La technologie EDR en tant qu'élément de la triade nucléaire SOC

Pour commencer, rappelez-vous ce qu'est une triade nucléaire. Ce terme désigne les forces armées stratégiques d'un État équipé d'armes nucléaires. La triade comprend trois composantes: air - aviation stratégique, terre - missiles balistiques intercontinentaux, mer - porte-missiles sous-marins nucléaires.

Cher Gartner, a fait une analogie des forces armées stratégiques de l'État avec le centre de surveillance et de réponse opérationnelle aux incidents (SOC), en mettant en évidence les éléments suivants de la triade SOC: informations de sécurité et gestion des événements (SIEM), analyse du trafic réseau (NTA), détection et réponse des points de terminaison (EDR). En regardant cette analogie, il devient évident que le SOC ne peut être efficace au maximum que s'il est équipé de tous les composants de protection: dans «l'air», sur la «terre» et dans la «mer».

Malheureusement, aujourd'hui, la plupart des organisations n'utilisent que «l'aviation stratégique» - les systèmes SIEM. Rarement, les «missiles balistiques intercontinentaux» - NTA, remplacent l'analyse complète du trafic réseau uniquement en collectant les journaux des outils de sécurité réseau standard. Et très rarement est le "porteur de missiles sous-marins nucléaires" - EDR.

Dans mon article d'aujourd'hui, selon l'héritage de Gartner, je veux souligner les principales raisons de l'importance d'inclure la technologie EDR comme l'un des éléments d'un centre moderne de surveillance et de réponse rapide aux incidents.

Dans le monde de la sécurité de l'information, la technologie EDR est bien plus qu'une simple protection avancée des postes de travail et des serveurs contre les menaces complexes. D'année en année, les emplois restent le principal objectif des attaquants et les points d'entrée les plus courants dans l'infrastructure des organisations, ce qui nécessite une attention et une protection appropriées. Et la télémétrie est une information précieuse nécessaire pour une enquête de haute qualité sur les incidents, dont l'importance de l'accès augmente encore plus avec l'avènement du nouveau protocole de cryptage TLS 1.3 et sa distribution active.

L'EDR devient rapidement le moteur de l'augmentation de la maturité et de l'efficacité des SOC modernes.

Voyons pourquoi?

Visibilité supplémentaire

Tout d'abord, la technologie EDR est en mesure de donner à l'équipe SOC une visibilité là où la plupart des organisations restent aveugles aujourd'hui, car la plupart d'entre elles se concentrent sur les activités de surveillance sur le réseau. Ces entreprises, dans le cadre du fonctionnement du centre de surveillance et de la réponse opérationnelle aux incidents, connectent rarement ou seulement partiellement les points d'extrémité en tant que sources d'événements dans le système SIEM. Cela est dû au coût élevé de la collecte et du traitement des journaux de tous les points de terminaison, ainsi qu'à la génération d'un grand nombre d'événements à analyser avec un niveau suffisamment élevé de faux positifs, ce qui conduit souvent à une surcharge de spécialistes et à une utilisation inefficace des ressources coûteuses en général.

Un outil spécial pour détecter les menaces complexes sur les hôtes

Les menaces complexes et les attaques ciblées utilisant du code malveillant inconnu, des comptes compromis, des méthodes sans fichier, des applications légitimes et des actions qui ne portent rien de suspect nécessitent une approche de détection à plusieurs niveaux utilisant des technologies avancées. Selon un fournisseur ou un autre, EDR peut généralement inclure diverses technologies de détection qui fonctionnent en mode automatique, semi-automatique et des outils intégrés qui nécessitent de définir les tâches manuellement, impliquant un personnel hautement qualifié. Par exemple, cela peut être: antivirus, moteur d'analyse comportementale, bac à sable, recherche d'indicateurs de compromis (IoC), travail avec les indicateurs d'attaque IoA, comparaison avec les techniques MITRE ATT & CK, ainsi que l'interaction automatique avec Threat Intelligence et les requêtes manuelles à la base de données des menaces mondiales, analyse rétrospective, capacité de rechercher de manière proactive les menaces (Chasse aux menaces). EDR est un outil supplémentaire pour l'analyse SOC avec une interface intuitive pour la capacité de rechercher des menaces en temps réel, qui vous permet de faire des demandes complexes pour rechercher des activités suspectes, des actions malveillantes, en tenant compte des caractéristiques de l'infrastructure protégée.

Tout ce qui précède permet aux organisations de détecter des menaces complexes visant à contourner les outils de protection d'hôte traditionnels, tels que les solutions antivirus classiques, NGAV ou EPP (Endpoint protection platform). Ces derniers travaillent aujourd'hui en étroite collaboration avec les solutions EDR et la plupart des fabricants de cette classe de produits offrent des fonctionnalités EPP et EDR au sein d'un seul agent, sans surcharger la machine et en même temps, offrant une approche intégrée de la protection des terminaux contre les menaces complexes, du blocage automatique des menaces plus simples menaces, se terminant par la détection et la réponse à des incidents plus complexes. Les mécanismes de détection avancés utilisés dans EDR permettent aux équipes d'identifier rapidement les menaces et de réagir rapidement, évitant ainsi d'éventuels dommages à l'entreprise.

Contexte supplémentaire

Les données sur les événements hôtes de l'EDR sont un ajout important aux informations générées par d'autres éléments de sécurité et applications commerciales de l'infrastructure protégée, qui sont comparées par le système SIEM dans le centre de surveillance et de réponse aux incidents. EDR fournit un accès rapide aux données d'infrastructure de point de terminaison déjà enrichies dans un contexte supplémentaire, ce qui permet, d'une part, d'identifier rapidement les faux positifs, d'autre part, d'utiliser ces données comme un précieux matériel prétraité dans l'enquête sur les attaques complexes, c'est-à-dire que EDR fournit des journaux pertinents corréler avec les événements d'autres sources, améliorant ainsi la qualité des enquêtes mondiales dans le SOC.

Automatisation supplémentaire

Pour les organisations qui ne disposent pas de l'EDR, la détection de menaces complexes sur l'infrastructure des terminaux, qui comprend: la collecte, le stockage et l'analyse des données, ainsi que la réalisation de diverses actions aux stades de l'enquête et de la réponse aux incidents complexes, semble une tâche assez laborieuse sans l'utilisation d'outils d'automatisation.

Aujourd'hui, de nombreux analystes consacrent beaucoup de temps aux opérations de routine qui sont nécessaires et importantes, mais peuvent être automatisées. L'automatisation de ces tâches manuelles de routine permettra aux organisations non seulement d'économiser le temps de travail coûteux de l'analyste, mais également de réduire leur charge de travail et de se concentrer sur l'analyse et la réponse à des incidents vraiment complexes. Les EDR fournissent un flux de travail de gestion des incidents entièrement automatisé, de la détection des menaces à l'analyse et à la réponse. Cela permet à l'équipe SOC d'effectuer les tâches quotidiennes plus efficacement sans perdre de temps sur le travail manuel, réduisant ainsi le coût de l'analyse des journaux inutiles.

Accès rapide aux données et à leur représentation visuelle des informations

Les organisations peuvent rencontrer des difficultés pour obtenir les données nécessaires à une enquête, telles que l'impossibilité d'accéder rapidement aux postes de travail et aux serveurs avec une infrastructure distribuée ou l'impossibilité d'obtenir des informations contextuelles à partir de machines spécifiques en raison de leur destruction ou du chiffrement des données par des intrus. Bien entendu, cela ne permet pas d'obtenir les données nécessaires à un processus d'enquête efficace et à une réponse ultérieure aux incidents. Lorsque l'incident s'est déjà produit, l'utilisation de la technologie EDR, y compris l'enregistrement continu et centralisé, élimine les conjectures et fait gagner du temps aux analystes.

Un attaquant détruit souvent leurs traces, mais l'EDR, comme déjà mentionné, enregistre chaque action d'attaque. L'ensemble de la chaîne d'événements est enregistré et stocké en toute sécurité pour une utilisation future. Lorsqu'un avertissement quelconque est déclenché, EDR fournit un outil pratique avec lequel les analystes SOC peuvent rapidement demander des informations pour rechercher des menaces, éliminer les faux positifs et faire des demandes de nouvelle analyse des données rétrospectives pour augmenter l'efficacité de l'enquête et de la réponse.

Toutes les actions sur les hôtes sont présentées dans l'interface sous la forme d'un arbre d'événements, aidant ainsi les analystes à voir l'ensemble de l'attaque, ainsi qu'à rechercher les informations dont ils ont besoin pour enquêter et prendre des mesures opérationnelles pour prévenir la menace.

Le stockage centralisé de la télémétrie, des objets et des verdicts générés précédemment permet aux analystes de travailler avec des données rétrospectives dans le cadre d'une enquête sur les menaces, y compris les attaques qui se prolongent dans le temps. L'EDR est aujourd'hui une source de données précieuses pour le SOC d'aujourd'hui.

Réponse centralisée

Lorsqu'un incident est détecté, EDR fournit des options avancées pour prendre des mesures à différentes étapes de son enquête: par exemple, mettre un fichier en quarantaine, exécuter des commandes arbitraires sur un hôte, supprimer un objet, isoler le réseau des hôtes et d'autres actions. EDR vous permet de répondre immédiatement aux incidents grâce à la présentation visuelle des informations et à la définition centralisée des tâches, qui ne nécessitent pas de déplacements sur les lieux du crime pour trouver des preuves et prendre des mesures de réponse. EDR est un outil d'optimisation des coûts salariaux des spécialistes SOC. Les organisations réduisent considérablement le nombre d'opérations manuelles de routine, font gagner du temps aux analystes SOC et réduisent le temps de réponse de quelques heures à quelques minutes.

Conclusion

Les EDR sont une source inestimable de données pour les SOC, offrant de puissantes capacités de recherche de menaces et une réponse centralisée aux incidents, tout en maximisant l'automatisation des processus de collecte, d'analyse et de réponse aux menaces détectées.

L'utilisation de l'EDR dans le SOC permettra aux organisations de:

• accroître l'efficacité du traitement des incidents complexes en raison de la visibilité supplémentaire du niveau du point de terminaison, de la possibilité de recherche proactive des menaces et de la présentation visuelle des informations sur les événements détectés sur les hôtes;
• enrichir le SOC avec des données pertinentes prétraitées provenant des postes de travail et des serveurs, pour comparaison avec les journaux fournis par d'autres sources pour une enquête efficace;
• réduire considérablement le nombre d'heures consacrées par les analystes aux tâches fastidieuses mais nécessaires associées à l'analyse des données des postes de travail et des serveurs, ainsi qu'à la réponse aux incidents.