Pourquoi les outils de sécurité préventifs ne suffisent pas à protéger l'entreprise
Imaginons cela sur
Mesures préventives de cybersécurité -antivirus, pare-feu, systèmes de détection d'intrusion - dans cette situation, avec des paramètres standard, ils ne bloqueront pas de telles actions. Ils recherchent des signes révélateurs de cyberattaques, tels que des tentatives d'établissement d'une connexion réseau avec une ressource malveillante connue, de téléchargement d'un fichier malveillant ou d'exécution d'outils de suivi sur un ordinateur. Et demander les droits sur votre compte ou se connecter au réseau à distance à l'aide de programmes standards sont des actions tout à fait légitimes pour la plupart des entreprises.
Cependant, un professionnel de la sécurité comprendra commentles événements peuvent se développer davantage. Si un attaquant pénètre dans l'ordinateur du responsable RH, il peut à tout moment ouvrir une connexion à distance sur ce poste de travail et introduire un logiciel malveillant, et les informations sur les comptes l'aideront à développer l'attaque.
Pour éliminer tout piratage potentiel, ces actions doivent être surveillées et contrôlées. C’est précisément la tâche principale de la surveillance de la cybersécurité.
Qu'est-ce qu'une surveillance efficace de la cybersécurité
Sans surveillance des menaces, une entreprise sera probablementprend connaissance d'un piratage après coup, lorsqu'il devient impossible de ne pas remarquer l'incident, par exemple lors du cryptage des données sur les serveurs et les postes de travail. À son tour, une approche proactive permet d’identifier en temps opportun les activités illégitimes grâce à la collecte, à la systématisation et à l’analyse centralisées des événements de sécurité. Cela peut fonctionner de différentes manières.
Certaines organisations en fournissent unun spécialiste qui surveille les alertes - notifications d'outils de sécurité, par exemple un antivirus, concernant une activité suspecte. Dans une certaine mesure, il s'agit également d'une surveillance, mais elle ne peut pas apporter une véritable protection : l'expert ne contrôlera qu'une petite partie de l'infrastructure.
Une option plus avancée - et beaucoup le font aussientreprises à mettre en place un système SIEM (système de gestion des événements de sécurité). Il collectera des données à partir de différentes parties de l'infrastructure, créera des chaînes d'événements et suivra les alarmes. Malheureusement, cela peut ne pas suffire non plus, car il ne suffit pas de trouver le problème.
Le système SIEM collectera des données de différentes parties de l'infrastructure, créera des chaînes d'événements et surveillera les signaux d'alarme.
Pour une approche mature de la cybersécurité et une protection complète, vous avez également besoin de :
- Être capable de prévoir à l'avance les incidents que l'entreprise pourrait rencontrer.
- Si un événement s'est produit, analysez ce qui s'est passé exactement.
- Répondre correctement à l'incident.
- Travaillez sur les erreurs afin que la situation ne se reproduise pas à l'avenir.
De tels processus nécessiteront l'intégration de la surveillance des événements de sécurité avec une analyse proactive des menaces et une réponse aux incidents.
Il est plus efficace de le faire dans le cadre d'undivision, qui s'appelle : le centre de surveillance et de réponse aux cybermenaces (centre des opérations de sécurité, SOC). Il peut travailler aussi bien avec les ressources propres de l'entreprise qu'avec la participation d'une équipe tierce.
Un SOC connecte la technologie, les personnes et les processus de cybersécurité, une combinaison qui offre une protection optimale à mesure que les attaques deviennent plus sophistiquées.
Ensuite, nous vous expliquerons comment fonctionne le SOC et comment en tirer le maximum de résultats.
Comment le SOC rend la surveillance des incidents plus efficace
Avant de mettre en œuvre une surveillance, une entreprise a besoinprendre soin de mesures de protection préventives qui aideront à se protéger contre les attaques courantes. Cette étape du travail peut être qualifiée de prévention. Les outils de sécurité de l'information mis en œuvre (ISIS) seront capables de bloquer automatiquement les attaques connues, mais de nombreux attaquants ont depuis longtemps appris à les contourner. Pour faire face aux menaces « invisibles », l’entreprise a besoin d’autres moyens, notamment des systèmes de surveillance.
À la base, l'étape de prévention n'est pas directement incluse dans le processus de surveillance des menaces, mais en est un prédécesseur important.
Comme nous l'avons dit plus haut, la majorité des entreprises construisent une surveillance de la cybersécurité basée sur des systèmes SIEM. Dans ce cas, le processus peut être divisé en les étapes suivantes :
1. Des systèmes d'information de sécurité sont installés sur le réseau : antivirus, pare-feu, scanners de sécurité réseau et autres systèmes dont l'objectif principal est de rechercher automatiquement des signes de piratage.
2. Les événements de sécurité sont collectés à partir de ces systèmes de sécurité des informations, ainsi que des appareils finaux, des équipements réseau, des applications et d'autres sources - de manière passive ou avec l'installation de programmes d'agent. Les événements entrent dans le système SIEM, où des règles de corrélation leur sont appliquées. Sur la base des résultats de cette analyse, il est possible d'identifier des actions potentiellement dangereuses.
Cette étape du travail peut être désignée comme détection et elle est déjà incluse dans le processus de surveillance des menaces.
3. Les signaux d'alarme détectés par les règles sont analysés par une équipe de spécialistes. Si la menace est confirmée, ils lancent une réponse. Dans ce cadre, des systèmes spécialisés de la classe IRP/SOAR(i) peuvent être utilisés, qui lancent (sur commande de l'analyste ou automatiquement sur la base de règles préconfigurées) des scénarios de réponse pour le type d'incident identifié - des playbooks.
Cette étape du travail peut être désignée comme réponse.
(i) Plateforme de réponse aux incidents/SécuritéOrchestration, Automation and Response est une classe de produits logiciels permettant de coordonner et de gérer les systèmes de sécurité. Ces solutions vous permettent de collecter des données sur les événements de sécurité provenant de diverses sources, de les traiter et d'automatiser des scénarios de réponse typiques.
SOC prolonge le cycle avec deux étapes supplémentaires :identification continue des vulnérabilités (prédiction) et leçons tirées pour l’avenir (leçons apprises). Il est important d'identifier en permanence les vulnérabilités afin de les corriger en temps opportun et de réduire la probabilité qu'elles soient exploitées par des cybercriminels. Et lorsque l'entreprise réagit à un incident, elle peut identifier les événements qui auraient pu être évités pendant la phase de prévention et tirer des leçons pour compléter ses politiques de réponse. Ensemble, cela nous permet de formuler l’approche de protection la plus complète.
Comment tirer le meilleur parti de la surveillance
En plus des incidents standards de cybersécurité,L’entreprise peut également connaître d’autres événements susceptibles de perturber la continuité des processus métiers. Il est également important d'identifier de tels incidents dans le SOC, ce qui signifie qu'ils doivent être surveillés.
Prenons l'exemple d'une station d'épuration locale.Une attaque contre un système de contrôle de processus automatisé (APCS), une erreur de l'opérateur ou une commande non réglementée peut provoquer le rejet d'eaux usées non traitées. Le résultat est un désastre environnemental, des amendes énormes et même des poursuites pénales contre les responsables. Pour réduire les dommages causés par un incident, vous pouvez surveiller 24 heures sur 24 le fonctionnement du capteur de vanne : s'il s'ouvre, par exemple, pendant un mode de nettoyage inactif, les ingénieurs peuvent immédiatement agir. SOC constitue une base technologique appropriée pour cela, si vous préparez des règles de corrélation des événements dans SIEM et écrivez des playbooks.
Comment identifier de tels événements et les enrichirle plus d'image pour le suivi ? Nous vous recommandons de réaliser une analyse d’impact sur les affaires (BIA). Il donnera une idée réelle des risques liés aux différents incidents et vous aidera à identifier les facteurs de risque, y compris en dehors de la cybersécurité.
A chaque étape (prédiction, prévention,détection, réponse, leçons apprises), cette analyse vous permettra d'optimiser les processus, de prioriser les risques, de créer une logique pour identifier et prévenir diverses attaques et de développer des mesures de réponse efficaces pour minimiser les dommages possibles.
Vous pouvez réaliser vous-même une BIA si vousL'entreprise dispose d'une équipe expérimentée d'experts qui comprennent les processus de gestion de la continuité des activités et sont orientés vers les normes. S'il n'y a pas de tels spécialistes parmi le personnel, vous pouvez impliquer des experts externes dans le travail.
Chaque entreprise a-t-elle besoin d'un SOC
La réponse dépend des risques qui deviennent évidentsbasé sur les résultats du BIA. Dans le même temps, il ne faut pas seulement considérer les dommages causés à l'infrastructure informatique : la continuité des processus métier peut, par exemple, être perturbée par des pannes de services externes, qu'il est également important d'identifier dans le SOC.
Sur la base des résultats de l'analyse, d'un côté de l'échelle il y aurales coûts de mise en œuvre de votre propre SOC ou de connexion d'un SOC externe, et d'autre part, les dommages dus à une réponse tardive aux événements de sécurité. La direction sera en mesure de prendre des décisions en évaluant des scénarios spécifiques. S'il devient clair que les pertes résultant d'un incident sont inacceptables pour l'entreprise et que le SOC ne créera pas une charge excessive sur le budget, il est logique de dépenser de l'argent pour éliminer ces pertes critiques.
Cela peut aussi être l'inverse :les pertes commerciales potentielles ne justifieront pas les dépenses d’un SOC. L'entreprise peut ensuite surveiller chaque événement clé et élaborer des procédures de réponse pour les scénarios les plus dangereux.
SOC : interne ou externalisé ?
Lorsqu'une entreprise a décidé qu'elle a réellement besoin d'un SOC, il lui reste à décider si elle travaillera avec ses propres ressources ou si elle doit faire appel à un organisme expert.
Les questions suivantes vous aideront à prendre cette décision.
- Pouvez-vous vous-même évaluer la criticité des systèmes en termes de surveillance ?
Les entreprises estiment que plus les informations stockées et traitées dans un système sont précieuses, plus le système est critique et plus il est important de le surveiller. Mais cette approche ne sera pas toujours correcte.
Si les cybercriminels peuvent atteindre cessystèmes critiques et, par exemple, en mettant une base de données sur le réseau, il est trop tard pour protéger les informations - elles ont déjà été compromises. Mais sur le chemin de la cible, l'attaquant doit accéder à l'infrastructure, effectuer une reconnaissance, créer un compte avec un maximum de droits, etc. La tâche de l’entreprise est de détecter les actions illégitimes le plus tôt possible et de réagir, sans attendre que l’attaquant accède aux actifs critiques. Par conséquent, la surveillance doit couvrir non seulement ces actifs, mais également tous les points que l'attaquant franchira. Il peut s'agir de serveurs de messagerie, de postes de travail utilisateurs, de systèmes d'information secondaires. Ce sont tous des éléments d'infrastructure qui ne sont généralement pas considérés comme critiques.
Pour créer un SOC personnalisé efficace,l'entreprise a besoin de spécialistes capables de classer correctement les systèmes par importance. Si l'organisation ne dispose pas de tels employés, des experts tiers l'aideront.
2.Devez-vous vous conformer aux exigences légales en matière de signalement d'incidents aux autorités de réglementation ?
Sujets d'informations critiquesL'infrastructure (KII) doit transmettre des informations sur les incidents au système étatique de détection, de prévention et d'élimination des conséquences des attaques informatiques (GosSOPKA). Pour ce faire, il est nécessaire de construire une interaction avec le régulateur, d'élaborer des réglementations, de réaliser l'intégration, d'établir une transmission automatisée d'informations sur les incidents, etc.
Vous pouvez faire tout cela vous-même.Si l'entreprise n'a pas la possibilité d'allouer ses propres ressources à de tels travaux, il est possible de confier ces tâches à un SOC externe, qui a le statut de centre corporatif de l'Organisation sociologique de l'État.
3.Combien de temps avez-vous besoin pour commencer la surveillance ?
Pour construire et mettre en exploitation votreUn SOC peut prendre plusieurs années à une entreprise. Le SOC doit atteindre un certain niveau de maturité pour réellement commencer à identifier les incidents que les défenses préventives standards ont manqués. Augmenter la base experte de règles qui identifient les événements suspects, les mettre à jour constamment, créer des processus, préparer des playbooks - tout cela nécessite beaucoup de temps et de ressources. Par exemple, nous développons 1 300 règles (en janvier 2023) dans notre base de données SOC depuis plus de quatre ans. En parallèle, vous pouvez lancer un SOC externe d'ici quelques semaines.
4.Quelle vitesse de réponse aux incidents est essentielle pour vous ?
Une analyse d'impact sur les entreprises montrera quelsdes limites doivent être respectées lors de la réponse à un incident. Il se peut qu'une panne d'une heure n'ait aucun impact sur l'entreprise, qu'au bout de deux heures des problèmes commenceront dans les processus et que deux jours d'arrêt menaceront d'importants dommages financiers et de réputation. Tout cela doit être pris en compte dans des playbooks, à partir desquels la procédure de réponse sera claire. Certains incidents doivent être traités en quelques minutes, y compris la nuit. Le SOC doit donc fonctionner 24 heures sur 24, et si des experts spécialisés sont nécessaires, ils devront être connectés le plus rapidement possible.
Avoir votre propre SOC 24h/24 et 7j/7, c'est importantdépenses. La majeure partie des coûts sera liée au personnel - les personnes doivent être trouvées et adaptées pour travailler dans l'entreprise. Le SOC externe dispose déjà de spécialistes expérimentés qui traitent chaque jour 24h/24 et 7j/7 les incidents provenant d'entreprises de divers secteurs.
5.Êtes-vous prêt à supporter les gros coûts ponctuels ?
Problèmes de budget lors de la création d'un SOC à la maison ou avecl'externalisation est décidée individuellement ; il n'y a pas de réponse claire quant à l'option la moins chère. Tout dépend du nombre et des qualifications du personnel, des solutions et services techniques utilisés, ainsi que d'autres outils.
Cela vaut la peine de considérer que le vôtreet le SOC externe font référence à différents postes budgétaires. Dans le premier cas, nous parlons d'investissements en capital : équipements, logiciels, licences, locaux, mobilier. Dans le second, les dépenses de fonctionnement seront.
En conséquence, pour créer votre propre SOC, vous aurez besoin d'investissements initiaux importants, mais pas d'externalisation.
6.Avez-vous des employés qualifiés?
Dans SOC, vous devez d'abord composerdes spécialistes hautement qualifiés qui doivent constamment acquérir de l'expérience. Dans le même temps, il n’est pas facile aujourd’hui de résoudre le problème du personnel. Partout dans le monde, il manque plusieurs millions de travailleurs spécialisés ; en Russie, ce chiffre s'élève à près de plusieurs milliers de personnes. La constitution d’une équipe peut prendre des mois, mais un SOC tiers en possède déjà une. De plus, lors de la planification des coûts de votre propre centre de surveillance, vous devez prendre en compte non seulement les salaires des experts, mais également les coûts de formation professionnelle, de certification et de perfectionnement.
Résumé
Sans surveillance des incidents, il est impossible de parler de cybersécurité : vous ne pouvez pas vous protéger contre les menaces que vous ne pouvez pas voir. Mais c’est peut-être encore pire de dépenser de l’argent sans obtenir de résultats.
Commencez par analyser l’impact des événements sur l’entreprise,pour déterminer quel suivi donnera le résultat attendu. Mettre à jour constamment la liste des événements de sécurité qui affectent la pérennité de l'entreprise. Cela améliorera la qualité globale de la surveillance et augmentera considérablement le niveau de cyber-maturité de votre organisation.
Lire la suite:
Des scientifiques ont découvert la nature d'étranges signaux radio provenant d'une planète similaire à la Terre
Les experts ont prédit combien de personnes vivront sur Terre d'ici 2100
Un nouveau type de trou noir découvert caché dans «l'arrière-cour cosmique» de la Terre