Qu’est-ce que la réponse aux incidents ?

Le ransomware est un type de logiciel malveillant, ou malware, qui verrouille les données ou l'appareil informatique d'une victime et menace de les maintenir verrouillés – ou pire – à moins que la victime ne paie une rançon. Le dernier rapport X-Force Threat Intelligence Index d'IBM indique que 20 % des attaques de réseaux ont utilisé des ransomwares, et que les attaques basées sur l'extorsion sont une force motrice de la cybercriminalité, seulement surpassée par le vol et les fuites de données.

Le phishing (ou « hameçonnage ») repose sur des messages numériques ou vocaux qui visent à manipuler les destinataires pour les amener à partager des informations sensibles, à télécharger des logiciels malveillants, à transférer de l'argent ou des actifs à des personnes mal intentionnées ou à prendre d'autres mesures préjudiciables.  

Les escrocs conçoivent ces messages de manière à ce qu’ils aient l’air de provenir d’une organisation ou d’un individu de confiance ou crédible, parfois même d’une personne que le destinataire connaît personnellement.

Le phishing et le vol ou la compromission d'informations d'identification sont les deux vecteurs d'attaque les plus répandus, selon le rapport d'IBM sur le coût d'une violation de données. Le phishing est également la forme la plus courante d'ingénierie sociale, une catégorie d'attaque qui exploite la nature humaine plutôt que les vulnérabilités de la sécurité numérique pour obtenir un accès non autorisé à des données ou à des actifs sensibles, qu'ils soient personnels ou d'entreprise.

Dans une attaque par déni de service distribué (DDoS), les pirates informatiques prennent le contrôle d'un grand nombre d'ordinateurs et les utilisent pour submerger le réseau ou les serveurs d'une organisation cible avec du faux trafic, rendant ces ressources indisponibles pour les utilisateurs légitimes.

Les attaques contre la chaîne d'approvisionnement sont des cyberattaques qui infiltrent une organisation cible en s'attaquant à ses fournisseurs. Il peut s'agir, par exemple, de voler des données sensibles dans les systèmes d'un fournisseur ou d'utiliser les services d'un fournisseur pour distribuer des logiciels malveillants. 

Il existe deux types de menaces internes : Les initiés malveillants sont des employés, des partenaires ou d'autres utilisateurs autorisés qui compromettent intentionnellement la sécurité des informations d'une organisation. Les initiés négligents sont des utilisateurs autorisés qui compromettent involontairement la sécurité en ne respectant pas les bonnes pratiques de sécurité, comme en utilisant des mots de passe faibles ou en stockant des données sensibles dans des endroits non sécurisés.

Ces menaces impliquent un attaquant qui obtient d'abord des privilèges limités dans un système et les utilise pour se déplacer latéralement, en obtenant des privilèges plus élevés et en accédant à des données plus sensibles en cours de route.

Les informations d'identification volées peuvent aider l'attaquant à pénétrer dans le système ou à accroître ses privilèges. Selon le X-Force Threat Intelligence Index, l'utilisation abusive de comptes valides est le moyen le plus courant utilisé par les attaquants pour pénétrer dans les systèmes aujourd'hui.

Dans une attaque MITM, l'acteur de la menace intercepte une communication – souvent un e-mail contenant des informations sensibles telles que des noms d'utilisateur ou des mots de passe – et vole ou modifie cette communication. L'attaquant utilise directement les informations volées ou injecte des logiciels malveillants qui seront transmis au destinataire prévu.

Cette première phase de la réponse aux incidents est également une phase continue. La CSIRT sélectionne les meilleures procédures, outils et techniques possibles pour répondre, identifier, contenir et récupérer un incident aussi rapidement que possible et avec une interruption minimale des activités.

Grâce à une évaluation régulière des risques, la CSIRT identifie l'environnement professionnel à protéger, les vulnérabilités potentielles du réseau et les différents types d'incidents de sécurité qui représentent un risque pour le réseau. L'équipe hiérarchise chaque type d'incident en fonction de son impact potentiel sur l'organisation.  

La CSIRT peut alors organiser plusieurs exercices de simulations pour différentes stratégies d'attaque, puis créer des modèles des réponses les plus efficaces pour accélérer l'action lors d'une attaque réelle. Le temps de réponse peut être suivi afin d'établir des mesures pour les exercices futurs et les attaques éventuelles. Sur la base d'une évaluation complète des risques, la CSIRT peut mettre à jour les plans de réponse aux incidents existants ou en rédiger de nouveaux.

Au cours de cette phase, les membres de l'équipe de sécurité surveillent le réseau à la recherche d'activités suspectes et de menaces potentielles. Ils analysent les données, les notifications et les alertes recueillies à partir des journaux des appareils et de divers outils de sécurité (logiciels antivirus, pare-feu) afin d'identifier les incidents en cours. L'équipe s'efforce de filtrer les faux positifs des incidents réels, en triant les alertes par ordre de gravité.

Aujourd'hui, la plupart des organisations utilisent une ou plusieurs solutions de sécurité, telles que la gestion des informations et des événements de sécurité (SIEM) et la détection et réponse des terminaux (EDR), pour surveiller les événements de sécurité en temps réel et automatiser les efforts de réponse. (Pour en savoir plus, voir la section « Technologies de réponse aux incidents »).

Le plan de communication entre également en jeu au cours de cette phase. Lorsque la CSIRT a déterminé le type de menace ou de violation auquel il est confronté, il en informe le personnel concerné et passe à l'étape suivante du processus de réponse à l'incident.

L'équipe de réponse à l'incident prend des mesures pour empêcher la violation ou toute autre activité malveillante de causer d'autres dommages au réseau. Les plans d'intervention d'urgence en cas d'incident entrent alors en action. Il existe deux categories d’activités de confinement :

• Les mesures d'atténuation à court terme visent à empêcher la propagation de la menace actuelle en isolant les systèmes affectés, par exemple en déconnectant les appareils infectés du réseau.

• Les mesures de confinement à long terme visent à protéger les systèmes non affectés en renforçant les contrôles de sécurité qui les entourent, comme en segmentant les bases de données sensibles du reste du réseau.

À ce stade, la CSIRT peut également créer des sauvegardes des systèmes affectés et non affectés pour prévenir toute perte de données supplémentaire et collecter des preuves légales de l'incident, qui pourront être étudiées ultérieurement.  

Une fois la menace contenue, l’équipe procède à la résolution complète et à l’élimination totale de la menace du système. Cela peut inclure la suppression de logiciels malveillants ou l’exclusion d’un utilisateur non autorisé ou malveillant du réseau. L’équipe vérifie également que les systèmes affectés et non affectés ne présentent plus aucune trace de la violation.   

Lorsque l’équipe de réponse aux incidents est certaine que la menace a été entièrement éradiquée, elle restaure le fonctionnement normal des systèmes affectés. Cette étape de résolution peut inclure le déploiement de correctifs, la reconstruction des systèmes à partir de sauvegardes et la remise en ligne des systèmes et appareils. Un enregistrement de l’attaque et de sa résolution est conservé pour analyse et pour améliorer les systèmes.

Tout au long du processus de réponse aux incidents, la CSIRT collecte des preuves de la violation et documente les mesures prises pour contenir et éradiquer la menace. À ce stade, la CSIRT examine ces informations pour mieux comprendre l’incident et en tirer des « leçons apprises ».La CSIRT cherche à identifier la cause première de l’attaque, à comprendre comment elle a réussi à pénétrer le réseau, et à résoudre les vulnérabilités afin d’éviter que des incidents similaires ne se reproduisent à l’avenir. a CSIRT cherche à identifier la cause racine de l’attaque, à comprendre comment elle a réussi à pénétrer le réseau, et à résoudre les vulnérabilités afin d’éviter que des incidents similaires ne se reproduisent à l’avenir.

La CSIRT analyse également ce qui a bien fonctionné et recherche des opportunités pour améliorer les systèmes, outils et processus, dans le but de renforcer les initiatives de réponse aux incidents contre de futures attaques. Selon les circonstances de la violation, les forces de l’ordre peuvent être impliquées dans l’enquête post-incident.

Les solutions ASM automatisent la découverte, l’analyse, la résolution et la surveillance continues des vulnérabilités et des vecteurs d’attaque potentiels sur tous les actifs composant la surface d'attaque d'une organisation. L'ASM peut découvrir des actifs réseau qui n’étaient pas surveillés auparavant et cartographier les relations entre ces actifs.

L'EDR est un logiciel conçu pour protéger automatiquement les utilisateurs finaux, les terminaux et les actifs informatiques d'une organisation contre les cybermenaces qui contournent les logiciels antivirus et les autres outils classiques de sécurités aux points de terminaison.

L'EDR collecte des données en continu à partir de tous les points de terminaison du réseau. Elle analyse ces données en temps réel à la recherche de preuves de cybermenaces connues ou suspectées, et peut réagir automatiquement pour prévenir ou minimiser les dommages causés par les menaces identifiées.

Le SIEM regroupe et met en corrélation les données des événements de sécurité provenant d'outils de sécurité internes disparates (par exemple, des pare-feux, des analyseurs de vulnérabilités et des flux de renseignements sur les menaces ainsi que des dispositifs présents sur le réseau.

Le SIEM peut aider les équipes de réponse aux incidents à lutter contre la baisse de la vigilance en distinguant les indicateurs de menaces réelles de l’énorme volume de notifications générées par les outils de sécurité.

Le SOAR permet aux équipes de sécurité de définir des protocoles, c’est-à-dire des workflows formalisés qui coordonnent différentes opérations et outils de sécurité pour répondre aux incidents. Les plateformes SOAR peuvent également automatiser certaines parties de ces workflows lorsque cela est possible.

L'UEBA utilise l’analyse comportementale, les algorithmes de machine learning et l’automatisation pour identifier les comportements anormaux et potentiellement dangereux des utilisateurs et des dispositifs.

L’UEBA est efficace pour identifier les menaces internes (initiés malveillants ou pirates utilisant des informations d’identification compromises) qui peuvent échapper à d’autres outils de sécurité parce qu’elles imitent le trafic réseau autorisé. Les fonctions d'UEBA sont souvent incluses dans les solutions SIEM, EDR et XDR.

La XDR est une technologie de cybersécurité qui unifie les outils de sécurité, les points de contrôle, les sources de données et de télémétrie, ainsi que les analyses au sein d’un environnement informatique hybride. La XDR crée un système d'entreprise centralisé pour la prévention, la détection et la réponse aux menaces. La technologie XDR peut aider les équipes de sécurité surchargées et les SOC à faire plus avec moins en éliminant les silos entre les outils de sécurité et en automatisant les réponses sur l’ensemble de la chaîne de cybermenaces.

Les systèmes alimentés par l'IA peuvent accélérer la détection et l'atténuation des menaces en surveillant d'énormes volumes de données, ce qui permet de repérer plus rapidement les modèles de trafic suspect ou les comportements inhabituels des utilisateurs.

Ils peuvent également soutenir des processus de réponse aux incidents plus proactifs en fournissant des informations en temps réel aux équipes de cybersécurité, en automatisant le triage des incidents, en coordonnant les défenses contre les cybermenaces et même en isolant les systèmes sous attaque.

L'analyse des risques basée sur l'IA peut produire des résumés d'incidents pour accélérer les enquêtes sur les alertes et aider à identifier la cause racine d'une défaillance. Ces résumés d'incidents peuvent également permettre de prévoir quelles menaces sont les plus susceptibles de se produire à l'avenir, ce qui permet à l'équipe de réponse aux incidents d'affiner ses plans et de mieux se préparer à faire face à ces menaces.