Qu’est-ce que la NDR (détection et réponse sur le réseau) ?
La détection et la réponse sur le réseau (NDR, Network Detection and Response) associent des technologies et des méthodologies de cybersécurité avancée pour identifier les anomalies et répondre aux menaces que d'autres mesures de sécurité peuvent manquer.
Pourquoi la NDR est-elle nécessaire ?
Les équipes du centre des opérations de sécurité (SOC, Security Operations Center) subissent une pression intense pour protéger leur organisation contre les cybermenaces. Ces menaces continuent d'évoluer et de proliférer alors que les frontières du réseau s’estompent de plus en plus, créant une surface d'attaque plus vaste et plus complexe. L’émergence du travail hybride et à distance y a fortement participé pendant les années de pandémie : McKinsey estime qu'au moins 58 % du personnel américain travaille déjà à distance.
Le réseau tentaculaire comporte un grand nombre d'actifs non gérés : des appareils sur lesquels aucun agent de sécurité n’est installé, ou dont les paramètres de sécurité sont mal configurés ou obsolètes. Selon certaines estimations, le nombre d'actifs non gérés serait deux fois supérieur à celui des actifs gérés.
Il est difficile d'installer des correctifs sur les actifs non gérés. En outre, ils sont rarement, voire jamais, analysés pour détecter des vulnérabilités, et certains ne sont même jamais analysés. Les fabricants peuvent émettre des mises à jour de sécurité tardivement, en particulier avec les appareils plus anciens. Pour pouvoir les mettre à niveau, les équipes IT peuvent avoir à les redéployer ou à ajouter des licences au préalable, ce qui nécessite des efforts et des coûts difficiles à justifier, même si ces appareils représentent une responsabilité en matière de sécurité.
Toutes ces raisons expliquent pourquoi les cybercriminels sont attirés par les appareils non gérés. Ils fournissent d’excellentes cachettes, et donc des occasions de passer inaperçu (« live off the land »). Les attaquants peuvent utiliser des outils parfaitement légitimes et autorisés pour se déplacer d’un appareil géré à un autre sur le réseau, sans attirer l’attention, et rester ainsi inaperçus pendant plusieurs semaines ou mois.
Les technologies et approches de sécurité, comme l’EDR (détection et réponse attendues), la détection et la réponse aux menaces d'identité (ITDR) et la gestion de la surface d'attaque (ASM) ne sont pas conçues pour détecter les menaces cachées dans les actifs non gérés, ni pour observer le trafic réseau. La NDR comble cette lacune, en exposant et en mettant en corrélation les anomalies, y compris subtiles, causées par des menaces qui pourraient sans cela passer entre les mailles du filet.
Quels défis la NDR résout-elle pour les équipes SOC ?
Selon certaines projections, la planète pourrait abriter plus de 18 milliards d'appareils dès 2025. Même si un petit pourcentage de ces appareils n’est pas géré, les implications en matière de sécurité sont considérables. Actuellement, rares sont les équipes SOC qui ont une visibilité sur toute la surface d'attaque ou sur tous les derniers endpoints, en particulier les actifs non gérés. Il est difficile de défendre les endroits inaccessibles et impossible de gérer ce que l’on ne peut pas voir.
On sait que les SOC sont inondés d’alertes, ce qui mène à un grand nombre de fausses alarmes et d'attaques manquées. Malgré ce déluge, il leur manque souvent les données dont ils ont besoin pour comprendre pleinement les incidents. Le bruit est trop important est les informations sont trop peu précises et exploitables.
La NDR résout ces difficultés en surveillant le trafic réseau et les comportements des appareils sur le réseau. Toute activité liée à un appareil non géré peut être détectée, analysée et déterminer comme anormale, même si l'appareil en lui-même est inactif. Les fonctionnalités de corrélation de la NDR analysent les schémas avec précision et relient les points pour différencier avec plus de précision les menaces potentiellement légitimes des activités inoffensives.
Grâce à une solution de NDR efficace, les équipes SOC peuvent détecter des actifs non gérés sur le réseau, et détecter et mettre en corrélation les « signaux faibles » pour verrouiller les menaces et éliminer les attaquants. Les signaux faibles sont principalement des alertes à niveau de confiance faible, ou des événements au sujet desquels il n’existe pas assez d’informations pour savoir si une attaque est présente ou non.
Suivre le fil de l'attaque d'un bout à l’autre
La NDR donne aux équipes SOC plus de visibilité sur les événements du réseau en extrayant les métadonnées du réseau de tout le trafic, suspect ou autre. Ces métadonnées sont mises en corrélation avec des menaces potentielles, ce qui offre aux équipes SOC un moyen de visualiser l’étendue d’une attaque. Elles peuvent voir toutes les chaînes d’attaque, identifier les causes racine et déterminer toute l’étendue d’un incident sur toute la pile de sécurité.
La NDR offre également un moyen de découvrir les vulnérabilités latentes en fournissant une plateforme sur laquelle les sorties des outils d'analyse tiers peuvent être associées à des connaissances d’expert en sécurité. Ainsi, les faiblesses potentielles reçoivent des correctifs de matière préemptive, avant d’être exploitées.
Tous ces atouts, en particulier avec d'autres solutions de sécurité comme l’EDR, l’ITDM et l’ASM, permettent une action quasiment en temps réel avec un délai de détection plus rapide, des coûts inférieurs et moins de faux positifs.
Quels sont les composants d’une solution NDR ?
La NDR fournit une surveillance et une analyse continues du trafic du réseau en utilisation une inspection approfondie des paquets, l’analytique comportementale et l'apprentissage automatique. Elle détecte les anomalies et identifie les menaces potentielles, en s’intégrant à des sources de veille sur les menaces pour plus d’efficacité. En associant la surveillance en temps réel à la réponse et à l'atténuation automatisées, la NDR permet aux équipes SOC de se défendre de manière proactive contre les cybermenaces sophistiquées et de minimiser l’impact potentiel des incidents de sécurité.
Pour effectuer ces fonctions, la NDR a besoin d’un ensemble complet de fonctionnalités associées. Il s’agit des mesures suivantes :
- La capacité à modéliser le trafic du réseau, afin que les anomalies ressortent et que la détection puisse être effectuée sur une base comportementale, au lieu de chercher des signatures spécifiques. Cela requiert l'apprentissage automatique et une analytique avancée.
- Un taux de faux positifs relativement faible, une fois la solution correctement adaptée, de sorte que les équipes de SOC peuvent faire confiance aux résultats qu’elles reçoivent.
- La capacité à agréger et à mettre en corrélation les alertes dans ce que Gartner appelle les « incidents structurés », ce qui permet aux professionnels de la sécurité de mener plus facilement l’enquête sur les menaces.
- La capacité à contenir ou à bloquer les menaces avec des réponses automatisées.
Les solutions de détection et de réponse du réseau doivent également pouvoir évoluer à mesure que des réseaux se développent et que davantage d'appareils se connectent à eux, et livrer des performances cohérentes et fiables. Idéalement, une partie des capacités pour l'amélioration continue doivent également être intégrées, afin que la solution NDR puisse devenir plus précise et efficace au fil du temps.
De quelles fonctionnalités supplémentaires la NDR peut-elle avoir besoin ?
Des sociétés d’analystes de cybersécurité telles que Gartner et Forrester ont suggéré qu’en plus des fonctionnalités centrales exposées ci-dessus, les solutions NDR ont également besoin d'autres caractéristiques pour développer toute la portée de protection requise.
Ces fonctionnalités avancées comprennent :
- Déchiffrement du trafic sur le réseau. L'analyse des schémas de trafic est importante, mais le fait de voir ce que ce trafic contient va beaucoup plus loin pour assurer la cyberprotection. Cependant, une partie importante du trafic réseau d'aujourd’hui est chiffrée, tout comme la quasi-totalité (95 %) du trafic Web. Cela signifie que, même si un mouvement latéral suspect est détecté entre les actifs sur le réseau, sans déchiffrement, les équipes de SOC ne peuvent pas savoir ce que le trafic contient ni s’il est véritablement nocif.
- Corrélation entre les couches. La capacité à mettre en corrélation les comportements anormaux dans une seule couche du réseau est indéniablement bénéfique, mais peut toujours produire un trop grand nombre d'alertes ou des faux positifs. Une solution NDR qui peut mettre en corrélation les données de plusieurs couches a plus de chances d’isoler les menaces réelles, en déclenchant des alertes importantes auxquelles les équipes SOC peuvent faire confiance et qu’elles peuvent traiter.
- Support pour les approches Zero Trust. Le Zero Trust est actuellement le meilleur cadre pour limiter l’accès aux actifs et ressources de l’entreprise, en évitant les violations et les attaques grâce à un maximum de prudence. L'association de l’approche Zero Trust à la détection et à la réponse pour le réseau rendent les comportements anormaux plus flagrants et aide à détecter les menaces plus rapidement.
- Hiérarchisation de l’expérience de l'analyse du SOC. Il s'agit d’une fonction plus qualitative que quantitative, mais chaque partie est importante. Au vu des tensions imposées aux équipes SOC, du volume d’alertes qu’elles gèrent chaque jour, et des conséquences potentielles en cas d’erreur, le fait de fournir une solution NDR qui facilite la vie du SOC possède une valeur élevée et la rend beaucoup plus susceptible d’être utilisée.
Quelle est l’approche de la NDR par Trend Micro ?
Trend utilise la télémétrie native des vecteurs de sécurité pour fournir des détections de haute fidélité avec des corrélations solides et un contexte riche. L'approche par Trend de la NDR permet aux SOC d’intégrer la remédiation automatisée tout en utilisant des solutions tierces et des plateformes d’orchestration de la sécurité, d'automatisation et de réponse (SOAR, security orchestration, automatisation and response) pour éviter les futures attaques.
La technologie de NDR de Trend identifie les risques associés aux appareils gérés et non gérés, en détectant les anomalies et en modélisant le comportement pour détecter les schémas, même très discrets, pouvant indiquer une menace.
De nombreuses solutions de NDR s'appuient presque exclusivement sur l’IA, l'apprentissage automatique et la détection des anomalies, mais Trend intègre également plus de 35 années de veille sur les menaces, ainsi qu’une analyse comportementale hautement sophistiquée pour détecter les menaces avec précision, avec des taux de faux positifs extrêmement bas.
La NDR constitue un ajout essentiel au kit d’outils de cybersécurité d’une organisation, et complète l’EDR, l’ITDR et l’ASM pour couvrir les vulnérabilités du réseau et fournir une XDR à part entière. Trend respecte les exigences essentielles de la NDR et les fonctionnalités supplémentaires identifiées par les analystes de cybersécurité leaders, pour une solution de détection et réponse pour le réseau complète et fiable.