Nous recherchions un système avec une seule vitre. Le parcours a commencé par déployer le client EDR sur les serveurs, qui s'appelle Trend Microð Deep Security, et Trend Micro Apex Oneð sur les endpoints, tels que les ordinateurs de bureau et portables. Nous les avons ensuite connectés à un seul volet, qui s'appelait XDR, désormais connu sous le nom de Trend Vision One. Cela nous a aidés à chasser et réparer correctement. Nous pouvions voir la communication entre les endpoints et les serveurs et tout ce à quoi ils parlaient. Nous pourrions ensuite l'étendre et la connecter à tous les systèmes via des API. C’était l’exigence initiale que nous avions, et elle fonctionnait très bien dans ce sens.

Lorsque vous achetez des solutions SIEM étendues ou coûteuses, telles que Splunk ou autre, il se passe que vous ayez besoin d'analyses. Vous pouvez écrire des requêtes pertinentes pour interroger les données. En fin de compte, toutes les données entrantes doivent être corrélées. Trend Vision One offre une visibilité dans ce sens.

Nous l’avons connecté au cloud, afin de pouvoir voir la télémétrie d’Azure et du cloud. Nous avons ensuite installé la réponse de détection réseau. Il peut voir et détecter un petit mouvement de la couche réseau. Nous l'avons ensuite connecté à Active Directory, nous pourrions donc avoir une attribution en cours. Nous avons actuellement beaucoup de données à venir. Avec une petite équipe, le problème qui se pose est de savoir comment gérer autant d’informations et comment hiérarchiser. Cela facilite la hiérarchisation. Le système est suffisamment intelligent pour analyser de manière proactive les journaux et déclencher des alertes de flux de travail. Il les hiérarchise en fonction de la criticité, telle que élevée, moyenne, faible ou informationnelle. Lorsque vous avez une petite équipe, vos analystes peuvent commencer à les examiner et voir ce qui se passe et ce qu’ils doivent hiérarchiser à un stade.

Nous avons été très proches d'un acteur de menace russe et Trend Vision One a énormément aidé. Cela nous a aidés à contrôler l'attaque dans les premières étapes. Ils sont entrés dans l'environnement et ont obtenu la coque inversée. J'ai vu l'alerte. Trend Vision One Protection m'a montré en détail ce qu'ils ont exécuté, ce qu'ils ont demandé, quelles informations ont été capturées et où les connexions allaient. C'était un courtier d'accès initial qui avait fait l'attaque. Si ces informations n'ont pas été recueillies à la fin du vendredi après-midi, vous pouvez imaginer ce qui aurait pu se passer d'ici lundi. En quelques heures, ces informations auraient été transmises au dark net et auraient été vendues à un gang de ransomware. Le délai moyen de réponse a été considérablement réduit. Il est très rare que la plupart des organisations détectent ces attaques dans leur propre environnement au cours des quatre premières heures. Cela a réduit le temps moyen de réponse de 70 % à 80 %.

Ses capacités de surveillance en temps réel aident beaucoup dans notre posture de sécurité globale. Nous avons tout configuré sur notre système de messagerie SOC central, donc dès qu'une alerte est déclenchée et selon sa criticité, nous pouvons y travailler. Lorsque vous travaillez dans le secteur de la santé, vous travaillez souvent avec des fournisseurs qui ne sont toujours pas très conscients de la cybersécurité. Ils apprennent toujours. L'un d'entre eux a branché une clé USB, et nous avons trouvé un indicateur précoce de compromission. L'appareil a été connecté à l'un des systèmes techniques. Il a non seulement détecté et bloqué cela, mais nous avons également reçu l'alerte pointant vers la machine. S'il n'avait pas été détecté et récupéré à ce stade en quelques minutes, il aurait pu avoir un impact assez important.

La beauté est que je n'ai pas besoin d'aller me connecter à la console séparée d'Apex One ou de Deep Security. J'ai obtenu toute la visibilité et la télémétrie nécessaires en temps réel dans la console Trend Vision One. La console Trend Vision One vous alerte immédiatement. Il fait simplement clignoter une alerte critique. Il bloque, mais fournit ensuite des recommandations d’atténuation. Nous devons retirer la machine du réseau, scanner la clé USB, former l’utilisateur et faire remonter les informations aux bonnes personnes. Il est très crucial de disposer de toutes ces informations. Nous pouvons également influencer le comportement des utilisateurs afin qu’ils ne le fassent plus.

Nous l’utilisons sur les endpoints. Nous l'utilisons sur nos serveurs. Nous avons une réponse de détection réseau, appelée NDR. Nous surveillons tout le trafic interne provenant des pare-feu. Nous avons Citrix NetScaler, nous surveillons donc également le côté réseau. Nous avons également un autre produit appelé Conformity qui effectue une évaluation du cloud et une vérification de la conformité pour tous les actifs cloud exposés en externe. Il vous indique s'ils ne sont pas en conformité. Par exemple, avec le projet qui est entré en jeu, quelque chose peut être exposé accidentellement, comme un compte de stockage Azure, à Internet. Tout cela alimente Trend Vision One, et nous avons un seul volet.

Il est utile pour plusieurs équipes. Il ne se limite pas au SOC. Nous avons des équipes du côté cloud et parfois du côté endpoint et du côté serveur qui peuvent entrer, et elles peuvent voir les alertes. Cela facilite le travail, car nous voyons tous la même chose avec plus d’informations. Nous l'utilisons donc pour nos serveurs et notre réseau d'endpoint. Nous l’utilisons pour surveiller notre cloud Azure. Nous avons également des licences appelées Trend Micro elles-mêmes Cloud App Security dans le cadre de nos licences. Nous avons des politiques qui effectuent une surveillance avancée de la protection contre les menaces et une surveillance DLP sur les canaux SaaS, tels qu’Exchange Online, Teams, OneDrive et les sites SharePoint. Il s’agit d’autres canaux à partir desquels les données peuvent être partagées, les données peuvent entrer dans notre environnement ou les données peuvent sortir de notre environnement. Il dispose de politiques pour surveiller la DLP. Il dispose de politiques pour surveiller les fichiers malveillants ou les indicateurs d'une attaque ATP. Nous recevons également ces alertes.

Il existe deux tableaux de bord. Les tableaux de bord exécutifs donnent une vue d'ensemble de l'ensemble du système et de ce qui se passe sur notre système à tout moment. Nous pouvons voir le nombre de vulnérabilités en suspens que nous avons, ce que nous devons signaler à la direction et comment nous allons progresser pour ce genre de choses. Nous disposons ensuite du tableau de bord opérationnel avec des alertes en temps réel ou en attente. Cela nous montre que nous avons un compte qui correspond à un lac de données .Net. Un problème, par exemple, est que la plupart des utilisateurs conservent le même mot de passe, de sorte que vous pourriez avoir le même mot de passe de compte pour votre compte professionnel et pour votre compte personnel. Ils peuvent également être compromis à la maison et au travail. Nous utilisons donc les tableaux de bord exécutifs pour établir des rapports et comprendre ce qui se passe dans l’environnement et ce que nous devons signaler et hiérarchiser. Le tableau de bord opérationnel est destiné au travail quotidien.

Il est très important que nous soyons en mesure d'explorer les détections XDR à partir des Tableaux de bord exécutifs. Nous sommes dans le secteur de la santé. Nous sommes un hôpital. Le conseil ne s'inquiète pas seulement des ransomware, car cela peut arriver à n'importe qui. Vous ne pouvez jamais être suffisamment en sécurité. Ils sont également préoccupés par les dommages à notre réputation et le coût opérationnel de la récupération. Ils sont donc très désireux d’avoir de la visibilité. Les tableaux de bord exécutifs nous fournissent suffisamment d'informations pour filtrer cela. Par exemple, notre équipe d'assistance bureau a un nombre limité de personnes. Pour la cybersécurité, nous voulons hiérarchiser les correctifs pour une menace zero-day, mais parfois, cela ne peut pas se produire, car les équipes ont d’autres priorités. Le problème n’est pas qu’ils ne veulent pas aider, mais qu’ils n’ont pas de ressources. Grâce aux tableaux de bord exécutifs et aux rapports, nous pouvons faire remonter les informations au conseil d'administration en disant que nous avons besoin d'attention. Nous pouvons leur demander de nous financer avec plus de ressources pour faire passer cela. Il nous aide à dicter l’impact et à hiérarchiser une vulnérabilité critique en matière de cybersécurité afin que nous puissions obtenir l’adhésion de la direction pour la hiérarchiser et la traiter avant qu’elle ne devienne incontrôlable.

Nous utilisons la fonction Indice de risque pour établir une correspondance avec d’autres organisations dans la même région géographique afin de voir comment nous nous portons en termes de risques par rapport à d’autres organisations. Sommes-nous meilleurs ou pires que les autres ? Si nous avons certains domaines dans lesquels nous sommes pires que d’autres, ils nous aident à comprendre la raison et la manière de nous améliorer.

Si nous voulons traverser chaque événement, avec notre licence actuelle, XDR peut contenir jusqu'à six mois de données, ce qui peut être des millions ou des milliers d'alertes. Une chose intelligente qu'ils ont faite est de fournir Workbench, qui hiérarchise automatiquement. Il fait le travail acharné pour vous en tirant ces informations et en disant qu’il s’agit de celles très critiques que vous devez traiter dès que possible. Je n'ignore pas le fait que parfois, les attaquants ne recherchent même pas des attaquants très critiques. Ils vont vers un moyen, mais cela nous aide à les éviter. Notre équipe est petite, et j’ai eu une bonne expérience dans la formation de quelques personnes, en les guidant et en leur montrant comment le faire. Une fois que les gens commencent à travailler, ils comprennent le flux de travail. Cela devient une deuxième habitude. Il est très intuitif. Vous pouvez accéder à la console, ajouter de nouveaux indicateurs de compromission, ajouter de nouvelles requêtes de chasse aux menaces, ajouter de nouveaux flux CTI et rechercher de nouvelles vulnérabilités. Il y a tellement de choses que vous pouvez en tirer. Il vous suffit de hiérarchiser ce qui vous semble important pour cette journée.

Nous utilisons Managed XDR comme deuxième service. La manière dont cela s'avère pratique est que nous avons des personnes de garde. Je continue à consulter mes e-mails, mais si nous avons une alerte critique indiquant que personne n’a assisté de notre côté, ils le trient. Ils le trient très bien, puis l'évaluent. Par exemple, ils peuvent dire : « Cela semble être bénin ou négatif, mais une alerte est arrivée, et personne n’était disponible. Si vous souhaitez ajouter une couche supplémentaire de sécurité ou de prudence, voici l'atténuation. » Ils sont très réactifs. J’ai pu voir la grande attaque que nous avions il y a deux ans dans les quatre premières heures, et au moment où elle est arrivée au XDR, tout était corrélé. En une demi-heure, leur équipe d'intervention est parvenue à la même conclusion. Ils nous ont contactés lorsque j’étais sur le point de les contacter, nous étions donc sur la même longueur d’onde. Il s'agit sans aucun doute d'une bonne sauvegarde ou d'une deuxième solution pour nous. De plus, certaines alertes peuvent provenir de flux de travail. Ils peuvent sembler malveillants, mais ce n’est pas le cas. Les employés du service Managed XDR reviennent vers nous juste pour reconfirmer cela. Nous leur disons qu'il s'agit d'un fichier connu. Ils n'ont pas à s'en préoccuper. Parfois, nous pouvons manquer quelque chose ou ne pas avoir de idée de l’étape suivante. Ils proposent ensuite une recommandation sur ce que nous devons faire. C'est un très bon service.

Nous utilisons Attack Surface Discovery pour surveiller les appareils que nous avons et les actifs, comptes et applications orientés Internet. L’API est encore une question que nous recherchons, mais en quelques clics, nous obtenons un aperçu. Nous pouvons voir combien de correctifs sont appliqués et combien sont exposés à des actifs externes ou orientés Internet. Nous avons beaucoup de sous-domaines liés au site principal de l’hôpital pour différents projets et flux de travail. Nous pouvons voir comment ils se portent, quels ports sont ouverts et quelles vulnérabilités connues sont présentes, car nous ne gérons pas certaines d’entre elles. Ils sont gérés par des fournisseurs hébergés en externe, afin que nous puissions les contrôler. Il en va de même pour nos comptes. Si nous avons des comptes qui sont sur le dark net, ou si nous avons des comptes avec des privilèges excessifs qui peuvent potentiellement être exploités, nous pouvons y remédier.

Pour les applications, la fonctionnalité que j’aime le plus est appelée Cloud App List. Il examine toutes les applications SaaS et les compare. Il les profile en fonction du reste et nous fournit un rapport. Cela nous indique que certaines applications que les gens utilisent peuvent ne pas être officiellement sanctionnées par nous. Pour une application non approuvée, ils effectuent un profilage des risques via Trend Vision One, qui nous montre quelle norme de conformité de sécurité a été adoptée par le fournisseur. Ils nous permettent de comprendre rapidement à quel point il est mauvais ou bon de continuer à utiliser une application.

Pendant la pandémie de COVID, j'ai configuré Trend Vision One et j'ai reçu une alerte informative. Le mari d'une infirmière lui a donné une clé USB et elle l'a branchée. Elle se trouvait dans un environnement hors site, mais le client Trend fonctionnait toujours. Les clients étaient connectés à la console SaaS ou à Internet, de sorte que toute la télémétrie était toujours alimentée. Ils auraient dû penser que ce n’était pas le cas, mais des détections étaient toujours en cours. Lorsqu'elle l'a branchée, elle a téléchargé un cadre d'exploitation Power Shell, qu'ils ont pu mapper à un groupe ATP de Chine qui utilise généralement cette technique pour l'exfiltration de propriété intellectuelle. J'aime beaucoup la visibilité qu'il offre. Pour quelques applications ici, une alerte arrive parfois, et elle peut même explorer jusqu’à la dernière commande qui a été exécutée. Il peut créer un graphique d'attaque et vous montrer le profil d'exécution complet. Il vous aide à dépanner et à filtrer si quelque chose est un faux positif ou un problème en cours. Cette interconnectivité totale de différents systèmes dans Trend Vision One, et sa capacité à aider à individualiser une attaque, est ce que j'aime le plus. C'est très bien, car la lecture des journaux et la visualisation d'une attaque sont deux perspectives différentes pour un chasseur de menaces. Cela vous aide vraiment à comprendre ce qui se passe.

Avec toutes ces technologies dans un environnement d'entreprise, ainsi qu'avec la plupart des systèmes de production, la réduction du temps que nous passons à enquêter sur les alertes de faux positifs dépend de la vitesse à laquelle vous affinez le système. Vous devez lui indiquer quelles sont les exceptions et ne pas vous en alerter, et lesquelles doivent vous alerter. Il s'agit d'un acte d'équilibre dans la cybersécurité. Par exemple, les connexions sont utilisées par les attaquants, mais également par votre personnel administratif. Si vous les mettez totalement en exemption, vous pouvez avoir une connexion malveillante s'exécutant dans votre environnement. Vous y resteriez complètement aveugle, car rien ne serait alerté. En termes de faux positifs, le système capture beaucoup de données, et ce n’est pas la faute du système, car il voit beaucoup de données. Parfois, nous n’avons pas classé les données. Nous nous améliorons. Nous étiquetons et étiquetons les systèmes. Nous l’affinons, et cela a beaucoup diminué, mais nous avons encore beaucoup de travail à faire. C'est possible, mais c'est quelque chose que nous faisons en coulisses. En termes de recherche et de visibilité des menaces au quotidien, il les catégorise dans Workbench, et c'est ce que nous examinons en premier lieu le matin. Nous apprenons à savoir ce qui se passe et sur quoi nous devons nous concentrer. Une fois que nous avons vu qu'il y a un schéma qui se répète pour certains faux positifs et que les alertes Workbench sont élevées et ne sont pas vraiment positives, nous voyons ensuite comment mettre ces systèmes sur liste blanche. Nous savons maintenant qu'il s'agit d'un processus d'exécution connu. Nous savons qu'il s'agit d'un trafic connu ou d'un fournisseur connu qui exécute cette application, et lorsqu'elle s'ouvre, elle se connecte à ces ports, par exemple. C'est un peu un acte d'équilibre. Elle change de manière dynamique.