Dans la course à l'armement qui oppose sans cesse les attaquants et les défenseurs, la détection et la réponse au niveau des terminaux (EDR) sont largement considérées comme une avancée majeure pour les équipes de sécurité des entreprises. Inventée pour la première fois par Gartner en 2013, cette catégorie technologique a atteint sa maturité quelques années plus tard. En effet, l'utilisation des logiciels EDR a été rendue obligatoire pour l'ensemble des agences du gouvernement fédéral dans le cadre de la loi « » (mai 2021 ), du décret présidentiel (s'ouvre dans un nouvel onglet).
Pourtant, aussi utiles que soient ces outils, ils ne constituent pas une panacée. Nir Yosha, ingénieur en solutions techniques chez Tanium, s'est récemment entretenu avec nous pour expliquer pourquoi — et comment — la plateforme Tanium peut combler des lacunes cruciales en matière de capacités.
Une explosion des menaces au niveau des terminaux
C'est au niveau des terminaux que les entreprises internationales mènent désormais leurs activités. C'est également là qu'ils risquent le plus d'être pris pour cible par des tiers malveillants cherchant à voler des données sensibles, à extorquer de l'argent à partir de systèmes chiffrés, et bien plus encore.
Over two-thirds (68 percent) of organizations experienced an endpoint attack that resulted in compromised data or IT systems over the previous 12 months, according to one 2020 report. (opens in a new tab)
Le passage généralisé au télétravail l'année dernière a entraîné une multiplication exponentielle des terminaux d'entreprise, ce qui n'a fait qu'accroître la surface d'exposition des entreprises aux cyberattaques. Environ 90 % des dirigeants d'entreprise avec lesquels nous nous sommes entretenus ont déclaré avoir constaté une forte augmentation des violations de données.
Tout cela fait de l'EDR un choix qui s'impose de lui-même pour de nombreux responsables de la cybersécurité aujourd'hui. Cependant, il est également important de comprendre où se situent les limites de cette technologie et dans quels cas des outils supplémentaires pourraient s'avérer nécessaires :
Idée reçue n° 1 : les logiciels EDR constituent un excellent outil pour la recherche proactive de menaces
Les logiciels EDR sont conçus pour détecter les comportements suspects du système, fournir des informations contextuelles et bloquer les activités malveillantes. Mais ils ne le font que pour les logiciels malveillants connus (à l'aide de signatures) et les comportements suspects (à l'aide de l'heuristique). Ils ne sont pas conçus pour détecter les attaques en mémoire ou sans fichier, ni les techniques dites « living off-the-land », de plus en plus utilisées par les auteurs de menaces pour rester indétectables. C'est sur ces éléments que vous devez vous concentrer dans le cadre de la recherche active de menaces.
Idée reçue n° 2 : les outils EDR permettent d'alléger la charge de travail des analystes du centre d'opérations de sécurité (SOC)
Il est tout à fait vrai que les outils EDR permettent d'automatiser la protection et le blocage de certaines activités malveillantes, ce qui peut permettre aux analystes de gagner du temps. Mais en réalité, loin d'alléger la charge de travail du SOC, elles ne font que l'alourdir. Pourquoi ? En effet, chaque outil EDR génère des milliers d'alertes chaque jour — des alertes pour lesquelles les analystes ont besoin d'autres outils afin d'en comprendre le contexte.
De ce fait, un analyste lambda peut être confronté à une surcharge d'alertes ou à une fatigue liée à celles-ci, ce qui rend impossible de vider la liste des alertes à la fin de chaque journée. Cela signifie que certaines menaces passeront inaperçues, tandis que les analystes se retrouveront à courir après des faux positifs et à s'engager dans des impasses.
Martin Fisher, directeur de la sécurité de l'information et responsable de la sécurité informatique à l'hôpital Northside, dans la région d'Atlanta ( ), s'est entretenu avec Endpoint au sujet de la façon dont son équipe (s'ouvre dans un nouvel onglet) est en proie à l'épuisement professionnel face à ces alertes incessantes.
Idée reçue n° 3 : l'EDR offre des fonctionnalités permettant une intervention et une correction complètes
L'EDR peut vous aider dans certaines activités de gestion des incidents, mais ce n'est certainement pas un outil incontournable. En effet, la plupart ne proposent pas d'analyse comportementale permettant d'évaluer l'ampleur d'une attaque en cours. Ils ne fournissent pas de données historiques à des fins d'enquête et d'analyse, et n'enregistrent pas les activités sur l'ensemble des hôtes. Cela signifie que les équipes d'intervention en cas d'incident doivent trouver d'autres outils pour assurer en temps réel l'évaluation de l'étendue de l'incident, son isolation et l'analyse forensic.
En quoi Tanium peut-il vous aider ?
Les équipes de sécurité devraient plutôt chercher à compléter leurs capacités EDR grâce à la plateforme Tanium. Tanium permet à ses clients de :
- Posez les bonnes questions pour détecter rapidement les activités malveillantes sophistiquées qui échappent à l'EDR
- Obtenez une vue d'ensemble de l'étendue des attaques et déterminez si des données ont été exfiltrées
- Contribuez à détecter les menaces en temps réel et à grande échelle
- Comprendre ce qui s'est passé après l'incident, quelle est l'ampleur des dégâts et comment l'organisation peut s'améliorer avant la prochaine attaque
Tanium et EDR travaillent main dans la main pour réduire au minimum les risques cybernétiques et rendre votre organisation plus sûre, mieux protégée et plus résiliente.
Pour en savoir plus sur la solution de gestion des incidents de Tanium, rendez-vous sur , (s'ouvre dans un nouvel onglet),et , et contactez-nous pour planifier une démonstration.
