Détection et réponse aux menaces

Dans cet article, vous découvrirez en quoi consistent la détection et la réponse aux menaces, ainsi que des exemples de cybermenaces et la manière dont les renseignements sur les menaces sont utilisés pour y répondre. Découvrez comment adopter une approche proactive de la détection des menaces.

Qu’est-ce que la détection et la réponse aux menaces ?

La détection et la réponse aux menaces sont un ensemble de pratiques et d’outils de cybersécurité visant à identifier les activités malveillantes et à les neutraliser ou à les atténuer avant que les réseaux, les systèmes ou les données sensibles ne soient compromis.

La détection et la réponse les plus efficaces aux menaces sont mises en œuvre à l’aide d’une combinaison de technologies, de processus et de personnes.

Qu’est-ce que la détection des menaces ?

Il existe deux grandes catégories de menaces : connues et inconnues. Une stratégie de détection des menaces doit employer les fonctionnalités suivantes pour identifier efficacement ces deux types d’attaques.

• Détection des menaces aux points terminaux
  Identifie les événements potentiellement malveillants sur les systèmes des utilisateurs, tels que les ordinateurs de bureau, les appareils de l’Internet des objets (IoT), les ordinateurs portables, les smartphones, les serveurs, les tablettes et les postes de travail.
• Détection des menaces réseau
  Établit des modèles de trafic normal sur le réseau et surveille les anomalies.
• Détection des événements de sécurité
  Agrège les données à partir d’événements sur le réseau, y compris l’authentification, l’accès au réseau et les journaux système.
• Tests de pénétration
  Simulent des attaques sur les systèmes pour évaluer la sécurité et identifier les vulnérabilités.

Les trois méthodes clés de détection des menaces.

1. Détection des menaces basée sur le comportement
Identifie les comportements anormaux qui pourraient indiquer une activité sur les appareils ou les réseaux. Ce modèle de détection des menaces établit des références pour les modèles de comportement normaux, tels que le lieu habituel de connexion d’un utilisateur, l’heure de la journée à laquelle il est en ligne et les ressources auxquelles il accède, qui sont développées et régulièrement mises à jour. Si le comportement s’écarte des modèles établis, une alerte est déclenchée, signalant une activité potentiellement malveillante.

2. Détection des menaces basée sur l’apprentissage automatique
De vastes quantités de données provenant de diverses sources, telles que les fichiers journaux, les systèmes de sécurité et les services cloud, sont traitées à l’aide de modèles d’apprentissage automatique. Les algorithmes d’apprentissage automatique utilisent des statistiques et des probabilités pour reconnaître rapidement des schémas impossibles à détecter pour les humains. En tirant des informations de l’ensemble de la surface d’attaque, la détection des menaces par apprentissage automatique joue un rôle essentiel dans l’identification des menaces inconnues.

3. Détection des menaces basée sur les signatures
Les approches de détection des menaces basées sur les signatures analysent le trafic réseau à la recherche d’indicateurs de menaces connues (par exemple, des hachages, des noms de fichiers, des clés de registre ou des chaînes présentes dans un fichier). Lorsqu’une correspondance est trouvée, une alerte est générée.

En quoi consiste la réponse aux menaces ?

Après la détection des menaces, la réponse aux menaces comprend les mesures prises pour minimiser l’impact des cyberattaques et d’autres activités malveillantes. Une réponse efficace aux menaces dépend de la mise en place d’un plan détaillé permettant aux équipes d’agir rapidement.

Les plans de réponse aux menaces doivent détailler les rôles et les responsabilités. Les personnes impliquées sont désignées sous le nom d’équipe d’intervention en cas de cyberincident (CIRT). Les CIRTs incluent généralement des représentants de toute l’entreprise (par exemple, sécurité et IT, direction, service juridique, ressources humaines, conformité, gestion des risques et relations publiques).

Les six étapes d’une réponse efficace aux menaces:

1. Préparation

L’efficacité de la réponse aux menaces repose sur la préparation. Elle implique de créer et de réviser régulièrement tous les aspects du plan de réponse aux menaces afin de s’assurer que les étapes peuvent être suivies rapidement et qu’elles correspondent au panorama des menaces le plus récent. Cette préparation doit inclure une stratégie, des politiques et des plans visant à minimiser les perturbations et les dommages.

2. Identification et analyses

La détection des menaces identifie les incidents à l’aide de données provenant de diverses sources, telles que les fichiers journaux, les outils de surveillance, les messages d’erreur, les systèmes de détection d’intrusion et les pare-feux. Après la détection des menaces, une analyse doit être effectuée pour comprendre sa nature exacte et l’étendue de l’attaque. Ces informations garantissent la réponse la plus efficace.

3. Endiguement

Les efforts d’endiguement doivent commencer dès que possible après la détection des menaces. Il existe deux phases d’endiguement :

1. Court terme : Les mesures d’endiguement se concentrent sur l’isolement des systèmes affectés pour arrêter la propagation de la menace. Souvent, les appareils infectés sont mis hors ligne.
2. Long terme : Les mesures d’endiguement sont élargies pour renforcer les défenses et protéger les systèmes non affectés. Parfois, les ressources sensibles sont physiquement séparées par une segmentation du réseau.

4. Éradication

Pendant la phase d’éradication, l’équipe doit rechercher et éliminer toutes les traces de la menace des systèmes affectés et non affectés. Cela peut impliquer la destruction de logiciels malveillants, le déploiement de correctifs, la reconstruction des systèmes à partir de sauvegardes ou la mise hors production permanente des systèmes.

5. Récupération

Avant que les systèmes ne soient remis en production, ils sont testés, surveillés et validés pour confirmer que les étapes d’éradication ont été respectées. Pour les incidents plus importants, la phase de récupération comprend également la décision de rétablir les opérations. Dans certains cas, les systèmes non affectés seront remis en production en premier, les systèmes infectés étant soumis à des tests supplémentaires.

6. Révision post-incident

Une fois que la menace a été traitée et que toutes les opérations ont été rétablies, une équipe examine les preuves recueillies lors de chaque étape de la réponse aux menaces pour comprendre ce qui s’est passé et comment cela peut être évité à l’avenir. Les leçons apprises sont partagées avec les équipes internes et souvent avec des tiers pour aider d’autres personnes à éviter une situation similaire. Une ressource pour signaler la cybercriminalité est l’Internet Crime Complaint Center ou IC3 du FBI, le centre central américain de signalement la cybercriminalité qui collecte des données liées aux menaces.

Exemples de cybermenaces

La sensibilisation aux types de cybermenaces auxquelles les organisations sont confrontées est essentielle pour la détection et la réponse aux menaces. Certaines des menaces les plus courantes comprennent :

• Les menaces persistantes avancées (APT)
• Les attaques par déni de service distribué (DDoS)
• Les menaces internes—malveillantes et négligentes
• Les logiciels malveillants
• L’hameçonnage
• L’ingénierie sociale
• Les ransomwares
• Les attaques contre la chaîne d’approvisionnements
• Les attaques zero-day

Utilisation des renseignements sur les menaces

Les renseignements sur les menaces sont collectés, traités et analysés pour fournir des informations sur les motivations, les cibles et les comportements des attaques. Les décisions en matière de sécurité peuvent être prises plus rapidement et passer de la réactivité à la proactivité. Voici quelques exemples de données de renseignement sur les menaces :

• Conseils en matière de défense contre les attaques
• Comportement anormal
• Tactiques, techniques et procédures d’attaque (TTPs)
• Menaces et cybercriminels connus
• Motivations d’une attaque
• Origine d’une attaque
• Types de logiciels malveillants ou infrastructure de l’attaquant
• Menaces et cybercriminels inconnus
• Vulnérabilités

Réponse aux incidents de sécurité

La célérité est essentielle lors de la réponse à un incident de sécurité. Le temps entre la détection de la menace et son endiguement doit être aussi court que possible pour minimiser les dommages.

Comme indiqué ci-dessus, un plan de réponse aux menaces devrait être la priorité absolue de chaque organisation. Quelle que soit sa taille, chaque organisation est susceptible de subir une cyberattaque et en pâtira si elle n’y fait pas face rapidement et efficacement.

Les questions à se poser et à traiter pour garantir la réponse la plus proactive possible à un incident de sécurité sont les suivantes :

• Les équipes sont-elles en place pour répondre aux alertes de détection de menace ?
• Les équipes savent-elles qui est responsable de chaque phase du plan de réponse aux menaces ?
• Une chaîne de communication est-elle en place et est-elle bien comprise par tous les membres de l’équipe ?
• Les conditions d’escalade sont-elles claires pour tous les membres de l’équipe ?
• Tous les outils et systèmes sont-ils en place pour répondre rapidement aux alertes de détection de menace ?

Détection proactive des menaces

La détection proactive des menaces dépend de l’exploitation optimale des capacités technologiques et humaines. Les outils permettent l’automatisation afin d’éliminer les tâches manuelles fastidieuses et d’améliorer la détection des menaces au-delà de ce que les personnes peuvent faire. L’élément humain permet de percevoir les nuances et de prendre des décisions que les machines ne peuvent pas prendre.

Les ressources importantes qui peuvent être utilisées pour la détection proactive des menaces comprennent :

• Solutions alimentées par l’intelligence artificielle (IA) et l’apprentissage automatique
• Surveillance et analyse continues
• Tests de pénétration
• Plans et équipes de détection et de réponse proactives aux menaces
• Chasse aux menaces

Le rôle vital de la détection et de la réponse aux menaces

La plupart des experts s’accordent à dire que la détection et la réponse aux menaces sont indispensables pour toute organisation. La profondeur et la portée de ces systèmes varient en fonction du type et de la taille de l’entreprise et des informations qu’elle collecte, utilise et stocke. La bonne nouvelle est que des solutions sont disponibles pour répondre aux besoins spécifiques de toute organisation.