Renforcer la cyber-résilience grâce à la connaissance de la situation

Des informations incomplètes peuvent constituer un obstacle à une cybersécurité efficace. Par exemple, une équipe de sécurité opérationnelle (SecOps) reçoit une alerte d'un pare-feu, mais ne peut pas facilement déterminer s'il s'agit d'un simple ping ou du début d'un incident majeur. Cette distinction peut s'avérer difficile, surtout au début. Les erreurs d'interprétation peuvent coûter très cher. Par ailleurs, consacrer trop de ressources à la détection de faux positifs représente un gaspillage de moyens.

La connaissance de la situation offre une solution à ce dilemme. Être conscient de la situation signifie avoir une connaissance précise et actualisée de multiples flux d'informations liés à un incident potentiel. Cela peut impliquer une coordination entre les systèmes de sécurité. Une solide connaissance de la situation permet à l'équipe d'éviter de s'enliser dans les faux positifs tout en restant vigilante face aux menaces graves, mais dissimulées. Elle permet à l'organisation d'être résiliente face aux cybermenaces.

Les experts en cybersécurité s'accordent à dire que la cyber-résilience est une priorité absolue

Une table ronde récente réunissant des responsables de la sécurité gouvernementale a permis de découvrir comment les plus grands experts en cybersécurité réagissent aujourd'hui face aux cybermenaces. Cet événement a rassemblé des représentants du Bureau du directeur du renseignement national, de l'Administration de la sécurité des transports et d'autres organismes.

La cyber-résilience est sans doute leur objectif principal. Au quotidien, la résilience signifie la capacité à se remettre rapidement d'un incident, comme une blessure. Les intervenants ont décrit la cyber-résilience comme “ l'utilisation de la connaissance de la situation pour déjouer une attaque en amont ou pour revenir rapidement à la normale après une intrusion ”. L'objectif, selon eux, est de “ faire face à toutes les étapes de la chaîne d'attaque cybernétique, de la détection d'une menace jusqu'à l'éventualité de dommages ou de pertes de données ”.”

La résilience est une approche globale. Elle va au-delà de l'objectif de temps de rétablissement (RTO) standard défini dans les accords de niveau de service. Si les RTO sont nécessaires et importants, ils ne sont au fond que des indicateurs permettant d'évaluer le niveau de protection d'un système donné.

La résilience reflète la posture de sécurité globale d'une organisation, sa capacité à résister à une attaque et à la surmonter, voire à l'éviter complètement. Être résilient, c'est avoir une vision d'ensemble, une conscience situationnelle.

En ce sens, la connaissance de la situation est à la fois locale et globale. Les responsables de la cybersécurité doivent être conscients de leur situation particulière, mais aussi de l'ensemble du paysage des cybermenaces. Cela peut nécessiter de communiquer avec d'autres organisations et de partager des informations de sécurité de manière structurée.

Les équipes SecOps doivent avoir une connaissance de la situation en matière de cybersécurité à la fois locale et mondiale.

Comment les experts en cybersécurité du gouvernement fédéral développent une conscience situationnelle

La connaissance de la situation doit être rapide et quasi instantanée. Les intervenants ont discuté des moyens mis en œuvre pour assurer une réaction rapide.

Wally Coggins, directeur du Centre de coordination de la sécurité de la communauté du renseignement au sein du Bureau du directeur du renseignement national, aborde la question de la réponse rapide grâce à la connaissance de la situation de trois manières :

1. Il automatise les flux de données entre son centre de coordination de la sécurité et ceux d'autres organismes. L'objectif est de fournir au plus vite à tous les acteurs concernés les informations relatives à la gestion des vulnérabilités, à la sécurité des terminaux et aux incidents de sécurité.
2. Il réunit des personnes d'horizons et de fonctions de renseignement différents pour se concentrer sur la cybersécurité. Par exemple, il met en relation des spécialistes du contre-espionnage et de la cybersécurité au sein d'une “ cellule ” d'analyse qui collabore pour identifier les menaces internes.
3. Il organise des exercices de cybersécurité. Par exemple, des simulations de guerre informatique visent à améliorer les temps de réponse et les capacités des équipes de cybersécurité.

L'objectif de ces étapes est de mettre en place une capacité de cyberdéfense qui assure la résilience grâce à une connaissance situationnelle de la cybersécurité.

Automatisation et orchestration de la sécurité (SAO) et connaissance de la situation en matière de cybersécurité

La réactivité est essentielle à la cyber-résilience grâce à une bonne connaissance de la situation. Cela vaut également pour l'orchestration et l'automatisation des processus de sécurité. Une trop grande dépendance aux interventions manuelles en cas d'incident nuit à cette connaissance de la situation. Ceci renforce la nécessité d'une solution comme Automatisation et orchestration de la sécurité (SAO).

Automation

Tous les représentants du gouvernement siégeant au panel utilisent un outil SAO. Ces solutions automatisent les tâches d'analyse traditionnellement lentes et manuelles. plans d'intervention en cas d'incident. Ces solutions permettent d'orchestrer la gestion des incidents de sécurité à travers de multiples systèmes, personnes et entités. Elles remplacent les processus manuels par une prise de décision automatisée.

Détection et analyse

Une solution SAO simplifie la détection et l'analyse des menaces. Par exemple, elle peut être configurée pour réagir automatiquement à une alerte provenant d'un système de détection d'intrusion. Dès réception de l'alerte, la solution SAO peut transmettre automatiquement ses détails à un système de veille sur les menaces, ouvrir un ticket de gestion de cas dans un système tel que JIRA et envoyer des courriels aux parties prenantes concernées.

Renseignements sur les menaces

Avoir plus renseignements sur les menaces Améliore la connaissance de la situation en matière de cybersécurité et la résilience face aux menaces. En répondant automatiquement aux alertes, la solution SAO tient l'équipe de sécurité informée de ses activités. Elle lui permet ainsi d'avoir une vision globale de la situation et de réagir rapidement aux menaces. La solution peut également exécuter des tâches plus larges nécessaires à cette vision globale, telles que la collecte exhaustive de données, la standardisation et l'analyse des flux de travail. Certaines solutions SAO peuvent “ apprendre ” à reproduire les pratiques de l'équipe de sécurité face à différentes menaces. L'outil capture les connaissances et les bonnes pratiques mises en œuvre par l'équipe de sécurité. Cette capacité tire parti des compétences de l'équipe et lui permet de consacrer plus de temps aux problèmes complexes plutôt qu'aux tâches administratives répétitives.

Journaux et rapports

Les solutions SAO génèrent des journaux d'activité. Ces journaux peuvent ensuite être analysés et partagés entre les équipes et les entités. L'interprétation de ces journaux et l'historique de gestion des incidents permettent d'améliorer certains aspects de la gestion de la sécurité, favorisant ainsi la connaissance de la situation, la réactivité et la résilience.

Améliorez votre connaissance de la situation en matière de cybersécurité avec Swimlane

Swimlane offre automatisation de la sécurité et orchestration Afin d'améliorer la connaissance de la situation et d'enrichir les informations présentées aux analystes, cette solution est facile à mettre en œuvre, à utiliser, à gérer et à faire évoluer. Elle utilise des méthodes orientées objet permettant à une équipe d'opérations de sécurité d'exploiter les capacités de ses solutions de sécurité existantes.

Souhaitez-vous en savoir plus sur la façon dont l'automatisation et l'orchestration de la sécurité peuvent aider votre organisation ? Téléchargez notre e-book – 8 cas d'utilisation concrets pour l'orchestration, l'automatisation et la réponse en matière de sécurité.