Évaluation de la compromission de la cybersécurité par rapport à l'évaluation de la vulnérabilité
Lors de la Conférence internationale sur la cybersécurité et l'intelligence, des cadres de l'infosec - notamment des RSSI ayant une grande expérience de la cyberdéfense et les plus grands leaders d'opinion dans le domaine de l'intelligence des cybermenaces, de la réponse aux incidents, de la chasse aux menaces et de la détection des points finaux - ont donné des conférences sur l'importance d'être proactif plutôt que réactif pour stopper les cyberattaques.
Dans le cadre d'une stratégie de sécurité proactive, Nik Alleyne, responsable senior de la cybersécurité chez Forsythe Solutions Group, a recommandé de procéder à des évaluations de vulnérabilité et à des tests d'intrusion réguliers.
Bien que ces activités de l'équipe rouge soient des outils importants pour évaluer la cybersécurité et le risque informatique global, elles ne répondent qu'à la moitié du paradoxe de la sécurité, "Puis-je être piraté ?". Elles ne répondent pas à la question plus vitale : "Suis-je déjà piraté ?".
Avec l'augmentation des réglementations mondiales concernant la protection des données dans l'entreprise, du GDPR en Europe au nouveau cadre NIST aux États-Unis, les responsables de la sécurité de l'information doivent être en mesure de découvrir et de traiter rapidement les failles de sécurité, les activités malveillantes et les indicateurs de compromission (IOC) déjà présents dans leurs environnements informatiques.
En outre, les analystes de sécurité doivent être en mesure de valider rapidement si leur réseau et leurs points d'extrémité sont effectivement exempts de logiciels malveillants, d'acteurs de la menace, d'APT capables de mouvements latéraux et d'accès non autorisés ou à distance. C'est précisément la raison pour laquelle l'évaluation des risques de cybersécurité par le biais d'une évaluation de la compromission de la sécurité est plus importante qu'une analyse de vulnérabilité, un test de pénétration et/ou une analyse du trafic réseau.
Qu'est-ce qu'une évaluation de la compromission de la cybersécurité ?
Toute stratégie proactive de cybersécurité doit inclure une évaluation de la sécurité et des risques de votre écosystème actuel et de l'état de votre environnement réseau. Les acteurs de menaces sophistiquées, les menaces persistantes avancées et d'autres nouveaux types de logiciels malveillants (par exemple, les logiciels malveillants sans fichier et les logiciels malveillants polymorphes) résident souvent dans un environnement informatique pendant des mois, voire des années, avant d'être détectés et corrigés.
Comme le montre le nombre croissant de violations de données, les technologies existantes ne suffisent plus à empêcher les menaces (et les acteurs de la menace) de pénétrer votre périmètre. Si les évaluations de vulnérabilité et les tests de pénétration recherchent les failles de sécurité et les vulnérabilités, ils ne détectent pas les compromissions existantes et l'activité sous-jacente des attaquants. Les entreprises d'aujourd'hui doivent ajouter des évaluations de compromission à leur programme de sécurité afin de vérifier de manière proactive si un réseau a déjà été violé et de réduire plus efficacement les risques, ce qui permet d'accélérer la réponse aux incidents de sécurité et permet aux gestionnaires de réseau d'agir rapidement et de remédier aux cyberattaques en temps quasi réel.
Étant donné qu'une évaluation de compromission se concentre sur l'identification de compromissions précédemment inconnues, réussies ou en cours, les outils et les techniques utilisés pour effectuer l'évaluation doivent être en mesure d'identifier les activités postérieures à la violation, les logiciels malveillants dormants et cachés, l'utilisation malveillante des informations d'identification, et le trafic de commande et de contrôle (C2).
Ceci diffère des plateformes EDR traditionnelles basées sur les logs et des solutions d'analyse du trafic réseau, qui se concentrent sur la détection précoce des cyber-attaques, des exploits, des événements d'installation de logiciels malveillants. Ces plateformes et techniques tentent d'empêcher une attaque de réussir ou de la détecter suffisamment tôt pour réduire les dommages (par exemple, l'exfiltration de données) lors d'une violation de données.
Évaluer votre état de compromission
Comment évaluer l'état de compromission de votre environnement ? Bien qu'il existe une poignée de méthodologies personnalisées pour effectuer des évaluations de la compromission de la cybersécurité, celles-ci sont souvent regroupées avec des engagements de services d'intervention qui utilisent des processus essentiellement manuels pour passer au peigne fin les journaux et les analyses des systèmes de sécurité et des plates-formes d'enregistrement d'événements - ce qui prend parfois des mois et est parsemé de bruit, à savoir de faux positifs et de faux négatifs.
Ce qu'il faut maintenant (et à l'avenir), c'est une approche qui utilise l'analyse automatisée pour accélérer le processus d'évaluation de votre environnement en vue de détecter les cybermenaces malveillantes.
Nous avons constaté que l'analyse indépendante des points d'extrémité de votre réseau à l'aide d'une méthodologie appelée Forensic State Analysis (FSA) est l'approche la plus efficace. Une approche basée sur la FSA vous permet de :
- Identifier tous les points d'extrémité (hôtes, systèmes, serveurs et charges de travail) au sein de votre environnement réseau.
- Analyse des applications installées sur les postes de travail et identification des vulnérabilités
- Mise en évidence des menaces inconnues - actives ou dormantes - y compris les logiciels malveillants, les codes suspects, les scripts, les démarrages automatiques, les injections de mémoire, les processus, etc.
- Examinez les données de renseignement sur les menaces collectées et les informations exploitables pour une remédiation rapide et une réponse plus rapide aux incidents de cybersécurité.
- Identifier rapidement les points d'entrée, les points de sortie et l'analyse de la cause première (RCA) permettant aux intervenants sur incident d'identifier et d'isoler le patient zéro (la première machine, le premier hôte ou le premier système infecté).
- Réaliser de manière rentable une évaluation complète des risques et de la compromission de la cybersécurité en quelques jours, et non en quelques mois (comme la plupart des solutions CA).
- Exécutez des évaluations de compromis aussi souvent que nécessaire : quotidiennement, mensuellement, trimestriellement, annuellement, etc.
Une approche holistique de la sécurité du réseau, de la sécurité des terminaux et de la santé informatique globale
M. Alleyne a également parlé de l'importance de la "chasse aux cybermenaces" pour soutenir une approche de la sécurité proactive. La chasse aux cybermenaces est similaire à une évaluation de la compromission, mais au lieu de simplement exposer les menaces, les chasseurs de menaces cherchent à isoler, à contenir, à éradiquer et à effectuer une certification post-incident (pour vérifier que les menaces ont bien été supprimées). Essentiellement, la chasse aux menaces est une réponse à un incident de cybersécurité, sans l'incident.
L'établissement de l'état de compromission initial de votre environnement informatique est un bon début, mais les organisations doivent intégrer la détection post-fraude continue (également appelée chasse aux menaces) dans les opérations de sécurité en tant que mesure proactive. Cette approche permet aux équipes de sécurité et d'exploitation de créer un processus itératif de détection des infections que les technologies défensives (EDR, AV, etc.) manquent souvent, et d'atténuer les dommages qui peuvent être causés par des compromissions persistantes cachées.
Datto permet aux entreprises d'intégrer facilement les évaluations des compromissions de sécurité et la chasse permanente aux cybermenaces dans une stratégie proactive de gestion des informations et des risques informatiques.
En utilisant notre méthodologie FSA en instance de brevet pour analyser chaque point de terminaison dans votre environnement (postes de travail, serveurs, charges de travail et périphériques), l'étude HUNT valide tout ce qui s'exécute sur eux, ce qui peut être déclenché pour s'exécuter (via un mécanisme de démarrage automatique ou de persistance), et analyse la mémoire volatile de chaque système pour découvrir des signes de manipulation ou des processus cachés. Datto a la capacité unique d'effectuer ces inspections sans agent. Cela signifie qu'aucun logiciel ne doit être préinstallé sur les systèmes qu'il analyse et qu'il est complètement indépendant de l'infrastructure de sécurité existante du réseau, de sorte que vos résultats ne sont pas faussés.
Conclusion
Nos réseaux présenteront toujours un certain degré de vulnérabilité car les organisations luttent pour empêcher les attaquants déterminés d'accéder à leurs réseaux, et les attaquants qualifiés peuvent rester cachés pendant des mois, voire des années, avant d'être découverts. Si vous ne pouvez pas mesurer l'état de compromission actuel de votre réseau, votre profil de risque en matière de cybersécurité est incomplet.
