Qu’est-ce que la sécurité Endpoint ?

Aujourd’hui, les logiciels de sécurité Endpoint doivent composer avec la multitude de dispositifs Endpoint qui se connectent à l’infrastructure de l’entreprise et accèdent à des données sensibles. Tel est le défi que les meilleures entreprises de cybersécurité s’efforcent de relever. Comment surveiller en permanence les changements relatifs à la posture de sécurité des appareils connectés et assurer la sécurité globale du système ?

À propos de la sécurité Endpoint

La sécurité Endpoint relève du domaine de la cybersécurité et vise à protéger les périphériques, ou les terminaux, qui se connectent aux systèmes et à l’infrastructure de votre entreprise pour les besoins de vos activités.

Voici quelques exemples de terminaux communs :

• Ordinateurs portables
• Smartphones/appareils mobiles
• Tablettes
• Appareils connectés ou compatibles avec l’IdO
• Terminaux de paiement électronique (TPE)

Tous ces dispositifs sont des cibles potentielles d’activités malveillantes. Virus, malware, compromission des emails professionnels, prise de contrôle des comptes : tout est possible lorsque les terminaux ne sont pas sécurisés.

Avant l’avènement de l’informatique dématérialisée et du télétravail, les équipes de sécurité étaient surtout préoccupées par les failles de sécurité qui se produisaient sur le réseau de l’entreprise. Aujourd’hui, cependant, les menaces proviennent le plus souvent de terminaux compromis. Alors que les attaques deviennent de plus en plus sophistiquées, il est clair que l’approche actuelle de la protection centralisée des réseaux est insuffisante. Le défi consiste à délimiter un périmètre de sécurité en constante évolution, puis à le protéger par des couches de sécurité grâce à la protection Endpoint.

Pourquoi la sécurité Endpoint est-elle essentielle ?

Les entreprises de toutes tailles sont exposées au risque de compromission des terminaux. De par leur conception, les terminaux sont des cibles faciles pour les pirates informatiques, car ils ne bénéficient pas du même niveau de protection que les dispositifs sur site tels que les ordinateurs de bureau. De plus, avec l’essor du télétravail, de nouveaux terminaux viennent quotidiennement s’ajouter au périmètre de votre organisation. Les appareils mobiles, en particulier dans une configuration BYOD, ne sont pas toujours sous le contrôle total de votre équipe de sécurité. Si vos responsables de la sécurité n’ont pas la possibilité de vérifier chaque appareil mobile plusieurs fois par jour pour s’assurer de son niveau de sécurité, il peut être difficile de garantir la protection de vos données en permanence.

La sécurité Endpoint est la première ligne de la cybersécurité et le premier élément que les organisations doivent prendre en compte pour sécuriser leurs réseaux d’entreprise et réduire les risques.

Qu’est-ce que la gestion des terminaux ?

La gestion des terminaux consiste à gérer et à sécuriser tous les terminaux qui accèdent ou stockent des données au sein d’une organisation. Dans la plupart des cas, cette opération est réalisée à l’aide d’une plateforme de gestion unifiée des terminaux. Une stratégie de gestion des terminaux efficace est une stratégie qui fonctionne 24 h/24 pour garantir la meilleure posture de sécurité possible pour tous les terminaux. Pour gérer les terminaux, il faut évaluer, attribuer et superviser en permanence les droits d’accès à tous les terminaux dans l’ensemble de l’entreprise.

Dans de nombreuses organisations, la gestion des terminaux relève de la responsabilité partagée d’une équipe interfonctionnelle composée d’administrateurs réseau et de professionnels de la sécurité de l’information (infosec). La solution de gestion Endpoint la plus efficace doit inclure la possibilité de :

• Contrôler l’accès : Garantit que seuls les appareils authentifiés et approuvés peuvent se connecter au réseau de l’entreprise.
• Mesurer la conformité de la politique de sécurité : Permet de faire appliquer toutes les politiques de sécurité connexes pour tous les dispositifs approuvés, quel que soit le lieu où ils se trouvent.
• Offrir une visibilité complète : Via une console ou un tableau de bord centralisé qui permettra à votre équipe chargée de l’infosec de visualiser, en temps réel, tous les terminaux et d’en gérer l’activité.
• Contrôler, configurer et maintenir les terminaux : Configure la protection Endpoint sur les appareils à distance, garantit que les mises à jour logicielles sont régulièrement maintenues sur chaque appareil.

Risques courants liés à la sécurité endpoint

Des fuites, des pertes ou des vols de données peuvent se produire, aussi bien au niveau du réseau que des terminaux Cependant, les terminaux sont généralement plus sensibles aux attaques ou à d’autres formes de perte de données. Par exemple, l’exposition intentionnelle ou accidentelle des données de l’entreprise par un employé est plus fréquente sur un terminal, tel qu’un ordinateur portable perdu ou un smartphone compromis, par rapport à un dispositif fixe tel qu’un serveur ou un ordinateur de bureau.

Voici quelques-uns des vecteurs d’attaque les plus courants en matière de cybersécurité :

• Accès non autorisé aux appareils : Un appareil peut être compromis à la suite d’un vol d’identifiants ou d’une prise de contrôle d’un compte à la suite d’une attaque par phishing ou par ingénierie sociale.
• Attaques de malware ou de ransomware : Les cyberattaques ciblées, souvent lancées par email, utilisent des logiciels malveillants de type ransomware pour compromettre un terminal, ou le retenir en otage contre de l’argent.
• Accès par des vulnérabilités/mauvaises configurations : Si les vulnérabilités sont la porte d’entrée du réseau, ce sont surtout les logiciels et les mauvaises configurations de sécurité que les attaquants exploitent pour se frayer un chemin jusqu’aux terminaux visés.

Parfois, une attaque contre un terminal peut mettre en œuvre une ou plusieurs méthodes de ce type. N’oubliez pas que les cyberattaques sont de plus en plus sophistiquées et qu’elles reposent sur des techniques multiples et coordonnées pour s’introduire dans les applications et les systèmes d’une organisation. Les terminaux servent souvent de porte d’entrée aux attaquants en quête de leur but ultime : les données sensibles de votre organisation.

Qu’est-ce qu’une solution UEM (Unified Endpoint Management) ?

Unified endpoint management (UEM) désigne une catégorie d’outils de cybersécurité qui permettent aux professionnels de la sécurité de gérer, sécuriser et déployer les ressources et applications de l’entreprise sur n’importe quel terminal, à partir d’une console unique.

Le système UEM va au-delà de la gestion traditionnelle des appareils mobiles (MD) pour inclure la gestion des applications mobiles. L’UEM réunit tous ces aspects, ce qui permet aux administrateurs de connaître l’état de tous les terminaux. Cette solution permet de savoir ce que les utilisateurs font des données et des applications de l’entreprise sur n’importe quel appareil connecté et managé.

À mesure qu’un nombre croissant d’utilisateurs du réseau se tournent vers le télétravail et que les entreprises intègrent davantage de technologies IoT, l’UEM continuera d’évoluer pour prendre en charge davantage de types d’appareils. Pour les équipes informatiques chargées de répondre dans des délais très courts aux besoins d’une main-d’œuvre travaillant à distance, les outils et plateformes UEM permettent de protéger les appareils des employés qui accèdent aux données de l’entreprise indépendamment du pare-feu.

Qu’est-ce que l’EDR (Endpoint Detection and Response) ?

L’EDR  est également appelé Endpoint Detection and Threat Response (détection et réponse aux menaces). L’EDR est considérée comme la prochaine évolution de l’antivirus Endpoint. Composante essentielle d’une stratégie UEM, l’EDR se concentre sur le contrôle continu de la posture de sécurité des terminaux, dans le but de détecter les cybermenaces et d’y répondre rapidement. L’EDR est notamment plébiscité pour sa capacité à gérer les menaces ciblant les terminaux, comme les ransomwares et les malwares.

Les meilleurs outils EDR parviennent à analyser tous les événements de sécurité provenant de n’importe quel type de terminal, qu’il se trouve à l’intérieur ou à l’extérieur du pare-feu de l’entreprise, afin d’identifier toute activité suspecte. Idéalement, une solution EDR doit générer des alertes qui facilitent la découverte, l’identification, l’investigation et la résolution des problèmes par les analystes des opérations de sécurité. Les outils EDR doivent également collecter toutes les données télémétriques pertinentes relatives à un événement de sécurité. Les meilleures solutions EDR peuvent combiner ces données avec d’autres informations contextuelles provenant d’événements corrélés.

Les solutions EDR jouent un rôle clé dans la réduction des délais de réponse des équipes d’intervention en cas d’incident, en les aidant à agir plus rapidement sur la base d’informations de meilleure qualité. Elles représentent le meilleur moyen de stopper les menaces avant qu’elles n’aient l’occasion de se propager.

Le manque de visibilité sur le comportement des attaquants et d’informations sur leur parcours sont les deux principaux obstacles à la détection des attaques. Pour pallier ce manque de visibilité et enquêter sur la source d’une attaque, les responsables informatiques et les analystes de la sécurité se tournent de plus en plus vers la technologie EDR. Les solutions EDR sont conçues pour gérer et protéger un large éventail de dispositifs endpoint, identifier l’origine des menaces et comprendre les empreintes numériques des attaquants lorsqu’ils se déplacent sur le réseau à partir d’un terminal compromis.

Différences entre EDR et antivirus

Si les systèmes EDR et les antivirus consistent tous deux à surveiller et à protéger les terminaux managés, ils ne sont pas pour autant interchangeables. Les applications antivirus font souvent partie d’une solution EDR, mais il est important de comprendre que tous les logiciels antivirus ne proposent pas l’EDR. La principale différence réside dans le fait que les solutions EDR partent du principe qu’un terminal managé finira par être compromis. Si un antivirus peut à lui seul offrir une excellente protection contre les malwares connus, il risque néanmoins de ne pas suffire, notamment en cas de menace de type « zero-day » ou d’attaque de phishing plus sophistiquée, comme l’ingénierie sociale.  Une organisation qui s’appuie uniquement sur un antivirus, sans EDR, court un risque important : celui du manque de visibilité quant au fonctionnement du terminal ciblé en cas d’atteinte à la sécurité.

Qu’est-ce que l’antivirus next-gen (NGAV) ?

Les entreprises ont besoin d’un antivirus de niveau professionnel qui ait une longueur d’avance sur les prochaines menaces. Face à la multiplication incessante de nouveaux virus visant à diffuser des malwares, des ransomwares, des spywares, des chevaux de Troie et d’autres logiciels malveillants par le biais d’attaques de phishing, les entreprises ont besoin de moyens de défense constants pour leurs données.

C’est là que l’ antivirus next-gen  prend tout son sens. Également appelé NGAV, ce système de protection moderne vient combler les lacunes des logiciels antivirus traditionnels. L’antivirus NGAV exploite diverses formes de technologies avancées pour bloquer les attaques qui se développent actuellement et pour identifier et prévenir celles qui se produiront à l’avenir.

L’antivirus Next Gen s’appuie sur une technologie de surveillance avancée pour détecter les menaces de toutes sortes. Ce système de défense fonctionne même contre les attaques de type « zero-day ». En bref, le système NGAV n’attend pas qu’une menace pesant sur le réseau ait été détectée pour commencer à travailler. Il est continuellement en alerte.

Contrairement aux antivirus traditionnels, les NGAV ont la capacité de :

• Chasser les menaces et résoudre les problèmes informatiques de manière proactive
• Détecter plus rapidement les virus et les menaces
• Réduire les risques tout en réduisant la masse des fausses alertes

S’il est vrai que les programmes antivirus traditionnels suffisaient à sécuriser les terminaux il y a dix ans, force est de constater que, désormais, ils ne font plus le poids face aux menaces actuelles.

Solutions de Sécurité Endpoint

Une solution de sécurité Endpoint digne de ce nom doit pouvoir démontrer des capacités éprouvées dans les domaines suivants :

• Prévention des menaces :  chasse aux menaces managée et prise en charge des menaces connues et inconnues. Votre sécurité Endpoint doit permettre de détecter et de répondre rapidement à différentes classes et types de menaces, telles que la compromission de la messagerie professionnelle.
• Gestion des appareils et contrôle des applications : surveillance continue de tous les terminaux et des applications professionnelles pour garantir le maintien d’une hygiène de sécurité optimale Vous devez pouvoir garder le contrôle de tous les terminaux et de toutes les applications de votre organisation. À défaut, vos employés risquent de désactiver, de manière involontaire ou non, des protocoles ou des politiques de sécurité, ou de désactiver des applications dont vous avez besoin.
• Remédiation et détection automatisées :  la détection des menaces ne suffit pas, il faut les éliminer avant qu’elles ne fassent des dégâts. Votre outil de sécurité Endpoint doit aussi permettre d’appliquer des tactiques de remédiation automatisées aux menaces de bas niveau afin que votre équipe de sécurité bénéficie de la bande passante nécessaire pour traiter les problèmes plus complexes.
• Alertes et rapports intelligents : informations contextuelles sur les événements et les alertes grâce au Machine Learning (apprentissage profond). Point important, si de nombreux produits prétendent faire appel à la technologie du Machine Learning, sachez que tous les modèles d’apprentissage ne se valent pas. Dans le domaine de la détection des malwares, c’est la technologie du  Deep learning  qui obtient les meilleurs résultats, et ce, de manière constante.

Qu’est-ce que le XDR (Extended Detection and Response) ?

Fondamentalement, le XDR (Extended Detection and Response) est une version plus avancée de l’EDR.

Là où l’EDR bloque et élimine les menaces sur les terminaux, le XDR est conçu pour étendre ces capacités de chasse et de réponse aux menaces au-delà. Cette forme plus avancée de cyberprotection se concentre sur l’ensemble de votre infrastructure afin de repérer rapidement et précisément les tendances et les menaces.

Comme le NGAV, le XDR représente une amélioration considérable par rapport aux antivirus traditionnels, qui sont plus réactifs que proactifs. La solution  XDR  recherche les menaces et agit rapidement contre les attaques nouvelles et reconnues.

Comprendre le fonctionnement du XDR peut aider les professionnels de la sécurité à répondre aux questions suivantes :

• Pourquoi un terminal ou une machine fonctionne-t-il au ralenti ?
• Quels terminaux ont des vulnérabilités connues, des services inconnus ou des extensions de navigateur non autorisées ?
• Y a-t-il des programmes exécutés sur l’appareil qui ne sont pas approuvés par l’organisation et qui devraient être supprimés ?
• Êtes-vous capable de repérer les appareils non managés ou non protégés, tels que les ordinateurs portables, les mobiles et les appareils connectés (IoT) ?
• Quels programmes sont à l’origine des problèmes de réseau du bureau ?
• Votre équipe de sécurité peut-elle analyser les groupes de sécurité Cloud pour identifier les ressources exposées à l’Internet public ?
• Pouvez-vous détecter les menaces inconnues ou de type « zero-day » ?

Les solutions EDR sont particulièrement adaptées à la protection Endpoint. Mais chaque terminal ne représente qu’une seule facette de l’ensemble du cadre. Si le réseau de votre entreprise est constitué de plusieurs systèmes, il peut s’avérer nécessaire de recourir à une solution XDR pour bénéficier d’une protection maximale.

À propos des outils de sécurité Endpoint

Le délai de détection est primordial quand il s’agit de stopper les attaques de malware et de ransomware sur les terminaux, en particulier pour sécuriser les appareils mobiles situés derrière le pare-feu de l’entreprise. Les solutions de sécurité Endpoint traditionnelles, telles que la gestion des points d’accès et les antivirus, ne sont plus suffisantes. Les menaces sophistiquées d’aujourd’hui exigent une surveillance constante contre tous les types de menaces, y compris les attaques de type « zero-day ».

Sophos est le leader en matière de sécurité Endpoint. Notre stratégie de sécurité Endpoint s’appuie sur des outils robustes et modernes pour la chasse aux menaces avancées et la mise en place d’une hygiène de sécurité Endpoint complète.

Découvrez comment la sécurité Endpoint de nouvelle génération peut contribuer à la pérennité de votre écosystème de sécurité et enregistrez-vous pour tester gratuitement Sophos Endpoint Antivirus dès aujourd’hui.

Sophos Endpoint Antivirus

Sujet connexe : Comment réduire les risques liés aux ransomwares ?