Une présence prolongée
Un attaquant reste plusieurs jours dans l’environnement avant d’être repéré, le temps de comprendre où sont les données.
Les défenses préventives échouent parfois - c’est une donnée, pas une hypothèse. La question qui compte devient alors : combien de temps l’attaquant restera-t-il chez vous avant que quelqu’un ne s’en aperçoive, et que se passera-t-il à ce moment-là ?
Le problème
Après un incident, l’enquête retrouve presque toujours les traces : la connexion inhabituelle était dans les journaux, le fichier créé sur le serveur, le flux sortant dans le pare-feu. Chaque élément était enregistré. Aucun n’a été rapproché des autres au moment où cela comptait.
La difficulté n’est donc pas de collecter - c’est de hiérarchiser, puis de réagir dans un délai où l’action a encore de la valeur. Une alerte pertinente arrivée lundi matin sur une attaque du vendredi soir n’a rien empêché.
Un attaquant reste plusieurs jours dans l’environnement avant d’être repéré, le temps de comprendre où sont les données.
Un SOC qui reçoit des milliers d’alertes par jour finit par en ignorer - et c’est toujours la mauvaise.
Les attaques se déclenchent le vendredi soir précisément parce qu’elles ont alors deux jours devant elles.
Diagnostic
Vos réponses déterminent surtout une chose : faut-il outiller vos équipes, ou confier la surveillance à un service qui tourne en permanence.
Si la réponse est « personne », l’outillage supplémentaire n’apportera rien : la priorité est un service managé qui surveille en continu.
Serveurs anciens, machines de production, objets connectés : ce qui n’a pas d’agent est invisible. La détection étendue au réseau comble cet angle mort.
Lorsque les consoles se multiplient, le temps passe en navigation plutôt qu’en analyse. Une console unifiée peut alors apporter un gain immédiat. Une console unifiée est alors le gain le plus immédiat.
Cette question ne se traite qu’en rapprochant plusieurs sources. C’est exactement ce que fait un SIEM - et rien d’autre ne le fait.
Vérifier une adresse, détoner une pièce jointe, isoler un poste : si ces gestes sont écrits et répétitifs, l’automatisation rend ce temps à vos équipes.
Les solutions
Elles ne se cumulent pas toutes : certaines se remplacent, et le service managé dispense d’en exploiter plusieurs soi-même.
Détection et réponse sur les postes et serveurs, avec réponses automatisées et accès distant pour investiguer.
Voir la solution →Corrélation entre le poste, le réseau, la messagerie, le cloud et les identités, y compris depuis vos outils tiers.
Voir la solution →Des analystes surveillent votre environnement 24 h/24, réponse à incident comprise.
Voir la solution →Une console pour toute la gamme, où les produits partagent leur télémétrie au lieu de l’observer chacun de leur côté.
Voir la solution →Enrôlement, conformité et effacement à distance des flottes Android, iOS, Windows et macOS.
Voir la solution →Collecte et normalisation de toutes vos sources, avec plus de 1 800 détections maintenues et alertes fondées sur le risque.
Voir la solution →Les gestes répétitifs du SOC s’exécutent seuls, à travers les outils déjà en place.
Voir la solution →Analyse du comportement des utilisateurs et des machines, pour détecter ce qu’aucune règle n’avait décrit.
Voir la solution →EDR, NDR, XDR : trois périmètres souvent confondus. Une page pour s’y retrouver avant d’acheter.
Voir la solution →Par où commencer
L’erreur consiste souvent à déployer un SIEM avant d’avoir correctement couvert les postes et serveurs. Sans données fiables provenant des systèmes eux-mêmes, sa valeur reste limitée.
Palier 1
Détection et réponse sur les postes et serveurs. C’est là qu’arrivent la plupart des attaques, et le déploiement est rapide.
Palier 2
Vos équipes peuvent-elles surveiller en dehors des heures ouvrées ? Si non, le service managé règle le problème mieux qu’un outil de plus.
Palier 3
SIEM puis automatisation, quand le volume et la maturité le justifient, généralement une fois la pratique consolidée.
Ce séquencement correspond notamment aux organisations dont les équipes de sécurité disposent de ressources limitées. Une DSI dotée d’un SOC constitué inverse naturellement les paliers 2 et 3.
Un partenaire, pas seulement un revendeur
C’est le domaine où l’écart entre l’outil vendu et l’outil réellement exploité est le plus grand. Un SIEM que personne ne sait interroger devient un entrepôt de journaux coûteux.
Si votre équipe ne peut pas exploiter un XDR, nous vous le disons et orientons vers le service managé plutôt que de vendre une licence.
La facture d’un SIEM suit le volume ingéré. Nous filtrons à la source ce qui n’a aucune valeur de détection.
Les règles génériques ignorent vos spécificités bancaires. Nous en écrivons pour vos applications de paiement.
Nous formons vos analystes sur votre propre environnement, pas sur un jeu de démonstration.
Nous évaluons votre couverture actuelle, identifions les angles morts et vous disons franchement s’il faut outiller vos équipes ou déléguer la surveillance. Réponse sous 24 heures ouvrées.