Amélioration de la réponse aux incidents grâce au cadre de cybersécurité du NIST et à l'automatisation et à l'orchestration de la sécurité (SAO)

Le Cadre de cybersécurité du National Institute of Standards and Technology (NIST) Élaboré en réponse à un décret présidentiel de 2013 visant à aider les organisations gouvernementales et privées à mieux protéger leurs infrastructures critiques contre les cyberattaques, le Cadre de cybersécurité, dont la deuxième version (1.1) est désormais disponible, offre aux organisations une méthode flexible pour concevoir et mettre en œuvre des stratégies de cybersécurité globales et rentables. Il couvre l'ensemble du spectre de la sécurité, de l'identification et la détection des menaces à la réponse et à la reprise après incident.

Le cadre de cybersécurité du NIST offre aux organisations une méthode flexible pour concevoir et mettre en œuvre une stratégie de cybersécurité à la fois rentable et globale.

L'automatisation et l'orchestration de la sécurité (SAO) aident les organisations à mettre en œuvre des contrôles conformes au référentiel. La SAO regroupe des outils et des pratiques qui automatisent la détection des incidents de sécurité et la réponse aux incidents, et qui orchestrent les systèmes de sécurité. Grâce à la SAO, les organisations améliorent la productivité et l'efficacité de leurs équipes de sécurité pour répondre aux incidents de sécurité conformément au référentiel.

Que contient le cadre de cybersécurité du NIST ?

Le cadre de cybersécurité du NIST offre des recommandations détaillées pour développer, mettre en œuvre et améliorer en continu un programme de cybersécurité. Il repose sur cinq fonctions principales : identifier, protéger, détecter, répondre et rétablir. Chaque fonction est subdivisée en catégories, elles-mêmes divisées en sous-catégories permettant de traiter des aspects spécifiques de la sécurisation des infrastructures critiques contre les cyberattaques.

Ce référentiel propose également une série de niveaux de mise en œuvre permettant aux organisations d'évaluer leur gestion des risques de cybersécurité. Une organisation de niveau 1, dite “ partielle ”, adopte des réponses informelles et réactives aux cybermenaces. Le niveau 2 est axé sur une approche “ axée sur les risques ”, tandis que le niveau 3 est “ reproductible ”. Le niveau 4 représente une organisation “ adaptative ”, capable de concevoir des processus reproductibles avec souplesse face à l'évolution des risques.

Comment l'automatisation et l'orchestration de la sécurité améliorent la réponse aux incidents

La gestion des incidents de sécurité ne se limite pas à la simple réaction à un problème. Dans le cadre de la cybersécurité, elle englobe les fonctions essentielles de détection, de réponse et de rétablissement. Ces trois fonctions sont indispensables pour réagir efficacement face à un incident de sécurité.

Le tableau 1 présente les 11 catégories incluses dans ces trois fonctions, chacune possédant un identifiant unique. Par exemple, dans la fonction de détection, DE.AE correspond à la catégorie “ Anomalies et événements ”. Pour se conformer au cadre de référence, une organisation doit mettre en place un système de détection des anomalies ou événements suspects susceptibles de signaler le début d'un incident de sécurité. Ce système peut impliquer DE.CM (“ Surveillance continue de la sécurité ”) fonctionnant de concert avec DE.DP (“ Processus de détection ”).

Tableau 1 – Les fonctions de détection, de réponse et de récupération du cadre de cybersécurité du NIST

Intégration des technologies de sécurité et de communication avec SAO

De nombreuses organisations utilisent des technologies telles que les systèmes de détection d'intrusion (IDS) et les solutions de surveillance des incidents et événements de sécurité (SIEM) pour mettre en œuvre la fonction de détection du Framework. Pour optimiser cette fonction, il est nécessaire d'intégrer, via SAO, les solutions SIEM, IDS ou tout autre outil de sécurité générant des alertes. L'intégration permet une orchestration plus efficace et l'automatisation des étapes du flux de travail de détection.

Le cadre de référence recommande ensuite un processus de réponse préétabli. Conformément aux catégories de réponse, des processus de communication rigoureux doivent être mis en place pour suivre l'avancement des analyses et des mesures d'atténuation des menaces. Un processus de communication rigoureux requiert également une intégration. L'intégration des systèmes de communication pertinents, tels que la messagerie électronique et la gestion des tickets, avec SAO permet d'automatiser les communications et de décharger les membres de l'équipe des tâches répétitives liées à la communication des statuts d'alerte. La réponse décrite dans le cadre de référence se poursuit ensuite jusqu'à la phase de rétablissement.

Résoudre la pénurie de personnel en cybersécurité avec SAO

L'utilisation du cadre de cybersécurité du NIST pour la réponse aux incidents se heurte à la difficulté inhérente à la limitation des ressources disponibles. En effet, le nombre de spécialistes qualifiés au sein d'une équipe de cybersécurité est restreint, et la pénurie de personnel dans ce domaine ne cesse de s'aggraver. Face à la multiplication des menaces, les équipes peuvent se retrouver submergées par les faux positifs et voir leur productivité diminuer en raison des tâches de notification et de gestion des incidents qui les accaparent. Sans les outils adéquats, l'équipe ne pourra pas répondre efficacement aux critères du cadre de cybersécurité.

L'automatisation et l'orchestration de la sécurité permettent de pallier le manque de ressources en accélérant chaque étape du cycle détection-réponse-récupération. Prenons l'exemple d'une équipe de sécurité qui reçoit une alerte d'une solution SIEM concernant un événement anormal sur le réseau. Si l'équipe répond manuellement à cette alerte, elle devra effectuer les tâches fastidieuses et chronophages d'ouverture d'un ticket, d'analyse des menaces et de communication avec les parties prenantes.

Avec SAO, ces étapes sont automatisées. Les interactions entre les systèmes concernés sont orchestrées selon des processus définis. La solution SAO peut soumettre automatiquement les détails de l'alerte à un système de veille sur les menaces et ouvrir une alerte. gestion de cas Créer un ticket dans un système comme JIRA et envoyer des e-mails aux parties prenantes concernées.

Figure 2 – Les sous-catégories de la catégorie Détection : anomalies et événements (DE:AE) dans la fonction Détection du noyau du cadre NIST.

Le tableau 2 décrit comment une solution SAO contribue à la gestion des incidents. Grâce à la fonction de détection de la catégorie « Anomalies et événements » (DE:AE), il détaille le rôle du SAO dans différentes sous-catégories. Par exemple, la sous-catégorie DE.AE-3 requiert : “Les données d'événements sont agrégées et corrélées à partir de sources et de capteurs multiples ”, et SAO peut automatiser les étapes nécessaires à l'agrégation et à la corrélation à partir de sources multiples. Orchestration de la sécurité peut également intégrer les systèmes impliqués dans les processus d'analyse et de corrélation.

L'architecture SAO a le potentiel de transformer les flux de travail de réponse aux incidents. Une solution SAO adaptée permet à une équipe de cybersécurité de travailler plus efficacement et de gérer les alertes et les incidents dès leur apparition. L'équipe peut également tirer parti de SAO pour améliorer sa réponse aux incidents au fil du temps. Ainsi, SAO aide les organisations à progresser dans le cadre de la sécurité, en développant des processus de réponse aux incidents reproductibles et adaptables.

SAO aide les organisations à orchestrer leurs systèmes, leur permettant ainsi de développer des processus de réponse aux incidents reproductibles et adaptatifs.

Swimlane et le cadre de cybersécurité du NIST pour améliorer la réponse aux incidents

Swimlane offre une automatisation et une orchestration de la sécurité qui permettent à votre organisation de se conformer au cadre de cybersécurité et d'améliorer sa réponse aux incidents. Facile à mettre en œuvre, à utiliser, à gérer et à faire évoluer, Swimlane utilise des méthodes orientées objet qui permettent à une équipe d'opérations de sécurité d'exploiter les capacités de ses outils de sécurité existants.

Souhaitez-vous en savoir plus sur la façon dont l'automatisation de la sécurité peut aider votre organisation ? Téléchargez notre e-book – 8 cas d'utilisation concrets pour l'orchestration, l'automatisation et la réponse en matière de sécurité.

Demander une démo

Si vous n'avez pas encore eu l'occasion de découvrir Swimlane Turbine, demandez une démonstration. 

Demander une démo