Que rechercher dans une solution de renseignement sur les menaces ?

Le renseignement sur les menaces, ou renseignement sur les cybermenaces, résulte de la collecte, du traitement et de l'analyse de données relatives aux menaces et aux acteurs malveillants. Ce renseignement permet d'identifier et d'étudier les menaces pesant sur votre organisation, dans le but de renforcer sa résilience.

Le secteur des fournisseurs et solutions de renseignement sur les menaces (TI) est vaste et diversifié, avec de nouveaux acteurs qui apparaissent régulièrement. L'offre comprend des flux de renseignements sur les menaces, des services de renseignement sur les menaces et des plateformes de renseignement sur les menaces. Si l'on ajoute à cela les solutions open source (OSINT) et payantes, les solutions sectorielles et généralistes, ainsi que le contenu tactique et stratégique, le choix de la solution la plus adaptée à votre organisation peut rapidement devenir complexe.

Face à la profusion de technologies et de solutions de cybersécurité, trouver celle qui répond à tous vos besoins peut s'avérer complexe. Une fois que vous avez décidé d'intégrer la veille sur les menaces à votre stratégie, quelles sont les bonnes pratiques pour évaluer et choisir les fournisseurs et les solutions ?

Le meilleur point de départ est d'examiner vos cas d'utilisation. Les solutions doivent s'adapter à vos cas d'utilisation, et non l'inverse. Voici quelques exemples de cas d'utilisation courants :

• Détection du phishing : L’hameçonnage est omniprésent, agaçant et potentiellement très dommageable. L’analyse des menaces est essentielle pour identifier les adresses IP malveillantes et autres éléments des attaques d’hameçonnage afin d’accélérer la détection et la réponse.
• Chasse aux menaces : Lorsqu'une menace active est enfin détectée, mise en quarantaine et neutralisée, il est souvent trop tard. Les équipes de sécurité doivent donc être proactives dans l'identification et la traque des nouveaux risques. Des informations sur les menaces (TI) régulièrement mises à jour peuvent être intégrées à vos systèmes de détection des menaces afin de sécuriser votre environnement. Vous pouvez également utiliser votre solution TI pour détecter les nouvelles tactiques et tendances.
• Priorisation des vulnérabilités : Les intégrations TI aident les organisations à identifier les vulnérabilités exploitées par les acteurs malveillants, ce qui en fait l'un des cas d'utilisation les plus précieux du renseignement sur les menaces dans les entreprises modernes. Ces connaissances exploitables offrent une vision cruciale du paysage des menaces auquel une organisation est exposée.

Une fois vos cas d'usage définis, recherchez des solutions de veille stratégique (TI) adaptées. N'oubliez pas que certaines de vos technologies de sécurité existantes, comme les SIEM, les pare-feu et les solutions EDR (Endpoint Detection and Response), peuvent proposer des abonnements complémentaires pour accéder à du contenu TI. Sachez qu'il peut y avoir un certain chevauchement des informations entre les fournisseurs, certains intégrant leurs propres solutions à leurs systèmes tandis que d'autres partagent leur contenu. Ceci est normal et attendu, mais il est important de veiller à ce que vos solutions TI soient diversifiées et non redondantes.

Comme pour tout nouvel outil, assurez-vous de disposer des ressources nécessaires à sa gestion. L'exploitation optimale de ces solutions dépend de la capacité de votre équipe à mettre en œuvre les informations fournies par vos prestataires. Il est essentiel de planifier qui, au sein de votre organisation, utilisera ces informations et quels outils ou processus, et de définir comment.

En matière de budget, les tarifs de TI sont généralement adaptés aux grandes entreprises, bien que le marché intermédiaire soit de plus en plus représenté parmi les clients de TI. Le prix d'un service de base se situe dans la fourchette basse des dizaines de milliers de dollars, tandis que les contenus plus avancés, stratégiques ou personnalisés peuvent coûter plusieurs centaines de milliers de dollars, voire plus.

Pour tirer pleinement parti de TI, les utilisateurs finaux doivent effectuer plusieurs actions simultanément. Celles-ci peuvent être regroupées comme suit :

• Acquérir. De nombreux fournisseurs sont présents sur le marché, mais ils se spécialisent généralement dans certains domaines tels que les indicateurs de compromission (IOC) de logiciels malveillants, les informations sur les noms de domaine ou la surveillance du dark web. Il est rare d'en trouver un qui excelle dans tous les domaines. La clé est donc de trouver la combinaison idéale de renseignements sur les menaces (TI) pour votre organisation. Selon vos cas d'utilisation et votre budget, vous constaterez peut-être que les sources d'information sur les menaces accessibles au public, comme le renseignement en sources ouvertes (OSINT), répondent parfaitement à vos besoins. Lors de l'acquisition de solutions de TI, veillez à prendre en compte l'étendue de leur couverture, la profondeur et la précision des informations, ainsi que leur extensibilité, si vous prévoyez de les utiliser dans plusieurs outils et processus.
• Agrégat. Une fois vos données TI disponibles dans leurs différents formats et types, l'agrégation est l'étape suivante. C'est là que des solutions comme orchestration, automatisation et réponse en matière de sécurité (SOAR) SOAR collecte de grands volumes d'informations sur les menaces (TI), les déduplique, les enrichit avec d'autres données, les rend consultables et les utilise dans des cas d'utilisation d'automatisation en aval. SOAR permet également de comparer vos sources de TI, en identifiant les chevauchements et les redondances potentielles dans le contenu relatif aux menaces.
• Action. Disposer de renseignements ne sert à rien si on ne les exploite pas. Il faut aussi les rendre concrets : définir un processus pour les décisions à prendre à partir des informations recueillies, et identifier les personnes et les modalités de ces décisions.

Choisir des solutions de veille sur les menaces et en tirer pleinement parti est complexe. Demandez une démonstration dès aujourd'hui pour découvrir comment choisir la solution adaptée et ne pas vous contenter d'une automatisation de sécurité “ suffisante ”.