SECaaS, la sécurité en mode managé. Par nécessité, par souci d’efficacité. Et, surtout, pour réduire les coûts, du fait de la mutualisation.

«Que faites-vous de vos logs ?» Même si la plupart des atteintes à la protection des données sont persistantes et soutenues, les organisations ont souvent du mal à les déceler. Les raisons ? Multiples. Certaines n’ont pas de stratégie de gestion des journaux de sécurité. Il arrive aussi que certains systèmes ne fonctionnent pas correctement. Autre constat : les  journaux ne sont tout simplement pas examinés.

Questionnés par Fabrice Hecquet, Sales Manager, Cyber Security Management, lors du récent Security Forum 2020, qui s’est tenu mardi 13 octobre en même temps qu’Infra ICT 2020, les participants ont majoritairement reconnu qu’ils ne les examinaient pas !

Tout devient lourd

Première raison invoquée, un manque de ressources. C’est vrai pour les logs. C’est vrai pour la sécurité en général. Surveillance de l’ensemble des applications et des appareils, mise en œuvre des nouveaux contrôles de sécurité… tout devient trop lourd.

«Dans le contexte numérique d’aujourd’hui, l’approche traditionnelle en matière de sécurité ne fonctionne plus, constate Fabrice Hecquet. Les firewalls ne tiennent pas compte des vecteurs d’infection tels que les attaques par hameçonnage et l’ingénierie sociale. Les logiciels malveillants et les techniques d’anonymisation peuvent contourner les contrôles de sécurité en place. Même les systèmes de détection des intrusions et les solutions antivirus tombent en désuétude.»

Réassurer le top management

Un SOC ? Rares sont les organisations qui peuvent se permettre d’en mettre un en place. Troc cher. Seule alternative : l’externalisation. C’est éviter la complexité de la mise en œuvre d’un tel dispositif : mise en place de nombreux outils, recherche d’experts dans le domaine, maitrise des outils, analyse des incidents, forensic. Dans ce modèle, des personnes compétentes et opérationnelles sont mises à disposition immédiatement. En clair : sans attendre de longs processus de recrutement. C’est aussi un moyen de bénéficier de l’expérience d’analystes qui ont surveillé d’autres environnements.

Disposer d’un SOC externe permet de réassurer le top management. La perception associée au recours à un expert externe est souvent meilleure que celle issue d’un SOC interne. En outre, la vulgarisation des éléments techniques est facilitée au profit d’une meilleure compréhension des enjeux et besoins par la direction.

SECaaS : le meilleur… sans investir

«En mode SECaaS, nous aidons les clients à se concentrer sur ce qui compte. Comment ? En éliminant les fausses alertes, en effectuant un triage efficace avant de lancer une alerte. Egalement en établissant la priorité des risques pour assurer l’affectation la plus efficace possible des ressources» L’approche de Cyber Security Management est exhaustive : aider les clients à réagir de façon proactive face aux menaces, 24 heures sur 24 et 7 jours sur 7. Offrir, aussi,  un niveau de protection encore plus important.

Passez au SECaaS, conseille Fabrice Hecquet. «Vos collaborateurs disposeront toujours de la dernière version des outils que vous souhaitez utiliser dans votre entreprise. Et sans investir. Vous n’aurez plus à faire l’acquisition de matériel. L’anticipation des frais variables d’une bonne protection du réseau est également désuète. En effet, le SECaaS fonctionne sur la base d’un abonnement à coût fixe. Vous passez en mode OPEX !»

Les terminaux en première ligne, place à l’EDR !

Pour empêcher les attaques, commencez par protéger votre périmètre ! Une évidence ? Pas vraiment. «Longtemps, rappelle Fabrice Hecquet, on a privilégié le périmètre informatique. On a pensé qu’une fois celui-ci était suffisamment protégé, il suffisait d’étendre la stratégie de sécurité globale aux terminaux… Cette approche s’avère toutefois insuffisante à l’heure où les technologies mobiles, les objets connectés et le cloud computing compliquent considérablement la délimitation et, à plus forte raison, la défense, d’un périmètre informatique. Le périmètre défensif est devenu caduque !»

Les attaques ciblées, l’augmentation notable du nombre de techniques de pénétration complexes et de programmes malveillants sans fichier, l’utilisation de logiciels légitimes, les vols d’informations d’identification d’utilisateurs ordinaires, le détournement d’autorisations légitimes, l’exploitation des problèmes inhérents aux stratégies de sécurité et les mauvaises configurations sont autant d’enjeux qui ont poussé les entreprises à reconnaître l’importance des stratégies et solutions de sécurité intégrées. Cette prise de conscience s’est alors traduite par le développement des SIEM (Security Information and Event Management) ainsi que des SOC (Security Operational Center). Par la force des choses, la cybersécurité d’entreprise est devenue proactive, multifacette et hautement spécialisée.

Détecter de manière proactive

Place à l’EDR (Endpoint Detection and Response). Une solution EDR propose une visibilité complète sur l’activité de chaque terminal ou point d’accès de l’infrastructure à partir d’une console centrale unique, qui délivre des informations sur la sécurité pour des enquêtes et des réponses plus approfondies.

L’EDR permet de détecter de manière proactive les menaces nouvelles et inconnues mais aussi les infections non identifiées auparavant qui s’infiltrent directement par le biais des terminaux et des serveurs. Pour ce faire, elle analyse des événements qui n’ont pas encore été attribués et qui ne peuvent être classés comme ‘dignes de confiance’ ou ‘définitivement malveillants’.

Les règles ont changé

«Les règles et les restrictions qui étaient auparavant suffisantes pour contrer les attaques, connaissent des limites à l’heure des attaques ciblées et intervenant à plusieurs niveaux du réseau de l’entreprise, insiste encore Fabrice Hecquet. Les solutions de protection des terminaux et EDR doivent fonctionner main dans la main afin d’assurer une protection fiable et efficace contre les menaces de plus en plus sophistiquées.»