Qu’est-ce que la chasse aux menaces ? Vue d’ensemble avec un exemple concret

MISE À JOUR : cette publication, publiée initialement le 21 septembre 2021, a été mise à jour pour refléter les informations les plus récentes disponibles sur la recherche de menaces.

La recherche des menaces est une pratique proactive de cybersécurité dans laquelle les experts appelés chasseurs de menaces recherchent activement des signes d’activité malveillante, des sources externes aux menaces internes, dans l’environnement d’une organisation. L’objectif est de détecter et d’arrêter les menaces avant qu’elles ne causent des dommages en recherchant des données telles que le trafic réseau, les endpoints et les journaux.

Malheureusement, de nombreux efforts en cybersécurité se concentrent toujours sur la réactivité, ce qui laisse aux attaquants la possibilité d’infiltrer les systèmes et de faire des ravages.

Il est facile de voir ce qui se passe lorsque les organisations ne donnent pas la priorité aux mesures de sécurité proactives, comme les programmes de recherche des menaces, lorsqu’elles font la une des journaux pour les violations de données massives ou les attaques de ransomware.

[Lire également : 5 façons pour votre entreprise d’éviter de devenir un titre]

Dans cette publication, nous explorerons le monde de la chasse aux menaces, en commençant par sa définition et les compétences essentielles que les chasseurs devraient avoir pour réussir. Nous explorerons également si toute la recherche des menaces est proactive, examinerons les méthodologies courantes et différencierons les types de recherche des menaces.

Vous découvrirez les étapes clés que les chasseurs de menaces prennent, leurs techniques et les outils qui soutiennent leurs efforts. Nous partagerons également les meilleures pratiques pour améliorer votre processus de recherche des menaces, fournirons un exemple concret d’une chasse aux menaces et offrirons des conseils sur l’intégration d’un programme proactif de recherche des menaces dans votre stratégie de sécurité.

Définition de la recherche des menaces

La recherche des menaces émerge en tant que méthode de cybersécurité significative qui implique une recherche continue des menaces dans l’environnement d’une organisation. Cela implique souvent de rechercher des « inconnues inconnues », des anomalies précédemment non détectées, une activité inhabituelle ou un code malveillant, qui pourraient ouvrir la porte à une cyberattaque.

Les chasses aux menaces commencent par une hypothèse ou une déclaration sur les idées du chasseur sur les menaces qui pourraient se trouver dans l’environnement et sur la manière de les trouver. Les chasseurs de menaces peuvent utiliser les informations sur les menaces, les connaissances environnementales, ainsi que leur propre expérience et créativité pour construire un chemin logique vers la détection.

Grâce à la recherche des menaces, les organisations font passer leurs efforts de cybersécurité du contrôle réactif des dommages à la prévention proactive des dommages.

Lorsque vos outils ou votre fournisseur tiers vous avertissent d’une violation de données en cours, ou que vous recevez une demande de rançon, les dommages à vos systèmes et le coût de remédiation peuvent être graves. La recherche des menaces vous permet d’atténuer les vulnérabilités de manière proactive avant qu’elles n’entraînent une catastrophe.

Une façon de penser à la chasse aux menaces est que c’est comme le système immunitaire de votre organisme. Vos lymphocytes T n’attendent pas que vous vous sentiez mal. Ils recherchent et tuent en permanence les germes et les cellules envahissants qui présentent un comportement anormal. Dans de nombreux cas, votre système immunitaire vous empêche de tomber malade.

Bien sûr, comme les attaques sur le système immunitaire, les cyberattaques peuvent parfois passer, même dans les organisations ayant des opérations de cybersécurité robustes et continues. Cependant, dans de nombreux cas, la recherche des menaces vous permet de détecter les violations plus tôt, ce qui permet de préserver la réputation de votre entreprise et de protéger ses données.

Alors que vous commencez à mieux comprendre la recherche des menaces, vous rencontrerez souvent le terme « Threat Intelligence ». Il est important de comprendre la différence entre la recherche des menaces et les renseignements sur les menaces, car les deux sont des composants essentiels d’une stratégie de cybersécurité robuste, mais servent des objectifs différents et impliquent des processus distincts.

Quelle est la différence entre la recherche des menaces et la veille sur les menaces ?

La recherche des menaces consiste à rechercher activement les menaces au sein d’un environnement.

Les renseignements sur les menaces impliquent la collecte, l’analyse et la diffusion d’informations sur les menaces potentielles ou actuelles recueillies auprès de diverses sources, y compris les données open source, les réseaux sociaux, la surveillance du dark web et d’autres sources partagées d’informations sur les menaces.

Non seulement les chasseurs de menaces opèrent dans l’hypothèse que les adversaires se cachent déjà dans le système, mais ils ne s’appuient pas sur des informations pour les informer des attaques déjà connues, améliorant efficacement les efforts de détection des menaces et de recherche des menaces.

Idéalement, les chasseurs veulent garder une longueur d’avance en recherchant des menaces nouvelles et émergentes qui ne sont pas encore documentées par les renseignements sur les cybermenaces. Cependant, les renseignements publiés offrent toujours une valeur significative à la recherche des menaces en fournissant des connaissances fondamentales sur lesquelles les chasseurs de menaces peuvent s’appuyer, y compris des informations sur le paysage des menaces, les modèles et les leçons tirées des incidents passés pour reconnaître les modèles et les indicateurs de compromission plus rapidement et plus précisément.

Les chasseurs de menaces efficaces jouent un rôle crucial dans la protection des organisations contre les menaces potentielles dans un paysage de cybersécurité en constante évolution. Cependant, pour exceller dans ce domaine, les chasseurs de menaces doivent posséder un ensemble unique de traits que nous explorerons dans la section suivante.

Principales compétences de chasseur de menaces

En tant que défenseurs de première ligne contre les dernières menaces et attaques, les chasseurs de menaces doivent cultiver des traits spécifiques pour garder une longueur d’avance sur les adversaires en permanence.

En maîtrisant ces compétences, les chasseurs de menaces peuvent considérablement améliorer leur capacité à détecter, enquêter et atténuer les menaces potentielles pour renforcer la posture de sécurité de leur organisation. Les chasseurs de menaces doivent être :

Apprenants à vie

L’apprentissage continu et l’auto-éducation sont essentiels pour les chasseurs de menaces. Avec l’émergence régulière de nouvelles menaces et techniques d’attaque, les chasseurs de menaces doivent lire attentivement, assister à des sessions de formation et participer aux communautés de cybersécurité pour les aider à rester informés des dernières tendances et des meilleures pratiques.

Scientifiques/analystes de données

Les chasseurs de menaces doivent intégrer la science et l’analyse des données lors de la collecte de données provenant de différentes sources, y compris le trafic réseau, les journaux système, les données des endpoints, les flux de renseignements sur les menaces, etc., pour traiter et obtenir des informations significatives qui éclairent leur prise de décision.

En analysant ces informations, les chasseurs de menaces peuvent identifier des modèles, détecter des anomalies et enquêter sur ces comportements anormaux pour déterminer s’ils peuvent indiquer une activité malveillante.

Intuitif

Les chasseurs de menaces doivent également s’appuyer sur leur intuition pour analyser les données, repérer les activités suspectes et enquêter sur les anomalies afin de détecter les logiciels malveillants cachés ou les acteurs malveillants potentiellement manqués à l’aide d’autres efforts. Cette intuition repose souvent sur des années d’expérience et une compréhension approfondie des systèmes qu’ils protègent.

En combinant leur intuition avec une analyse axée sur les données, les chasseurs de menaces expérimentés développent un sens aigu de ce qu’il faut rechercher et où identifier et atténuer les menaces potentielles plus efficacement.

Maîtrise technique

Les chasseurs de menaces doivent comprendre et utiliser les outils, technologies et méthodologies appropriés pour effectuer des tâches de manière efficace. Cela inclut la sélection des bons outils pour des tâches spécifiques, la mise à jour des dernières avancées technologiques et l’application de ces connaissances pour améliorer les performances.

L’exploitation d’outils qui prennent en charge la capacité d’un chasseur de menaces à surveiller l’activité en temps réel, à enquêter sur les incidents sans surcharger le réseau et à basculer de manière transparente entre la recherche et la réponse aux menaces est essentielle pour améliorer la visibilité sur les activités et les comportements des utilisateurs afin d’identifier et d’atténuer les menaces qui pourraient autrement passer inaperçues.

Comme les chasseurs de menaces qui s’efforcent de garder une longueur d’avance sur les menaces, dans la section suivante, nous explorerons la nature proactive des différents types de chasse aux menaces et clarifierons si chaque approche correspond à cette description. Cela nous aidera à comprendre les différentes stratégies de chasse et leurs rôles dans le maintien de défenses robustes en matière de cybersécurité.

Tous les types de chasse aux menaces sont-ils proactifs ?

Non, tous les types de recherche de menaces ne sont pas proactifs. En fait, la recherche des menaces est souvent catégorisée en deux approches : proactive et réactive :

1. Recherche proactive des menaces : une approche proactive de la chasse aux menaces implique de rechercher activement les menaces potentielles avant qu’elles ne causent des dommages en recherchant des signes de compromission ou d’intrusion.
   Avec la chasse proactive, les chasseurs visent à trouver et à isoler les menaces avancées qui échappent aux outils de sécurité existants, en se concentrant sur les menaces sans indicateurs spécifiques. Cette approche prend en charge la détection précoce, réduit le temps de séjour et prévient les dommages importants en permettant aux organisations d’identifier et de traiter les vulnérabilités de manière proactive.
2. Recherche réactive des menaces : en revanche, la recherche réactive des menaces se produit après la détection d’un incident de sécurité ou après que votre système de sécurité vous avertisse d’une anomalie.
   Étant donné que la menace peut déjà avoir causé des dommages, tels que des violations de données, des pertes financières et des dommages à la réputation, la recherche réactive des menaces peut entraîner des dommages importants si elle est utilisée comme stratégie de sécurité principale. La recherche réactive des menaces manque également souvent de rapidité et d’informations pour aider les organisations à prévenir les attaques futures, en se concentrant sur les menaces immédiates plutôt que sur les vulnérabilités sous-jacentes.

Bien que la recherche réactive des menaces soit essentielle pour répondre rapidement aux menaces qui dépassent votre cyberdéfense, elle ne doit pas remplacer les mesures de sécurité proactives telles que la recherche continue des menaces potentielles avant qu’elles ne causent des dommages.

Pensez aux leçons tirées de la recherche proactive des menaces comme commençant par : « La menace aurait pu... » par rapport aux rétrospectives réactives de la recherche qui commencent par :
« La menace a... »

Grâce à cette compréhension des principales distinctions et avantages entre la recherche proactive et réactive des menaces, nous pouvons désormais explorer les méthodologies de recherche des menaces plus nuancées.

Méthodologies de recherche des menaces

La recherche des menaces se divise généralement en trois approches principales :

1. Recherche basée sur des hypothèses : cette approche proactive de la chasse commence par la création d’une hypothèse basée sur les données disponibles, les tendances ou les événements de sécurité, y compris les indicateurs d’attaque (IoA) et les tactiques, techniques et procédures (TTP) des attaquants. Les chasseurs de menaces testeront et utiliseront leurs hypothèses pour guider leur recherche de comportements inhabituels.
   Une chasse basée sur des hypothèses peut inclure l’étude des renseignements mondiaux sur les menaces pour déterminer les types de cybermenaces les plus susceptibles d’être présentes. Par exemple, les chasseurs de menaces peuvent obtenir des informations en étudiant les analyses comportementales, les flux de renseignements et les bibliothèques de recherche de menaces, telles que le cadre MITRE ATT&CK qui fournit une base de connaissances open source des dernières techniques de cybercriminalité. Ces bibliothèques permettent aux chasseurs de développer des hypothèses sur les types d’attaques auxquels une organisation peut être confrontée et les meilleures tactiques de défense.
   Une recherche d’hypothèses est préférable car elle vous permet de détecter les menaces en développement de manière précoce et proactive.

1. Recherche basée sur l’enquête : cette approche implique une analyse approfondie des données pour découvrir manuellement tout signe d’activité malveillante que d’autres solutions de sécurité n’ont peut-être pas identifié. Cette méthode s’appuie fortement sur les connaissances et l’expérience du chasseur de menaces pour anticiper les menaces potentielles.
   Pour la recherche basée sur l’enquête, les chasseurs de menaces utilisent divers outils, tels que la gestion des endpoints, la surveillance de la sécurité, l’analyse médico-légale et d’autres outils analytiques, pour collecter et analyser des données en temps réel et historiques afin d’identifier et d’enquêter sur les menaces potentielles.
   La recherche basée sur l’enquête peut être proactive ou réactive. Les chasses proactives enquêtent sur les menaces potentielles, tandis que les chasses réactives sont déclenchées par des alertes ou des anomalies détectées par des systèmes automatisés.

Chasse basée sur l’intelligence :

 Alors que la chasse aux menaces recherche idéalement un comportement malveillant dans des environnements non couverts par les dernières informations sur les menaces, la chasse basée sur les informations, également connue sous le nom de chasse basée sur les informations, en est informée.

Les chasseurs de menaces utilisent la recherche basée sur les informations pour obtenir des informations précieuses sur les menaces actuelles ou potentielles, y compris les indicateurs de compromission (IoC) et l’IoA. Ces informations aident les chasseurs de menaces à concentrer leurs efforts et à développer des hypothèses sur les menaces potentielles dans l’environnement de leur organisation.

La recherche des menaces basée sur les informations est généralement considérée comme proactive, car les chasseurs de menaces peuvent anticiper et atténuer les menaces avant qu’elles ne se produisent, en traitant les vulnérabilités connues et les vecteurs de menaces en utilisant ces informations. Cependant, dans certains cas, vous n’aurez pas d’autre choix que de réagir à une situation qui s’est déjà développée.

La recherche basée sur les informations peut également être réactive lorsque les chasseurs de menaces utilisent les informations existantes pour identifier les indicateurs connus des menaces entrantes ou en cours. Par exemple, si vous commencez à chasser avec une IoC, les chasseurs de menaces structureront leur chasse pour trouver sa cause profonde et atténuer les dommages sans savoir si l’attaque a déjà violé l’environnement.

Dans la section suivante, nous approfondirons la manière dont différents types de chasse aux menaces exploitent ces méthodologies pour comprendre ce qui fait de chacune d’elles un composant essentiel d’une stratégie complète de chasse aux menaces.

Types de chasse aux menaces

Bien que les méthodologies basées sur des hypothèses, des enquêtes et des renseignements fournissent des approches et des processus structurés pour identifier les menaces, plusieurs types de recherche de menaces utilisent ces méthodologies pour aider les chasseurs à se concentrer sur des domaines spécifiques au sein de l’infrastructure d’une organisation.

Les types courants de chasse aux menaces comprennent :

• Chasse aux menaces situationnelles : la chasse situationnelle ou axée sur les entités se concentre sur des événements, entités ou situations spécifiques qui peuvent présenter un risque accru pour la sécurité d’une organisation. Cette approche est ciblée et souvent basée sur des connaissances sur les tendances actuelles en matière de menaces ou des renseignements spécifiques sur une menace potentielle.
  Bien que la recherche des menaces situationnelles puisse être réactive ou proactive, elle se distingue par son accent sur des situations spécifiques ou des entités à risque plus élevé.
• Chasse aux menaces non structurées : la chasse aux menaces non structurées commence à partir d’un déclencheur ou d’un indicateur de compromission. Le chasseur recherche des modèles malveillants sur le réseau avant et après le déclencheur ou l’IOC. Ce type de chasse est plus libre, ce qui permet aux chasseurs de menaces d’être guidés par leur curiosité et de contourner les chasses.
  La chasse aux menaces non structurée peut également être réactive ou proactive et diffère des autres types de chasse en raison de sa nature exploratoire.
• Recherche structurée des menaces : la recherche structurée des menaces implique une approche organisée et systématique. Cela commence généralement par une hypothèse sur une menace ou une anomalie potentielle, suivie d’une enquête rigoureuse pour prouver ou réfuter l’hypothèse.
  La recherche structurée des menaces diffère légèrement des autres types de recherche de menaces, car elle est plus axée sur les hypothèses et non réactive.
• Recherche hybride des menaces : la recherche hybride des menaces combine plusieurs méthodologies pour identifier et atténuer les menaces au sein du réseau d’une organisation. Il peut intégrer des méthodes basées sur des enquêtes, des hypothèses et des renseignements pour créer une stratégie de détection plus robuste.
  L’une des principales raisons d’utiliser la recherche hybride des menaces est sa capacité à fournir une vue complète des menaces potentielles et son adaptabilité à différents scénarios.

Comme vous pouvez le voir, chaque pratique sert différents objectifs pour soutenir la capacité d’une organisation à se défendre contre les menaces potentielles avant qu’elles ne puissent causer des dommages, réagir rapidement aux menaces lorsqu’elles se produisent et fournir des informations précieuses pour affiner les futures mesures de détection, de remédiation et de sécurité des menaces.

Dans la section suivante, nous décrirons cinq étapes que les chasseurs de menaces utilisent généralement pour mener des chasses aux menaces réussies. Ces étapes peuvent fournir une feuille de route claire pour guider vos efforts d’identification et d’atténuation des menaces potentielles.

[Regarder le webinaire à la demande : comment Tanium transforme la réponse aux cyber-incidents]

Que fait un chasseur de cybermenaces ? Comment fonctionne la chasse aux menaces en 5 étapes

Le processus de recherche des menaces implique généralement ces cinq étapes essentielles pour guider les chasseurs de menaces de la recherche à la résolution :

1. Recherche et création d’hypothèses : la première étape d’une chasse aux menaces consiste à étudier et développer une hypothèse que la chasse testera.
   Ces hypothèses ont tendance à être étroites, mais doivent inclure des théories sur les menaces potentielles cachées dans l’environnement et les stratégies qui seront utilisées pour les découvrir. Par exemple, si le chasseur de menaces sait que les attaquants installent généralement des services à distance, ils peuvent décider de concentrer la recherche sur ces services.
   Cette phase peut inclure la lecture des dernières menaces et des renseignements sur les cybermenaces à partir de flux d’informations open source et même des réseaux sociaux pour développer une hypothèse.
2. Collecte de données : maintenant qu’il existe une hypothèse, l’étape suivante consiste à collecter et identifier les données, telles que les journaux système, le trafic réseau et la télémétrie des endpoints. Les chasseurs de menaces utiliseront ensuite ces données pour rechercher des anomalies et des valeurs aberrantes indiquant des menaces potentielles.
3. Identifier le déclencheur : À l’aide des données collectées, les chasseurs détermineront le « déclencheur » ou le point de départ pour une analyse plus approfondie.
   Les déclencheurs peuvent être tout ce qui pourrait indiquer une menace potentielle, comme un niveau inhabituel d’activité réseau dans un nœud particulier, une application installée sur l’endpoint d’un utilisateur qui ne devrait pas avoir besoin de ce logiciel, ou un utilisateur dont l’appareil a des caractéristiques non partagées par les appareils d’autres personnes qui remplissent des rôles similaires dans l’organisation.
   Un déclencheur n’a pas non plus à provenir d’une analyse de l’environnement. Même une hypothèse sur une nouvelle menace peut déclencher une chasse proactive.
4. Enquête : l’ enquête est le point du processus de recherche des menaces où vous découvrez si votre hypothèse est correcte. Un examen plus approfondi du déclencheur déterminera s’il s’agit d’un vrai positif ou s’il existe une explication innocente de l’anomalie.
   Même si les anomalies font partie de la pratique commerciale standard dans certains services, elles peuvent indiquer des procédures erronées qui peuvent créer par inadvertance des vulnérabilités de cybersécurité.
5. Résolution : une fois l’enquête terminée, les chasses aux menaces doivent prendre les mesures appropriées pour répondre à la menace identifiée et la résoudre. Cela peut inclure le confinement de la menace, son éradication et la mise en œuvre de mesures pour prévenir les occurrences futures.

Techniques courantes de recherche des menaces avec des exemples

Les chasseurs de menaces ne trient pas sans esprit des montagnes de données, dans l’espoir de détecter une anomalie.

La recherche des menaces est essentiellement une recherche de modèles et d’écarts à la base. Pour y parvenir, les techniques courantes de recherche des menaces utilisées pour déterminer les anomalies comprennent :

• Clustering : la technique de recherche des menaces par clustering commence par cataloguer les fonctionnalités courantes. À partir de là, les chasseurs utilisent une analyse statistique pour détecter les anomalies au sein de ces fonctionnalités.
  Par exemple, si un comportement autrement normal, comme une valeur de hachage, suit un modèle inhabituel, cela peut indiquer une menace. Une valeur de hachage est l’ID numérique unique généré à partir du contenu d’un fichier électronique. Les valeurs de hachage changent lorsque quelqu’un modifie le contenu du fichier, de sorte que des modifications inattendues des valeurs de hachage peuvent être un signal de menace potentiel. Les valeurs de hachage sont souvent utilisées pour effectuer une recherche basée sur l’intelligence.
• Fréquence : l’analyse de la fréquence se concentre sur la vitesse à laquelle des événements ou des activités spécifiques se produisent pour identifier des modèles inhabituels. Un processus qui se répète plus fréquemment que prévu peut être un indicateur clé d’une menace potentielle.
  En analysant la fréquence de ces événements, le chasseur de menaces peut identifier et enquêter sur les menaces potentielles qui s’écartent du comportement normal. Par exemple, un chasseur de menaces peut examiner la fréquence des tentatives de connexion à un serveur particulier. S’ils remarquent un nombre anormalement élevé de tentatives de connexion sur une courte période, cela peut indiquer une attaque par force brute.
• Groupement : le groupement est un affinement du clustering mettant l’accent sur un sous-ensemble de fonctionnalités réseau.
  Si vous avez identifié un comportement potentiellement malveillant, vous pouvez utiliser le groupement pour mieux concentrer votre recherche sur des zones présentant des niveaux concentrés d’activité suspecte. En regroupant et en analysant des types similaires de trafic réseau, un chasseur de menaces peut découvrir des menaces cachées qui peuvent ne pas être apparentes lors de l’examen isolé d’événements individuels.
  Un exemple de regroupement dans la recherche de menaces implique de catégoriser le trafic réseau en fonction du type de protocole utilisé. Par exemple, un chasseur de menaces peut regrouper tout le trafic à l’aide du protocole HTTP, puis analyser ces événements groupés pour identifier des modèles inhabituels. S’ils remarquent un trafic HTTP important vers un domaine inconnu ou suspect, cela peut indiquer une menace potentielle, telle qu’une communication de commande et de contrôle.
• Empilement : l’une des caractéristiques qui peuvent indiquer une activité malveillante est la présence de plus (ou moins) occurrences d’un type de données autrement bénin. L’empilage ou le comptage d’empilage, tabule les occurrences et identifie les anomalies pour un examen approfondi.
  Par exemple, un chasseur de menaces peut utiliser un outil pour interroger tous les appareils d’endpoint sur le réseau et rechercher un petit nombre d’hôtes exécutant un logiciel spécifique qui n’est pas couramment utilisé. En empilant les données et en triant les résultats, un chasseur peut identifier ces systèmes uniques, qui peuvent avoir été récemment corrigés, mal configurés ou infectés par des logiciels malveillants, pour identifier les menaces potentielles qui se démarquent de la norme et nécessitent une enquête plus approfondie.
• Volume : l’analyse volumétrique examine le volume de données envoyées en dehors du réseau ou d’autres caractéristiques anormales liées à la quantité.
  Par exemple, un chasseur de menaces peut analyser le trafic réseau pour déterminer quel endpoint a envoyé le plus de données sur une période spécifique. En comparant les volumes de données, un chasseur peut identifier des anomalies, telles qu’un endpoint ou une adresse IP connectée à des appareils infectés qui commencent soudainement à transmettre une grande quantité de données, ce qui pourrait indiquer une exfiltration de données ou d’autres activités malveillantes.

Bien que cette liste couvre de nombreux éléments clés que les chasseurs de menaces recherchent, elle n’est pas exhaustive. Les techniques utilisées par les chasseurs peuvent être aussi diverses que les menaces elles-mêmes, car chaque chasse aux menaces peut impliquer de nouveaux indicateurs et modèles uniques à l’évolution des menaces et des environnements.

Quels outils sont utilisés pour la recherche des menaces ?

Les outils jouent un rôle essentiel dans la recherche des menaces, permettant aux chasseurs d’obtenir une visibilité complète et des données en temps réel essentielles pour détecter, enquêter et atténuer efficacement les menaces.

Comme la gamme de techniques qui peut être utilisée, les chasseurs de menaces doivent également maîtriser divers outils et technologies pour la détection et l’analyse des menaces, car différentes chasses de menaces peuvent nécessiter différentes capacités pour répondre à des besoins et objectifs uniques.

Les outils couramment utilisés par les chasseurs de menaces comprennent :

• Solutions de gestion des endpoints : les endpoints sont souvent les principales cibles des cyberattaques. Elles représentent la surface d’attaque où les menaces peuvent s’infiltrer dans le réseau d’une organisation. En gérant et en surveillant les endpoints, les organisations peuvent détecter et réagir immédiatement aux menaces, les empêchant de se propager et de causer des dommages plus importants.
  La visibilité des endpoints permet aux organisations de voir chaque appareil connecté au réseau, de comprendre leurs configurations et d’identifier les risques associés. Cette vue complète est essentielle car, comme le dit le dicton, « Vous ne pouvez pas sécuriser ce que vous ne voyez pas ». La détection d’anomalies ou d’activités suspectes pouvant indiquer une menace potentielle est difficile sans visibilité.
  De nombreuses solutions d’endpoints sont disponibles aujourd’hui, de la détection et réponse des endpoints (EDR) à la gestion des endpoints convergents. Vous pouvez en savoir plus sur les différences entre les solutions de gestion des endpoints populaires pour vous aider à déterminer le meilleur outil pour répondre à vos besoins en matière de recherche de menaces.
• Analyse du trafic réseau (NTA) : les outils NTA surveillent le trafic réseau à la recherche de signes d’activité malveillante. Ils analysent les flux réseau et détectent les anomalies qui peuvent indiquer une menace potentielle.
• Security Information and Event Management (SIEM) : les systèmes SIEM collectent et analysent les données de journaux provenant de diverses sources au sein de l’infrastructure informatique d’une organisation. Ils analysent les alertes de sécurité générées par les applications et le matériel réseau. Les outils SIEM aident à identifier les menaces potentielles et à y répondre en corrélant les événements et en fournissant une vue centralisée des incidents de sécurité.
• Plateformes de Threat Intelligence (TIP) : les TIP regroupent et analysent les données sur les menaces provenant de diverses sources pour fournir des informations exploitables. Ils aident les équipes à se tenir informées des dernières menaces et vulnérabilités, permettant ainsi une recherche et une atténuation proactives des menaces.

[Lire également : IA contre humains : pourquoi SecOps peut (ne pas) être le prochain champ de bataille]

Comment l’IA transforme la chasse aux menaces

Une partie intégrante de la recherche des menaces implique de distiller des informations à partir de grands ensembles de données. Cependant, les efforts manuels traditionnels pour examiner et analyser de grandes quantités de données ne sont plus réalisables pour les chasseurs de menaces modernes en raison du volume considérable de données générées par diverses sources. L’analyse manuelle de ces données prend du temps et est sujette aux erreurs humaines, ce qui peut entraîner des menaces manquées et des réponses retardées. De plus, la complexité des cybermenaces modernes rend difficile pour les analystes humains de les détecter et d’y répondre efficacement.

Qu’est-ce que cela signifie pour la chasse aux menaces ? Les outils de sécurité de nouvelle génération évoluent pour utiliser l’automatisation qui exploite l’IA et l’apprentissage automatique, montrant des résultats prometteurs pour relever ces défis. Ces outils peuvent traiter et analyser rapidement de grandes quantités de données pour identifier les modèles et les anomalies qui peuvent indiquer des menaces.

Par exemple, les algorithmes d’apprentissage automatique peuvent être formés pour reconnaître le comportement des menaces connues et détecter les écarts par rapport à l’activité normale, ce qui peut aider à identifier les menaces nouvelles et inconnues. Les outils alimentés par l’IA peuvent également automatiser les tâches répétitives, telles que la collecte de données, la corrélation et l’analyse initiale, ce qui permet aux analystes humains de se concentrer sur des tâches plus complexes et stratégiques.

L’IA et l’apprentissage automatique peuvent également apprendre et s’adapter continuellement aux nouvelles menaces, améliorant ainsi leurs capacités de détection. Cette approche dynamique est cruciale dans le paysage en constante évolution des cybermenaces, où de nouveaux vecteurs et techniques d’attaque émergent constamment. En tirant parti de ces technologies avancées, les chasseurs de menaces d’aujourd’hui peuvent améliorer leurs capacités de détection et de réponse, réduire le temps nécessaire pour détecter et atténuer les menaces, et améliorer la posture de sécurité globale.

[Lire également : Le guide ultime de la cybersécurité basée sur l’IA : avantages, risques et récompenses]

Maintenant que vous connaissez les outils sur lesquels les chasseurs de menaces s’appuient, examinons quelques meilleures pratiques que vous pouvez utiliser pour élever la chasse aux menaces.

Comment pouvez-vous améliorer le processus de recherche des menaces ?

Une recherche efficace des menaces ne se produit pas par hasard. Comme la plupart des opérations de cybersécurité, cela nécessite une innovation et une amélioration continues.

En adhérant à ces meilleures pratiques, vous pouvez améliorer votre capacité à vous défendre de manière proactive contre les menaces émergentes et vous donner les moyens de devenir un chasseur de menaces plus compétent et plus confiant.

Hiérarchiser la préparation

Comprendre où commencer la chasse est l’un des défis les plus importants de la chasse aux menaces. Vous commencez souvent par un champ ouvert que vous devrez affiner dans une hypothèse que vous pouvez confirmer ou invalider.

Vous laisser suffisamment de temps dans cette phase initiale augmentera le taux de réussite de vos chasses aux menaces. Si vous planifiez une chasse d’une semaine, passez les deux ou trois premiers jours à rechercher les artefacts corrects et les données appropriées que vous devez collecter. Cela fournit une base solide pour la chasse, vous ne vous contentez donc pas de vous déplacer dans l’obscurité.

N’oubliez pas que même si une hypothèse de recherche de menaces ne vous amène pas à découvrir une menace active, elle peut mettre à jour des données de sécurité exploitables que votre organisation peut utiliser pour améliorer ses défenses.

Créer une référence pour comprendre l’environnement

Avant de commencer toute opération de recherche de menaces, vous devez connaître votre environnement. La recherche des menaces est plus facile lorsque vous comprenez à quoi ressemblent les opérations normales des endpoints. La référence peut être éclairée par une politique ou comprise en collectant des données de votre environnement au fil du temps.

Voici quelques exemples de données de référence à collecter :

• Logiciel
• Ports réseau
• Services en cours d’exécution
• Exécution automatique

Cette préparation vous permet de formuler des hypothèses précises et vous aide à vous concentrer sur les domaines pertinents pour distinguer plus facilement les activités normales des activités suspectes. Une fois cette base établie, l’exploitation des données en temps réel devient essentielle pour détecter rapidement les écarts et les anomalies.

Utiliser des données d’endpoint en temps réel

Les données des endpoints en temps réel impliquent la collecte et l’analyse des données de tous les endpoints pour comprendre leur état actuel. Sans informations en temps réel, les chasseurs de menaces peuvent manquer de nouvelles menaces et ne pas détecter rapidement les anomalies.

Étant donné que les données obsolètes ne reflètent pas les dernières mesures de sécurité, elles peuvent également entraîner des évaluations incomplètes des risques et potentiellement des faux positifs. De plus, les anciennes données entravent la capacité à corréler les événements sur le réseau, ce qui rend plus difficile l’identification et la réponse efficaces aux menaces.

Les données en temps réel sont essentielles pour une détection rapide et précise des menaces et une réponse aux incidents pour de nombreuses raisons, notamment :

• Le flux constant d’informations sur les appareils en temps réel crée une vue holistique sur les endpoints, permettant aux chasseurs de menaces de détecter les anomalies et les activités suspectes au fur et à mesure qu’elles se produisent plutôt que de s’appuyer sur des analyses périodiques ou des rapports retardés. Cette rapidité est cruciale pour détecter les menaces qui pourraient passer à travers les failles.
• Une visibilité complète aide également les chasseurs à identifier les modèles et les corrélations qui peuvent indiquer une attaque sophistiquée. Par exemple, les signes subtils de mouvement latéral ou les menaces persistantes avancées qui tentent de rester non détectées au sein du réseau peuvent être détectés plus facilement lorsque tous les endpoints sont surveillés en continu.
• Les données en temps réel fournissent un contexte essentiel pour comprendre la nature d’une menace. Par exemple, connaître la séquence exacte des événements menant à une activité suspecte peut aider les chasseurs de menaces à déterminer s’ils font partie d’une attaque plus importante et sophistiquée. Ce contexte manque souvent dans les solutions de sécurité traditionnelles qui s’appuient sur des points de données isolés.
• Les données des endpoints en temps réel permettent une action rapide lorsqu’une menace potentielle est détectée. Les chasseurs de menaces peuvent immédiatement isoler les endpoints compromis, déployer des correctifs ou prendre d’autres mesures correctives pour empêcher la propagation de la menace. Cette capacité de réponse rapide est essentielle pour atténuer l’impact des menaces.
• Les informations sur les données des endpoints en temps réel prennent également en charge l’application des politiques de sécurité, car les chasseurs de menaces peuvent s’assurer que tous les appareils sont à jour avec les dernières mesures de sécurité, réduisant ainsi les vulnérabilités que les attaquants pourraient exploiter.

Globalement, les données des endpoints en temps réel prennent en charge les approches proactives et réactives de recherche des menaces en fournissant la visibilité continue, la détection immédiate, le contexte amélioré et les capacités de réponse rapide nécessaires pour renforcer la posture de sécurité globale et aider les organisations à garder une longueur d’avance sur les attaquants potentiels.

Mettre en place une équipe de recherche des menaces efficace

Il est essentiel de constituer une équipe avec les compétences appropriées. Par exemple, une équipe efficace de chasseurs inclura des personnes ayant des compétences médico-légales pour déterminer les causes profondes, des capacités d’analyse des données pour identifier les anomalies et une capacité théorique à générer des hypothèses de menace et à organiser la chasse.

Idéalement, l’équipe a besoin de membres qui apportent différentes perspectives à la recherche, représentent divers domaines d’expertise et ont différents niveaux d’expérience, notamment :

• Des professionnels chevronnés de la sécurité ayant de l’expérience dans de nombreuses menaces de cybersécurité auxquelles l’organisation pourrait être confrontée sont essentiels à la recherche des menaces. De nombreux chasseurs de menaces commencent leur carrière en tant qu’analystes de sécurité ou acquièrent de l’expérience avec les menaces en travaillant dans des rôles ou équipes de cybersécurité connexes, tels que les centres d’opérations de sécurité (SOC). Appuyez-vous sur eux pour aider à orienter le processus et développer un plan.
• Cependant, les professionnels immergés dans la cybercriminalité utilisent rarement des technologies comme les utilisateurs moyens, ce qui conduit parfois à négliger les menaces de sécurité courantes. Pour surmonter ce défi, incluez les associés juniors, peut-être un membre de l’équipe qui vient de quitter l’école, dans la planification et l’exécution de la chasse.
• Il est recommandé d’inclure quelqu’ un qui a récemment rejoint l’entreprise. Leur nouvelle perspective peut identifier les menaces potentielles en fonction du comportement typique des utilisateurs et ajoute une valeur considérable à la détection de nouveaux types de menaces.
• L’équipe de recherche des menaces doit également inclure au moins un membre ayant des connaissances institutionnelles approfondies et étendues. Cette intelligence interne aidera à déterminer si un modèle inhabituel est réellement anormal ou fait partie des pratiques commerciales régulières d’un service particulier, ce qui peut vous faire gagner beaucoup de temps lors du suivi des impasses.

Définir une durée pour la recherche

Définir une durée pour la recherche des menaces offre plusieurs avantages. Tout d’abord, elle aide à structurer le processus de recherche des menaces, ce qui facilite la création de l’équipe dont elle a besoin, l’allocation plus efficace des ressources et la garantie que chaque chasse est complète et bien documentée.

La définition d’un délai spécifique permet également de maintenir des processus cohérents et reproductibles qui aident à affiner les techniques et stratégies, ce qui permet une détection plus efficace des menaces au fil du temps. Grâce à un meilleur suivi des progrès et des résultats, les équipes peuvent plus facilement identifier les modèles et les domaines d’amélioration, ce qui leur permet de comparer les résultats sur différentes périodes et de fournir des informations précieuses sur l’efficacité de leurs efforts de recherche des menaces.

Mesurer la réussite

Avoir un temps défini pour la recherche est également crucial dans les organisations motivées par des mesures. Le nombre de menaces trouvées ne détermine pas toujours le succès d’une recherche de menaces, de sorte qu’une recherche continue et ad hoc peut donner des mesures décevantes.

Au lieu de cela, lorsque l’objectif est de passer un certain temps sur chaque chasse, la réussite est déterminée par l’exécution plutôt que par le nombre de menaces découvertes. Ce changement dans la définition de la réussite peut fournir les mesures positives dont vous avez besoin pour maintenir l’assistance de la gestion pour la recherche des menaces, ce qui est un moyen essentiel de dissuader la cybercriminalité.

De plus, il existe un certain nombre d’autres mesures clés que vous pouvez utiliser pour mesurer le succès d’un programme de recherche de menaces :

• Une mesure importante est le nombre de détections créées ou mises à jour, qui montre le nombre de détections de menaces nouvelles ou améliorées développées.
• Les organisations doivent mesurer le temps moyen de détection des menaces et le temps moyen de réparation une fois qu’une menace est identifiée pour éclairer les efforts visant à améliorer l’efficacité de leurs efforts de détection et de réponse.
• Le suivi du nombre d’incidents déclenchés par les efforts de chasse aux menaces peut aider à démontrer la valeur ajoutée de la chasse aux menaces dirigée par l’homme.
• Une réduction du temps de séjour, qui indique la rapidité avec laquelle les menaces sont détectées et neutralisées, est également une mesure cruciale.

Bien que, collectivement, ces mesures puissent aider à évaluer l’efficacité et l’impact des activités de recherche de menaces, elles ne sont utiles que pour informer une partie de la réussite de vos efforts. Pour que les indicateurs de réussite racontent l’histoire complète, les chasseurs de menaces doivent aligner leurs efforts sur les objectifs commerciaux globaux.

Par exemple, divers cas d’utilisation pour la chasse aux menaces peuvent nécessiter des approches personnalisées, comme se concentrer sur la détection des fraudes pour les institutions financières ou protéger les données des patients pour les organisations de soins de santé, donc mesurer le succès de ces chasses aux menaces sera probablement différent.

Déterminer à quoi une chasse aux menaces réussie doit ressembler doit se produire pendant la phase de planification et de recherche pour s’assurer que les stratégies utilisées et les mesures capturées répondent spécifiquement aux besoins et objectifs de l’organisation. Cela permettra aux résultats de la recherche d’être quantifiables, traçables et plus significatifs pour aider à améliorer les efforts uniques d’une organisation en matière de cybersécurité.

Quel est un exemple de chasse aux menaces ? Démonstration en situation réelle

Parfois, vous devez le voir pour vraiment comprendre comment il fonctionne. Toutes ces méthodologies et techniques théoriques pour la chasse aux menaces peuvent être difficiles à imaginer sans voir à quoi cela peut ressembler dans la nature.

Pour vous aider à mieux comprendre ce qu’il faut rechercher et les applications pratiques des meilleures pratiques de ce guide, nous passerons en revue un scénario de chasse aux menaces réactif et non structuré avec Matt, un chasseur de menaces chevronné qui a reçu une alerte sur un processus qui a récemment été désactivé sur un endpoint.

Continuons en utilisant Tanium Threat Response pour identifier, enquêter et contenir la menace en moins de 5 minutes, comme indiqué dans Threat Response In Real Life - Tanium Tech Talks #66. Les horodatages ci-dessous mettent en évidence les zones pertinentes dans la vidéo de démonstration.

• 3:17 — Matt reçoit une alerte sur un comportement anormal sur un endpoint.
• 3:59 — En utilisant Tanium, il examine les détails de l’endpoint, qui incluent les informations sur l’événement, pour savoir ce qui s’est passé. Il peut voir le processus exécuté dans la ligne de commande, l’ID de processus (PID) et le nom du processus, en plus des horodatages et des informations utilisateur impliquées.
• 4:37 — Il voit que le mode de fonctionnement du jeu de pare-feu=désactiver a désactivé le pare-feu Microsoft Windows sur tous les profils.
• 5:10 — Matt examine l’ascendance du processus pour comprendre ce qui a été exécuté et où.
• 5:39 — Il utilise Tanium pour basculer vers le cadre MITRE ATT&CK afin de comprendre que la menace correspond à la technique Défenses contre les déficiences : désactiver ou modifier le pare-feu système.
• 6:18 — Matt poursuit l’enquête pour comprendre le type d’attaque qui se produit et son impact sur l’environnement.
• 7:05 — Il détermine la commande qui remplace la politique de pare-feu par défaut.

Une fois cette commande identifiée, Matt peut localiser le fichier script PowerShell et découvrir l’origine de la menace, y compris l’utilisateur qui l’a téléchargée et l’emplacement. Il prend également des mesures pour contenir la menace tout en sauvegardant des artefacts sur la chasse aux menaces pour des analyses médico-légales ultérieures.

Où la recherche proactive des menaces s’intègre-t-elle dans votre stratégie de sécurité ?

Si votre organisation ne recherche pas de manière proactive les cybermenaces, cela devrait l’être. La recherche proactive des menaces est essentielle à la santé de votre environnement. Le meilleur moment pour commencer la chasse aux menaces était il y a des années. La prochaine meilleure heure est maintenant.

«  À mesure que les organisations prennent de plus en plus conscience des avantages de la détection proactive des menaces et d’une intelligence sur mesure, l’intégration de stratégies sophistiquées de recherche des menaces dans des cadres de cybersécurité plus larges est non seulement recommandée, mais essentielle.  »

Enquête SANS 2024 sur la chasse aux menaces

Les menaces de cybersécurité évoluent constamment et les chasseurs de menaces ont besoin de flexibilité pour personnaliser les outils en fonction de leurs besoins. Heureusement, des outils de cybersécurité avancés sont disponibles pour aider les chasseurs de menaces à développer rapidement les fonctionnalités dont ils ont besoin pour rechercher de nouvelles menaces.

La plateforme unifiée de Tanium améliore la sécurité et l’efficacité de la recherche des menaces en permettant une recherche automatisée, une détection précoce et une réponse rapide aux incidents, ce qui en fait un outil puissant pour maintenir un environnement sécurisé.

Avec une visibilité en temps réel, une collecte de données granulaires, un contrôle complet et des intégrations à des outils de sécurité essentiels tels que Microsoft Sentinel, ServiceNow et d’autres partenaires clés, Tanium combine les données des endpoints avec des renseignements plus larges sur les menaces pour aider les organisations à mieux comprendre le paysage des menaces et à améliorer leur capacité à détecter et atténuer les menaces rapidement et à grande échelle.

La gestion autonome des endpoints (AEM) de Tanium assure la sécurité des organisations en tirant parti des données en temps réel et de l’IA pour rationaliser les tâches de gestion des endpoints. En automatisant les activités chronophages telles que l’analyse, la surveillance, les correctifs, le reporting et la réponse aux incidents, AEM réduit également le fardeau des efforts manuels et minimise les erreurs humaines. Cela permet aux équipes informatiques et SecOps de prendre des décisions plus éclairées et plus efficaces concernant la création d’une posture de sécurité solide qui réduit la surface d’attaque et prévient les violations potentielles.

Planifiez une démo personnalisée gratuite de Tanium dès aujourd’hui pour voir comment notre approche de l’AEM peut bénéficier à vos efforts de recherche de menaces.