Comment le renseignement sur les menaces cybernétiques vous protège contre les attaques

Le renseignement sur les menaces est comme un radar sous stéroïdes.

Contrairement à un radar traditionnel, qui n'offre qu'une seule lecture à la fois, le renseignement sur les menaces a plus de couches et de signification. Il vous fournit plusieurs niveaux de données et d'analyses simultanément. Il aide les équipes de sécurité à détecter les menaces avant qu'elles n'attaquent, avec des informations plus significatives sur les défis de sécurité.

Un bon logiciel de renseignement sur les menaces peut vous aider à identifier de nouvelles vulnérabilités avant qu'un pirate ne les exploite en vous avertissant lorsque les tactiques d'un attaquant changent afin que vous puissiez adapter vos défenses.

Le contexte est le pilier du renseignement sur les menaces. Sans lui, le renseignement sur les menaces se transforme en un flux d'alertes ingérable. Cela ressemblerait au contenu désorganisé de votre application Notes réparti sur plusieurs systèmes.

Lorsque les analystes de sécurité ont du contexte, ils sont mieux équipés pour comprendre la menace et les acteurs de la menace auxquels ils ont affaire afin de créer un plan de réponse adapté à chaque situation.

Si le contexte est le pilier du renseignement sur les menaces, la pertinence, la rapidité et l'exploitabilité en deviennent les supports. Ces trois éléments du renseignement sur les menaces cybernétiques (CTI) garantissent que les données de menace pertinentes sont collectées et analysées rapidement, fournissant des conseils exploitables pour la prise de décision.

Chasse aux menaces vs renseignement sur les menaces

La chasse aux menaces est le processus de recherche de menaces à travers les systèmes en utilisant le renseignement sur les menaces collecté et traité. Elle est menée pour prouver ou réfuter une hypothèse de menaces identifiées dans le réseau d'une organisation.

Les équipes de sécurité supposent qu'au moins un système a été compromis lors de la réalisation du processus de chasse aux menaces. Elles recherchent des preuves de menace en utilisant des outils tels que les logiciels de détection et de réponse aux points de terminaison (EDR) et les outils de gestion des informations et des événements de sécurité (SIEM). La chasse aux menaces vise à réduire le temps de compromission du système et la réponse aux incidents. 

D'autre part, le renseignement sur les menaces fournit des informations sur les menaces actuelles et émergentes. Les organisations obtiennent ces données par le biais de flux de renseignement sur les menaces et rédigent un rapport détaillé. Une fois que l'entreprise utilise ces informations pour identifier les tendances, l'équipe de sécurité peut mettre en place des défenses pertinentes pour empêcher une menace de nuire aux actifs de l'organisation. 

Pourquoi le renseignement sur les menaces est-il important ?

Le renseignement sur les menaces cybernétiques (CTI) est un critère indispensable pour les organisations si elles veulent prendre les bonnes décisions au bon moment avant, pendant et après une situation cybernétique hostile. Les cybercriminels ont amélioré leurs tactiques, techniques et procédures (TTP), rendant le renseignement sur les menaces indispensable pour les équipes de sécurité qui collectent des données de renseignement sur les menaces et remédient avec succès aux vulnérabilités avant qu'elles ne soient compromises.

Le renseignement sur les menaces peint un tableau clair du paysage des menaces d'une organisation. Il simplifie et facilite les efforts d'une organisation pour développer, maintenir et affiner les exigences en matière de renseignement, qui soutiennent toutes les opérations commerciales dans la phase de planification et d'exploitation du cycle de vie du renseignement sur les menaces. 

Certaines organisations équipent leur équipe de flux de données de menace dans leur réseau, mais en fin de compte, cela surcharge les travailleurs avec des données qui ne contiennent aucune intelligence exploitable sur laquelle travailler. Avec des outils de renseignement sur les menaces, les analystes de sécurité peuvent mieux prioriser les actions sur les menaces.

Types de renseignement sur les menaces

Le renseignement sur les menaces cybernétiques peut être classé en trois types : stratégique, tactique et opérationnel. Ils répondent à des objectifs uniques et fournissent une vue d'ensemble complète du paysage des menaces lorsqu'ils sont réunis.

CTI stratégique

Le renseignement sur les menaces cybernétiques stratégique fournit une vue d'ensemble du niveau de sécurité d'une organisation, des risques, des tendances des cyberattaques et des impacts financiers. Le public principal du CTI stratégique est la direction générale ou la haute direction. Un rapport de CTI stratégique s'éloigne des lourdeurs techniques et discute généralement de l'impact commercial d'une menace cybernétique et des risques futurs.  

Si vous avez une compréhension raisonnable des menaces présentes et futures, vous êtes mieux équipé pour renforcer votre posture de sécurité et atténuer les risques. Les décideurs clés utilisent les rapports de CTI stratégique pour évaluer leurs décisions et enquêter sur leur impact. Le renseignement stratégique peut provenir de sources internes et externes. Par exemple, vous pouvez extraire des données de renseignement stratégique d'experts, de livres blancs et de médias locaux et nationaux.

CTI tactique

Le renseignement sur les menaces tactiques (TTI) se concentre sur l'identification et l'atténuation des menaces potentielles auxquelles une organisation est confrontée. Comparé à d'autres types de CTI, le TTI est un processus à court terme. Il aide les entreprises à reconnaître les tactiques, techniques et procédures (TTP) malveillantes et nécessite une compréhension approfondie des attaquants, de leurs compétences et de leur environnement de travail. 

Le CTI tactique répond aux besoins du personnel de sécurité et des administrateurs et établit un contexte technique. Les rapports des fournisseurs de sécurité sont un excellent endroit pour rechercher du CTI tactique. Vous pouvez les explorer en profondeur pour rechercher des techniques d'attaque, des outils et des infrastructures. 

Ces informations de renseignement sont généralement de courte durée car tout indicateur de compromission peut devenir obsolète en quelques heures seulement. 

Ce type de renseignement sur les menaces est principalement automatisé car l'équipe peut le générer rapidement.

CTI opérationnel

Le renseignement sur les menaces opérationnel (OTI) est le plus utile lorsque la menace est active. Les informations en temps réel aident les équipes de sécurité à se défendre contre une cyberattaque en cours. Il permet aux équipes d'identifier les capacités et les motivations d'un attaquant et d'avoir une idée de ses prochaines étapes. 

Votre flux de renseignement sur les menaces opérationnelles comprend des indicateurs de compromission, des hachages, des URL, des noms de domaine et des adresses IP. Vous pouvez consommer efficacement ces informations grâce à des outils tels que pare-feu, systèmes de gestion des informations et des événements de sécurité (SEIM), et systèmes de détection et de prévention des intrusions.

Ce type de renseignement sur les menaces fournit des informations techniques telles que les vulnérabilités exploitées ou les domaines de commande et de contrôle utilisés. Il facilite la tâche des analystes pour identifier et répondre à une menace cybernétique à temps. 

Sources de renseignement sur les menaces

Le renseignement sur les menaces peut provenir de systèmes de détection internes, de pairs de confiance, de services d'abonnement payants, d'agences gouvernementales, de communautés open-source ou participatives, et de blogs. Ces sources peuvent être largement classées en trois catégories, comme décrit ci-dessous.

• Interne : Données de menace collectées à partir du réseau interne de l'organisation et SEIM. Par exemple, journaux d'événements, alertes, journaux de pare-feu, rapports de réponse aux incidents ou journaux du système de noms de domaine (DNS). 
• Externe : Données de renseignement sur les menaces accumulées à partir de chercheurs en sécurité indépendants, de listes de blocage et de blogs de fournisseurs. Ce renseignement open-source fournit un contexte sans coût. Cependant, déterminer la qualité et la pertinence de ce type de données est délicat. Une source externe inclut également des données provenant de services payants qui fournissent des rapports de données structurés et des flux de renseignement. Ces abonnements payants ont des accords de niveau de service sur la qualité des données. 
• Communauté : Les informations sur les menaces sont collectées à partir de canaux de confiance avec des membres ayant les mêmes intérêts – par exemple, les centres de partage et d'analyse d'informations (ISACs). 

Cycle de vie du renseignement sur les menaces

Le cycle de vie du renseignement sur les menaces comprend six phases itératives et adaptables qui rendent les données brutes concluantes. Cela construit un cadre de renseignement sur les menaces pour les programmes de cybersécurité et les guide pour maintenir des normes élevées d'hygiène des données et tirer des informations exploitables des données. 

Planification et direction

La phase de planification et de direction pose les bases de l'analyse du renseignement sur les menaces. Elle implique de définir le but et le périmètre, puis d'identifier les objectifs et les tâches significatifs nécessaires pour atteindre la vision d'un programme de renseignement sur les menaces. Les analystes se réfèrent souvent à ces éléments comme des exigences de renseignement (IRs), et les professionnels des organisations du secteur public les appellent des éléments essentiels de renseignement (EEIs). 

Les analystes de sécurité peuvent également identifier les attaquants potentiels, leurs motivations, les surfaces d'attaque possibles et les mesures de sécurité pour se défendre contre les cyberattaques potentielles. Cette phase fournit une vue d'ensemble plus large et des raisons d'exécuter un programme de renseignement sur les menaces sans entrer trop dans les détails techniques. 

Le responsable de la sécurité de l'information (CISO) d'une organisation guide généralement cette étape et aide l'équipe de sécurité à établir les bases pour mener des activités de renseignement sur les menaces. Cela implique d'identifier toutes les informations nécessaires pour atteindre les objectifs fixés, de définir des indicateurs de performance clés (KPIs) et de traiter les défis possibles que les analystes pourraient rencontrer lors de l'analyse. 

Les phases de planification et de direction incluent également l'étude de l'impact des interruptions et de la perte d'actifs pour l'organisation. 

Collecte

Le but de la phase de collecte est de rassembler une bonne quantité de données de haute qualité. Une bonne qualité des données vous aide à éviter les faux positifs et à vous concentrer sur les événements de menace critiques. La phase de collecte identifie les types de données et les sources de renseignement sur les menaces qui peuvent fournir des informations de qualité pour l'analyse. 

Les analystes collectent des données à partir de sources de trafic, des réseaux sociaux, de pairs de confiance, d'experts de l'industrie et de vulnérabilités et exploits communs (CVEs) selon les objectifs définis dans la première phase. Les données peuvent provenir de sources internes, externes ou communautaires, à condition qu'elles soient fiables. 

Traitement

La phase de traitement implique de formater les données collectées pour les rendre adaptées à l'analyse. Les analystes organisent les données sur des feuilles de calcul, décryptent des fichiers, extraient des métadonnées d'échantillons de logiciels malveillants, traduisent des données de sources étrangères et vérifient la qualité des données. Ils éliminent également les redondances et les faux positifs. 

Les analystes doivent travailler avec de gros volumes de données lors de la phase de traitement. Le traitement manuel semble irréaliste avec le nombre d'IoCs que les organisations gèrent. Les CISOs préfèrent l'automatisation pour accélérer le processus et le rendre réalisable pour leur équipe. 

Analyse

Lors de la phase d'analyse, les analystes travaillent à déchiffrer l'ensemble de données et à produire des éléments d'action, des recommandations et des suggestions pour les parties prenantes critiques du programme de renseignement sur les menaces. Elle examine en profondeur l'ensemble de données pour répondre aux questions de la phase de planification. 

La phase d'analyse du cycle de vie du renseignement sur les menaces vise à convertir les données traitées en contexte grâce à une corrélation avancée et à la modélisation des données. Bien que ce soit une phase largement orientée vers l'humain, certaines décisions banales ou à faible risque pourraient être automatisées à mesure que l'intelligence artificielle et l'apprentissage automatique progressent.

Diffusion

Les phases de diffusion travaillent à rapporter les résultats de la phase d'analyse aux parties prenantes, les aidant à prendre les bonnes décisions au bon moment. Vous devez enregistrer ces résultats et les suivre. Cela vous aide à conserver les informations de la première itération du cycle de vie du renseignement sur les menaces et vous empêche de les perdre lors des itérations suivantes. 

Dans une entreprise, plusieurs équipes dépendent du renseignement sur les menaces et ont des besoins et des compétences uniques. Lors de la rédaction du rapport, assurez-vous que les éléments d'action et les recommandations de l'analyse du renseignement sur les menaces sont compréhensibles et exploitables pour chaque équipe. Vous pouvez rapporter l'analyse en utilisant des graphiques, des tableaux et des tableaux faciles à digérer afin que les différents départements puissent tirer des conclusions logiques.

Dans votre rapport, faites des recommandations avec des arbres de décision et des processus nécessaires pour initier une réponse aux incidents, une remédiation des menaces et la gestion des vulnérabilités.

Retour d'information

La phase de retour d'information vous permet de comprendre comment vous pouvez vous améliorer lors de votre prochaine itération des étapes du renseignement sur les menaces. Assurez-vous que les parties prenantes vous disent à quelle fréquence elles ont besoin de recevoir des rapports de renseignement sur les menaces et comment elles souhaitent que les données soient présentées. Documentez les retours que vous recevez des parties prenantes et apprenez-en. 

La phase de retour d'information est étroitement liée à la phase de planification et de direction, car elle aide les parties prenantes clés à guider leur cycle de vie du renseignement sur les menaces. Elle garantit que les besoins en renseignement sont satisfaits et permet aux parties prenantes de faire des modifications en fonction des priorités changeantes. 

L'objectif ultime de la phase de retour d'information est d'affiner continuellement le programme de renseignement sur les menaces et d'obtenir des informations précises pour les personnes qui en ont besoin. 

Défis du renseignement sur les menaces

Structurer les stratégies, les défenses et les contre-mesures de cybersécurité d'une organisation ne se fait pas sans défis. Voici quelques-uns des obstacles que rencontrent les clients et les producteurs de renseignement sur les menaces. 

Surcharge de données de renseignement sur les menaces

Il existe de nombreux flux de renseignement sur les menaces qui fournissent des données brutes. Le volume même des données pose un défi pour les analystes de sécurité qui doivent identifier, prioriser et travailler sur des ensembles de données spécifiques pour produire un renseignement exploitable rapidement. 

Les organisations ont abordé ce problème en identifiant des ressources fiables, en optimisant leurs techniques et en utilisant des plateformes de renseignement sur les menaces.

Qualité et interopérabilité des données de menace

La qualité des données de renseignement sur les menaces reste l'un des principaux problèmes du CTI. Les fournisseurs de flux de sécurité doivent améliorer leurs capteurs et leurs techniques pour capturer des données pertinentes afin de rendre le renseignement sur les menaces plus précieux.

D'autre part, le manque de standardisation dans lequel les données brutes de renseignement sur les menaces sont partagées entre pairs contribue à la friction dans l'interopérabilité. Pour y remédier, le groupe MITRE a lancé quelques normes : Structured Threat Information Expression (STIX) et Trusted Automated Exchange of Indicator Information (TAXII). 

Cependant, si la standardisation ne peut pas être établie lors du partage des données en raison de contraintes, les pairs peuvent utiliser la transformation des données.

Problèmes juridiques et de confidentialité

Il peut y avoir des problèmes de confidentialité et juridiques concernant la manière dont les données sont partagées et les lois qui les régissent. Certaines entreprises s'abstiennent de partager des données de menace pour plusieurs raisons, comme les dommages à la réputation. 

Parfois, cela peut entraîner une pénurie de données de menace sur une cyberattaque opérationnelle qui continue de nuire aux entreprises.

ML adversarial

Les cybercriminels peuvent détecter des failles dans l'apprentissage automatique (ML)  augmentée par le renseignement sur les menaces cybernétiques et alimenter des entrées malveillantes pour augmenter son taux de mauvaise classification. Cela entraîne des fuites de données.  Les attaquants peuvent tirer un avantage indu des modèles de ML qui sont généralement formés pour traiter des données provenant de distributions originales similaires, ce qui peut amener ces modèles à mal fonctionner.

Logiciel de renseignement sur les menaces

Le logiciel de renseignement sur les menaces fournit des informations sur de nouvelles formes de cyberattaques telles que les attaques zero-day, les logiciels malveillants, l'injection SQL et le cross-site scripting. Le logiciel adapte les informations spécifiques au réseau, aux appareils de point de terminaison et à l'infrastructure de l'organisation. Les équipes de sécurité utilisent le renseignement exploitable généré par le logiciel pour se défendre contre les menaces émergentes et créer des plans pour remédier aux vulnérabilités.

Pour être inclus dans la liste des logiciels de renseignement sur les menaces, un produit doit :

• Informer l'utilisateur des vulnérabilités et menaces émergentes
• Fournir des détails sur les pratiques de remédiation des menaces courantes
• Examiner les menaces mondiales sur différents réseaux et appareils
• Offrir des informations sur les menaces à des solutions informatiques spécifiques

* Voici les cinq principaux logiciels de renseignement sur les menaces du rapport Grid® Summer 2022 de G2. Certains avis peuvent être édités pour plus de clarté.

1. CrowdStrike Falcon : Protection des points de terminaison

CrowdStrike Falcon : Protection des points de terminaison aide les équipes de sécurité à protéger les systèmes contre les cyberattaques en utilisant un capteur léger. Il n'est pas nécessaire d'installer d'équipement sur site ou de scanner fréquemment les systèmes avec le logiciel. La plateforme est flexible et extensible pour répondre à vos besoins de sécurité.

Ce que les utilisateurs aiment :

« La plateforme de gestion centrale de CrowdStrike est fantastique. En tant que département peu doté en personnel dans notre organisation, nous devons faire beaucoup plus avec moins, et nous ne pouvons absolument pas sacrifier la sécurité. Nous pouvons facilement gérer tous nos points de terminaison à tout moment, n'importe où. »

- CrowdStrike Falcon : Protection des points de terminaison Avis, Ryan M.

Ce que les utilisateurs n'aiment pas :

« L'interface utilisateur pourrait être meilleure. Elle devrait offrir plus d'accès aux rapports. »

- CrowdStrike Falcon : Protection des points de terminaison Avis, Abhimanyu S.

2. FortiGate NGFW

Le pare-feu de nouvelle génération FortiGate est un appareil de sécurité réseau qui ajoute la prévention des intrusions, l'inspection des sockets sécurisés (SSL), la visibilité des applications et des utilisateurs, et la détection des menaces inconnues au pare-feu traditionnel. Les organisations comptent sur FortiGate pour se défendre contre les menaces réseau basées sur le web.

Ce que les utilisateurs aiment :

« Nous utilisons le pare-feu FortiGate comme périmètre depuis plus de cinq ans. Nous sommes complètement dépendants d'un pare-feu de nouvelle génération car nous avons de nombreuses applications web accessibles de l'extérieur.

La console d'administration est simple, et le processus d'apprentissage est tout aussi simple. Il est très facile de faire les configurations initiales. De plus, un pare-feu de nouvelle génération aide à connecter nos différents bureaux. Nous avons également configuré un VPN SSL pour la connectivité des bureaux. »

- FortiGate NGFW Avis, Samurthika A.

Ce que les utilisateurs n'aiment pas :

« Parfois, il peut être difficile de bloquer le contenu d'un site web avec le filtrage web car les pages web contiennent des sites web qui consomment d'autres ressources. L'administration sur un appareil mobile est très compliquée. Elle ne s'adapte pas à l'écran des smartphones ou des tablettes, et l'option de FortiExplore a un coût supplémentaire dans les magasins en ligne. »

- FortiGate NGFW Avis, Luis O.

3. Dataminr

Dataminr’s AI platform provides the earliest signals of emerging risks and high-impact events from publicly available data. It improves event detection accuracy by using deep learning-based multi-modal AI fusion methods. 

Ce que les utilisateurs aiment :

« J'aime vraiment les fonctionnalités de la carte et la possibilité de voir les alertes en temps réel lorsqu'elles apparaissent sur la carte, ainsi que la possibilité de recevoir des alertes par e-mail/pop-up pour les moments où vous ne pouvez pas continuer à regarder l'écran sur Dataminr.

J'aime aussi vraiment le support que notre point de contact fournit – il répond très rapidement et est toujours utile. »

- Dataminr Avis, Utilisateur dans la sécurité et les enquêtes

Ce que les utilisateurs n'aiment pas :

« Parfois, nous avons une surcharge d'informations, mais l'équipe de Dataminr fournit un support inégalé aux membres individuels de l'équipe pour résoudre tout problème. »

- Dataminr Avis, Utilisateur dans l'assurance

4. Intezer Analyze

Intezer Analyze speeds up incident response by automating alert triage, incident response, and threat hunting. It easily integrates into the security operations center and incident response teams' workflows and eliminates false positives by reducing alert response time. 

Ce que les utilisateurs aiment :

« Intezer est l'un des meilleurs outils d'analyse de menaces et de virus en ligne, et il a des fonctionnalités et des intégrations uniques par rapport aux autres outils de sécurité. J'aime le plus l'outil d'analyse en ligne d'Intezer via le téléchargement de fichiers où vous pouvez télécharger votre fichier suspect pour analyser les menaces. Intezer dispose également d'autres outils d'analyse tels que l'URL, le vidage de mémoire, le point de terminaison et la sécurisation de votre déploiement cloud à l'aide d'Intezer Protect.

Intezer vous donne accès à diverses interactions de plateformes avec des plugins pour Chrome et plus encore. »

- Intezer Analyze Avis, Ajay R.

Ce que les utilisateurs n'aiment pas :

« Le modèle de tarification est déroutant et arbitraire. Parfois, les analyses sont un peu ambiguës en termes de "ce fichier est-il malveillant ou non". Je comprends que c'est le nom du jeu, mais un système de vote communautaire comme Virus Total irait loin pour rendre les résultats un peu plus conviviaux. »

- Intezer Analyze Avis, Derek W.

5. Silo by Authentic8

Silo by Authentic8 exécute tout le code web sur des serveurs cloud sécurisés tout en garantissant que les enquêtes en ligne restent sécurisées et que les menaces web ne touchent jamais les actifs de confiance. Il maintient des journaux d'audit entièrement cryptés et un contrôle complet des politiques sur l'activité des utilisateurs, quel que soit l'ordinateur, le réseau ou l'application cloud.

Ce que les utilisateurs aiment : 

« J'ai mis en œuvre cela de différentes manières pour prendre en charge différents cas d'utilisation, et chaque fois, il était simple et rapide de se mettre en marche. De plus, trouver des informations comme qui parle à quels domaines, ou quels domaines vous voyez être des logiciels malveillants, ou C2 est juste une recherche simple sans nécessiter beaucoup de recherche de données. 

Pas besoin de configurer des paramètres supplémentaires sur le côté point de terminaison ! Nous devons entrer l'IP du serveur DNS de l'umbrella. Il fournit des politiques de blocage exceptionnelles pour empêcher l'utilisateur de visiter des sites indésirables. »

- Silo by Authentic8 Avis, Hegar M.

Ce que les utilisateurs n'aiment pas :

« Il y a certains aspects techniques et de service qui pourraient être améliorés. Par exemple, le service utilisateur prend généralement beaucoup de temps sans besoin. Les temps de réponse par e-mail peuvent prendre plusieurs jours pour des problèmes qui peuvent être facilement résolus. »

- Silo by Authentic8 Avis, Akio Y.

Regardez en arrière chaque regard malveillant

Ce n'est pas une nouvelle pour personne que le paysage numérique devient de plus en plus dangereux, avec des menaces et des vulnérabilités apparaissant de tous côtés. Le renseignement sur les menaces vous aide à identifier ces menaces en premier lieu et à atténuer les risques avant qu'ils ne puissent affecter votre entreprise. 

Le renseignement sur les menaces vous permet de reconnaître les surfaces d'attaque potentielles, de remédier aux vulnérabilités de vos systèmes avant que les attaquants ne les exploitent, et de tenir tête aux cybercriminels.

Découvrez comment vous pouvez remédier efficacement aux vulnérabilités de vos réseaux et systèmes avec un processus robuste de gestion des vulnérabilités.