurent une prise de contrôle suffisamment solide pour exiger une rançon exorbitante et causer un préjudice considérable à leur cible.
Plus tôt vous détecterez ces attaques, plus tôt vous pourrez les contrer, et moins vous subirez de dommages. Pourtant, de nombreuses organisations peinent à se forger la vision globale de leur environnement dont elles ont besoin pour détecter, analyser et résoudre rapidement les attaques.
Dans cet article, nous allons examiner les raisons de cette situation et les solutions possibles.
Pour ce faire, nous allons passer en revue les points suivants :
- Pourquoi les entreprises rencontrent-elles des difficultés en matière de visibilité sur la sécurité ?
- Comment le cadre OCSF (Open Cybersecurity Schema Framework) contribue à la normalisation des ensembles de données de sécurité
- Comment Amazon Security Lake utilise OCSF
- Comment Tanium apporte une visibilité sur les terminaux à l'OCSF et à Amazon Security Lake
Pourquoi les organisations ne détectent-elles pas les attaques assez rapidement ?
Aujourd'hui, toutes les organisations savent qu'elles doivent détecter rapidement les attaques.
Ils savent qu'ils doivent se forger une vision globale et précise de leur environnement afin de détecter, d'analyser et de résoudre les attaques avant qu'elles ne causent des dommages.
Ils ont même investi dans des dizaines d'outils qui collectent des données de sécurité provenant de multiples sources au sein de leur environnement et ont mis en place des équipes de sécurité à part entière qui travaillent 24 heures sur 24 pour surveiller ces données et détecter d'éventuels incidents.
Et pourtant, de nombreuses organisations ne parviennent toujours pas à détecter les attaques avant qu'elles ne se produisent.
Voici pourquoi.
Chaque outil de sécurité définit et organise ses données de sécurité selon son propre schéma, et utilise souvent des noms et des conventions différents pour désigner les mêmes éléments. Cela signifie que toutes les données de sécurité collectées par les organisations ne sont pas interopérables dès le départ et ne permettent pas, de manière naturelle, d'obtenir une vue globale et unifiée de leur environnement.
Pour regrouper toutes les données en une vue complète et exploitable — dans laquelle chaque ensemble de données peut être utilisé conjointement pour détecter, analyser et résoudre rapidement les attaques —, les équipes de sécurité doivent normaliser manuellement chaque élément de données afin de le mettre au format standard.
Ce processus est lent, complexe et source d'erreurs, et aboutit à :
- Les équipes de sécurité consacrent plus de temps à la gestion des données de sécurité qu'à leur analyse
- Les opérateurs qui travaillent en se fondant sur une vision fragmentée et imprécise de leur environnement
- Les criminels trouvent de nombreuses failles dans lesquelles se cacher à mesure qu'ils poursuivent leurs attaques
- Des attaques qui passent inaperçues, ne font l'objet d'aucune enquête et ne sont pas résolues avant qu'il ne soit trop tard
Tout cela parce que les organisations et les fournisseurs s'appuient sur leurs propres schémas pour définir et organiser les données de sécurité. Heureusement, un nouveau projet, une nouvelle plateforme et de nombreux fournisseurs de premier plan du secteur s'associent pour résoudre ce problème.
Comment l'OCSF résout le problème de la normalisation
Le cadre OCSF (Open Cybersecurity Schema Framework) (s'ouvre dans un nouvel onglet) apporte une solution au problème majeur que représente l'absence de normalisation des données de cybersécurité entre les différents fournisseurs et organisations.
L'OCSF a été créé pour résoudre ce problème. Il s'agit d'un langage commun dédié à la détection et à l'analyse des menaces, qui peut être utilisé par n'importe quelle équipe de cybersécurité, au sein de n'importe quelle organisation, pour tout type d'incident. À cette fin, l'OCSF fournit un ensemble standard de noms, de définitions et de taxonomies pour les données essentielles en matière de cybersécurité. Ce schéma est simple, indépendant des fournisseurs et facile à étendre avec des données de cybersécurité spécifiques à un domaine.
En résumé, tous les fournisseurs et toutes les organisations qui adopteront l'OCSF utiliseront le même cadre pour décrire et organiser leurs données relatives à la cybersécurité. Ce faisant, ils peuvent rapidement collecter, regrouper et analyser leurs données respectives. Cela permet de repérer, d'évaluer et, au final, de résoudre plus facilement et plus rapidement les incidents de cybersécurité.
En adoptant l'OCSF — et en utilisant des outils conformes à cette norme —, les équipes de sécurité pourront :
- Réduire le temps et les efforts nécessaires à la mise en commun des données de sécurité
- Éliminer les silos de données en matière de cybersécurité et améliorer la précision des données
- Obtenir une vue d'ensemble des données relatives à la cybersécurité, toutes sources et tous outils confondus
- Rationaliser et accélérer les opérations de sécurité afin de résoudre les incidents plus rapidement
Tout le monde peut adopter un projet et contribuer à l'OCSF. Il s'agit d'un projet open source qui propose une norme ouverte compatible avec n'importe quel environnement, application ou solution, et qui s'intègre aux normes et processus de sécurité existants. À mesure que de plus en plus d'organisations et de fournisseurs adopteront l'OCSF, le processus de regroupement des données de sécurité deviendra de plus en plus simple.
Et nous voyons déjà apparaître quelques grands projets qui adoptent l'OCSF, notamment la récente solution de « data lake » dédiée à la sécurité d'AWS, Amazon Security Lake.
Comment Amazon Security Lake utilise OCSF
L'OCSF a été cofondé par Amazon Web Services (AWS) et Splunk, avec la participation d'une poignée d'autres entreprises, dont Tanium.
Lancé récemment, Amazon Security Lake est un lac de données de sécurité alimenté par des sources de données intégrées, tant dans le cloud qu’en local, ainsi que par vos applications privées, et qui utilise le schéma OCSF au format Parquet. Security Lake réduit la complexité et les coûts pour les clients souhaitant rendre les données de leurs solutions de sécurité accessibles, afin de répondre à divers cas d'utilisation en matière de sécurité, tels que la détection des menaces, les enquêtes et la gestion des incidents. Security Lake aide les organisations à agréger, gérer et exploiter les données de journaux et d'événements, tant dans le cloud qu'en local, afin d'offrir aux équipes de sécurité une meilleure visibilité sur l'ensemble de leur organisation. Grâce à Security Lake, les clients peuvent utiliser les solutions de sécurité et d'analyse de leur choix pour interroger facilement ces données sur place ou importer les données conformes à la norme OCSF afin de répondre à d'autres cas d'utilisation. Security Lake aide ses clients à optimiser la conservation des données des journaux de sécurité en optimisant le partitionnement des données, ce qui permet d'améliorer les performances et de réduire les coûts. Désormais, les analystes et les ingénieurs peuvent facilement mettre en place et utiliser un lac de données de sécurité centralisé afin d'améliorer la protection des charges de travail, des applications et des données.
En substance, Amazon Security Lake regroupe l'ensemble de vos données de sécurité au sein d'un environnement unique grâce à un schéma open source ; il garantit la compatibilité de toutes vos données entre elles et facilite la création d'une vue unique, unifiée et exploitable de tout incident que vous subissez.
En utilisant Amazon Security Lake, les équipes de sécurité pourront :
- Regroupez les journaux provenant de plusieurs comptes, régions, réseaux et outils dans un seul lac de données
- Simplifier le processus d'exécution des corrélations et des analyses sur divers ensembles de données
- Stocker et interroger plus efficacement des sources de journaux de sécurité volumineuses
Amazon Security Lake recueille un large éventail de données relatives à la cybersécurité provenant de multiples sources, qui peuvent être utilisées lors d'incidents de sécurité. Chez Tanium, nous sommes fiers d'avoir apporté notre expérience et notre expertise en matière de jeux de données relatifs aux terminaux tant à l'OCSF qu'à Amazon Security Lake.
Comment Tanium apporte une visibilité sur les terminaux à OCSF et Amazon Security Lake
Tanium est la seule plateforme de gestion convergée des terminaux (XEM) de type « » (s'ouvre dans un nouvel onglet) . Elle offre visibilité, contrôle et correction grâce à une solution unique, légère et distribuée.
Tanium génère des données complètes, précises et en temps réel pour chaque terminal — qu'il soit géré ou non —, quel que soit la taille et le niveau de complexité des environnements.
Grâce aux données sur les terminaux fournies par Tanium, les entreprises peuvent :
- Créez en quelques minutes un inventaire complet et précis de tous les terminaux
- Découvrez les terminaux cachés et difficiles à localiser que les bases de données de gestion des configurations (CMDB) et autres outils ne détectent pas
- Identifiez en quelques minutes les vulnérabilités, les écarts de conformité, les correctifs et mises à jour manquants, ainsi que les erreurs de configuration sur l'ensemble des terminaux de votre environnement
- Identifiez les modifications apportées aux champs de données sensibles, aux configurations, aux droits d'accès ou aux indicateurs de compromission (IoC)
- Surveillez les données sensibles et configurez des alertes qui se déclenchent en cas d'incidents potentiels
- Enrichissez vos catalogues d'actifs et rendez vos processus de sécurité plus intelligents et plus efficaces
- Combler certaines des lacunes les plus courantes dans les bases de données de sécurité de nombreuses organisations
- Assurer une détection, une analyse et une correction plus complètes des menaces
En résumé : Tanium collecte l'ensemble des données clés relatives aux terminaux dont les équipes de sécurité et d'exploitation ont besoin pour détecter, analyser et résoudre les incidents. Désormais, grâce à de nouveaux partenariats avec l'OCSF et Amazon Security Lake, les organisations peuvent facilement tirer parti de l'expérience, de l'expertise et des ensembles de données de Tanium pour obtenir une vue d'ensemble de leurs risques de sécurité.
Voici comment Tanium a noué un partenariat pour soutenir OCSF et Amazon Security Lake.
- entre Tanium et l'OCSF : Tanium a été l'un des premiers contributeurs de l'OCSF. OCSF a fait appel à Tanium afin de bénéficier de notre expérience et de notre expertise dans le domaine des terminaux, et nous avons joué un rôle déterminant dans la mise en place de leur taxonomie complète et normalisée pour les données de sécurité des terminaux d' . Bien entendu, nos données de point de terminaison sont conformes au schéma de l'OCSF.
- entre Tanium et Amazon Security Lake : Nous entretenons depuis de nombreuses années un partenariat solide avec AWS et proposons une intégration technique officielle avec Amazon Security Lake. Grâce à cette intégration, il est simple et facile d'ajouter notre visibilité complète à votre lac de données et de combiner nos données récentes et précises sur les terminaux avec d'autres sources de données afin de mener des enquêtes sur les incidents plus complètes et plus efficaces.
En unissant nos forces à celles de l'initiative OCSF et d'Amazon Security Lake, nous contribuons à la création d'un vaste écosystème de cybersécurité au sein duquel de nombreux acteurs différents collaborent. En combinant nos ensembles de données, nous pouvons offrir aux équipes de sécurité la vue unique et unifiée de leur environnement dont elles ont besoin pour détecter, analyser et neutraliser rapidement leurs incidents.
Mais nous ne pouvons pas y parvenir seuls.
Rejoignez-nous : adoptez OCSF et travaillez avec Amazon Security Lake et Tanium
L'OCSF est une initiative récente, mais elle bénéficie déjà d'un large soutien de la part de certains acteurs majeurs.
Les deux partenaires à l'origine de ce projet — AWS et Splunk — comptent parmi les plus grands fournisseurs de données du marché. Bon nombre des premiers contributeurs de l'OCSF — tels que Salesforce et Palo Alto Networks — comptent parmi les plus grands éditeurs de logiciels au monde.
Nous nous engageons à travailler sur un schéma open source qui aidera nos clients à relever les défis liés à l'interopérabilité et à la normalisation des données entre les produits de sécurité.
La conclusion à en tirer est claire. Renseignez-vous davantage sur l'OCSF et envisagez sérieusement de l'adopter au sein de votre organisation. Cela vous permettra de simplifier et de rationaliser un aspect extrêmement complexe des opérations de sécurité, de collaborer en toute fluidité avec les principaux fournisseurs de solutions de cybersécurité, et contribuera sans doute à pérenniser votre fonction de sécurité.
Pour ce faire, passez à l'étape suivante :
- Pour en savoir plus sur l' OCSF : consultez les détails techniques ici (s'ouvre dans un nouvel onglet). Vous pouvez également en savoir plus en consultant notre article de la communauté Tanium intitulé « » () à l'adresse (s'ouvre dans un nouvel onglet).
- Pour en savoir plus sur Amazon Security Lake : Testez Amazon Security Lake ici (s'ouvre dans un nouvel onglet).
- Pour en savoir plus sur Tanium : consultez les informations détaillées ou prenez rendez-vous pour un entretien et une démonstration ici (s'ouvre dans un nouvel onglet).
