L’Ukraine étant désormais en train d’être menacée, et les cyberattaques alimentées par la Russie ne se limitent plus à un scénario redouté ou probable, mais à une menace continue, la pression sur les défenseurs de la cybersécurité n’a jamais été aussi forte.
La situation en Ukraine est désastreuse, avec des rapports récents indiquant que des représentants du gouvernement y ont commencé à contacter des bénévoles du pirate informatique du pays sous terre pour aider à protéger les infrastructures et mener des missions d’espionnage sur les troupes russes. L’Ukraine est sur la défensive, une position familière à de nombreux professionnels de la cybersécurité ainsi qu’aux chefs d’entreprise et à leurs conseils d’administration, même lorsqu’elle n’est pas impliquée dans une guerre totale.
La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a publié des directives aux entreprises et organisations pour renforcer les défenses dans le cas où les cyberattaques russes menacent les infrastructures critiques et les institutions financières. C’est utile, mais cela souligne également une vérité peu pratique : lorsqu’il s’agit de cybersécurité réseau, nous jouons la défense.
Il est temps, disons des experts en cybersécurité, d’inverser ce script.
En théorie, le retournement est assez simple : cessez d’être réactif ; soyez proactif en matière de sécurité, dans la mesure du possible. En pratique, c’est plus difficile, mais c’est là que l’art de la chasse aux menaces entre en jeu.
Les chasseurs de menaces sont les professionnels de la cybersécurité qui explorent les systèmes et les réseaux pour éliminer les attaquants avant que de mauvaises choses ne se produisent. Considérez-les comme la propre équipe privée de Navy
SEAL de votre organisation.
Les chasseurs de menaces comprennent que les acteurs malveillants, qu’il s’agisse de pirates informatiques geeky, de hacktivistes axés sur les idéaux ou de types d’opérations noires parrainées par l’État, approchent les entreprises avec des tactiques, techniques et procédures distinctes qui sont prévisibles et identifiables. Les chasseurs de menaces étudient l’environnement qu’ils défendent et les stratégies possibles de leurs adversaires. Puis
ils vont chasser !
Bien sûr, une recherche efficace des menaces est un effort d’équipe et nécessite que les bons talents soient en place. Cinq éléments fondamentaux sont nécessaires pour construire votre équipe de chasse aux menaces idéale. Réfléchissez à ce qui suit une base sur la manière de chasser les chasseurs.
1. La diversité : ce n’est pas qu’un mot à la mode
Y a-t-il eu des preuves, jamais, que les grands esprits pensent à la même chose ? Groupthink est l’ennemi des équipes de chasse aux menaces efficaces. « Les équipes diversifiées produisent de meilleurs résultats », déclare Melissa Bischoping, spécialiste de la recherche sur la sécurité des endpoints chez Tanium.
« Les équipes diversifiées obtiennent de meilleurs résultats. »Melissa Bischoping, spécialiste de la recherche sur la sécurité des endpoints, Tanium
« Imaginez que vous avez une équipe avec trop de personnes du même parcours. » Le résultat probable : un groupe de personnes qui mangent les mêmes petits-déjeuners, achètent les mêmes marques, téléchargent les mêmes podcasts, tweetent les mêmes rants et se retrouvent entourées d’autres personnes qui mangent, achètent, téléchargent et ranlent exactement de la même manière.
Dans des groupes homogènes, dit-elle, il est facile pour les gens d’« oublier qu’il peut y avoir d’ autres points de vue à prendre en compte ».
Les experts notent que lorsque les entreprises embauchent des chasseurs de menaces ayant des antécédents professionnels et des niveaux d’expérience différents, les capacités de résolution des problèmes de l’équipe s’améliorent. Ces antécédents peuvent être aussi variés que les informations militaires, la science des données, la technologie traditionnelle ou les équipes rouges, bleues et violettes (testeurs de sécurité qui se spécialisent, respectivement, dans l’attaque de vos systèmes, leur défense et la combinaison de la sagesse des deux).
Même ceux qui ont peu ou pas d’expertise technique méritent d’être pris en compte. « Lorsque vous obtenez des antécédents divers comme celui-ci, vous demandez aux gens de poser des questions que les autres ne savaient même pas si des questions étaient disponibles », explique Bischoping.
[Lire également : Soutenir la prochaine génération de femmes dans le domaine de la cybersécurité]
Le recrutement d’experts de divers âges et de divers milieux socio-économiques est également essentiel pour « récolter les différentes idées et expériences de menace que chacun pourrait avoir », déclare L. Burke Files, co-auteur de la boîte à outils d’audit et d’examen de la sécurité commerciale et président des examens et évaluations financiers, Inc. « Trouvez les personnes qui sont prêtes à être créatives et à repousser un peu les limites », déclare Files.
Le point à retenir : une équipe diversifiée de chasseurs de menaces est essentielle pour améliorer la résolution des problèmes et éviter la pensée de groupe.
2. Les compétences générales, elles sont plus difficiles que vous ne le pensez
La recherche des menaces implique de rechercher des réseaux d’activités connues et inconnues, ce qui nécessite du temps, de la détermination et un composant souvent sous-évalué, mais indispensable : la patience.
« Vous avez besoin de quelqu’un qui possède les compétences et la patience nécessaires pour vouloir vraiment résoudre un problème. »Michael Farnum, directeur technique, Set Solutions
« Vous avez besoin de quelqu’un qui possède les compétences et la patience nécessaires pour vouloir vraiment résoudre un problème », déclare Michael Farnum, directeur technique chez Set Solutions. « Celles-ci ont tendance à être les personnes qui aiment faire des FTP », note-t-il, en se référant aux différents concours « Capture the Flag », dans lesquels les « drapeaux » sont utilisés pour récompenser les joueurs qui réussissent aux défis sur le thème de la sécurité. « Vous voulez trouver quelqu’un qui aime le faire pendant son temps libre », dit-il.
De tels défis, et la recherche globale des menaces, impliquent inévitablement de poser beaucoup de questions. Les chasseurs de menaces qui excellent sont naturellement curieux, avec des compétences supérieures en résolution de problèmes et un savoir-faire en matière d’exploration, souligne Duncan Miller, directeur de la sécurité des endpoints chez Tanium. Ce sont des personnes qui ont un œil vif et le courage de suivre leurs intuitions, où qu’elles mènent.
« Les chasseurs de menaces doivent être prêts à échouer parfois », déclare M. Miller. « S’ils recherchent une véritable activité « inconnue-inconnue », il y aura beaucoup de fois où les intuitions ne se manifestent pas. Et ce n’est pas grave. »
[Lire également : Les méthodes de sécurité à plusieurs niveaux tiennent les menaces à distance]
Les autres compétences générales que les chasseurs de menaces doivent posséder, observe Eric McGee, ingénieur réseau senior chez TRG Datacenters, comprennent le raisonnement déductif, la reconnaissance rapide des modèles et la capacité à éviter leurs propres préjugés cognitifs.
« Je déteste le terme « compétence non technique », ajoute Bischoping, lorsqu’il s’agit de compétences non techniques. « Ce sont des compétences essentielles », dit-elle.
Le point à retenir : la chasse aux menaces réussie est plus qu’un sens technique. Cela nécessite des compétences intangibles supplémentaires, telles que la patience et la volonté de prendre des risques.
3. Sensibilisation à l’environnement, et nous ne voulons pas dire recyclage
Chaque secteur a des aspects uniques qui attirent différents ensembles d’attaquants et de défenseurs. C’est pourquoi les exigences et les stratégies de cybersécurité sont différentes dans une banque, une école, un centre médical ou un fournisseur d’énergie.
« Nous parlons de systèmes industriels tels que SCADA [contrôle de supervision et acquisition de données] et de contrôles industriels dans, par exemple, l’industrie pétrolière et gazière », déclare M. Bischoping. « La chasse dans ces environnements est beaucoup différente de la chasse dans une banque ou un hôpital. Il est donc important d’avoir une compréhension approfondie du type d’environnement dans lequel les chasseurs de menaces spécifiques opèrent. »
Un excellent moyen de renforcer cette sensibilisation à l’environnement est de faire collaborer les chasseurs de menaces dans l’ensemble du secteur.
« C’est particulièrement important dans votre secteur vertical, où la confiance et les relations peuvent avoir plus d’importance que l’intelligence brute », déclare Ron Gula, président et cofondateur de la société d’investissement en cybersécurité Gula Tech Adventures. « Cela permettra à vos chasseurs d’apprendre des autres et de les ramener à votre organisation. »
Les enseignements à retenir : les technologies et systèmes d’entreprise varient largement d’un secteur à l’autre, ce qui rend crucial pour toute équipe de recherche de menaces de bien comprendre son secteur à tous les niveaux.
4. Éducation continue : il n’est jamais trop tôt pour commencer
La technologie évolue constamment, et les adversaires changent et s’améliorent constamment. La seule façon pour une équipe de chasse aux menaces d’être très efficace est d’étudier. Étudiez à nouveau. Et étudiez-en plus.
« Il n’a jamais été aussi important de se concentrer sur [ceci] car il existe actuellement une urgence en matière d’embauche dans le domaine de la cybersécurité. »Scott Crawford, responsable de la recherche sur la sécurité de l’information, 451 Research
« Il n’a jamais été aussi important de se concentrer sur [ceci] parce qu’il existe actuellement une urgence en matière d’embauche en matière de cybersécurité », déclare Scott Crawford, responsable de la recherche sur la sécurité de l’information chez 451 Research.
De quel type d’éducation parlons-nous ? Bien sûr, l’apprentissage de compétences techniques, telles que la mise en réseau, l’analyse des données, l’analyse des données, la sécurité des applications, l’analyse des logiciels malveillants et les systèmes d’endpoint, ainsi qu’une connaissance approfondie des systèmes qu’ils défendent. Il existe une liste de choses que nous savons contribuer à une chasse efficace aux menaces, déclare Crawford.
Les responsables de la sécurité peuvent cultiver ces compétences pour leurs chasseurs de menaces internes, note McGee de TRG Datacenters, en fournissant un accès à des ateliers de chasse aux menaces, des cours disponibles tels que Certified Cyber Threat Hunter (CCTH) et des examens de certification. En plus des examens CCTH (disponibles dans ce camp d’entraînement), d’autres certifications comprennent CompTIA Security+ (bon pour ceux qui commencent sur le terrain), Cyber Threat Intelligence de GIAC (émise par GIAC, un fournisseur de certification informatique de premier plan) et le programme Certified Information Security Manager de l’ISACA.
Les enseignements à retenir : tout dans la technologie d’entreprise évolue, ce qui signifie que pour rester efficace, il faut donc que les chasseurs de menaces évoluent.
5. Formation en situation réelle : plus il est réaliste, mieux c’est
L’une des raisons pour lesquelles les trains militaires avec des tournées en direct sont d’habituer les recrues à utiliser leurs armes, et dans des circonstances qui reflètent le plus précisément les scénarios réels dans lesquels elles devront bientôt se produire.
« L’émulation antagoniste réaliste est un excellent moyen de s’assurer que vous cultivez des compétences pour les chasseurs de menaces », déclare Gula. « Plus la simulation sera réaliste, mieux votre équipe sera préparée et confiante. »
Pour les chasseurs de menaces, cette préparation pourrait impliquer de participer à des compétitions du FTP pour une formation offensive ou de participer à des exercices de table. Gula affirme que de tels exercices sont essentiels à la formation de l’équipe.
Les plateformes d’émulation antagonistes qui simulent les logiciels malveillants de base et les stratégies répétées des menaces persistantes avancées (APT), généralement celles des États-nations furtifs, rendent également l’entraînement beaucoup plus réaliste, dit-il. « Les gammes de cybersécurité sont également excellentes, mais travailler sur votre réseau avec vos propres outils est beaucoup plus efficace. »
[Lire également : 5 façons de se préparer à la cyberguerre]
Des outils tels que les plans d’émulation antagoniste de Mitre montrent comment les chasseurs de menaces et les défenseurs peuvent utiliser le cadre Mitre ATT&CK (Tactiques, techniques et connaissances communes), une base de connaissances populaire utilisée pour modéliser le comportement antagoniste.
Ce type de formation est essentiel pour que les chasseurs de menaces se tiennent au courant
des compétences d’attaque, les mêmes compétences que celles utilisées par ceux qu’ils essaient de
suivre.
Le point à retenir : rendez la formation à la chasse aux menaces aussi réaliste que possible afin que les chasseurs disposent des compétences dont ils ont besoin pour identifier les menaces réelles.
Après avoir enfreint un réseau, les pirates informatiques peuvent éviter la détection pendant 280 jours, en moyenne, selon un rapport IBM Security. Les chasseurs de menaces peuvent s’y retrouver. Bien sûr, il y aura des pertes parmi les victoires, mais en rassemblant la bonne équipe et en leur donnant l’espace de suivre les adversaires potentiels dans votre environnement, ils trouveront des acteurs malveillants avant qu’ils ne fassent du mal.
