{"id":11750,"date":"2019-05-22T09:57:48","date_gmt":"2019-05-22T09:57:48","guid":{"rendered":"https:\/\/www.kaspersky.fr\/blog\/?p=11750"},"modified":"2019-11-22T08:50:33","modified_gmt":"2019-11-22T08:50:33","slug":"evaluating-threat-intelligence","status":"publish","type":"post","link":"https:\/\/www.kaspersky.fr\/blog\/evaluating-threat-intelligence\/11750\/","title":{"rendered":"\u00c9valuation des sources de renseignements sur les menaces"},"content":{"rendered":"

Avec une surface d\u2019attaque en expansion et des menaces de plus en plus sophistiqu\u00e9es, il n\u2019est plus suffisant de r\u00e9agir \u00e0 un incident. Les environnements sont de plus en plus complexes et fournissent de nombreuses opportunit\u00e9s aux cybercriminels. Chaque secteur et chaque entreprise a des donn\u00e9es \u00e0 prot\u00e9ger, et utilise un ensemble d\u2019applications, de technologies, et autres qui lui sont propres. Toutes ces diff\u00e9rences introduisent un nombre consid\u00e9rable de variables en termes de m\u00e9thodes pouvant \u00eatre utilis\u00e9es pour r\u00e9aliser une attaque, avec de nouvelles m\u00e9thodes qui apparaissent tous les jours.<\/p>\n

Au cours de ces derni\u00e8res ann\u00e9es, nous avons observ\u00e9 un estompement des fronti\u00e8res entre les types de menaces et les types d\u2019acteurs de menaces. Les m\u00e9thodes et outils qui ne mena\u00e7aient qu\u2019un nombre limit\u00e9 d\u2019entreprises se sont propag\u00e9s \u00e0 un march\u00e9 plus vaste. Un bon exemple est le dumping de code par le groupe Shadow Brokers, qui a mis des exploits avanc\u00e9s \u00e0 disposition de groupes criminels qui n\u2019auraient jamais pu avoir acc\u00e8s \u00e0 ces codes si sophistiqu\u00e9s sans leur aide. Un autre exemple est l\u2019\u00e9mergence de campagnes de menaces persistantes avanc\u00e9es (APT) qui ne se concentrent pas sur le cyber-espionnage mais sur le vol, afin de d\u00e9rober des fonds et financer d\u2019autres activit\u00e9s du groupe APT. La liste est longue.<\/p>\n

Une nouvelle approche est n\u00e9cessaire<\/strong><\/p>\n

Alors que de plus en plus d\u2019entreprises sont victimes d\u2019attaques avanc\u00e9es et cibl\u00e9es, il est \u00e9vident qu\u2019il faut adopter de nouvelles m\u00e9thodes pour avoir une d\u00e9fense efficace. Pour se prot\u00e9ger, les entreprises doivent adopter une approche proactive, et adapter constamment leurs contr\u00f4les de s\u00e9curit\u00e9 \u00e0 cet environnement de menaces qui est en constante \u00e9volution. Ce n\u2019est qu\u2019en \u00e9tablissant un programme efficace de renseignements sur les menaces que nous pourrons suivre le rythme de ces changements.<\/p>\n

Les renseignements sur les menaces sont d\u2019ores et d\u00e9j\u00e0 un composant cl\u00e9 en mati\u00e8re d\u2019op\u00e9rations de s\u00e9curit\u00e9 \u00e9tablies par les entreprises de diff\u00e9rentes tailles, de tous les secteurs, et de n\u2019importe quel pays. L\u2019Homme et les machines peuvent lire ces informations puisque ces renseignements sur les menaces peuvent aider les \u00e9quipes de s\u00e9curit\u00e9 en fournissant d\u2019importantes donn\u00e9es tout au long du cycle de gestion de l\u2019incident et en partageant des d\u00e9cisions strat\u00e9giques.<\/p>\n

Cependant, la demande croissante de renseignements externes sur les menaces a donn\u00e9 lieu \u00e0 l\u2019abondance de fournisseurs de renseignements sur les menaces, chacun offrant une gamme de services diff\u00e9rents. Votre entreprise peut \u00eatre extr\u00eamement confuse et particuli\u00e8rement frustr\u00e9e lorsqu\u2019elle doit choisir la bonne solution, \u00e0 cause de l\u2019\u00e9tendue de ce vaste march\u00e9 comp\u00e9titif qui propose une multitude d\u2019options complexes.<\/p>\n

\"\"

Op\u00e9rations de s\u00e9curit\u00e9 qui reposent sur les renseignements sur les menaces<\/p><\/div>\n

<\/h4>\n

Si les renseignements sur les menaces ne sont pas adapt\u00e9s aux besoins de votre entreprise alors ils peuvent aggraver la situation. De nos jours, les analystes de s\u00e9curit\u00e9 de nombreuses entreprises passent plus de la moiti\u00e9 de leur temps \u00e0 s\u2019occuper de faux positifs qu\u2019\u00e0 chasser et r\u00e9pondre aux menaces de fa\u00e7on proactive, ce qui entra\u00eene une hausse significative des temps de d\u00e9tection. Fournir des renseignements inexacts ou non pertinents \u00e0 vos op\u00e9rations de s\u00e9curit\u00e9 va faire augmenter d\u2019autant plus le nombre de fausses alertes, et aura un s\u00e9rieux impact n\u00e9gatif sur vos capacit\u00e9s de r\u00e9ponse, et sur la s\u00e9curit\u00e9 de votre entreprise en g\u00e9n\u00e9ral.<\/p>\n

Les meilleurs renseignements se trouvent\u2026<\/strong><\/p>\n

Comment \u00e9valuer les diff\u00e9rentes sources de renseignements sur les menaces\u00a0? Comment identifier celles qui sont les plus pertinentes pour votre entreprise et les rendre fonctionnelles de fa\u00e7on efficace\u00a0? Comment faire le bon choix parmi cette quantit\u00e9 \u00e9norme de campagnes marketing inutiles o\u00f9 chaque vendeur dit avoir le meilleur syst\u00e8me\u00a0?<\/p>\n

Ces questions, m\u00eame si elles sont parfaitement valides, ne sont pas celles que vous devriez vous poser au d\u00e9but. Attir\u00e9es par les messages tape-\u00e0-l\u2019\u0153il et les grandes promesses, de nombreuses entreprises pensent qu\u2019un vendeur externe peut leur fournir une esp\u00e8ce de superpouvoir avec une vision \u00e0 rayons X, et ignorent compl\u00e8tement le fait que les renseignements les plus pr\u00e9cieux se trouvent au sein du r\u00e9seau de leur entreprise.<\/p>\n

Les donn\u00e9es relatives aux syst\u00e8mes de d\u00e9tection d\u2019intrusion et de pr\u00e9vention, aux pares-feux, aux registres d\u2019applications, et aux registres d\u2019autres contr\u00f4les de s\u00e9curit\u00e9 peuvent r\u00e9v\u00e9ler beaucoup de choses sur ce qu\u2019il se passe au sein du r\u00e9seau de l\u2019entreprise. Ces actions permettent d\u2019identifier les mod\u00e8les d\u2019activit\u00e9s malveillantes propres \u00e0 l\u2019entreprise, et peuvent faire la diff\u00e9rence entre un utilisateur normal et un comportement en r\u00e9seau, aider \u00e0 maintenir un suivi de l\u2019activit\u00e9s des donn\u00e9es d\u2019acc\u00e8s, identifier une \u00e9ventuelle faille de donn\u00e9es qui doit \u00eatre corrig\u00e9e, et bien d\u2019autres choses. Cette visibilit\u00e9 permet aux entreprises de rendre les renseignements externes sur les menaces op\u00e9rationnels, en les rattachant \u00e0 ce qui a \u00e9t\u00e9 observ\u00e9 en interne. D\u2019autre part, il pourrait \u00eatre difficile d\u2019utiliser les sources externes. Certains vendeurs peuvent avoir une visibilit\u00e9 plus \u00e9largie des cybermenaces gr\u00e2ce \u00e0 leur pr\u00e9sence mondiale, et leur capacit\u00e9 \u00e0 recueillir, traiter et mettre en corr\u00e9lation les donn\u00e9es communiqu\u00e9es depuis divers endroits dans le monde. Ces actions ne sont utiles que lorsque le contexte interne est suffisant.<\/p>\n

\"\"

Rendre fonctionnels les renseignements externes sur les menaces<\/p><\/div>\n

\u00a0<\/p>\n

Pensez comme un cybercriminel<\/strong><\/p>\n

Pour concevoir un programme efficace de renseignements sur les menaces, les entreprises, y compris celles qui ont des centres de gestion de s\u00e9curit\u00e9 \u00e9tablis, doivent penser comme un cybercriminel ; elles doivent identifier et prot\u00e9ger les cibles les plus probables. Pour tirer une valeur r\u00e9elle de ce programme de renseignements sur les menaces, les entreprises doivent comprendre clairement quels sont les actifs cl\u00e9s, et quels sont les ensembles de donn\u00e9es et les processus d\u2019entreprises essentiels pour que l\u2019entreprise puisse atteindre les objectifs fix\u00e9s. L\u2019identification de ces \u00ab\u00a0joyaux\u00a0\u00bb permet aux entreprises de mettre en place des points de collecte de donn\u00e9es afin de cadrer davantage les donn\u00e9es recueillies avec les informations sur les menaces disponibles en externe. Si nous prenons en compte les ressources limit\u00e9es que les services de s\u00e9curit\u00e9 de l\u2019information ont g\u00e9n\u00e9ralement \u00e0 leur disposition, d\u00e9crire une entreprise dans sa totalit\u00e9 repr\u00e9sente un travail colossal. La solution consiste \u00e0 adopter une approche bas\u00e9e sur le risque, et \u00e0 se concentrer d\u2019abord sur les cibles les plus susceptibles.<\/p>\n

Une fois que les sources internes de renseignements sur les menaces sont \u00e9tablies et fonctionnelles, l\u2019entreprise peut alors penser \u00e0 ajouter des informations externes \u00e0 ces flux de travail existants.<\/p>\n

Une question de confiance<\/strong><\/p>\n

Les sources externes de renseignements sur les menaces varient suivant le niveau de confiance :<\/p>\n