Afin de lutter contre cette menace croissante sur un pied d’égalité, les équipes de réponse aux incidents – centres d’opérations de sécurité (SOC) et équipes de réponse aux incidents de sécurité informatique (CSIRT) – peuvent bénéficier d’un large éventail d’outils de sécurité automatisés. Les plates-formes SOAR (Security Orchestration, Automation and Response) attirent alors progressivement l’attention. Ces outils combinent des capacités de réponse aux incidents, d’orchestration et d’automatisation, ainsi que des capacités de gestion de la plate-forme de renseignement sur les menaces.

Malgré d’importants avantages accordés aux SOC et CSIRT, l’introduction d’un outil automatisé au sein des processus de réponse aux incidents existants reste complexe. Les plateformes SOAR présentent ainsi de nouveaux défis pour les équipes, notamment définir quelles tâches et décisions nécessitent une automatisation ou au contraire une expertise humaine.

Cet article vise à présenter une vue d’ensemble des plateformes SOAR en exposant les bonnes pratiques et recommandations sur la manière de répondre aux défis rencontrés par des équipes de réponse aux incidents utilisant ces solutions. Dans un premier temps, il décompose les utilisations potentielles des plates-formes SOAR en support sur l’ensemble des phases de réponse aux incidents. Dans un second temps, il approfondit certaines des considérations et des décisions que les équipes doivent prendre, offrant également des recommandations concrètes. Enfin, il compare brièvement le rôle des humains aux plates-formes améliorées par l’IA.

Prise en charge du processus de réponse aux incidents

Rassemblant l’ensemble des outils de sécurité, une plate-forme SOAR fonctionne à la manière d’un chef d’orchestre de l’écosystème de sécurité au sein d’une organisation, rationalisant le processus de réponse aux incidents. En effet, celle-ci peut soutenir et faciliter l’intégralité des phases clés de la réponse à l’incident, y compris le triage et la préqualification, l’enquête et l’analyse, ainsi que la dernière intervention et la correction.

Figure 1 : Vue d’ensemble du modèle d’intégration SOAR

Lors de la phase de triage et de préqualification, une plate-forme SOAR peut collecter des alertes provenant d’outils spécialisés de détection d’incidents, tels que les outils de gestion des informations et des événements de sécurité (SIEM). Bien qu’il s’agisse d’une activité bien établie et gérée par des outils robustes, deux problèmes majeurs demeurent ; la détection des faux positifs et la hiérarchisation des menaces sur la base d’informations contextuelles.

C’est au croisement de ces deux problématiques que les plates-formes SOAR peuvent être utiles, en enrichissant automatiquement les incidents, en filtrant les faux positifs, puis en mettant en évidence les incidents de sécurité critiques.

Les plateformes SOAR peuvent être alimentées par de nombreuses données issues de sources à la fois internes et externes. En effet, les indicateurs de compromission (IoC) pertinents peuvent être automatiquement intégrés à partir de sources fiables, telles que les fournisseurs de renseignements sur les cybermenaces (CTI) offrant des données hautement personnalisées issues de violations récentes survenues à des organisations similaires. D’autre part, les connaissances internes peuvent également être ingérées, en s’appuyant sur des résultats prédéfinis de classification des actifs ou d’analyses d’impact sur les entreprises (BIA) lisibles par machine. Cela permet ainsi aux analystes de gagner du temps en identifiant directement les incidents critiques et de disposer de toutes les informations nécessaires pour se concentrer sur la réponse aux incidents.

Lors de la phase d’investigation et de qualification des incidents, un CSIRT peut bénéficier du support SOAR en automatisant la gestion des cas d’utilisation de base. Alors que la première phase concernait des actions plus automatisées déclenchées par des alertes systèmes, par exemple l’enrichissement CTI basé sur des alertes SIEM, dans la phase d’enquête, la valeur ajoutée d’une plate-forme SOAR consiste principalement à soutenir l’analyse de l’équipe. Par exemple, lorsqu’un e-mail de phishing est signalé, la plateforme SOAR peut faciliter la collecte des informations nécessaires pour effectuer l’enquête et la qualification de l’incident, le rendant ainsi plus efficace. Cependant, l’évaluation de l’expert peut difficilement être automatisée pour des tâches plus complexes, telles que l’analyse approfondie et la qualification d’incidents complexes.

La phase de réponse et de correction reste la plus compliquée à automatiser, en raison à la fois de la nature des actions requises et du risque d’impact négatif sur l’entreprise si une correction est mal exécutée. L’automatisation d’une action de réponse doit permettre de capitaliser sur les gains d’efficacité, tout en tenant compte de l’évaluation coûts-bénéfices. 

Les plateformes SOAR peuvent donc considérablement faciliter le travail des analystes en cybersécurité, qui n’ont plus à traiter chaque incident manuellement d’outil en outil à chaque étape du processus de réponse aux incidents, et s’appuient plutôt sur des tâches automatisées mêlant différents outils de sécurité.

Après avoir vu différentes utilisations possibles des plateformes SOAR, il est intéressant de s’interroger de quelle manière choisir ce qu’il faut automatiser.

Décider quand automatiser en fonction du principe d’impact à faible regret

Pour chaque tâche de réponse à incident (IR), il existe trois approches différentes pour les plates-formes SOAR :

• Automatisation complète,
• Semi-automatisation,
• Pas d’automatisation.

Dans les cas d’automatisation complète, plusieurs étapes sont prédéfinies et automatisées en séquence sur la base de déclencheurs prédéfinis ou d’une activation manuelle. Des cas d’utilisation simples, comme les e-mails de phishing mentionnés précédemment, peuvent s’appuyer sur une automatisation complète et offrir des avantages substantiels pour minimiser les tâches longues et répétitives.

Dans les cas de semi-automatisation, certaines étapes – par exemple l’analyse initiale, la collecte de preuves ou l’enrichissement de l’information – sont automatisées afin de permettre à l’analyste de choisir le meilleur plan d’action. Cela pourrait être l’utilisation la plus courante de la plate-forme SOAR à l’heure actuelle.

Enfin, certaines situations ne permettent tout simplement pas l’automatisation et continueront d’être requises et exécutées par des opérateurs humains.

Alors que les équipes IR explorent les fonctionnalités et le potentiel des plates-formes SOAR, il est courant de se demander comment choisir quels cas d’utilisation peuvent et doivent être automatisés. Outre une évaluation de faisabilité, un facteur fondamental à adopter est le principe de l’impact à faible regret. Étant donné que la sécurité est toujours une fonction support des objectifs métiers, une analyse minutieuse des risques est nécessaire lorsque la possibilité d’affecter les services métiers existe. Une évaluation des avantages par rapport au regret encouru amène les organisations à changer leur perspective sur le problème en leur faisant choisir quand certaines actions peuvent être automatisées au lieu de savoir si elles peuvent être automatisées.

Afin de fournir une image plus sophistiquée et réaliste, deux observations s’imposent. Tout d’abord, ce choix est généralement non binaire (par exemple, regret élevé vs regret faible), car il devrait y avoir des niveaux croissants de risques et une confiance raisonnable en fonction de l’appétit pour le risque d’une organisation. Le regret est mieux quantifié sur une échelle. Deuxièmement, une telle analyse coûts-avantages est nécessairement contextuelle, ce qui signifie qu’elle doit tenir compte des conditions situationnelles dans lesquelles elle est effectuée. Pendant une crise en cours, les actions automatisées peuvent devenir plus ou moins attrayantes, compte tenu de l’évolution du calcul des risques.

Concrètement, les actions ayant très peu de chance de perturber les opérations métiers doivent être considérées comme des actions à faible regret, permettant une plus grande automatisation. Les actions susceptibles de provoquer des perturbations généralisées ou percutantes lorsqu’elles sont mal exécutées peuvent être évaluées comme des actions de regret moyen, nécessitant une confirmation humaine pour terminer le flux de travail. Enfin, les actions qui perturberaient les activités métiers d’une manière inacceptable (par exemple, la perturbation d’actifs hautement critiques) sont considérées comme des actions à grand regret, décourageant l’automatisation. Néanmoins, dans des circonstances particulières, ce barème peut être révisé et adapté.

Adopter une approche progressive

Une fois les concepts de base des solutions SOAR définis, les équipes IR sont confrontées à un autre défi majeur lié à la conduite du changement. Le passage de playbooks manuels à des workflows automatisés implique un processus fastidieux qui nécessite une hiérarchisation minutieuse. Un degré croissant d’automatisation peut être atteint grâce à une approche progressive et progressive.

Les tâches simples, chronophages et présentant un faible risque de regret peuvent être automatisées en priorité, réduisant la charge de travail à faible valeur ajoutée des analystes IR et augmentant leur efficacité. Cela peut être mis en place rapidement, compte tenu de la faisabilité technique de telles actions (ex : API existantes). En outre, la standardisation des tâches peut accélérer les étapes d’automatisation ultérieures en les rendant réutilisables dans différents playbooks ou branches. En effet, il est préférable de commencer à automatiser les branches des playbooks les plus simples, comme par exemple effacer les faux positifs, avant d’étendre l’automatisation à l’ensemble du playbook où toutes les possibilités d’alerte doivent être envisagées.

L’IA au service des activités humaines

Certaines solutions SOAR s’appuient sur l’intelligence artificielle (IA), grâce à laquelle un modèle d’apprentissage automatique (ML) peut être formé sur des données spécifiques qui lui sont fournies. Par exemple, un ensemble de données d’e-mails de phishing classées selon différentes valeurs (par exemple, légitime, malveillant, spam) peut alimenter le modèle ML.

Les solutions SOAR améliorées par l’IA peuvent aider à résoudre rapidement des incidents simples ou à identifier facilement des actions automatisables. Cependant, le raisonnement humain permettra de mieux contextualiser les choix en fonction de considérations commerciales et opérationnelles. A l’heure actuelle, aucune solution automatisée ne peut encore fonctionner sans l’intervention et la supervision des analystes. Au lieu de cela, l’IA est principalement destinée à effectuer efficacement une tâche spécialisée unique en traitant de grandes quantités de données. Cela améliore considérablement l’efficacité de l’équipe, travaillant aux côtés des humains, plutôt que de les remplacer.

Conclusion

Tout bien considéré, les plateformes SOAR sont des outils puissants. Bien qu’ils puissent soutenir les équipes IR à toutes les étapes de leur travail quotidien, y compris la collecte d’informations, l’analyse et la réponse active, il convient de souligner que les SOAR ne sont pas des outils magiques capables de résoudre tous les problèmes auxquels les équipes sont confrontées aujourd’hui. Au contraire, les achats qui ne sont pas suivis de projets de mise en œuvre bien définis entraîneront probablement des résultats inefficaces et de faibles retours sur investissement. Sur le plan technique, les SOAR ne peuvent pas effectuer des tâches que les systèmes backend ne permettent pas ; du côté organisationnel, ils s’appuieront toujours sur des processus et des procédures bien établis, standardisés et testés. Au fur et à mesure que les organisations évaluent leur adoption et, par conséquent, franchissent les étapes pour les intégrer et capitaliser sur leur potentiel, des principes directeurs tels qu’un principe d’impact à faible regret et une approche progressive déterminent le résultat final et les avantages que les équipes visent à obtenir.

Merci à Fabien Leclerc pour sa participation à la recherche et à la rédaction

Cet article Améliorer la réponse aux incidents grâce à l’automatisation : vue d’ensemble des plates-formes SOAR est apparu en premier sur RiskInsight.

La directive NIS fixe un cap

Comme l’indique son nom, la directive NIS n’est ni une loi, ni un règlement. Elle donne un objectif à atteindre, mais laisse le choix des moyens pour y arriver. Comme pour toute directive, elle doit être transposée par chacun des pays membres en lois qui fixeront les moyens pour y arriver. La LPM française ou le IT Security Act allemand en sont des exemples. L’ANSSI a récemment annoncé être en charge du pilotage de la déclinaison en France.

Il est possible de diviser les obligations données par la directive en trois catégories :

• Définition d’un modèle de gouvernance national (articles 5,6,7) : chaque État membre doit adopter une stratégie nationale, en définissant des objectifs et une législation appropriée dans le but d’atteindre un haut niveau de sécurité national.
  Pour cela chaque pays doit se doter au moins d’une autorité compétente, chargée de la transposition de la directive en loi. Cette autorité peut être unique, comme c’est le cas en France avec l’ANSSI, ou peut être divisée selon les différents secteurs essentiels. Les dites-autorités sont invitées à se rapprocher de l’ENISA (Agence européenne chargée de la sécurité des réseaux et de l’information) pour obtenir de l’aide.
  De même, un CSIRT (Computer Security Incident Response Team) national doit être désigné. En charge de la gestion d’incident nationaux, il a pour mission d’alerter et de partager sur les risques et les incidents, et de reporter les notifications d’incidents aux entités adéquates. Enfin, un point de contact unique doit être désigné pour participer à la coopération transfrontalière sur les objectifs stratégiques et les moyens mis en place.

• Mise en place de mesures de sécurité et de systèmes de notification d’incident pour les opérateurs de services essentiels (article 14 et 15a) : les entités identifiées par les pays comme indispensables à la pérennité d’activités critiques (économiques ou sociales) doivent mettre en place des mesures pour appréhender les risques ainsi que leurs impacts. Ces opérateurs ont également l’obligation de notifier immédiatement à l’autorité compétente tout incident dont la nature pourrait impacter significativement la continuité du service. La notion d’impact,laissée à la libre évaluation de l’entité, dépend du nombre d’utilisateurs touchés, de la durée de l’incident et de la portée géographique.
  La directive impose des actions similaires aux « fournisseurs de services numériques ». Ces fournisseurs correspondent aux les places de marchés en ligne, les moteurs de recherches, les services cloud, à l’exception des TPE et des microentreprises (2003/361/EC). Leurs obligations sont légèrement moindres (règles spécifiques au niveau des États et obligation de notifications plus restreintes), comme leurs activités ne nuiront pas directement à la vie des personnes, mais plutôt à l’économie.

• Participation aux initiatives de partage d’information et collaboration (article 8) : Lors de la présentation de la directive, le vice-président de la Commission Européenne en charge du Marché unique numérique, Adrus Ansip, et le Commissaire européen à l’Économie et à la Société numérique, Günther H. Oettinger, ont insisté sur la nécessité d’une coopération entre les institutions publiques européennes et nationales avec les acteurs privés. Ils ont également rappelé l’importance de la standardisation pour faciliter les échanges inter-frontaliers. Une réponse à ces besoins se traduit par la création d’un réseau de CSIRT et d’un groupe de coopération stratégique composé de représentants des pays membres de la Commission Européenne et de l’ENISA.

La directive NIS en renfort de la LPM

En France, la directive NIS vient accroître la légitimité de la Loi de programmation militaire dont certains arrêtés ont été publiés le 23 juin dernier.

Plusieurs différences sont toutefois notables entre le texte européen et la loi française, notamment dans la partie concernant les obligations des entreprises.

• Alors que la France a identifié 12 secteurs d’importance vitale (SIV), la directive NIS n’en reconnait que 6 (énergie, transport, banques, distribution et provision d’eau potable, infrastructures financières, santé) auxquels s’ajoutent les fournisseurs de services numériques non couverts par la LPM actuelle. Ces fournisseurs ont été estimés à près de 1400 pour l’ensemble du territoire européen. De plus, certains secteurs comme l’industrie ne sont pas inclus dans la démarche, et ne profiteront pas de l’impulsion donnée au sommet de l’Europe.
• Au sein d’un même secteur, les opérateurs concernés ne seront pas forcément identiques. En effet, la directive NIS ne considère que ceux dont l’activité dépend fondamentalement des réseaux et des systèmes d’information.
• Bien que les obligations pour les entités considérées comme sensibles soient similaires, la LPM va un cran plus loin et requière que les organisations identifiées dans le secteur d’importance vitale soient auditées par des prestataires qualifiés, alors que cela n’est pas rendu obligatoire par le texte européen. Chaque pays sera libre d’adapté le texte.

En définitive, les opérateurs des secteurs d’importance vitale français ayant initié un processus de mise en conformité à LPM seront globalement en accord avec les objectifs fixés par la directive. En revanche, certaines organisations devront mettre en place des mesures pour identifier et réduire les risques, en particulier celles du secteur de fournisseurs de services numériques car non concernées par la LPM.

21 mois pour s’aligner à la directive

La directive NIS entrera en vigueur 20 jours après publication au Journal Officiel de l’Union Européenne, c’est-à-dire en août 2016. Suite à cela, les différents États membres disposeront de 21 mois pour transposer cette directive en lois nationales. Une période de 6 mois supplémentaire sera donnée pour identifier les opérateurs de services essentiels correspondants aux secteurs identifiés.

Afin d’aligner la gouvernance nationale avec le cap fixé par la directive NIS, il restera un certain nombre d’interrogations auxquelles devra répondre chacun des pays de l’UE : Qui va prendre en charge cette transposition ? Combien d’autorités compétentes ou de CSIRT désigner à l’échelle nationale ? Quels moyens faut-il mettre à disposition ? Est-il nécessaire d’écrire de nouvelles lois ou simplement faire des amendements d’anciennes lois ?

La directive NIS est un pas important pour obtenir une cybersécurité unifiée à l’échelle européenne et c’est devenu une nécessité, car les cybercriminels eux, ne connaissent pas les frontières.

Cet article Directive NIS : Une confiance accrue dans le cyberespace européen est apparu en premier sur RiskInsight.

Le cyberespace, talon d’Achille de l’Europe

En l’absence de sécurité suffisante, cette dépendance des États comme des entreprises peut rapidement se transformer en talon d’Achille. Elle peut en effet offrir à des individus, des organisations ou des États la possibilité de voler des secrets industriels ou des données en grande quantité, de détourner des fonds ou, pire, de détruire le potentiel économique ou de survie d’un État.

À titre d’exemple, en 2015 au Royaume-Uni, 90% des grandes entreprises et 74% des petites entreprises ont subi une cyberattaque. Par ailleurs – en guise d’illustration des conséquences financières atteignables – la cyberattaque subie par Talk Talk lui a couté au total plus de 75 millions d’euros. Enfin, la cyberattaque contre la centrale électrique ukrainienne démontre parfaitement le caractère potentiellement destructeur pour les États des cyberattaques contre leurs infrastructures critiques.

Face à un cyberespace qui est autant créateur de richesses que source de menaces, comment l’Union européenne prépare-t-elle sa cyber protection ?

Entre hétérogénéité, volonté d’harmonisation et désir de coopération

Aujourd’hui, l’Europe de la cybersécurité repose essentiellement sur des États européens qui avancent en ordre dispersé lorsqu’il s’agit de se prémunir contre les cybermenaces ; il existe en effet une forte hétérogénéité entre les pays membres dans leur sensibilité et leur niveau de préparation en matière de cybersécurité, et peu d’initiatives associant deux ou plusieurs États sont mises en œuvre.

Sans surprise, la question de la cybersécurité se pose avec plus d’acuité aux principales puissances économiques et militaires européennes, qui ont le plus d’intérêt et le plus de capacités financières et technologiques pour se prémunir contre les menaces venues du cyberespace.

Avec le Royaume-Uni et l’Allemagne, la France fait partie de ces États, créant dès 2008 l’ANSSI , l’autorité étatique dédiée à la cybersécurité, et se dotant dès 2013 d’un cadre juridique imposant aux Opérateurs d’Importance Vitale de protéger leurs systèmes d’importance vitale (article 22 de la loi de programmation militaire). À cela s’ajoute la mise en œuvre de moyens civils et militaires dédiés à la protection contre les cybermenaces.

Outre-Rhin nous pourrions par exemple citer une loi adoptée en 2015 visant à accroître la cybersécurité des OIV allemands, ainsi que la coopération étroite qui lie l’ANSSI et son homologue allemand, le BSI (Bundesamt für Sicherheit in der Informationstechnik), depuis plus de cinq ans.

Outre-Manche le gouvernement britannique a annoncé en 2015, 1,9 milliards de livres sur cinq ans pour renforcer la cybersécurité du pays.
Depuis quelques années, et face aux enjeux économiques que représente la cybersécurité pour la communauté européenne, les autorités de l’Union entendent participer davantage à la protection contre les cybermenaces, notamment en harmonisant la législation.

Depuis 2005, la Convention de Budapest , conçue par le Conseil de l’Europe, fournit par ratification à tout pays une trame et des outils juridiques leur permettant de mieux se prémunir contre la cybercriminalité.

Par ailleurs, la directive Network and Information Systems (NIS), prochainement adoptée, harmonisera automatiquement à l’échelle européenne les obligations des opérateurs de services essentiels (dénomination issue de la directive NIS) pour la protection de leurs systèmes d’information. Dans le même temps le futur règlement européen sur la protection des données personnelles devrait accroître la maîtrise des organisations sur les données qu’elles collectent, traitent et stockent, et donc limiter les conséquences des cyberattaques en terme de fuite.

Enfin, il a été annoncé par la Commission européenne lors du FIC 2016 que la cybersécurité fera, dans un avenir proche, de plus en plus partie des textes européens à portée sectorielle.

La directive NIS définit en outre une gouvernance européenne de la cybersécurité, inédite et résolument tournée vers la coopération entre les instances européennes (Commission européenne, ENISA – Agence Européenne chargée de la sécurité des réseaux et de l’information -, CERT-EU – Computer Emergency Response Team -)  et entre les États membres.

Deux nouveaux organes seront donc créés :

• Un groupe de coopération chargé de soutenir et de faciliter la coopération stratégique entre les États membres, notamment à travers l’échange d’informations et de bonnes pratiques. Ce groupe réunira la Commission européenne, l’ENISA et les représentants des États membres.
• Un réseau de CSIRTs (Computer Security Incident Response Team), regroupant le CERT-EU et le CSIRT de chaque État membre dont l’existence est rendue obligatoire par la directive. Il est chargé de promouvoir la coopération opérationnelle entre les États membres. L’ENISA assurera le secrétariat de ce réseau et la Commission européenne aura un statut d’observateur.

Des défis qui appellent une volonté politique commune

Ces initiatives européennes – complémentaires des initiatives des États les plus avancés en matière de cybersécurité – sont évidemment salutaires, mais ne doivent pas faire oublier les défis, politiques et économiques, que l’Europe devra dépasser afin de disposer d’une cybersécurité efficace et assurant sa cyber résilience.

Au défi que pose la coopération de 28 États membres s’ajoute la question des moyens qui permettront sa mise en œuvre effective, tant au niveau stratégique qu’opérationnel. Nul doute que les États déjà en avance pérenniseront leurs efforts. Mais quid des autres États, les plus nombreux : mobiliseront-ils les moyens suffisants pour se protéger ? La problématique des moyens se pose aussi au niveau de la gouvernance européenne : à titre d’exemple le budget de l’ENISA est de seulement 10,1 millions d’euros. Ce budget est-il réellement à la hauteur des enjeux ?

Par ailleurs, comment envisager une Europe de la cybersécurité sans une véritable industrie européenne de la cybersécurité ? De l’aveu de la Commission européenne, l’offre européenne est encore trop fragmentée et portée par des acteurs qui n’ont pas encore atteint une taille suffisante, portant préjudice à leur compétitivité face aux multinationales, américaines notamment. Mais une industrie suffisamment puissante économiquement, sachant produire des produits et services européens, est aussi un enjeu de souveraineté. À l’heure de la compétition économique mondiale, peut-on bâtir une Europe de la cybersécurité avec du matériel et des services chinois ou américains ?

On ne peut que saluer les efforts que compte produire l’Europe en matière de cybersécurité dans les prochaines années. Stimulé par des cybermenaces toujours plus nombreuses, ce projet pourra-t-il s’appuyer sur une volonté politique et des actions communes et durables ? Ou bien la dynamique européenne lancée s’essoufflera-t-elle faute d’une volonté politique commune suffisante, laissant les États membres en ordre dispersé au sujet de la cybersécurité, à l’image de l’Europe de la sécurité ou de la défense ?

Cet article L’Europe de la cybersécurité : peut-on y croire ? est apparu en premier sur RiskInsight.