Sécurité : les responsables sont confrontés au défi permanent de maintenir leurs capacités de détection des menaces au niveau de logiciels malveillants toujours plus sophistiqués.logiciels malveillants. Malheureusement, les technologies traditionnelles de détection des menaces qui utilisent des signatures et des règles de logiciels malveillants n’offrent plus l’approche la plus efficace pour protéger les entreprises contre les logiciels malveillants modernes.
Si la détection basée sur les signatures – qui analyse le trafic à la recherche de motifs de code uniques indiquant la présence d’un logiciel malveillant ou du condensat d’un fichier malveillant connu – est utile pour repérer les logiciels malveillants rudimentaires, elle ne détecte pas les menaces nouvelles ou inconnues pour lesquelles aucune signature n’existe. De plus, les attaquants peuvent facilement reconditionner les logiciels malveillants afin qu’ils ne correspondent pas aux signatures connues.
Le rançongiciel Cryptolocker rançongiciel, découvert pour la première fois en 2013, en est un bon exemple. Des variantes comme CryptoWall et TorrentLocker utilisent le même code de base que Cryptolocker et sont encore courantes aujourd’hui. Les plateformes de détection des menaces basée sur les signatures ont également d’autres limites : elles sont réputées pour leurs faux positifs et pour submerger les équipes de sécurité de plus d’alertes qu’elles ne peuvent en examiner.
La détection traditionnelle des menaces est également incapable d’identifier les attaques internes menées par des employés ou par un attaquant qui a obtenu des identifiants légitimes au moyen d’une attaque par hameçonnage ou d’une violation de données.
En réaction, de nombreuses organisations se tournent vers l’analyse du risque comportemental, qui repose sur un processus totalement différent et nécessite une grande quantité de données d’entrée pour être efficace. Dans cet article, j’aimerais approfondir la manière dont l’analyse du risque comportemental contribue à surmonter les difficultés associées à la détection traditionnelle des menaces.
Voir aussi : Le CISO à succès : comment gagner la confiance des parties prenantes
Passer à l’analyse du risque comportemental
L’analyse du risque comportemental examine l’activité du réseau à la recherche de comportements à la fois inhabituels et à haut risque. Cela nécessite des modèles d’apprentissage automatique qui établissent une référence du comportement normal du réseau et recherchent les anomalies.
Mais toutes les activités inhabituelles ne sont pas risquées. Prenons l’exemple d’un salarié du marketing qui accède pour la première fois depuis plusieurs mois à des documents marketing stockés sur un espace SharePoint. Ce comportement est inhabituel par rapport à ses habitudes, mais probablement relativement peu risqué. En revanche, si ce même salarié accède à des référentiels de code depuis un emplacement inhabituel au milieu de la nuit, alors que la plupart des employés sont hors ligne, le risque est bien plus élevé et l’événement doit être signalé.
Réaliser une analyse des risques consiste à déterminer le niveau de risque des comportements, ce qui nécessite de recueillir une grande quantité de données contextuelles (généralement dans un lac de données), de calculer un score de risque à partir de ces données, d’examiner l’anomalie à la lumière de ce score de risque et de la hiérarchiser en conséquence.
Cela contribue à réduire les faux positifs (un comportement inhabituel mais peu risqué déclenche souvent une alerte de faux positif dans les solutions moins sophistiquées) et à ramener la charge de travail des équipes de sécurité à un niveau plus gérable en les aidant à établir des priorités. Ces informations contextuelles sont essentielles pour déterminer quels comportements présentent un risque et lesquels n’en présentent pas.
5 techniques d’analyse du risque comportemental
L’analyse du risque comportemental s’appuie sur plusieurs techniques. Elles sont présentées ci-dessous (à noter que les détails peuvent varier selon la solution concernée) :
- Modélisation des valeurs aberrantes : utilise des références établies par apprentissage automatique et la détection des anomalies pour identifier les comportements inhabituels, comme des utilisateurs qui accèdent au réseau depuis des adresses IP non reconnues, des utilisateurs qui téléchargent de grandes quantités de propriété intellectuelle depuis des référentiels de documents sensibles sans rapport avec leur fonction, ou du trafic serveur provenant de pays avec lesquels l’organisation ne fait pas affaire.
- Modélisation des menaces : utilise les données de flux de renseignement sur les menaces et les violations de règles ou de politiques pour rechercher les comportements malveillants connus. Cette technique permet d’écarter rapidement et facilement les logiciels malveillants rudimentaires.
- Modélisation des accès aberrants : détermine si un utilisateur accède à quelque chose d’inhabituel ou à quelque chose auquel il ne devrait pas accéder. Cela nécessite d’intégrer des données sur les rôles des utilisateurs, leurs droits d’accès et/ou leurs badges.
- Profil de risque d’identité : détermine le niveau de risque des utilisateurs impliqués dans un incident, sur la base de données RH, de listes de surveillance ou d’indicateurs de risque externes. Par exemple, les employés récemment écartés d’une promotion peuvent être plus susceptibles d’éprouver du ressentiment envers l’entreprise et de vouloir se venger.
- Classification des données : étiquette toutes les données pertinentes associées à un incident, comme les événements, les segments réseau, les actifs ou les comptes concernés, afin de fournir un contexte à l’équipe de sécurité qui examine les alertes.
Voir aussi : Secure Access Service Edge : avantages majeurs, défis majeurs
Complexe et multifactoriel
Comme le montrent ces étapes, l’estimation du risque est complexe et nécessite d’examiner de nombreux facteurs différents. L’analyse du risque comportemental nécessite des données d’entrée provenant d’un large éventail de sources.
Ces sources comprennent les données RH et d’identité issues de Microsoft Active Directory ou d’une solution IAM, les journaux de solutions de sécurité comme les pare-feu, les systèmes IDS/IPS, SIEM, la prévention des pertes de données (DLP) et les solutions de gestion des terminaux, ainsi que les données issues du cloud, des applications et des bases de données.
Les sources de données externes, comme les publications publiques des employés sur les réseaux sociaux (pour déterminer quels employés présentent un risque accru de comportement malveillant) ou les flux de menaces tels que VirusTotal, sont également utiles. En raison de la quantité considérable de données contextuelles nécessaires, les solutions d’analyse comportementale efficaces doivent proposer de nombreuses intégrations tierces et pouvoir accepter un large éventail de flux de données dans une base de données ou un lac de données. Plus il y a de données, mieux c’est.
Lorsqu’elle est correctement mise en œuvre, l’analyse du risque comportemental peut améliorer l’efficacité, réduire les faux positifs et détecter les menaces internes ainsi que les attaques de type zero-day que les autres méthodes de détection des menaces ne peuvent pas repérer. Autre avantage : l’analyse ML utilisée peut également produire de précieuses informations sur la manière dont les systèmes et les appareils sont utilisés (par exemple, l’examen des habitudes d’utilisation normales d’un système ou d’un ensemble d’appareils pourrait permettre à l’équipe informatique de connaître le meilleur moment pour l’arrêter afin d’installer des mises à jour).
L’analyse du risque comportemental peut également permettre d’automatiser les réponses aux menaces. Les logiciels malveillants modernes peuvent arrêter des dizaines de systèmes en quelques secondes. Les opérateurs humains ne peuvent pas réagir assez rapidement pour empêcher cela.
L’analyse comportementale, lorsqu’elle est correctement mise en œuvre, peut générer des alertes suffisamment précises pour permettre l’automatisation des réponses. La quantité de contexte fournie par cette approche signifie que les actions correctives automatisées peuvent être extrêmement ciblées, comme supprimer l’accès d’un seul utilisateur à un seul système. Le risque d’interrompre accidentellement des processus métier légitimes est ainsi réduit. Cela peut à son tour contribuer à convaincre les CIO ou les CISO réticents au risque que les réponses automatisées sont réalisables.
L’analyse du risque comportemental offre un formidable potentiel pour rendre la détection des menaces plus efficace et mieux protéger les organisations. La mise en place d’analyses ML robustes s’appuyant sur des données d’entrée suffisantes sera essentielle au succès de cette approche au cours des prochaines années, à mesure que cette technologie se généralisera dans les plateformes de sécurité, comme les SIEM de nouvelle génération.
Voir aussi : Prévisions technologiques pour 2022 : cloud, données, cybersécurité, IA et plus encore
À propos de l’auteur :
Saryu Nayyar, CEO de Gurucul