Cybersécurité 101 : Ce qu'il faut savoir sur les faux positifs et les faux négatifs

Une vue d'ensemble des faux positifs et des faux négatifs

Comprendre les différences entre les faux positifs et les faux négatifs, et comment ils sont liés à la cybersécurité est important pour toute personne travaillant dans le domaine de la sécurité de l'information. Pourquoi ? Enquêter sur les faux positifs est une perte de temps et de ressources et empêche votre équipe de se concentrer sur les vrais incidents cybernétiques (alertes) provenant de votre SIEM.

En revanche, le fait de manquer des faux négatifs (menaces non détectées) augmente votre risque cybernétique, réduit votre capacité à répondre à ces attaquants et, en cas de violation de données, peut conduire à la fin de votre entreprise.

Que sont les faux positifs ?

Les faux positifs sont des alertes de sécurité mal étiquetées, indiquant qu'il y a une menace alors qu'en réalité il n'y en a pas. Ces alertes fausses/non malveillantes (événements SIEM) augmentent le bruit pour des équipes de sécurité déjà surchargées et peuvent inclure des bogues logiciels, des logiciels mal écrits ou du trafic réseau non reconnu.

Par défaut, la plupart des équipes de sécurité ont pour habitude d’ignorer les faux positifs. Malheureusement, cette pratique consistant à ignorer les alertes de sécurité — aussi insignifiantes qu’elles puissent paraître — peut entraîner une « fatigue aux alertes » et amener votre équipe à passer à côté d’alertes réelles et importantes liées à des cybermenaces réelles ou malveillantes (comme ce fut le cas lors de la fuite de données chez Target).

Ces fausses alertes représentent environ 40 % des alertes que les équipes de cybersécurité reçoivent quotidiennement et, dans les grandes organisations, elles peuvent être accablantes et représenter une énorme perte de temps.

Que sont les faux négatifs ?

Les faux négatifs sont des cyber-menaces non détectées - ignorées par les outils de sécurité parce qu'elles sont dormantes, très sophistiquées (c'est-à-dire sans fichier ou capables de mouvements latéraux) ou parce que l'infrastructure de sécurité en place n'a pas la capacité technologique de détecter ces attaques.

Ces cybermenaces avancées/cachées sont capables d'échapper aux technologies de prévention, comme les pare-feu de nouvelle génération, les logiciels antivirus et les plateformes de détection et de réponse des points finaux (EDR) formées à la recherche d'attaques et de logiciels malveillants " connus ".

Aucune technologie de cybersécurité ou de prévention des violations de données ne peut bloquer 100% des menaces qu'elle rencontre. Les faux positifs font partie du 1% (environ) de logiciels malveillants et de cyber-menaces que la plupart des méthodes de prévention sont susceptibles de manquer.

Renforcer votre position en matière de cybersécurité

L'existence à la fois de faux positifs et de faux négatifs soulève la question suivante : votre stratégie de cybersécurité comprend-elle des mesures proactives ? La plupart des programmes de sécurité s'appuient sur des composantes préventives et réactives, visant à mettre en place des défenses solides contre les attaques dont ces outils connaissent l'existence. En revanche, les mesures de sécurité proactives consistent notamment à mettre en œuvre des politiques et des procédures de réponse aux incidents, ainsi qu'à rechercher de manière proactive les attaques cachées ou inconnues.

Voici quelques règles simples pour vous aider à gérer votre approche de la cybersécurité avec un esprit préventif, réactif et proactif :

• Supposez que vous êtes victime d'une brèche et commencez vos initiatives offensives (proactives) dans le but de trouver ces brèches. Ce faisant, vous chercherez à valider la force de vos outils de défense/prévention, tout en sachant qu'aucun d'entre eux n'est efficace à 100 %.
• Utilisez des outils de découverte des actifs pour découvrir les hôtes, les systèmes, les serveurs et les applications au sein de votre environnement réseau, car vous ne pouvez pas protéger ce dont vous ignorez l'existence.
• Effectuez des évaluations régulières de la compromission (nous recommandons au moins une fois par semaine) et inspectez chaque actif résidant sur votre réseau.
• Définissez des politiques et des procédures de sécurité et mettez en place des exigences en matière d'éducation et de formation afin que l'ensemble de votre équipe sache ce qu'il faut faire en cas de découverte d'une faille cachée ou, pire, de violation de données.
• Le temps est votre bien le plus précieux, c'est pourquoi la mise en œuvre d'outils/de technologies permettant d'augmenter la vitesse de détection et le temps de réponse est essentielle et peut aider votre équipe de sécurité à prévenir une violation de données.

Si votre équipe ne dispose pas des ressources nécessaires pour détecter et répondre de manière proactive aux menaces persistantes avancées, envisagez d'externaliser vos services de sécurité auprès d'un fournisseur de services de détection et de réponse gérés (Managed Detection and Response - MDR). Les sociétés de MDR vous conseillent et vous alertent de manière indépendante sur les menaces immédiates et vous aident à répondre à ces menaces et à les éliminer.

Contactez-nouspour en savoir plus sur nos services de détection et de gestion des incidents gérés.