Quatre conseils clés d’experts en réponse aux incidents

 

Près des deux tiers des entreprises ont été touchées par un ransomware l’an dernier, et les attaquants sont parvenus à chiffrer les fichiers dans 65 % des cas.

Conseil n^o 2 : Ne criez pas victoire trop tôt

Lorsqu’il s’agit de répondre à un incident, il ne suffit pas de traiter uniquement les symptômes. Il est important de traiter également la maladie.

Lorsqu’une menace est détectée, la première chose à faire est d’enclencher le processus de priorisation. Il peut s’agir de nettoyer un exécutable de ransomware ou un Trojan bancaire ou encore de bloquer l’exfiltration de données. Toutefois, il arrive souvent que les équipes bloquent l’attaque initiale sans se rendre compte qu’elles n’ont pas vraiment résolu la cause profonde.

Le fait de réussir à supprimer un logiciel malveillant et d’archiver une alerte ne signifie pas que l’attaquant a été éjecté de l’environnement. Il est également possible que ce qui a été détecté n’était qu’un test effectué par l’attaquant pour évaluer les défenses adverses. Si l’attaquant a encore accès à l’environnement, il frappera probablement à nouveau, mais de manière plus forte cette fois.

Les équipes de réponse aux incidents doivent s’assurer qu’elles s’attaquent à la cause profonde de l’incident initial bloqué. L’attaquant a-t-il encore un point d’ancrage dans l’environnement ? Prévoit-il de lancer une seconde vague ? Les opérateurs spécialistes en réponse aux incidents ont remédié à des milliers d’attaques et savent quand et quoi investiguer en profondeur. Ils analysent tout ce que les attaquants font, ont fait ou prévoient de faire dans le réseau, et les neutralisent.

Par exemple, les experts en réponse aux incidents de Sophos ont réussi à déjouer une attaque qui a duré 9 jours et a vu les attaquants tenter à trois reprises de frapper une organisation avec un ransomware.

Comme ils n’étaient pas encore clients de Sophos MDR, l’équipe Sophos Rapid Response a d’abord été mobilisée.

Lors de la première vague de l’attaque (qui a à terme été bloquée par la solution de protection Endpoint de l’organisation), les attaquants ont ciblé 700 ordinateurs avec le logiciel Maze et ont demandé une rançon de 15 millions de dollars. Réalisant qu’ils étaient attaqués, l’équipe de sécurité de la victime a fait appel aux compétences avancées de l’équipe Sophos Managed Detection and Response (MDR) en matière de réponse aux incidents.

Les experts en réponse aux incidents de Sophos ont rapidement identifié le compte administrateur compromis, identifié et supprimé plusieurs fichiers malveillants, et bloqué les commandes de l’attaquant et les communications C2 (Command and Control). L’équipe Sophos MDR a ensuite pu défendre l’organisation contre deux vagues d’attaques supplémentaires. Si les attaquants étaient parvenus à leurs fins et que la victime avait payé la rançon, cela aurait pu être l’un des paiements les plus chers à ce jour.

Dans un autre exemple, l’équipe Sophos MDR a répondu à une potentielle attaque de ransomware mais n’a pas identifié d’indices concordants. À ce stade, certaines équipes auraient pu clore le dossier et passer à autre chose. Cependant, l’équipe Sophos MDR a continué son investigation et découvert un trojan bancaire historique. Heureusement pour ce client, la menace n’était plus active, mais cela montre l’importance de regarder au-delà des symptômes initiaux afin de déterminer la cause profonde, car cela pourrait être un indicateur d’une attaque plus large.

ÉTUDE DE CAS SOPHOS MDR :

La chasse au ransomware qui a mis au jour un trojan bancaire historique (en anglais)

 

Conseil n^o 3 : Il est crucial d’avoir une visibilité totale

Rien n’est plus difficile pour une organisation que de se défendre à l’aveuglette contre une attaque. Il est important d’avoir accès à des données de qualité, permettant d’identifier avec précision les indicateurs potentiels d’une attaque et d’en déterminer la cause profonde.

Les équipes efficaces sont capables d’extraire les bonnes données pour percevoir les signaux, de séparer ces derniers du bruit de fond et de savoir lesquels doivent être priorisés.

Capter les signaux

Avoir une visibilité limitée sur un environnement est le meilleur moyen de passer à côté d’une attaque. Au fil des ans, de nombreux outils de Big Data ont été mis sur le marché pour tenter de résoudre ce problème spécifique. Certains s’appuient sur des données centrées sur les événements, comme les journaux d’événements, d’autres utilisent des données centrées sur les menaces, et d’autres encore s’appuient sur une approche hybride. Dans tous les cas, l’objectif est le même : collecter suffisamment de données pour générer des résultats utiles pour l’investigation et la réponse aux attaques qui n’auraient autrement pas été identifiées.
La collecte de données de qualité à partir d’une grande variété de sources garantit une visibilité complète sur les outils, tactiques et procédures (TTP) des attaquants. Sans quoi, il est probable que seule une partie de l’attaque serait détectée.

Réduire le bruit de fond

Craignant de ne pas disposer des données nécessaires pour avoir une vue d’ensemble sur une attaque, certaines organisations (et les outils de sécurité sur lesquels elles comptent) collectent tout. Cependant, cela noie l’information dans un océan de données. Non seulement cela augmente le coût de la collecte et du stockage des données, mais cela crée aussi beaucoup de bruit de fond, entraînant une surproduction d’alertes et faisant perdre un temps précieux aux équipes qui doivent vérifier les faux positifs.

Utiliser le contexte

Les experts en réponse aux incidents ont une maxime qui dit : « Si le contenu est roi, le contexte est reine. ». En effet, ces deux éléments sont nécessaires pour mettre en œuvre un programme efficace de réponse aux incidents. Utiliser des métadonnées significatives associées aux signaux permet aux analystes de déterminer si ces derniers sont malveillants ou bénins.

L’un des éléments clés d’une réponse efficace aux menaces est de prioriser les signaux les plus importants. La meilleure façon de repérer les alertes critiques est de combiner le contexte fourni par les outils de sécurité (c’est-à-dire les solutions EDR [Endpoint Detection and Response]), l’intelligence artificielle, les données de renseignements sur les menaces et la base de connaissances de l’opérateur humain.

Le contexte permet de déterminer l’origine d’un signal, le stade actuel de l’attaque, les événements connexes et l’impact potentiel sur l’entreprise.

Conseil n^o 4 : Il n’y a pas de mal à demander de l’aide

Aucune organisation ne tient à faire face à une tentative de violation. Cependant, rien ne remplace l’expérience lorsqu’il s’agit de répondre à un incident. Cela signifie que les équipes informatiques et de sécurité chargées de répondre aux incidents critiques se retrouvent dans des situations où elles n’ont tout simplement pas les compétences nécessaires pour y faire face ; des situations qui ont souvent un impact considérable sur l’entreprise.

Le manque de personnel qualifié capable d’analyser et de répondre aux incidents est l’un des plus grands problèmes auquel est confronté le secteur de la cybersécurité aujourd’hui. Ce problème est tellement répandu que selon ESG Research², « pour 34 % des entreprises, le plus grand défi est le manque de personnel qualifié pour analyser les incidents de cybersécurité impliquant un système d’extrémité afin de déterminer la cause profonde et la chaîne d’attaque ».

Pour répondre à ce problème, une solution alternative est née : les services de sécurité managés. Plus précisément, les services managés de détection et de réponse (MDR - Managed Detection and Response). Les services MDR correspondent à des opérations de sécurité externalisées, assurées par une équipe de spécialistes, qui agissent comme une extension de l’équipe de sécurité des clients. Ces services combinent des opérations réalisées par des experts (investigations, chasse aux menaces, surveillance en temps réel et réponse aux incidents) avec un ensemble de technologies pour recueillir et analyser les données de renseignements. Selon le Gartner, « d’ici 2025, 50 % des organisations utiliseront des services MDR »³, ce qui démontre que celles-ci se rendent compte qu’elles auront besoin d’aide pour mener à bien un programme complet d’opérations de sécurité et de réponse aux incidents.

Pour les organisations qui n’utilisent pas de services MDR et qui font face à une attaque active, les services d’experts en réponse aux incidents sont une excellente option. Ces experts sont appelés lorsque l’équipe de sécurité de l’organisation est débordée et a besoin d’aide extérieure pour traiter l’attaque et s’assurer que l’attaquant a été neutralisé.

Même les organisations qui disposent d’une équipe d’analystes de sécurité compétents peuvent tirer profit d’une collaboration avec un service de réponse aux incidents, notamment pour couvrir toutes les plages horaires (c’est-à-dire les nuits, les week-ends, les jours fériés) et pour disposer de toutes les compétences spécialisées nécessaires pour répondre aux incidents.