Le rôle des évaluations de compromission dans la sécurité de l'entreprise
Pourquoi une évaluation des compromis ?
Le rôle de la détection et de la prévention des intrusions est généralement assuré par des systèmes de protection et de détection des intrusions en temps réel ainsi que par des logiciels antivirus, associés à une stratégie de surveillance continue. Une évaluation des compromissions ou des menaces se distingue de la détection des intrusions en ce qu’il s’agit d’une évaluation indépendante, fondée sur des preuves, qui recense vos vulnérabilités, les comportements suspects, les exploits potentiels et les indicateurs d’une compromission avérée.
Considérez une évaluation des failles de sécurité ou une évaluation des menaces comme un audit réalisé par un tiers portant sur les pratiques de sécurité d'une organisation, sur la base des éléments recueillis au cours de l'enquête.
Au cours de l'évaluation, les prestataires font appel à des experts disposant d'une autorité plus étendue pour mener une analyse plus approfondie que ce qui est habituellement prévu dans le cadre de la surveillance en temps réel au quotidien. De plus, l'évaluation met en œuvre des outils et des techniques, tels que l'analyse numérique légale et l'analyse comportementale, généralement réservés à la réponse aux incidents, mais qui sont mieux adaptés à la détection des activités postérieures à une compromission. Les évaluations de compromission constituent la mesure de défense en profondeur la plus efficace qu'une organisation puisse mettre en œuvre pour s'assurer que toutes les vulnérabilités sont identifiées et qu'aucune menace ne parvienne à franchir ses défenses.
De nombreuses organisations ne disposent pas d’un niveau d’investissement suffisant en matière de cybersécurité ou n’ont ni le temps ni les ressources nécessaires pour mettre en œuvre toutes les mesures de contrôle cybernétiques requises. Ces organisations suivent les recommandations afin de se conformer aux réglementations, puis acceptent le risque résiduel ou le transfèrent à leur police d’assurance cyber. Pour ces organisations, une évaluation régulière devrait être intégrée à leurs stratégies respectives d’atténuation des risques afin de garantir que leur environnement ne soit pas compromis par des attaques plus sophistiquées que celles que l’organisation est en mesure de détecter avec son niveau d’investissement actuel.
De plus, de nombreuses organisations ont du mal à justifier une augmentation de leur budget ou de leurs ressources lorsque leur niveau de sécurité n'est pas clairement établi. Une évaluation indépendante des failles de sécurité peut mettre au jour des failles qui seraient restées inaperçues, fournissant ainsi les preuves nécessaires pour justifier des investissements supplémentaires en matière de sécurité.
Dans certains cas et dans certains secteurs d'activité, une évaluation régulière des risques peut constituer une alternative viable en matière de gestion des risques lorsque la surveillance continue via le MDR s'avère trop coûteuse.
Objectifs pour une évaluation de compromis réussie
Au fil des ans, les évaluations de compromission n’existaient que sous des formes limitées, sous la forme de services spécialisés proposés par des cabinets spécialisés dans la gestion des incidents. Cette pratique s’est rapidement développée à mesure que les violations de données rendues publiques atteignaient un niveau sans précédent. Malheureusement, les méthodologies, les approches et l’efficacité de ces offres varient considérablement, car il n’existe pas encore de normalisation.
La première étape pour normaliser cette pratique de sécurité consiste à définir ce qu'est une évaluation des failles de sécurité, ainsi que ses buts et objectifs, afin de comprendre comment la mener à bien au mieux et quelles en seraient les exigences minimales.
Pour être largement applicable, l'évaluation de compromis devrait :
Efficace – Pour détecter toutes les variantes connues de logiciels malveillants, les outils d'accès à distance, ainsi que les indices de comportements suspects et d'accès non autorisés.
Rapide – Évaluez un réseau de grande envergure en quelques heures ou quelques jours grâce à la découverte automatisée du réseau et aux protocoles d'accès informatiques standard permettant d'analyser l'environnement.
Abordable – Une entreprise lambda devrait pouvoir mener cette opération de manière proactive et régulière (c'est-à-dire tous les mois ou tous les trimestres) à un tarif fixe par terminal inspecté.
Indépendant – L'évaluation ne doit pas reposer exclusivement sur les outils de sécurité ou le personnel existants.
Les offres et solutions avancées doivent permettre d’approfondir la détection des nouvelles vulnérabilités (Solarigate, Kaseya, etc.) ainsi que des variantes de logiciels malveillants inconnues (zero-day). Toute méthodologie d’évaluation choisie doit répondre à ces exigences et viser à optimiser le temps, les coûts et l’efficacité. Elle doit être suffisamment efficace et abordable pour être mise en œuvre au moins une fois par mois dans une entreprise de taille moyenne. De plus, l’efficacité de l’évaluation ne doit pas varier de manière significative en fonction des différentes infrastructures de sécurité, des pratiques de surveillance et de journalisation, ou des topologies réseau. Son indépendance permet à l’évaluation d’être tout aussi utile à une entreprise régionale ne disposant que de protections de base, telles qu’un pare-feu et un antivirus, qu’à une institution internationale sophistiquée dotée de son propre centre d’opérations de sécurité.
En définitive, l'objectif de l'évaluation est d'identifier rapidement les vulnérabilités critiques, les activités malveillantes ou les logiques malveillantes – et non de mener une analyse forensic complète. Une fois l'évaluation terminée, des recommandations doivent être formulées quant à la réponse appropriée à apporter, et les preuves recueillies doivent être regroupées à l'intention de l'organisation afin de lui permettre de mener une enquête sur la cause profonde ou les auteurs de l'attaque.
