10 points à prendre en compte avant d'acheter une solution de sécurité Endpoint Detection & Response (EDR) - Partie 1

De plus en plus, les entreprises considèrent les solutions de sécurité de type « détection et réponse au niveau des terminaux » (EDR) comme un élément essentiel pour garantir la sécurité globale du réseau. Récemment, la CISA a désigné l’EDR comme un élément essentiel de la cybersécurité, mais de nombreuses entreprises ne disposent toujours pas de cette capacité. Les outils de cybersécurité EDR sont conçus pour détecter et supprimer les logiciels malveillants ou toute autre forme d’activité malveillante sur les terminaux. Plus largement, les outils EDR collectent et surveillent les données relatives aux menaces potentielles de cybersécurité pesant sur le réseau. Ces données peuvent être analysées pour déterminer la cause première des problèmes de sécurité et utilisées pour étayer les stratégies de gestion et d’intervention en cas d’incident.

Selon KuppingerCole et Forrester, les solutions de sécurité EDR intègrent généralement plusieurs fonctionnalités clés :

• Surveiller et fournir une journalisation et une analyse à distance des comportements des points d'extrémité
• Détecter, hiérarchiser, suivre et alerter sur les indicateurs de compromission (IOC) et les indicateurs d'attaque (IOA) en temps réel.
• Interopérer avec d'autres outils de sécurité, y compris l'anti-malware des points d'accès, la criminalistique, la gestion des cas, la gestion des incidents et des événements de sécurité (SIEM), l'orchestration, l'automatisation et la réponse en matière de sécurité (SOAR), etc.
• Permettre des requêtes IOC/IOA interactives sur tous les nœuds
• Permettre des requêtes en langage naturel
• Prise en charge de l'enregistrement et de la lecture des activités
• Prise en charge du verrouillage des communications entre les nœuds suspects et les consoles de gestion
• Fournir des playbooks et des réponses automatisées configurables
• Fournir des agents pour plusieurs systèmes d'exploitation
• Contrôler l'intégrité des systèmes d'exploitation et d'autres fichiers clés

En plus d'un ensemble de fonctionnalités solides, voici quelques considérations à prendre en compte lors du choix des outils de sécurité EDR dans lesquels investir et à utiliser pour protéger les terminaux de votre environnement informatique.

1. Endpoint Detection & Response avec ou sans agent, et pourquoi les deux sont nécessaires

De nombreux outils EDR destinés aux entreprises nécessitent l'utilisation d'un agent, tandis que d'autres adoptent une approche sans agent pour collecter les données des terminaux. Chaque approche présente des avantages et des inconvénients.

Un agent est un petit logiciel installé sur chaque appareil à surveiller. Les fonctions principales de l'agent sont de collecter des données sur l'activité de l'utilisateur dans toutes les applications, pages web et zones du système, et de transmettre les données qu'il collecte sur chaque session à un serveur central pour traitement, analyse et stockage. L'installation d'un agent sur un appareil surveillé permet de :

• Capturez des détails exhaustifs sur le système d'exploitation, le système de fichiers local, le matériel de la machine et les périphériques connectés, ainsi que tous les processus en cours d'exécution sur l'appareil.
• Capturez l'activité des utilisateurs quelle que soit la manière dont ils se connectent aux serveurs, c'est-à-dire par le biais d'une connexion à la console locale ou d'un accès à distance.
• Enregistrer l'activité de l'utilisateur dans un cache local pour une transmission ultérieure lorsque l'appareil est hors ligne ou que la connexion réseau est interrompue.
• Permettre une intervention interactive dans la session d'un utilisateur lorsque cela est nécessaire ; par exemple, pour mettre en quarantaine l'appareil en cas de suspicion d'activité malveillante.

Inconvénients de l'utilisation d'une plateforme de sécurité EDR basée sur des agents :

• Nécessite l'installation et la gestion d'agents sur chaque ordinateur, système et point de terminaison surveillé.
• Les agents peuvent ne pas fonctionner sur des appareils et des ordinateurs dont le système d'exploitation n'est pas pris en charge.
• Les invités et les propriétaires d'appareils non gérés peuvent ne pas accepter l'installation de l'agent (dans ce cas, un agent dissoluble peut fonctionner).
• Introduit une surcharge d'utilisation du CPU et de la RAM sur chaque ordinateur

Une autre approche consiste à surveiller les terminaux sans agent et à collecter des données. Dans ce scénario, aucun logiciel agent n'est installé sur le terminal. Au contraire, l'outil EDR surveille passivement le trafic entrant et passant par le réseau au fur et à mesure qu'il circule entre les machines clientes des utilisateurs et les serveurs auxquels ils accèdent. Les avantages d'un EDR sans agent sont les suivants :

• Déploiement plus rapide sur votre réseau, particulièrement utile lors des enquêtes de réponse aux incidents de cybersécurité
• Ne nécessite pas de ressources sur les points d'extrémité surveillés
• Ne nécessite pas l'installation et la gestion d'agents sur chaque appareil.
• Peut être utilisé avec des appareils qui ne peuvent pas accepter l'installation d'un agent.
• Peut enregistrer les changements de configuration des périphériques réseau, des sous-systèmes de stockage, des hyperviseurs, etc. sur lesquels les agents ne peuvent pas être installés.

Le modèle sans agent présente également des inconvénients :

• Ne capture pas l'activité de l'utilisateur local sur l'ordinateur distant, ni rien sur les processus en cours d'exécution localement, les éléments matériels ou d'autres détails de l'appareil lui-même.
• Le trafic de données cryptées est difficile à surveiller et à analyser
• Impossible de collecter des données sur les terminaux lorsque ceux-ci ne sont pas connectés au réseau de l'entreprise
• Sans présence sur le terminal, la partie "réponse" de l'EDR peut être limitée.

De nombreuses entreprises constatent qu'elles doivent utiliser à la fois un modèle basé sur un agent et un modèle sans agent afin de couvrir tous les points finaux et de surmonter les lacunes de chaque approche énumérée ci-dessus.

2. Quels sont les appareils ou les systèmes d'exploitation qui ne sont pas couverts par la solution de sécurité EDR ?

Cette question est généralement liée à la question de l'agent basé ou non sur l'agent. Un agent doit être disponible pour des systèmes d'exploitation spécifiques. Au minimum, la plupart des outils EDR prennent en charge Windows (y compris les anciennes versions), Mac OS et Linux. La question à poser aux fournisseurs est la suivante : quels sont les systèmes d'exploitation qui ne sont pas pris en charge ? Malheureusement, Apple iOS et Google Android font souvent partie des systèmes d'exploitation non pris en charge, même si de nombreux travailleurs utilisent leurs smartphones et leurs tablettes sur le réseau de l'entreprise. Si aucun agent n'est disponible pour un système d'exploitation courant, l'entreprise doit se rabattre sur un autre moyen de surveiller l'activité sur les appareils non pris en charge et de collecter des données.

Les appareils IoT (Internet des objets) peuvent également ne pas être pris en charge par les plateformes de sécurité EDR, car peu d'entre eux utilisent un système d'exploitation standard, comme macOS, Windows ou Linux. De plus, certains appareils IoT sont limités en termes de CPU et de mémoire et ne peuvent pas prendre en charge l'installation d'un agent EDR. Là encore, s'il est important pour une entreprise d'inclure ces appareils dans la capture et l'analyse des données réseau, il faut utiliser une autre méthode qu'un agent embarqué.

3. Qu'en est-il de la sécurité EDR dans le Cloud ?

De nombreux outils EDR fonctionnent depuis le cloud, mais ils ne sont pas forcément capables d’y fonctionner — or, la gestion de la sécurité dans le cloud revêt aujourd’hui une importance cruciale. Pour les entreprises qui disposent de serveurs et de charges de travail dans le cloud, y compris des conteneurs et des charges de travail « serverless », il peut s’avérer impossible ou peu pratique d’installer un agent sur des appareils physiques ou virtuels dans le cloud. En bref, le cloud est un tout autre monde.

4. Le logiciel EDR est-il facile à intégrer aux autres logiciels de sécurité de votre écosystème, y compris les plates-formes SIEM et les systèmes de billetterie ?

Les outils EDR ne sont pas conçus pour être des outils autonomes. Il existe de nombreux autres outils dans l'écosystème de la cybersécurité qui sont très complémentaires de ce que l'EDR apporte à la table. Cela permet aux responsables de la sécurité d'obtenir une meilleure compréhension de leur position de sécurité et d'automatiser les réponses pour atténuer une série de problèmes de sécurité. Les entreprises en tirent profit en optimisant le temps de compréhension, en accélérant la réponse aux incidents et en renforçant la sécurité de leur réseau.

Les solutions de sécurité EDR doivent pouvoir s'intégrer aux types d'outils capables d'enregistrer, de suivre, d'orchestrer et d'exécuter des actions pour atténuer une attaque et nettoyer l'environnement une fois la menace passée. De plus, de nombreuses entreprises disposent d'une plateforme de gestion des incidents et des événements de sécurité (SIEM) qui est configurée pour être une plateforme de sécurité globale, et d'autres systèmes de sécurité alimentent le SIEM en données et en analyses. La facilité d'intégration avec ces outils est essentielle. Le magazine CSO qualifie ces intégrations de "multiplicateurs de force" de la plateforme EDR.

Vous trouverez dans la deuxième partie de ce blog les autres éléments à prendre en compte pour choisir le meilleur outil ou la meilleure solution de sécurité RGPD...