Les failles de sécurité sont inévitables si votre organisation dispose de terminaux connectés à l'Internet public. Les responsables de la sécurité des systèmes d'information (RSSI) se tournent de plus en plus vers des solutions et des stratégies visant à réduire le temps moyen de détection (MTTD) et le temps moyen de réparation (MTTR) . Les équipes chargées de la réponse aux incidents et de l'analyse informatique reconnaissent aujourd'hui la nécessité de collaborer plus efficacement afin de garantir que les terminaux sur site et distants soient correctement configurés, contrôlés et sécurisés.
Une nouvelle étude de l'analyste Alissa Knight, intitulée « Isolated Castles : Incident Response in the New Work-From-Home Economy », recommande vivement aux responsables de la sécurité des systèmes d'information (RSSI) de s'attacher à trouver les solutions de gestion des terminaux les mieux intégrées ainsi qu'une plateforme de sécurité permettant de mettre en œuvre rapidement et à grande échelle la gestion des actifs et des correctifs, la recherche d'artefacts, l'isolation des actifs et la collecte de données à des fins d'analyse judiciaire.
Conséquences de la pandémie
L'année dernière, alors que le monde entier était contraint de rester chez soi en raison de la pandémie, les cybercriminels ont rapidement découvert de nouvelles failles de sécurité à exploiter. De nombreux employés travaillant à distance se sont immédiatement retrouvés dépourvus à la fois des licences et de la bande passante nécessaires au fonctionnement des VPN et n'ont donc eu d'autre choix que de recourir aux serveurs RDP (Remote Desktop Protocol). Parmi les autres problèmes de sécurité liés au télétravail, on peut citer :
- Mots de passe administrateur par défaut sur les routeurs domestiques et les points d'accès Wi-Fi
- Absence de système de détection d'intrusion (IDS)
- Absence de filtrage Web permettant de détecter les téléchargements involontaires
- Absence d'agents « » de détection et de réponse aux incidents au niveau des terminaux (EDR)
- Utilisation généralisée d'ordinateurs portables personnels non sécurisés
La gestion des incidents dans un contexte de télétravail
Pour les équipes de police scientifique, il est essentiel de disposer de données de haute qualité et en temps réel. À la suite d'un incident, comment transférez-vous les données d'un disque dur 1TB situé dans le bureau à domicile d'un utilisateur distant vers un espace de stockage dans le cloud ? Le téléchargement de l'image à distance via une connexion ADSL ou par câble prendrait trop de temps.
Une solution consiste à éteindre l'ordinateur portable et à l'envoyer à un expert en informatique légale. Toutefois, cela peut entraîner des problèmes supplémentaires, notamment :
- Perte de données médico-légales potentiellement importantes stockées dans la mémoire volatile après la mise hors tension
- Absence d'informations permettant de déterminer si le réseau domestique avait également été compromis
- Le télétravailleur serait contraint de recourir à un appareil personnel potentiellement peu sécurisé ou d'attendre un appareil de remplacement, ce qui aurait des répercussions sur sa productivité
Selon Knight Ink, les incidents impliquant des charges de travail et des disques durs dans le cloud peuvent entraîner des complications supplémentaires. En raison des politiques de certains petits fournisseurs de services cloud (CSP) et de leurs environnements multi-locataires, il se peut que les équipes d'expertise informatique ne soient même pas autorisées à accéder aux journaux, aux alertes et à d'autres données essentielles. Selon le type de serveur cloud utilisé, un fournisseur de services cloud (CSP) peut également interdire à l'équipe d'expertise judiciaire de récupérer les disques durs devant faire l'objet d'une analyse.
Deux conseils pour améliorer la gestion des incidents
Pour améliorer la gestion des incidents dans le contexte actuel du télétravail et de la priorité donnée au cloud, Knight Ink estime que les RSSI devraient prendre deux mesures clés :
- Assurez-vous de bien comprendre quelle quantité de données votre fournisseur de services cloud (CSP) vous autorise à collecter en cas d'incident de sécurité majeur. Veillez également à bien comprendre toutes les étapes de la procédure à suivre. (Ces pratiques doivent également être prises en compte lors de l'évaluation et de la sélection d'un fournisseur de services cloud.)
- Lorsque vous choisissez une plateforme de gestion et de sécurité des terminaux, privilégiez celle qui offre les fonctionnalités suivantes :
- en matière de gestion d'actifs : on ne peut pas protéger ce que l'on ne voit pas. Les fonctionnalités de gestion des actifs peuvent également être associées à la gestion des correctifs afin de réduire encore davantage les risques liés à vos terminaux.
- de détection des artefacts : vous devez être en mesure de rechercher des artefacts malveillants sur l'ensemble de vos ressources, qu'elles se trouvent sur site, au domicile de vos collaborateurs ou dans le cloud. C'est essentiel pour déterminer jusqu'où s'est étendu le mouvement latéral d'une attaque.
- de collecte des données d'investigation : celles-ci doivent inclure les journaux Syslog sur les systèmes *nix, le journal des événements Windows, ainsi que les périphériques réseau tels que les routeurs et les commutateurs.
- d'isolement des ressources : dès qu'une ressource informatique est compromise, elle doit être soit isolée, soit micro-segmentée afin d'empêcher toute propagation latérale supplémentaire. En résumé, si vous disposez d'actifs d'entreprise connectés à Internet, vous serez victime d'une intrusion. À l'heure où le télétravail est devenu la norme, toute organisation se doit de disposer d'un plan d'intervention en cas d'incident bien établi et d'un ensemble de guides opérationnels afin d'être prête à faire face à toute éventualité. En fin de compte, ce qui compte, c'est de protéger les terminaux, et il est temps de mieux se préparer à l'imprévu, car celui-ci peut survenir à tout moment.
Tanium propose les modules suivants : « » (découverte des actifs et inventaire) (s'ouvre dans un nouvel onglet), « Patch Management » (s'ouvre dans un nouvel onglet) et « » (réponse aux incidents) (s'ouvre dans un nouvel onglet) , qui répondent à l'ensemble de ces exigences. La plateforme unique de Tanium vous permet à la fois de réagir rapidement aux incidents et de mener des analyses forensiques approfondies, avec rapidité et à grande échelle, quel que soit l'emplacement de vos ressources.
