Voici le dernier volet de notre série de quatre articles de blog illustrant la manière dont nous suivons les indicateurs clés. Dans cet article, Greg Pothier, ingénieur SecOps chez Tanium, aborde la manière dont nous gérons les incidents, propose des recommandations concernant le délai moyen de réponse et explique pourquoi la rapidité d'intervention est essentielle pour toute entreprise.
Nous utilisons systématiquement Tanium dans le cadre de nos pratiques de sécurité informatique afin de renforcer notre posture défensive, en recourant à l'application de correctifs à la fois comme mesure d' et comme processus de . Cela permet de réduire notre surface d'attaque et favorise la mise en place d'un environnement homogène.
Avant de nous féliciter pour ce travail bien fait, il est toutefois important de rester vigilant. Comme vous le savez, les pirates font preuve de créativité ; et une fois infiltrés dans un réseau, les incidents de sécurité rendus publics ont montré qu'ils pouvaient passer inaperçus pendant des mois.
L'impact et le coût d'une intrusion sont directement liés à la durée pendant laquelle un pirate reste présent au sein d'un réseau. Par conséquent, il est essentiel que nous nous efforcions de réduire autant que possible notre délai moyen de résolution. Afin de gagner en efficacité et en performance, nous utilisons Tanium pour automatiser autant que possible le processus de détection initiale et d'alerte. Ces détections automatisées nous alertent en cas d'activité potentiellement malveillante, ce qui nous permet alors de commencer à mesurer notre temps de réponse.
Le cycle de vie type d'une attaque comporte trois grandes phases :
- Infection initiale. Il s'agit du moment où un attaquant parvient, pour la première fois, à exécuter un code malveillant sur un terminal afin d'y obtenir l'accès.
- Persistance. Il s'agit d'une situation dans laquelle un attaquant a obtenu l'accès à un terminal et est capable de conserver cet accès même après les redémarrages du système.
- Déplacement latéral et atteinte de l'objectif. Les attaquants atterrissent rarement là où ils le souhaitent. Par conséquent, une fois qu’ils ont obtenu l’accès, les attaquants s’en servent généralement pour se déplacer latéralement d’un système à l’autre, en collectant davantage de données jusqu’à ce qu’ils atteignent finalement leur objectif.
Vous trouverez ci-dessous des exemples illustrant la manière dont nous utilisons Tanium pour gérer les activités à chaque phase du cycle de vie d'une attaque, ainsi que nos prévisions concernant le délai moyen de réponse à chaque phase.
Phase initiale de l'infection : détection d'activités malveillantes
Tanium est une plateforme, ce qui signifie que nous pouvons passer immédiatement de la détection et de l'alerte à l'évaluation de l'étendue et à l'enquête, le tout à partir d'une seule et même console. Nous évaluons l'ensemble des détections et des infections initiales potentielles à l'aide de Tanium et de Trace pour nous connecter aux terminaux et créer des enregistrements chronologiques ainsi qu'une analyse des données d'investigation clés sur ces derniers. Ces éléments de preuve informatiques comprennent l'exécution des processus, les modifications apportées au système de fichiers et au registre, le chargement des pilotes, les événements de sécurité, ainsi que plusieurs autres événements pertinents liés à l'utilisateur et au système.
Tanium Trace enregistre en permanence l'activité des terminaux, que ceux-ci soient connectés ou non. Trace nous permet de mettre en œuvre une détection des schémas d'attaque pour identifier les anomalies et les événements suspects, en nous appuyant sur des méthodologies d'attaque complexes.
Voici quelques exemples parmi les mécanismes de détection les plus courants :
- Fichiers de script situés dans des chemins d'accès suspects ;
- Modèles d'événements liés aux processus et aux fichiers indiquant la présence d'un logiciel malveillant de type macro dans Microsoft Office ;
- Adobe Acrobat Reader crée des types de fichiers inhabituels ; et
- Des fenêtres de ligne de commande créées par des applications parentes inhabituelles.
À mesure que nous recueillons des éléments de preuve provenant de Trace, nous pouvons utiliser Tanium Detect pour rechercher ces indicateurs de compromission (IOC) dans l'ensemble de l'entreprise. Detect recueille des indicateurs de menaces (IOC) provenant de diverses sources, notamment des référentiels locaux de détection des menaces, des flux TAXII et d'autres sources de renseignements sur les menaces. La fonctionnalité « Detect » nous permet de personnaliser les analyses en fonction de l'état du terminal, ce qui permet un ciblage précis en fonction du système d'exploitation du terminal, du groupe d'utilisateurs ou des systèmes disposant d'administrateurs privilégiés.
Pour la détection, notre équipe de sécurité interne est abonnée à plusieurs sources externes de données sur les menaces, notamment un service de base de données de réputation de premier plan, ainsi que , , Palo Alto Networks Wildfire (s'ouvre dans un nouvel onglet),et . Grâce à Tanium Connect (s'ouvre dans un nouvel onglet), nous pouvons exploiter nativement les API de ces deux produits afin de comparer les hachages de chaque processus en cours d'exécution, des programmes à démarrage automatique et des pilotes chargés à ceux de dizaines de moteurs antivirus. Lorsqu'un hachage malveillant est détecté, vous en êtes immédiatement informé et un ticket est généré automatiquement.
Outre la fonctionnalité « Detect », nous pouvons déterminer si des indicateurs similaires se trouvent ailleurs en utilisant simplement Tanium Core pour effectuer une recherche ponctuelle à l'échelle de l'entreprise sur l'ensemble de nos terminaux.
Nous utilisons Tanium pour remédier à l'infection du terminal et, en fonction de nos conclusions, nous pouvons déployer des actions Tanium afin de mettre fin aux processus malveillants en cours d'exécution, de désinstaller les applications indésirables et/ou d' d'appliquer des correctifs (s'ouvre dans un nouvel onglet) sur le terminal immédiatement.
De nombreuses enquêtes menées dans le cadre de la gestion des incidents s'achèvent à ce stade. Si tel est le cas, nous pouvons alors chronométrer le temps écoulé entre la détection initiale et la résolution du problème, et consigner la durée de ce processus. Notre objectif est de réduire autant que possible notre délai moyen de résolution.
Persévérance : débusquer les attaquants là où ils se cachent
Tanium propose diverses méthodes permettant de surveiller et de détecter les mécanismes de persistance courants , notamment les exécutables autonomes, les DLL de services malveillants, les modules de services hébergés et les composants COM.
Les fonctionnalités de recherche et d'empilement en temps réel de Tanium permettent à nos opérations de détection d'être efficaces et performantes pour repérer la persistance des logiciels malveillants via les méthodes couramment utilisées par les attaquants, telles que Windows Management Instrumentation (WMI) et les tâches planifiées. L'analyse en temps réel constitue également un élément essentiel de la recherche active de menaces, puisqu'elle permet d'analyser les anomalies de tous les mécanismes persistants.
Les nouveaux mécanismes de persistance sont analysés et, s’ils s’avèrent malveillants, Tanium est utilisé pour mettre en œuvre une action de mise en quarantaine , qui isole le terminal infecté jusqu’à ce qu’une analyse plus approfondie et une correction puissent être effectuées.
Maintenant que le foyer d'infection initial a été maîtrisé, nous devons déterminer comment cette infection s'est produite au départ.
Tanium Trace peut répondre à ces questions en analysant l'exécution des processus de manière « », en fournissant l'historique de l'arborescence des processus associés et en exploitant les preuves techniques pour établir des indicateurs de compromission, ce qui nous aidera à répondre à la question suivante : la méthode de persistance qui a fait ses preuves a-t-elle été tentée et a-t-elle abouti sur d'autres terminaux ?
Nous créons des actions de détection automatisées avec Detect en intégrant notre indicateur de compromission (IOC) ou notre règle Yara, puis en recherchant dans l'ensemble de l'entreprise des indices d'activité malveillante. Notre objectif est de répondre aux alertes de portée en procédant à un premier triage dans les 15 premières minutes, puis en procédant à une collecte d'informations plus détaillée à l'aide des méthodes susmentionnées au cours de la première heure.
Mouvements latéraux et exfiltration : bloquer les attaquants dans leur élan
Au cours de la phase de « mouvement latéral » ( ) et de la phase « Atteindre l'objectif » (Achieve Objective) **,** nous utilisons Tanium pour détecter les techniques courantes de reconnaissance de domaine utilisées par les attaquants et générer des alertes à ce sujet. À titre d'exemple, Tanium vous alerte lorsqu'un pirate – ou même un employé malveillant – tente de mener une action potentiellement malveillante, comme l'utilisation de net.exe pour identifier des groupes de comptes utilisateurs, ou encore lorsqu'il tente d'ajouter un nouvel utilisateur.
PowerShell est devenu l'un des principaux outils utilisés par les pirates, et nous utilisons Tanium pour détecter facilement tout comportement suspect lié à PowerShell en analysant les arborescences de processus, les lignes de commande ou même les connexions HTTPS. Nous surveillons et signalons les connexions de type 3 sur le réseau, notamment l'exécution de commandes à distance via psexec, l'exécution de commandes à distance via WMI, le montage suspect de partages et les tâches à distance planifiées. De nombreux attaquants préfèrent utiliser des outils qui résident principalement en mémoire pour passer inaperçus ; c'est pourquoi nous utilisons Tanium Threat Response (s'ouvre dans un nouvel onglet) afin d'analyser rapidement la mémoire des terminaux à l'échelle de l'ensemble de l'entreprise.
Lors d'une tentative d'exfiltration, les attaquants compressent souvent les données afin de chiffrer le contenu et les noms des fichiers. Nous utilisons l' Index de Tanium pour rechercher les fichiers présentant des indicateurs suspects, notamment le nom, le chemin d'accès, la valeur de hachage et les octets d'en-tête. Ainsi, lorsqu'un pirate tente de compresser et de chiffrer des fichiers ainsi que leur contenu, Tanium Index vous alerte dès qu'un nouveau fichier contenant une séquence d'octets d'en-tête suspecte est créé.
En cas de mouvement latéral ou d'exfiltration potentiels, Tanium nous offre plusieurs options pour mettre en œuvre des mesures immédiates visant à remédier à l'activité malveillante. Nous pouvons rétrograder et/ou supprimer les comptes locaux disposant de droits élevés, déployer un package pour mettre fin à tout processus malveillant, réinitialiser les identifiants des utilisateurs compromis et fermer les connexions/ports non autorisés.
Ce processus de détection, qui s'effectue en quelques secondes et à grande échelle, grâce à la capacité d'analyser en détail les terminaux à l'échelle de l'entreprise, nous permet de maintenir notre temps de réponse moyen dans la fourchette visée et nous donne les moyens d'intercepter les attaquants avant qu'ils ne parviennent à mener à bien leurs objectifs. La plateforme Tanium nous permet de réaliser en quelques secondes, minutes ou heures ce qui prend généralement plusieurs jours, semaines, voire des mois aux équipes chargées de la gestion des incidents.
Il s'agit du dernier volet de notre série en quatre parties. Dans la première partie de « », je vous explique comment, chez Tanium, nous assurons le suivi des vulnérabilités critiques. Dans « , deuxième partie», je décris comment nous utilisons Tanium pour suivre les indicateurs clés de conformité. Dans la troisième partie de la série « », j'explique comment utiliser conjointement Tanium et Splunk pour fournir des données relatives à la gestion des correctifs. Pour découvrir comment Tanium peut vous aider à commencer à mesurer ces indicateurs dans votre environnement, inscrivez-vous dès maintenant à une démonstration « » , à une étude de faisabilité (s'ouvre dans un nouvel onglet), à une évaluation ou à une démonstration .*
Pour en savoir plus :
- Comment nous suivons les indicateurs clés de conformité
- Comment nous suivons le délai moyen de mise à jour
À propos de l'auteur : Greg Pothier est ingénieur en sécurité chez Tanium. Il possède une expérience dans les domaines de l'automatisation de la sécurité, de l'analyse de données, des tests d'intrusion et du développement logiciel. Avant de rejoindre Tanium, Greg a occupé le poste d'ingénieur senior au sein de plusieurs agences gouvernementales et de renseignement américaines. Greg a obtenu son master en informatique à l'université George Mason, où il s'est vu décerner la bourse « NSA Information Assurance Cyber Scholarship ».
