Le paysage de la cybersécurité d’aujourd’hui se caractérise par une sophistication et une complexité sans précédent.
Les acteurs de l’État-nation et les organisations criminelles bien financées utilisent des méthodologies avancées de menace persistante (APT) conçues spécifiquement pour échapper aux mesures de sécurité traditionnelles. Ces attaquants effectuent une reconnaissance approfondie, se déplacent latéralement avec patience et maintiennent un accès persistant sur de longues périodes, ce qui reste non détecté pendant des mois ou des années.
Les attaquants sophistiqués contournent régulièrement les contrôles de sécurité traditionnels à travers vivant-terre techniques, MALWOWIQUE EN FILESSet Communications cryptées, entre autres techniques. Alors que la détection et la réponse (EDR) (EDR) sont devenues assez bonnes pour arrêter les menaces qui touchent un point final géré, les menaces évoluent pour éviter les dispositifs EDR ou cibles qui ne sont pas gérés, ce qui est le cas avec les récentes attaques de Typhoon Volt et Salt.
Les défenseurs d’élite reconnaissent que cette complexité nécessite une expansion de la sécurité traditionnelle axée sur le périmètre dans d’autres points de visibilité en mettant l’accent sur les capacités de détection et de réponse et la surveillance continue.
Mais, les professionnels de la sécurité ne doivent pas être dans une grande organisation ou avoir un budget important pour être un défenseur d’élite s’ils connaissent quelques secrets.
1. Prioriser la visibilité complète du réseau
Les défenseurs d’élite s’efforcent d’une visibilité complète dans tout le trafic du réseau. Ils reconnaissent que les attaquants modernes atteignent rarement leurs objectifs finaux directement – au lieu, ils se déplacent latéralement, augmentent les privilèges et établissent de la persistance sur plusieurs systèmes.
Cette visibilité alimente les outils et les processus pour créer une image précise de la base de référence du réseau d’une organisation, en comprenant les modèles de communication normaux, les protocoles et les flux de données. Cette conscience de base leur permet d’identifier rapidement l’activité anormale qui peut indiquer un compromis. Ils étendent cette visibilité au-delà des périmètres traditionnels pour inclure des environnements cloud, des emplacements éloignés et des canaux de trafic cryptés qui pourraient autrement devenir des angles morts de sécurité.
En audant de manière proactive leur couverture de surveillance et en combler les lacunes de visibilité avant que les attaquants ne puissent les exploiter, les meilleures équipes maintiennent la conscience de toutes les activités du réseau, peu importe où elles se produisent dans l’entreprise distribuée moderne.
2. Collectez des données de réseau riche en protocole
Les défenseurs les plus efficaces collectent des métadonnées du réseau à haute fidélité et consciente du protocole qui fournissent un contexte bien au-delà des informations de base de NetFlow, révélant non seulement que les systèmes ont communiqué, mais les spécificités de ces communications.
Ces données riches incluent des informations sur les activités de la couche d’application, la capture de détails sur les transactions HTTP, les requêtes DNS, les commandes de base de données et d’autres informations spécifiques au protocole. Une telle profondeur s’avère inestimable lors des enquêtes, permettant aux analystes de reconstruire les séquences d’attaque sans pivoter entre plusieurs sources de données.
Les équipes d’élite maintiennent également des données historiques suffisantes pour mener des enquêtes approfondies lorsque les menaces sont finalement découvertes, reconnaissant que des attaques sophistiquées peuvent être non détectées pendant des mois avant la découverte. Cela nécessite que les données soient suffisamment compactes pour ne pas générer de coûts de stockage importants tout en étant suffisamment riches pour éclairer à la fois la chasse aux menaces proactifs et les enquêtes médico-légales.
3. Déployer les capacités de détection multicouches
Les meilleures équipes de sécurité mettent en œuvre des approches de détection multicouches plutôt que de s’appuyer sur une seule méthodologie. Cela comprend généralement:
- Détection basée sur la signature pour identifier les menaces et indicateurs connues de compromis
- Analyse comportementale pour repérer les motifs suspects
- Modèles d’apprentissage automatique qui reconnaissent les écarts subtils par rapport au comportement normal
- Analyse du protocole qui identifie les violations standard ou l’utilisation inhabituelle du protocole
Cette approche en couches leur permet d’attraper à la fois des menaces connues et de nouvelles techniques d’attaque. Les équipes les plus efficaces évaluent continuellement leurs méthodes de détection, les réglant et les améliorant pour s’adapter à l’évolution des menaces et minimiser les faux positifs tout en maintenant des taux de détection élevés.
4. Mettre en œuvre la chasse à la menace continue et la réduction du temps de résidence
Les défenseurs d’élite n’attendent pas seulement les alertes – ils chassent de manière proactive à travers les données du réseau pour découvrir des menaces potentielles avant que les systèmes automatisés ne les détectent. Ces exercices de chasse se concentrent souvent sur des hypothèses spécifiques sur le comportement des attaquants ou les menaces émergentes pertinentes pour leur industrie.
Ces équipes sont responsables de mesures comme le temps moyen pour détecter (MTTD) et le temps moyen de répondre (MTTR), travaillant en continu pour minimiser les attaquants de fenêtre dans leur environnement. Ils reconnaissent que chaque heure qu’un attaquant reste non détecté augmente l’impact potentiel de violation.
Les principaux défenseurs mettent en œuvre des flux de travail de réponse automatisés qui peuvent prendre des mesures immédiates lorsque des détections de confiance élevées se produisent, contenant des menaces avant le début de l’enquête manuelle. Ils effectuent régulièrement des exercices pour tester et améliorer leurs capacités, apprendre de leurs erreurs et créer des détections pour toutes les tactiques, techniques ou procédures (TTPS) manquées pendant l’exercice afin de minimiser le temps entre le compromis initial et l’assainissement complet. La visibilité et les détections sont également extrêmement importantes pour la validation de cette correction complète.
5. Tirez parti de l’écosystème de sécurité large
Plutôt que de traiter la détection du réseau comme une capacité autonome, les défenseurs d’élite garantissent que leurs solutions de détection et de réponse (NDR) de réseau s’intègrent parfaitement aux plates-formes SIEM, aux outils EDR, aux systèmes d’intelligence de menace et à d’autres technologies de sécurité. Cela crée une posture de sécurité unifiée où les résultats d’un système améliorent et en informent les autres.
Les meilleures équipes sélectionnent des solutions NDR construites sur des normes ouvertes qui facilitent l’intégration et permettent des cas d’utilisation personnalisés plutôt que de les verrouiller dans des formats propriétaires. Cette flexibilité pour s’intégrer à une grande variété de sources de données pour enrichir et s’appuyer sur la puissance des autres outils de la communauté de sécurité permet à chaque organisation de bénéficier des meilleures pratiques, approches, outils et intelligences partagés pour accélérer la réponse et limiter les dommages potentiels.
CoreLlight fournit des défenseurs d’élite de toutes formes et tailles avec les outils et les ressources dont ils ont besoin pour assurer une visibilité complète du réseau et des capacités NDR avancées, en fonction de la plate-forme de surveillance de réseau Zeek Open sur source.
Visitez CoreLlight.com/elitetefense pour plus d’informations.
