Une mesure fréquemment citée lors de l’examen de l’état actuel de la détection et de la réponse aux incidents est le « temps de séjour ». La recherche met constamment en évidence un écart significatif , souvent mesuré en mois , entre le moment où une compromission se produit et le moment où la victime détecte finalement l’intrusion.
Nous pouvons tous convenir que cet écart sert de baromètre utile pour mesurer le succès d’un programme de sécurité et que la réduction de ce délai est essentielle pour réduire l’impact potentiel des attaques sur les entreprises et l’infrastructure. Mais d’abord, nous devons redéfinir le délai du « temps d’arrêt », en étendant ses limites au-delà du moment où un incident est détecté. En fait, le temps de séjour englobe l’ensemble du cours de l’enquête ultérieure, qui dure finalement jusqu’à un événement de remédiation réussi.
Qu’est-ce qui définit une enquête réussie ?
Une enquête doit identifier l’impact commercial réel de la compromission et « raconter l’histoire » de ce qui s’est passé. Les enquêteurs commencent par identifier tous les systèmes et appareils affectés dans un environnement et déterminer l’étendue de l’activité des attaquants sur chacun d’eux. Cependant, l’importance du cadrage va au-delà de la création d’un nombre d’échantillons uniques de logiciels malveillants, d’hôtes infectés ou d’informations d’identification volées. Les résultats d’une enquête sont des éléments essentiels du plan de remédiation à court et à long terme, qui devraient idéalement être développés parallèlement à l’enquête dès le premier jour. L’absence d’un système infecté unique, d’une adresse de commande et de contrôle de porte dérobée ou d’un ensemble compromis d’informations d’identification d’utilisateur pourrait potentiellement permettre à un pirate informatique de récupérer facilement l’accès et d’annuler l’ensemble des efforts de remédiation. De même, le fait de ne pas identifier et traiter les vulnérabilités plus fondamentales exploitées pendant un incident laisse une victime sans amélioration nette de sa posture de sécurité.
Malheureusement, de nombreuses organisations ont du mal à réussir à ce stade critique du cycle de vie des incidents. En tant que consultant, j’ai passé six ans à diriger des enquêtes et des efforts de remédiation pour les organisations qui avaient besoin d’une assistance externe, en particulier lorsqu’on s’attend à ce qu’elles s’exécutent dans un court délai. Tant de sorties dans le cadre d’une enquête, mais la voie vers la remédiation reste difficile. Avec tant de choses en jeu, pourquoi les enquêteurs rencontrent-ils toujours des difficultés ? La réponse réside généralement dans les domaines classiques des personnes, des processus et de la technologie :
- Personnes : l’informatique légale nécessite des compétences techniques et une formation importantes , en particulier lorsqu’elle est superposée à la nécessité de comprendre les réseaux d’entreprise, les technologies courantes telles qu’Active Directory et les modèles et caractéristiques des techniques d’intrusion courantes. Ces compétences ont, et resteront probablement, en pénurie dans un avenir proche.
- Processus : de nombreuses organisations n’établissent jamais de procédures définies pour gérer une intrusion ciblée jusqu’à ce qu’elles en aient rencontré une.
- Technologie : la grande majorité des outils utilisés pour mener des enquêtes, en particulier la « chasse » et la criminalistique des endpoints, sont lents, trop complexes et incapables d’évoluer dans de grands environnements distribués (ou de suivre le rythme d’une intrusion active). De plus, de nombreux produits sont pris en charge à partir de solutions ponctuelles destinées à ne traiter qu’un petit sous-ensemble de tâches de détection ou de réponse aux incidents, et se dégradent donc rapidement lorsqu’ils sont mis à niveau vers des cas d’utilisation IR supplémentaires à l’échelle de l’entreprise.
Je suis passionné par l’opportunité d’équiper les entreprises d’une technologie qui peut servir de multiplicateur de force, amplifiant les compétences et les ressources des équipes de sécurité existantes pour répondre aux attaques de toute envergure. Par conséquent, je suis ravi de partager la dernière capacité de Tanium, Tanium Trace, et de permettre aux équipes de sécurité et de réponse aux incidents de réduire considérablement le temps et les efforts pour détecter, enquêter et répondre aux intrusions.
Un aperçu plus approfondi de Tanium Trace
Tanium Trace (Trace) rejoint un certain nombre de capacités existantes de détection et de réponse aux incidents déjà incluses avec Tanium Endpoint Platform, y compris la possibilité d’interroger et de collecter rapidement des données sur l’« état actuel » de tous les endpoints, de rechercher des indicateurs structurés de compromission et d’acquérir des artefacts médico-légals plus importants, tels qu’une image de mémoire ou un vidage de métadonnées de système de fichiers, à partir de systèmes ciblés. Trace s’appuie sur ces capacités avec trois fonctionnalités clés : Trace Collector, Trace Workbench et Trace Sensors.
Collecteur de traces
Trace Collector est responsable de l’enregistrement continu des preuves scientifiques clés sur chaque endpoint. Il fonctionne en surveillant le noyau Windows et d’autres sous-systèmes de bas niveau pour capturer une variété d’événements, y compris : l’exécution du processus, l’activité du système de fichiers, les modifications de registre, les connexions réseau, les chargements de pilotes et l’authentification des utilisateurs. Ces données peuvent s’accumuler rapidement , même un système inactif génère une activité constante , c’est pourquoi Trace fusionne intelligemment des événements similaires et les stocke efficacement dans une base de données locale. Grâce à ces optimisations, la configuration par défaut peut conserver jusqu’à plusieurs semaines de données historiques. Les administrateurs Tanium peuvent personnaliser davantage la quantité de stockage local consommée par Trace, ainsi que filtrer les types de preuves enregistrées, pour s’adapter aux cas d’utilisation souhaités.
À titre de comparaison, les techniques traditionnelles d’analyse légale des disques et de la mémoire peuvent reconstruire avec succès des fragments d’activité des endpoints, mais sont limitées aux preuves qui sont nativement conservées par le système d’exploitation sous-jacent , des preuves qui peuvent se dégrader rapidement au fur et à mesure que le temps s’écoule d’une période d’intérêt. Trace conserve un historique complet et facile à interpréter des événements qui permet aux analystes de rembobiner l’horloge et de rejouer ce qui s’est récemment produit sur un système.
En outre, Trace enrichit chacun des événements enregistrés avec un contexte et des métadonnées supplémentaires. Par exemple, les événements d’exécution de processus comprennent la ligne de commande complète, le hachage, la ligne de commande de processus parent et le contexte de l’utilisateur. Les événements de fichier, réseau et registre sont tous enregistrés avec le processus associé et le contexte utilisateur dans lequel ils se sont produits. Les événements de sécurité, tels que les connexions et les déconnexions, sont conservés indépendamment des journaux d’événements qui peuvent avoir été roulés. Il est donc incroyablement facile de prendre un lead d’enquête et de déterminer rapidement le contexte dans lequel il s’est produit sur un endpoint.
Trace Workbench
Trace Workbench est une interface utilisateur Web directement intégrée à la console Tanium. Il permet de se connecter à des systèmes distants et d’effectuer une analyse approfondie par rapport à l’ensemble de données riche capturé par Trace Collector. Toutes les analyses peuvent être effectuées via une connexion en temps réel en quelques secondes, sans transferts de données ou analyses chronophages ; les utilisateurs peuvent également conserver des captures d’écran de la base de données Trace d’un système pour le stockage et l’analyse collaborative sur le serveur Tanium. Il permet également de reconfigurer facilement les paramètres Trace, tels que la taille maximale de la base de données et l’historique de conservation, sur tous les endpoints.
Les utilisateurs peuvent commencer par rechercher l’ensemble de la base de données Trace d’un système en fonction de mots-clés ou d’une plage horaire initiale. Les résultats de recherche sont présentés dans une grille traditionnelle qui peut être retriée et filtrée sur une base par colonne pour aider les utilisateurs à éliminer les données superflues.
Un double-clic sur un résultat de recherche permet à l’utilisateur d’accéder à une page détaillée de vue d’ensemble du processus pour le processus responsable de l’événement sélectionné. Cela fait essentiellement pivoter l’analyse vers la portée d’un processus unique au fil du temps, plutôt que la portée de tous les événements correspondant aux critères de recherche initiaux. La vue d’ensemble du processus affiche toutes les activités de processus enfant, réseau, registre et fichier initiées par le processus actuellement examiné dans une chronologie visuelle et une grille. Cette page fournit également le chemin d’image complet du processus et les arguments, le contexte de l’utilisateur, le hachage et la ligne de commande parent. Les utilisateurs peuvent également télécharger l’exécutable pour une analyse plus approfondie. Les utilisateurs peuvent également naviguer dans une arborescence interactive qui affiche les nœuds parents, enfants et peer du processus actuel.
Capteurs Trace
Il est facile d’obtenir une vision en tunnel lors de l’analyse d’un système unique qui fait partie d’un incident plus large. Les enquêteurs doivent être en mesure de rechercher dans l’ensemble de l’entreprise les résultats et les artefacts découverts pendant les analyses médico-légales approfondies. Idéalement, chaque recherche et cas de test ad hoc ne devrait pas impliquer les frais généraux de construction et de déploiement des IOC. Les requêtes pour des artefacts simples, tels qu’un processus, une clé de registre ou un fichier, doivent être légères et donner des résultats immédiats. Il ne s’agit pas uniquement de rechercher « connu-mauvais », mais d’aider à reconnaître et évaluer « connu-bon ». Toute personne ayant effectué une analyse médico-légale connaît le sentiment de rencontrer un ensemble de preuves qui semblent suspectes, mais qui peuvent également être un artefact du comportement normal du système parallèlement aux actions d’un intrus. La capacité à évaluer instantanément « la fréquence de cette « chose » dans un environnement peut réduire radicalement l’effort requis pour examiner un système et créer des indicateurs plus précis et plus résilients pour une utilisation future.
Trace active cette capacité grâce à des sensors qui alimentent la fonctionnalité de base « Poser une question » de Tanium. Toutes les données capturées par Trace sur chaque endpoint peuvent être recherchées à grande échelle avec le même temps de réponse de 15 secondes que toute autre question Tanium produirait. De même, les mêmes données Trace peuvent être récupérées via des recherches récurrentes ou une API SOAP, et les résultats peuvent être enregistrés, agrégés au fil du temps ou redirigés vers d’autres solutions d’analyse de sécurité ou de stockage telles que SIEM via Tanium Connect.
Lors de l’examen des détails du processus dans Trace Workbench, n’importe quelle ligne d’activité peut être transformée en une recherche contextuelle en un seul clic. Par exemple, la sélection d’une ligne pour des invites d’opération CreateProcess pour rechercher un processus correspondant par chemin, hachage MD5 ou ligne de commande complète ; la sélection d’invites de ligne de fichier ou de registre pour rechercher par le type d’opération et le chemin d’élément. Les utilisateurs peuvent également créer manuellement des requêtes plus élaborées qui exploitent l’ensemble complet des données Trace et fournissent des options avancées telles que des contraintes de plage horaire et une correspondance régulière des expressions.
Les sensors de suivi , en particulier lorsqu’ils sont utilisés pour prendre en charge les recherches enregistrées récurrentes, peuvent également fournir un mécanisme efficace pour surveiller de manière proactive un environnement pour détecter une activité anormale. Voici quelques exemples de recherches Trace que les utilisateurs peuvent facilement créer, personnaliser et intégrer à d’autres solutions de sécurité :
- Connexions de type 3 (réseau) et de type 10 (télétravail interactif) par un ensemble sélectionné de comptes, de systèmes sources et/ou de systèmes cibles
- Événements de création de fichiers utilisant la correspondance d’expression régulière pour surveiller l’activité dans des répertoires spécifiques (tels que les emplacements de stockage courants des attaquants) ou pour la création de types de fichiers spécifiques (tels que les archives RAR)
- Création ou modification de clés de registre et de valeurs fréquemment utilisées pour persister les programmes malveillants, tels que les paramètres Windows ServiceDLL ou les valeurs sous les clés « Exécuter »
- Combinaisons uniques de processus parent et enfant pouvant indiquer une activité de commande et de contrôle, comme une enveloppe de commande générée par un parent atypique comme « svchost.exe »
- Exécution de commandes Windows natives rarement utilisées par les utilisateurs finaux ordinaires, mais souvent exploitées par les attaquants pour la reconnaissance et le mouvement latéral, telles que « net.exe », « at.exe » et « wmic.exe »
- Les flux réseau anormaux, tels que les tentatives de connexions sortantes aux serveurs HTTP/s Internet à partir de contrôleurs de domaine internes isolés, ou le trafic SMB ou RDP vers des postes de travail administrateur privilégiés ou des serveurs clés à partir de sous-réseaux sources atypiques.
Avec l’ajout de Trace, Tanium Endpoint Platform fournit une solution véritablement complète à l’ensemble du cycle de vie de la réponse aux incidents , et une solution qui peut rester rapide, fiable et facile à gérer à n’importe quelle échelle. Trace peut être déployé en quelques minutes à l’aide de la plateforme Tanium, et l’ajout de toutes ces fonctionnalités Trace à un déploiement existant ne nécessite aucun matériel supplémentaire. En quelques clics, les utilisateurs peuvent installer Trace sur un sous-ensemble d’endpoints ou sur l’ensemble de l’environnement, surveiller l’état de l’installation et commencer à utiliser l’interface et les sensors Trace.
RYAN KAZANCIYAN, ancien architecte en chef de la sécurité
Vous souhaitez voir Tanium en action ? Planifiez une démo individuelle ou participez à notre webinaire hebdomadaire. Discutez avec nos experts Tanium lors de nos prochains événements.
