10 points à prendre en compte avant d'acheter une solution de sécurité Endpoint Detection & Response (EDR) - Partie 2
Dans la première partie de notre article de blog consacré aux éléments à prendre en compte avant d'acquérir un outil ou une solution de sécurité de type « détection et réponse au niveau des terminaux » (EDR), nous avons mis en avant quatre facteurs clés :
- Surveillance avec ou sans agent
- Ce que les systèmes EDR ne peuvent pas surveiller
- Exécuter un EDR dans votre cloud
- Intégrer les EDR avec d'autres outils
Dans la seconde partie de cette série de blogs en deux parties, nous explorerons des considérations supplémentaires lors de la sélection d'un outil EDR :
5. Le logiciel EDR reçoit-il des signatures et des modèles fréquemment mis à jour et conçus pour détecter les tactiques, techniques et procédures (TTP) des attaquants avancés ?
Les menaces changent tous les jours car les attaquants travaillent continuellement à l'amélioration de leurs TTP, et il en va de même pour les signatures et les modèles qui sont utilisés pour détecter la présence de menaces dans un réseau. La plate-forme informatique doit être fréquemment mise à jour, de préférence en incluant des indicateurs de compromission (IoC) et des indicateurs d'attaque (IoA) de haute qualité et de bonne source. Certains produits permettent à l'entreprise d'intégrer également ses propres IoC/IoA, qui peuvent être développés en interne ou obtenus auprès de services de renseignement sur les cybermenaces.
La plupart des outils actuels utilisent l'apprentissage machine (ML) pour examiner les activités des points d'extrémité et du réseau à la recherche d'anomalies qui pourraient être indicatives de risques et de menaces. L'apprentissage automatique utilise des algorithmes, ou modèles, pour analyser les données, et ces modèles doivent être fréquemment mis au point pour continuer à produire les résultats les plus précis possibles dans la détection des anomalies.
6. La solution EDR hiérarchise-t-elle les alertes de menaces afin de réduire la "fatigue des alertes" ?
Un problème notoire sur le marché des outils de cybersécurité est la tendance à faire apparaître comme alerte tout ce qui semble suspect - que l'activité suspecte soit une menace réelle ou non. Les analystes de sécurité reçoivent ainsi beaucoup trop d'alertes, ce qui crée une "fatigue de l'alerte" qui fait que de nombreuses notifications - dont certaines pourraient être importantes - sont ignorées par manque de temps. Une plateforme logicielle EDR efficace est capable de collecter et de corréler suffisamment de données pour que les menaces soient validées avant de déclencher une alerte auprès des enquêteurs humains.
7. Votre logiciel de sécurité EDR prend-il en charge des modèles de détection et/ou des règles personnalisés adaptés à votre environnement informatique ?
Il n'existe pas d'algorithme d'apprentissage automatique "unique" optimisé pour toutes les situations possibles. Étant donné que chaque environnement d'entreprise est différent, les modèles de détection des menaces devraient, dans l'idéal, être personnalisables pour répondre aux besoins de chaque entreprise. Un éditeur de logiciel EDR devrait permettre une personnalisation poussée par des utilisateurs avertis et/ou des consultants.
8. Extensibilité : Au-delà de la détection et de la réponse aux incidents, quelles sont les capacités de la solution de sécurité EDR ?
Wikipedia définit l'extensibilité comme un principe d'ingénierie logicielle et de conception de systèmes qui permet une croissance future sans compromettre les fonctions existantes du système. Les extensions peuvent se faire par l'ajout de nouvelles fonctionnalités ou par la modification de fonctionnalités existantes. Ainsi, l'extensibilité d'un système EDR apporte une plus grande valeur et permet à une entreprise d'obtenir un meilleur retour sur investissement.
Endpoint Detection & Response est une catégorie d'outils logiciels de sécurité qui surveillent les appareils matériels de l'utilisateur final à travers un réseau pour une gamme d'activités et de comportements suspects, réagissant automatiquement pour bloquer les menaces perçues et sauvegardant les données médico-légales pour une enquête plus approfondie. La grande quantité d'informations qu'une telle solution recueille et stocke rend le système prêt à être étendu à de nombreuses autres capacités.
9. Le logiciel de sécurité EDR peut-il suivre les progrès et les améliorations de la sécurité et de l'hygiène des données au fil du temps par le biais de rapports et/ou de tableaux de bord ?
La cybersécurité fait aujourd'hui l'objet d'une attention particulière de la part des conseils d'administration. Les dirigeants d'entreprise sont tenus responsables des failles de sécurité et veulent donc comprendre en profondeur la posture de sécurité de leur entreprise. Bien qu'une évaluation ponctuelle puisse s'avérer utile, les dirigeants sont plus intéressés par une tendance au fil du temps. Ils se demandent si la posture de sécurité s'améliore ou perd du terrain. Un bon outil EDR fournira des rapports exécutifs et/ou un tableau de bord qui suit les progrès au fil du temps et montre comment la sécurité des données s'améliore.
10. Prix - Quel est le coût global de la solution de sécurité RGPD ?
Les prix peuvent varier considérablement d'un fournisseur à l'autre et d'un client à l'autre. Les solutions sont souvent tarifées en fonction du nombre de points d'extrémité surveillés. Selon un cabinet de conseil, certaines licences EDR incluent l'hébergement dans le nuage, d'autres non. Prévoyez un budget annuel de 5 à 10 dollars par terminal si l'hébergement n'est pas inclus ; jusqu'à 30 dollars par siège si l'hébergement est inclus.
Bien entendu, le prix d'achat n'est qu'un facteur parmi d'autres ; les acheteurs doivent être conscients que l'obtention de la pleine valeur d'une solution EDR nécessitera probablement des experts dédiés et des investissements supplémentaires. L'entreprise peut avoir besoin de recruter des chercheurs et des chasseurs de menaces, des scientifiques des données (pour affiner les modèles de détection), des intervenants en cas d'incident, des développeurs d'applications (pour créer des intégrations et des automatisations) et du personnel chargé des opérations informatiques.
Rappelez-vous les commentaires précédents sur la nécessité de personnaliser les modèles de détection des menaces afin d'atteindre le plus haut niveau de précision. Que l'entreprise dispose d'un personnel spécialisé dans ce domaine, qu'elle engage des consultants ou qu'elle externalise la solution auprès d'un MSP, un certain nombre de réglages et d'optimisations augmenteront sans aucun doute le coût global.
