MtoM Mag - Le journal de l'MtoM.

À une époque où l’IA permet aux attaquants de se fondre dans la masse et d’agir à la vitesse d’une machine, Tanium Security Operations détecte les menaces en se basant sur le comportement, réagit à grande échelle et met à la disposition de chaque analyste des capacités de traque de niveau expert

Tanium, leader de l’autonomous IT a lancé une nouvelle version de sa solution Tanium Security Operations pour faire face à un nouveau type d’attaquants qui n’ont rien à voir avec les menaces contre lesquelles la plupart des outils de sécurité ont été conçus. L’IA permet désormais à ces attaquants d’agir comme des administrateurs de confiance, en utilisant les outils déjà présents sur chaque machine, en se fondant dans les activités normales et en se propageant sur des milliers de endpoints à une vitesse et à une échelle avec lesquelles aucun analyste ne peut rivaliser. Tanium Security Operations détecte ce comportement au niveau des endpoints, réagit en fonction de l’ampleur de la menace et met à la disposition de chaque analyste des capacités de traque de niveau expert.

Grâce à l’IA, les pirates informatiques n’ont plus besoin de se servir de logiciels malveillants qui pourraient être détectés par un scanner. Ils se connectent à l’aide d’identifiants volés et utilisent les mêmes outils administratifs que ceux utilisés par le service informatique au quotidien. Pour un outil de sécurité entraîné à la traque des fichiers connus pour être malveillants, les activités de ce type ressemblent à celles qui sont menées au cours d’une journée de travail normale. Détecter ce type de comportement implique de savoir à quoi ressemble un fonctionnement normal sur chaque endpoint et d’intervenir sur chacun d’entre eux dès qu’un écart est constaté. Tanium se charge déjà de ce travail pour les équipes informatiques. Tanium Security Operations applique la même approche à l’attaquant, en fonctionnant en parallèle avec les outils SIEM et EDR déjà utilisés par les équipes.

« L’IA a changé la nature des attaquants et la rapidité de leurs actions. La prochaine intrusion ne prendra pas la forme d’un logiciel malveillant, elle ressemblera à l’action de l’un de vos propres administrateurs », déclare Harman Kaur, CTO de Tanium. « Nous avons passé des années à apprendre à reconnaître ce qui est normal sur chaque endpoint utilisé par nos clients. Nous nous appuyons désormais sur ces connaissances pour détecter les éléments qui n’ont pas leur place dans les opérations quotidiennes et les bloquer partout simultanément. C’est de cette manière que doivent évoluer les opérations de sécurité à l’ère de l’IA. »

Une boucle continue de détection, de réponse et traque

Tanium Security Operations s’appuie sur la même plateforme et sur les mêmes données en temps réel que celles utilisées par les équipes informatiques pour gérer l’ensemble des endpoints. Avec cette nouvelle version, la détection, la réponse et la traque ne constituent plus des étapes distinctes devant être transférées d’un outil à l’autre, mais s’exécutent désormais dans une boucle continue.

 Un outil de détection qui s’attarde sur le comportement et ne s’intéresse pas uniquement aux fichiers connus pour être malveillants. Lorsque les attaquants utilisent les mêmes outils que les équipes informatiques, une simple liste de fichiers malveillants ne suffit pas à les repérer. La fonctionnalité New Endpoint Drift apprend le comportement normal de chaque endopint et classe les machines dont le comportement s’écarte de la norme, permettant ainsi aux chasseurs de menaces de démarrer leurs recherches là où cela compte vraiment. Le nouvel Insights Engine remplace la détection d’injection de processus de Tanium par un moteur conçu pour repérer les attaquants qui se cachent au milieu des processus de confiance.

 Une réponse adaptée à la menace. Sans action, la détection n’a guère plus de valeur qu’une simple file d’attente d’alertes. Lorsqu’une attaque se propage à des milliers de endpoints en quelques minutes, un simple bouton de mise en quarantaine est trop rudimentaire et trop lent. Tanium met en œuvre toute une gamme de réponses directement sur les endpoints concernés, qu’il s’agisse d’arrêter un processus isolé, de collecter des preuves numériques ou d’isoler un hôte, sur une seule machine ou sur l’ensemble du parc en même temps. Un nouveau modèle de SOC fédéré permet à différentes équipes chargées de la sécurité de partager une même plateforme tout en définissant leurs propres règles de suppression et réactions automatiques. Ainsi, les règles d’une équipe ne s’appliquent jamais aux endpoints d’une autre équipe. Ce sont les utilisateurs qui définissent les limites, et chaque action automatisée reste dans le cadre de ces dernières.

 Une chasse aux menaces qui concerne tous les analystes, et pas seulement quelques experts. La plupart des équipes consacrent rarement du temps à la chasse aux menaces, car cela nécessite des compétences pointues et des jours de travail. Tanium Atlas change la donne. Un analyste pose une question en langage clair, obtient une réponse de la part de chaque endpoint en quelques secondes, puis agit directement depuis la même interface. Les stratégies de recherche élaborées par les chasseurs de menaces de Tanium guident chaque étape. Tanium Atlas examine également la file d’attente des alertes, procède à leur classement, puis recommande quelles alertes ignorer, escalader, analyser ou contenir. Les équipes peuvent alors utiliser les nouveaux tableaux de bord et modèles SecOps comme point de départ. Avec Tanium, la recherche devient un flux de travail routinier et reproductible que n’importe quel analyste est en mesure d’exécuter.

« Le paysage des menaces alimentées par l’IA a modifié la dynamique des opérations de sécurité », a déclaré Dave Gruber, Chief Cybersecurity Analyst chez Omdia . « La rapidité est plus importante que jamais, car la vitesse d’exécution des attaques dépasse celle des mécanismes et processus actuels mis en œuvre par les opérations de sécurité. Les capacités agentiques peuvent accélérer la détection et la réponse, mais sans accès à des données télémétriques et sans réponse en temps quasi réel, les capacités SOC agentiques restent insuffisantes par rapport aux activités des attaquants. L’approche de Tanium, qui consiste à fonder la détection et la recherche de menaces sur l’état en temps réel des terminaux, comble l’une des lacunes que l’on retrouve presque systématiquement dans les architectures SOC d’entreprise. »

Pour les entreprises qui souhaitent s’adjoindre les services d’experts, Tanium HuntIQ met à leur disposition les chasseurs de menaces de Tanium, qui utilisent la même plateforme et la même IA. Les chasseurs HuntIQ interviennent directement dans les environnements des clients pour détecter les menaces, renforcer les mécanismes de détection et apporter leur assistance dans la réponse aux incidents. Ils sont en mesure de mettre en place une campagne de chasse aux menaces avant même qu’un correctif ou une CVE n’existe, comme ils l’ont fait pour la faille zero-day FalconFlank. Les enseignements tirés de leurs interventions sont réinjectés dans la plateforme. Ainsi, chaque nouvelle campagne de chasse démarre avec une efficacité optimisée.