Sécurité : les responsables font face au défi permanent de maintenir leurs capacités de détection des menaces au niveau de logiciels toujours plus sophistiquésmalveillants. Malheureusement, les technologies traditionnelles de détection des menaces, qui utilisent des signatures et des règles propres aux logiciels malveillants, n’offrent plus l’approche la plus efficace pour protéger les entreprises contre les logiciels malveillants modernes.
Si la détection basée sur les signatures – qui analyse le trafic à la recherche de motifs de code uniques indiquant la présence de logiciels malveillants, ou du hachage d’un fichier malveillant connu – est utile pour détecter les logiciels malveillants rudimentaires, elle ne permet pas de repérer les menaces nouvelles ou inconnues pour lesquelles aucune signature n’existe. De plus, les attaquants peuvent facilement reconditionner les logiciels malveillants afin qu’ils ne correspondent plus aux signatures connues.
Un bon exemple est le logiciel rançonneur Cryptolocker, découvert pour la première fois en 2013. Des variantes comme CryptoWall et TorrentLocker utilisent le même code de base que Cryptolocker et sont encore courantes aujourd’hui. Les plateformes de détection des menaces basée sur les signatures ont également d’autres limites : elles sont réputées pour leurs faux positifs et pour submerger les équipes de sécurité de plus d’alertes qu’elles ne peuvent en examiner.
La détection traditionnelle des menaces est également incapable d’identifier les attaques internes menées par des employés ou par un attaquant qui a obtenu des identifiants légitimes au moyen d’une attaque par hameçonnage ou d’une violation de données.
En réponse, de nombreuses entreprises adoptent l’analyse des risques comportementaux, qui repose sur un processus complètement différent et nécessite une grande quantité de données d’entrée pour être efficace. Dans cet article, je souhaite examiner plus en détail comment l’analyse des risques comportementaux aide à surmonter les difficultés liées à la détection traditionnelle des menaces.
À lire aussi : Le CISO qui réussit : comment gagner la confiance des parties prenantes
Passer à l’analyse des risques comportementaux
L’analyse des risques comportementaux examine l’activité du réseau afin d’y détecter des comportements à la fois inhabituels et à haut risque. Elle nécessite des modèles d’apprentissage automatique qui établissent une référence du comportement normal du réseau et recherchent les anomalies.
Mais toutes les activités inhabituelles ne sont pas risquées. Prenons par exemple un employé du marketing qui accède pour la première fois depuis plusieurs mois à des documents marketing stockés sur un lecteur SharePoint. Ce comportement est inhabituel par rapport à ses habitudes, mais probablement relativement peu risqué. En revanche, si ce même employé accède à des dépôts de code depuis un emplacement inhabituel au milieu de la nuit, alors que la plupart des employés sont hors ligne, le risque est bien plus élevé et le comportement doit être signalé.
L’analyse des risques consiste à déterminer le niveau de risque associé aux comportements, ce qui nécessite de recueillir une grande quantité de données contextuelles (généralement dans un lac de données), de calculer un score de risque à partir de ces données, d’examiner l’anomalie à la lumière de ce score et de la traiter en fonction de sa priorité.
Cela contribue à réduire les faux positifs (un comportement inhabituel mais peu risqué déclenche souvent une fausse alerte dans les solutions moins sophistiquées) et à ramener la charge de travail des équipes de sécurité à un niveau plus gérable en les aidant à établir leurs priorités. Ces informations contextuelles sont essentielles pour déterminer quels comportements sont risqués ou non.
5 techniques d’analyse des risques comportementaux
L’analyse des risques comportementaux s’appuie sur plusieurs techniques. Parmi celles-ci (sachant que les détails peuvent varier selon la solution concernée) :
- Modélisation des valeurs aberrantes : utilise des références établies par apprentissage automatique et la détection des anomalies pour identifier les comportements inhabituels, comme des utilisateurs qui accèdent au réseau depuis des adresses IP non reconnues, qui téléchargent de grandes quantités de propriété intellectuelle depuis des référentiels de documents sensibles sans rapport avec leur fonction, ou encore du trafic de serveurs provenant de pays avec lesquels l’entreprise ne fait pas affaire.
- Modélisation des menaces : utilise les données de flux de renseignement sur les menaces ainsi que les violations de règles ou de politiques pour rechercher des comportements malveillants connus. Cette technique permet d’écarter rapidement et facilement les logiciels malveillants rudimentaires.
- Modélisation des valeurs aberrantes d’accès : détermine si un utilisateur accède à quelque chose d’inhabituel ou à quelque chose auquel il ne devrait pas accéder. Cela nécessite d’intégrer des données sur les rôles des utilisateurs, leurs droits d’accès et/ou leurs badges.
- Profil de risque d’identité : détermine le niveau de risque des utilisateurs impliqués dans un incident à partir de données RH, de listes de surveillance ou d’indicateurs de risque externes. Par exemple, les employés récemment écartés d’une promotion peuvent être davantage susceptibles d’éprouver du ressentiment envers l’entreprise et de vouloir se venger.
- Classification des données : associe des balises à toutes les données pertinentes liées à un incident, comme les événements, les segments réseau, les actifs ou les comptes concernés, afin de fournir un contexte à l’équipe de sécurité qui enquête sur les alertes.
À lire aussi : Secure Access Service Edge : avantages majeurs, défis majeurs
Complexe et multifactorielle
Comme le montrent ces étapes, l’estimation du risque est complexe et nécessite de prendre en compte de nombreux facteurs différents. L’analyse des risques comportementaux nécessite des données d’entrée provenant d’un large éventail de sources.
Ces sources comprennent les données RH et d’identité issues de Microsoft Active Directory ou d’une solution IAM, les journaux de solutions de sécurité telles que les pare-feu, les systèmes IDS/IPS, les SIEM, les solutions DLP et de gestion des terminaux, ainsi que les données du cloud, des applications et des bases de données.
Les sources de données externes, comme les publications publiques d’employés sur les réseaux sociaux (pour déterminer quels employés présentent un risque accru de comportement malveillant) ou les flux de menaces tels que VirusTotal, sont également utiles. En raison du volume considérable de données contextuelles nécessaires, les solutions d’analyse comportementale efficaces doivent disposer de nombreuses intégrations tierces et pouvoir recevoir un large éventail de flux de données dans une base de données ou un lac de données. Plus il y a de données, mieux c’est.
Lorsqu’elle est correctement mise en œuvre, l’analyse des risques comportementaux peut améliorer l’efficacité, réduire les faux positifs et détecter les menaces internes ainsi que les attaques zero-day que les autres méthodes de détection des menaces ne peuvent pas repérer. Autre avantage : l’analyse par apprentissage automatique peut également produire des données précieuses sur l’utilisation des systèmes et des appareils (par exemple, l’examen des habitudes normales d’utilisation d’un système ou d’un ensemble d’appareils pourrait permettre à l’équipe informatique de déterminer le meilleur moment pour l’arrêter afin d’installer des mises à jour).
L’analyse des risques comportementaux peut également permettre d’automatiser les réponses aux menaces. Les logiciels malveillants modernes peuvent arrêter des dizaines de systèmes en quelques secondes. Les opérateurs humains ne peuvent pas réagir assez rapidement pour empêcher cela.
L’analyse comportementale, lorsqu’elle est correctement mise en œuvre, peut produire des alertes suffisamment précises pour que les réponses soient automatisées. Le volume de contexte fourni par cette approche permet d’effectuer des actions de remédiation automatisées extrêmement ciblées, comme supprimer l’accès d’un seul utilisateur à un seul système. Le risque d’interférer accidentellement avec des processus métier légitimes s’en trouve réduit. Cela peut à son tour aider à convaincre les DSI ou RSSI réticents face au risque que les réponses automatisées sont réalisables.
L’analyse des risques comportementaux offre un grand potentiel pour rendre la détection des menaces plus efficace et mieux protéger les entreprises. La mise en place d’analyses robustes par apprentissage automatique, alimentées par des données d’entrée adéquates, sera essentielle au succès de cette approche au cours des prochaines années, à mesure que cette technologie se généralisera dans les plateformes de sécurité, comme les SIEM de nouvelle génération.
À lire aussi : Prévisions technologiques pour 2022 : cloud, données, cybersécurité, IA et plus encore
À propos de l’auteur :
Saryu Nayyar, PDG de Gurucul