L'un des indicateurs les plus souvent cités lorsqu'on examine l'état actuel de la détection et de la réponse aux incidents est le « temps de persistance ». Les études mettent régulièrement en évidence un écart important — souvent de plusieurs mois — entre le moment où une intrusion se produit et celui où la victime la détecte finalement.
Nous sommes tous d'accord pour dire que cet écart constitue un baromètre utile pour évaluer la réussite d'un programme de sécurité et que la réduction de ce délai est essentielle pour limiter l'impact potentiel des attaques sur l'activité et l'infrastructure. Mais nous devons d'abord redéfinir la notion de « temps de séjour », en élargissant ses limites au-delà du moment où un incident est détecté. En effet, la durée de suivi couvre l'ensemble du déroulement de l'enquête qui s'ensuit, et se prolonge jusqu'à la mise en œuvre d'une mesure corrective efficace.
Qu'est-ce qui caractérise une enquête réussie ?
Une enquête doit permettre d'identifier l'impact réel de cette violation sur l'activité et de « retracer le déroulement » des événements. Les enquêteurs commencent par recenser l'ensemble des systèmes et des appareils affectés au sein d'un environnement donné, puis par déterminer l'ampleur de l'activité des attaquants sur chacun d'entre eux. Toutefois, l'importance de l'évaluation de l'étendue du problème va au-delà du simple décompte des échantillons de logiciels malveillants uniques, des hôtes infectés ou des identifiants volés. Les conclusions d'une enquête constituent des éléments essentiels pour l'élaboration d'un plan d'assainissement à court et à long terme, qui, dans l'idéal, devrait être élaboré parallèlement à l'enquête dès le premier jour. Le fait de passer à côté d'un seul système infecté, d'une seule adresse de commande et de contrôle d'une porte dérobée ou d'un seul ensemble d'identifiants d'utilisateur compromis pourrait permettre à un attaquant de récupérer facilement l'accès et de réduire à néant l'ensemble des efforts de remédiation. De même, si l'on ne parvient pas à identifier et à corriger les vulnérabilités plus fondamentales exploitées lors d'un incident, la victime ne constate aucune amélioration nette de son niveau de sécurité.
Malheureusement, de nombreuses organisations ont du mal à réussir cette étape cruciale du cycle de vie d'un incident. En tant que consultant, j'ai passé six ans à diriger des missions d'enquête et de remédiation pour des organisations qui avaient besoin d'une aide extérieure, notamment lorsqu'elles devaient mener à bien ces missions dans des délais très courts. L'issue de cette enquête revêt une importance capitale, mais le chemin vers la remise en état reste semé d'embûches. Alors que les enjeux sont si importants, pourquoi les enquêteurs rencontrent-ils encore tant de difficultés ? La réponse se trouve généralement dans les domaines classiques que sont les ressources humaines, les processus et la technologie :
- des personnes : La criminalistique informatique exige des compétences techniques et une formation approfondies, notamment lorsqu’à cela s’ajoute la nécessité de comprendre les réseaux d’entreprise, les technologies courantes telles qu’Active Directory, ainsi que les schémas et les caractéristiques des techniques d’intrusion les plus courantes. Ces compétences sont rares et le resteront probablement dans un avenir prévisible.
- Processus : De nombreuses organisations ne mettent jamais en place de procédures bien définies pour faire face à une intrusion ciblée avant d'en avoir été victimes.
- Technologie : La grande majorité des outils utilisés pour mener des enquêtes, en particulier la « recherche » sur les terminaux et l'analyse forensic, sont lents, trop complexes et incapables de s'adapter à des environnements étendus et distribués (ou de suivre le rythme d'une intrusion en cours). De plus, de nombreux produits sont issus de solutions ponctuelles destinées à ne traiter qu'un sous-ensemble restreint de tâches liées à la détection ou à la réponse aux incidents ; ils perdent donc rapidement de leur efficacité lorsqu'ils sont adaptés à d'autres cas d'utilisation de la réponse aux incidents à l'échelle de l'entreprise.
Je suis passionné par la possibilité de doter les entreprises de technologies capables de jouer un rôle de multiplicateur de forces, en renforçant les compétences et les ressources des équipes de sécurité existantes afin de faire face à des attaques de toute ampleur. C'est donc avec grand plaisir que je vous présente la toute dernière fonctionnalité de Tanium, Tanium Trace, qui permettra aux équipes chargées de la sécurité et de la gestion des incidents de réduire considérablement le temps et les efforts nécessaires à la détection, à l'analyse et à la réponse aux intrusions.
Zoom sur Tanium Trace
Tanium Trace (Trace) vient compléter un ensemble de fonctionnalités existantes de détection et de réponse aux incidents déjà intégrées à la plateforme Tanium Endpoint, notamment la capacité à interroger et à collecter rapidement des données sur l’« état actuel » de tous les terminaux, à rechercher des indicateurs de compromission structurés, ainsi qu’à extraire des artefacts d’analyse approfondie plus volumineux, tels qu’une image mémoire ou un vidage des métadonnées du système de fichiers, à partir des systèmes ciblés. Trace s'appuie sur ces capacités grâce à trois fonctionnalités clés : Trace Collector, Trace Workbench et Trace Sensors.
de Trace Collector
Trace Collector est chargé d'enregistrer en continu les éléments de preuve informatiques clés sur chaque terminal. Ce système fonctionne en surveillant le noyau Windows et d'autres sous-systèmes de bas niveau afin de détecter divers événements, notamment : l'exécution des processus, l'activité du système de fichiers, les modifications du registre, les connexions réseau, le chargement des pilotes et l'authentification des utilisateurs. Ces données peuvent s'accumuler rapidement — même un système inactif génère une activité constante — ; c'est pourquoi Trace regroupe de manière intelligente les événements similaires et les stocke efficacement dans une base de données locale. Grâce à ces optimisations, la configuration par défaut permet de conserver jusqu'à plusieurs semaines de données historiques. Les administrateurs de Tanium peuvent personnaliser davantage l'espace de stockage local utilisé par Trace, ainsi que filtrer les types de preuves enregistrées, afin de s'adapter aux cas d'utilisation souhaités.
À titre de comparaison, les techniques traditionnelles d’analyse judiciaire des disques et de la mémoire permettent de reconstituer avec succès des fragments de l’activité des terminaux, mais se limitent aux éléments de preuve conservés de manière native par le système d’exploitation sous-jacent — des éléments de preuve qui peuvent se dégrader rapidement à mesure que le temps s’écoule depuis la période concernée. Trace conserve un historique complet et facile à interpréter des événements, ce qui permet aux analystes de remonter le temps et de revoir ce qui s'est récemment produit sur un système.
De plus, Trace enrichit chacun des événements enregistrés en y ajoutant du contexte et des métadonnées supplémentaires. Par exemple, les événements liés à l'exécution d'un processus comprennent la ligne de commande complète, le hachage, la ligne de commande du processus parent et le contexte utilisateur. Les événements liés aux fichiers, au réseau et au registre sont tous enregistrés avec le processus associé et le contexte utilisateur dans lequel ils se sont produits. Les événements de sécurité, tels que les connexions et les déconnexions, sont conservés indépendamment des journaux d'événements qui auraient pu être réinitialisés. Cela permet de suivre très facilement une piste d'enquête et de déterminer rapidement le contexte dans lequel elle s'est produite sur un terminal.
de Trace Workbench
Trace Workbench est une interface utilisateur en ligne directement intégrée à la console Tanium. Il permet de se connecter à des systèmes distants et de réaliser des analyses approfondies à partir du vaste ensemble de données collectées par Trace Collector. Toutes les analyses peuvent être réalisées en quelques secondes via une connexion en temps réel, sans qu'il soit nécessaire de procéder à des transferts de données ou à des analyses syntaxiques fastidieux ; les utilisateurs peuvent également conserver des instantanés de la base de données « Trace » d'un système à des fins de stockage et d'analyse collaborative sur le serveur Tanium. Il permet également de reconfigurer facilement les paramètres de Trace, tels que la taille maximale de la base de données et la durée de conservation de l'historique, sur l'ensemble des terminaux.
Les utilisateurs peuvent commencer par effectuer une recherche dans l'intégralité de la base de données « Trace » d'un système à l'aide de mots-clés ou d'une plage de dates initiale. Les résultats de recherche sont présentés sous forme de tableau classique qui peut être trié et filtré colonne par colonne afin d'aider les utilisateurs à éliminer les données superflues.
Un double-clic sur n'importe quel résultat de recherche redirige l'utilisateur vers une page détaillée de présentation du processus responsable de l'événement sélectionné. Cela revient essentiellement à recentrer l'analyse sur l'évolution d'un seul processus dans le temps, plutôt que sur l'ensemble des événements répondant aux critères de recherche initiaux. La vue d'ensemble du processus affiche l'ensemble des activités liées aux fichiers, au réseau, au registre et aux processus enfants lancées par le processus actuellement examiné, à la fois sous forme de chronologie visuelle et de tableau. Cette page fournit également le chemin d'accès complet au processus, ses arguments, le contexte utilisateur, le hachage et la ligne de commande parente. Les utilisateurs peuvent également télécharger le fichier exécutable afin de procéder à une analyse plus approfondie. Les utilisateurs peuvent également parcourir une arborescence interactive qui affiche les nœuds parents, enfants et pairs du processus en cours.
Capteurs de traces
On a facilement tendance à se focaliser sur un seul aspect lorsqu'on analyse un système isolé qui s'inscrit dans le cadre d'un incident plus large. Les enquêteurs doivent pouvoir effectuer des recherches à l'échelle de l'entreprise pour retrouver les éléments et les traces mis au jour lors d'analyses médico-légales approfondies. Idéalement, chaque recherche ponctuelle et chaque cas de test ne devraient pas nécessiter la charge de travail liée à la création et au déploiement d'IOC. Les requêtes portant sur des éléments simples, tels qu'un processus, une clé de registre ou un fichier, doivent être légères et fournir des résultats immédiats. Il ne s'agit pas seulement de rechercher ce qui est « manifestement défectueux », mais aussi de vous aider à identifier et à évaluer ce qui est « manifestement en bon état ». Quiconque a déjà effectué une analyse informatique légale connaît ce sentiment : celui de tomber sur un ensemble d'indices qui semblent suspects, mais qui pourraient également être le résultat d'un comportement normal du système, survenu en même temps que les actions d'un intrus. La capacité à évaluer instantanément « dans quelle mesure cette « chose » est courante » au sein d’un environnement peut réduire considérablement l’effort nécessaire pour analyser un système et pour élaborer des indicateurs plus précis et plus fiables en vue d’une utilisation future.
Trace rend cette fonctionnalité possible grâce à des capteurs qui alimentent la fonctionnalité principale de Tanium, « Poser une question ». L'ensemble des données collectées par Trace sur chaque terminal peut faire l'objet d'une recherche à grande échelle, avec le même temps de réponse de 15 secondes que celui obtenu pour toute autre requête Tanium. De même, ces mêmes données de trace peuvent être récupérées via des recherches récurrentes ou une API SOAP, et les résultats peuvent être enregistrés, agrégés au fil du temps ou redirigés vers d'autres solutions d'analyse de sécurité ou de stockage, telles que SIEM, via Tanium Connect.
Lorsque vous examinez les détails d'un processus dans Trace Workbench, toute ligne d'activité peut être transformée en recherche contextuelle d'un simple clic. Par exemple, lorsque vous sélectionnez une ligne pour une opération CreateProcess, le système vous invite à rechercher un processus correspondant par chemin d'accès, par hachage MD5 ou par ligne de commande complète ; lorsque vous sélectionnez une ligne correspondant à un fichier ou à une entrée du Registre, le système vous invite à effectuer une recherche par type d'opération et par chemin d'accès de l'élément. Les utilisateurs peuvent également créer manuellement des requêtes plus complexes qui exploitent l'intégralité de l'ensemble de données Trace et offrent des options avancées telles que des contraintes de plage horaire et la recherche par expression régulière.
Les capteurs de traces — en particulier lorsqu’ils sont utilisés pour prendre en charge des recherches récurrentes et enregistrées — peuvent également constituer un moyen efficace de surveiller de manière proactive un environnement afin de détecter toute activité anormale. Voici quelques exemples de recherches Trace que les utilisateurs peuvent facilement créer, personnaliser et intégrer à d'autres solutions de sécurité :
- Connexions de type 3 (réseau) et de type 10 (RemoteInteractive) effectuées par un ensemble sélectionné de comptes, de systèmes sources et/ou de systèmes cibles
- Événements liés à la création de fichiers utilisant la correspondance par expressions régulières afin de surveiller l'activité dans des répertoires spécifiques (tels que les emplacements de préparation couramment utilisés par les attaquants) ou la création de types de fichiers spécifiques (tels que les archives RAR)
- Création ou modification de clés et de valeurs de registre fréquemment utilisées pour assurer la persistance des logiciels malveillants, telles que les paramètres du service Windows « ServiceDLL » ou les valeurs des clés « Run »
- Des combinaisons particulières de processus parents et enfants pouvant être révélatrices d'une activité de commande et de contrôle, comme par exemple un shell de commande lancé par un processus parent atypique tel que « svchost.exe »
- Exécution de commandes natives de Windows rarement utilisées par les utilisateurs finaux lambda, mais souvent exploitées par les attaquants à des fins de reconnaissance et de déplacement latéral, telles que « net.exe », « at.exe » et « wmic.exe »
- Des flux réseau anormaux, tels que des tentatives de connexion sortantes vers des serveurs HTTP/s sur Internet à partir de contrôleurs de domaine internes isolés, ou du trafic SMB ou RDP vers des postes de travail d'administrateurs privilégiés ou des serveurs clés provenant de sous-réseaux sources atypiques.
Grâce à l'intégration de Trace, la plateforme Tanium Endpoint offre une solution véritablement complète couvrant l'ensemble du cycle de vie de la réponse aux incidents, tout en restant rapide, fiable et facile à gérer, quelle que soit l'échelle. Trace peut être déployé en quelques minutes à l'aide de la plateforme Tanium, et l'ajout de toutes ces fonctionnalités de Trace à un déploiement existant ne nécessite aucun matériel supplémentaire. En quelques clics, les utilisateurs peuvent installer Trace sur un sous-ensemble de terminaux ou sur l'ensemble de l'environnement, surveiller l'état de l'installation et commencer à utiliser l'interface Trace et les capteurs.
RYAN KAZANCIYAN, ancien architecte en chef de la sécurité chez
Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.
