Wim Remes, fondateur de Wire Security, a pu constater de près l'avalanche quotidienne d'alertes de sécurité qui a submergé les équipes qu'il a dirigées sous des dizaines de millions d'alertes extrêmement urgentes, mais pour la plupart sans importance, chaque jour.
Alors que les alertes de sécurité les plus anodines de ces peuvent être gérées à l'aide d'outils d'automatisation, l'une des équipes de Remes a dû faire face à un retard persistant de plusieurs milliers d'événements de sécurité et n'arrivait pas à suivre le rythme.
« Toute l'équipe s'efforçait de résorber le retard accumulé à plein temps », explique-t-il. Comme il l'a constaté, les entreprises qui ne parviennent pas à suivre le rythme ont peu de chances de parvenir à endiguer le déluge de cyberattaques visant leurs données et leurs systèmes, du moins pas très longtemps.
Ce n'est pas un problème qui va s'améliorer de sitôt. Le nombre élevé d'alertes s'est encore accru pendant la pandémie de COVID, les entreprises ayant généralisé le télétravail. S'il n'est pas géré de manière adéquate, ce déluge incessant d'alertes finit tout simplement par épuiser les analystes.
[À lire également : Comment réagir face à une cyberattaque]
« Le bilan humain de cette dernière année a été terrible », déclare Martin Fisher, directeur de la sécurité de l'information et responsable de la sécurité de l'information à l'hôpital Northside, dans la région d'Atlanta. « Nous sommes nerveux. » Chaque alerte donne lieu à une enquête de réponse aux incidents mineurs. Un tel niveau d'effort est épuisant. « Les gens sont en train de s'épuiser. »
De nombreux outils de sécurité « » émettent des alertes qui ne fournissent pas suffisamment de contexte pour comprendre ce qui se passe. Parfois, c'est la faute de l'outil. Parfois, cela tient à un manque de formation du personnel. « Si ce problème était simple, il aurait été résolu depuis longtemps », déclare Chris Blow, directeur de la sécurité offensive chez Liberty Mutual.
Pour ramener le nombre d'alertes à un niveau gérable par les personnes et les systèmes, les entreprises doivent passer de la « fatigue des alertes » à la « prise de conscience des alertes ». Pour ce faire, ils peuvent affiner les réglages des outils de sécurité et des capteurs, se concentrer sur les alertes pertinentes, réduire la charge de travail des analystes grâce à l’automatisation, renforcer la formation du personnel et consolider de manière proactive leur posture de sécurité « ».
Réglez vos dispositifs de sécurité
C'est une étape qui va de soi, mais ce n'est pas forcément une étape facile. Les outils de sécurité utilisés pour surveiller les réseaux et les systèmes sont capricieux. Si vous les configurez de manière trop stricte, ils se mettent à envoyer une multitude d'alertes ; si vous les configurez de manière trop laxiste, les équipes de sécurité risquent de passer à côté de véritables attaques.
« On ne peut pas se contenter de les configurer et de ne plus s'en occuper », explique M. Blow, de Liberty Mutual. Et pourtant, c'est ainsi que de nombreuses entreprises les traitent. Il affirme que les entreprises les plus performantes ont mis en place des processus impliquant toutes les personnes nécessaires au traitement des alertes, y compris les responsables des applications et des systèmes concernés, ainsi que les membres du SOC. Ils se réunissent chaque semaine, voire plus souvent, afin de s'adapter à l'évolution rapide des menaces.
«Établir des priorités pour les alertes et veiller à ce que chacun comprenne ces priorités contribue grandement à remédier à la fatigue liée aux alertes. »Chris Blow, directeur de la sécurité offensive chez Liberty Mutual
Remes of Wire Security recommande de mettre en place une boucle de rétroaction étroite entre l'environnement surveillé par les outils de sécurité et la configuration des outils qui génèrent les alertes. « Vos outils de surveillance de la sécurité doivent être configurés en fonction des alertes que vous souhaitez recevoir », explique-t-il. Pour ce faire, Remes recommande d’utiliser un cadre fondé sur les risques qui permette aux entreprises d’appliquer une approche « » (évaluation des risques et prise de décision en fonction de ceux-ci) aux appareils, applications, réseaux et utilisateurs qu’elles souhaitent protéger.
Hiérarchiser les alertes
Toutes les détections d' s liées à des événements ne se valent pas. Bien que les alertes en attente doivent être analysées, elles ne doivent pas toutes faire l'objet d'une enquête immédiate. « Hiérarchiser les alertes et veiller à ce que chacun comprenne ces priorités contribue grandement à remédier à la fatigue liée aux alertes », explique M. Blow.
Pour mieux définir les priorités, M. Blow affirme qu’il est essentiel de prendre en compte des facteurs tels que la source de l’alerte, le volume des alertes, l’ampleur de l’impact potentiel de l’événement, l’évolution de l’attaque éventuelle, ainsi que les similitudes entre un incident et des incidents antérieurs. M. Fisher, de l'hôpital Northside, accorde également la priorité à des domaines sensibles tels que la sécurité et l'expérience des patients, ainsi qu'aux logiciels malveillants et aux ransomwares qui menacent le bon fonctionnement de l'établissement.
Automatisez la réponse appropriée aux alertes
Certaines alertes peuvent être traitées automatiquement. Par exemple, il n'est pas nécessaire d'envoyer une alerte prioritaire aux équipes humaines lorsqu'un utilisateur se retrouve bloqué hors de son compte après un nombre excessif de tentatives de connexion infructueuses et doit ensuite réinitialiser son mot de passe. Mais si une ou deux tentatives de connexion infructueuses ne doivent pas nécessairement être considérées comme hautement prioritaires, explique M. Blow, « si l’alerte se déclenche plusieurs fois au cours d’une journée, cela pourrait alors justifier une escalade ».
[À lire également : 5 façons pour votre entreprise d'éviter de faire la une]
Parmi les autres domaines pouvant faire l'objet d'une automatisation, on peut citer l' l'analyse des attaques par hameçonnage . « Lorsqu’un utilisateur signale un e-mail de hameçonnage, vous pouvez analyser les données et interagir avec votre infrastructure de messagerie afin de supprimer les e-mails similaires des boîtes de réception des autres utilisateurs », explique M. Remes.
Mais veillez à ne pas automatiser des processus défaillants, conseille Remes. « Ce qu’il faut éviter, c’est que vos processus automatisés ne soient pas compris », explique-t-il. « Passer de la compréhension de ce qui se passe à celle de ce qu’une équipe doit faire, puis à l’automatisation de ces processus, n’est pas un parcours rapide », explique-t-il.
Former le personnel à l'utilisation des derniers outils de sécurité
« Le nombre d’outils a augmenté de manière exponentielle », déclare M. Blow.
Trop d'entreprises tentent de déployer des produits en espérant que cela résoudra leurs problèmes de sécurité. Ces outils finissent par être mal gérés, quand ils sont réellement utilisés. Au contraire, les organisations pourraient devoir investir dans les services professionnels dont elles ont besoin pour mettre en place leurs outils et les faire fonctionner efficacement, ainsi que pour s'assurer que leur personnel chargé de la sécurité bénéficie d'une formation adéquate.
« Trop d’organisations négligent tout simplement les services et les formations adéquates, et cela se ressent dans la mise en œuvre de leurs projets », déclare M. Blow.
Prenez les devants face aux menaces
À mesure que le retard accumulé dans le traitement des alertes commence à se résorber, il est essentiel que l'équipe chargée des opérations de sécurité analyse de manière proactive le réseau afin de détecter d'éventuels signes de compromission avant même que les alertes ne se déclenchent. Si un groupe criminel particulier a pris pour cible votre secteur d'activité (comme ce fut le cas récemment avec les attaques menées par le groupe « » contre le site dans le domaine de la santé), vous devriez alors rechercher des indices indiquant qu’il s’est déjà introduit dans votre propre environnement informatique.
[À lire également : La prolifération des outils menace la sécurité après la pandémie]
« Lorsque nous parvenons à détecter une menace, nous n’avons même pas besoin de l’alerte, car nous pouvons simplement bloquer la technique qu’ils utilisent », explique M. Blow.
Prendre les devants sur l'alerte peut sembler un objectif inatteignable, et sans formation, services et plateformes adaptés, c'est probablement le cas. Mais c'est un objectif qui mérite d'être fixé.
Comment l'équipe de Remes, submergée par le travail, a-t-elle finalement réussi à rattraper son retard ? Elle a optimisé l'environnement autant que possible et a divisé le backlog en plusieurs parties pour le traiter progressivement. « Nous avons cinq analystes », dit-il. « Chaque analyste consacre une journée par semaine au traitement des alertes en attente. » « Cela signifie que chaque analyste dispose de quatre jours par semaine pour se consacrer à d'autres tâches. »
Ça a marché. Le nombre d'alertes en attente de l'équipe est désormais passé de 3 000 à 80 . Mais comme pour tout le monde, réduire le retard accumulé est un combat de tous les instants.
