L’intelligence des menaces se réveille : des données d’intelligence sur les menaces nécessaires

Partout, quelque chose est observé ou quelqu’un est espionné, mais cela a toujours été ainsi ; il semble juste à l’employé moyen, au manager ou à quiconque que, en raison de la technologie, cela est plus prononcé aujourd’hui que jamais. Parfois, il semble que les entreprises soient presque mises dans une position, ou le seront bientôt, où elles doivent établir leurs propres services de contre-espionnage pour prévenir les attaques contre elles, que ce soit en raison de la cybercriminalité ou de l’espionnage industriel de la part de concurrents ou d’actions d’organisations criminelles contre elles.

Ce qui arrive aux autres…

Bien sûr, il n’est pas nécessaire de paniquer ou d’alimenter des théories du complot car, comme l’a dit Miroslav Krleža un jour, ‘il n’a jamais été qu’il n’a pas été, et il ne sera jamais qu’il ne sera pas’ (ce qui est certainement plus facile à écrire qu’à dire pour quelqu’un qui n’est pas de Zagorje), donc il en va de même pour les attaques contre les entreprises – l’économie existera même après elles. Cependant, le dicton ‘juste pas moi, comment cela va-t-il être’ est souvent utilisé, bien que, en réalité, nous devons penser que nous sommes toujours une cible potentielle. Ainsi, cette sagesse nous amène finalement à réfléchir à l’avance à qui pourrait nous attaquer (notre entreprise) et pourquoi. Surtout puisque les adversaires sont exceptionnellement bien cachés, souvent parce qu’ils utilisent des identifiants et des outils légitimes, rendant difficile pour les défenseurs de détecter les violations de sécurité. Cela semble quelque peu inquiétant que la cyberattaque la plus rapide à ce jour ait été réalisée en deux minutes et sept secondes. En d’autres termes, vous êtes allé aux toilettes pendant la surveillance, et l’ennemi a déjà pénétré votre entreprise.

Les plus petits et les plus vulnérables

Le terme intelligence des menaces (TI) est déjà connu dans le monde entier. Il fait référence aux données d’intelligence qui sont collectées et analysées, après quoi les entreprises réagissent en fonction des suggestions de leurs services de sécurité. Plus tôt, c’est mieux, bien que nous connaissions de nombreux cas où elles ont tardé à réagir ou ont réagi trop tard. Les plus vulnérables sont les petites entreprises qui n’ont pas assez d’argent, et leurs managers ne sont probablement même pas conscients qu’ils doivent prendre des mesures préventives contre les attaques. Il nous semble même que les organes d’enquête responsables n’ont pas un intérêt particulièrement grand à enquêter sur les attaques et l’espionnage contre les petites entreprises. Cependant, chaque entreprise peut, si rien d’autre, engager des entreprises informatiques spécialisées pour faire le travail de collecte de données d’intelligence sur d’éventuelles attaques ou espionnage par des criminels organisés ou des concurrents.

Explosion des menaces liées à l’IA

En cherchant sur Internet, nous voyons que les menaces ont explosé l’année dernière, en particulier celles soutenues par l’intelligence artificielle générative. Avec tous ses avantages, l’IA générative peut également créer de fausses informations, images ou vidéos, aidant ainsi à la manipulation, à la tromperie et à l’abus, ce qui peut avoir de graves conséquences pour la société et les individus. Avec l’aide de l’intelligence artificielle, les attaquants utilisent de nouvelles techniques pour des violations plus rapides telles que le vol d’identité, l’ingénierie sociale et l’achat de données d’identification légitimes auprès de courtiers pour obtenir un accès. Des tactiques telles que l’échange de cartes SIM, le contournement de l’authentification multi-facteurs (MFA) et l’utilisation de clés d’interface de programmation d’application (API) volées pour un accès initial deviennent populaires. Sans surprise, les voleurs se sont adaptés et ont conçu de nouvelles attaques tactiques, que toutes les victimes potentielles doivent considérer et ainsi collecter des données sur les attaquants potentiels et réels. Nous avons dit qu’il s’agit d’intelligence des menaces, c’est-à-dire de la collecte de données d’intelligence pour analyser et fournir des informations à la direction ou au directeur de l’entreprise sur les actions menées contre elle. Bien sûr, le rapport comprend également une proposition de protection contre les attaques potentielles ou celles qui ont déjà commencé.

—

—

Comment fonctionne la TI

Intelligence des menaces dans un sens plus large signifie collecter et analyser des données et des informations sur les activités d’attaque pour les utiliser pour construire une meilleure défense. Elle englobe des données telles que les indicateurs de compromission (IOC), celles concernant les adresses IP malveillantes, les domaines, les URL, les techniques, les tactiques et les procédures d’attaques, et similaires. Contrairement à la TI, l’intelligence des menaces cybernétiques (CTI) se concentre sur les menaces cybernétiques et traite principalement de l’analyse des incidents et des tactiques et techniques d’attaque. Ce que l’analyse sera dépendra de la coopération de l’entreprise menacée avec ceux impliqués dans l’analyse des données. Comme un interlocuteur nous l’a dit un jour à ce sujet, une question bien posée est la moitié de la réponse. Bien qu’il existe une vaste quantité d’informations disponibles sur les menaces, elle se compose de données brutes qui, pour être un peu franc, ne sont d’aucune utilité et nécessitent une analyse approfondie et un nettoyage avant de devenir des données d’intelligence qui peuvent être utilisées pour soutenir la prise de décision.

Offre et demande

À quel point le besoin est grand aujourd’hui est peut-être suffisamment illustré par les données du site Web de Microsoft selon lesquelles sa communauté (comme elle décrit son groupe de personnes puisqu’elle ne peut pas être qualifiée d’équipe) d’intelligence des menaces se compose de plus de huit mille experts de classe mondiale, chercheurs en sécurité, analystes et chasseurs de menaces qui analysent 65 trillions de signaux par jour pour détecter les menaces et fournir des informations opportunes et pertinentes sur la protection des clients. Bien que la TI soit encore une nouveauté pour nous, des services de ce type sont de plus en plus demandés. Les entreprises sont simplement contraintes de cela car, qu’elles le veuillent ou non, comme nous l’avons mentionné, les capacités technologiques sont exploitées à des fins bénéfiques mais aussi néfastes. À mesure que la technologie progresse, les entreprises rechercheront de plus en plus des services d’intelligence des menaces, ce qui est un pas vers l’établissement de services de contre-espionnage. Nous ne voulons pas être des prognostiqueurs sinistres, mais son application nous le confirme pratiquement. Lorsque nous avons précédemment écrit sur ce sujet, nous avons reçu une aide significative d’experts de CARNET, ainsi que du jeune spécialiste en cybersécurité Ante Marić (Duplico) et de l’analyste en cybersécurité Mate Matijašević (Span), qui ont également mentionné les outils utilisés dans ce processus.

Il est difficile de dire quels sont les meilleurs outils pour se défendre contre, par exemple, les cyberattaques. Nos experts nous ont dit que le choix des outils dépend principalement des besoins spécifiques mais aussi des capacités. Il est souhaitable que ces outils puissent facilement s’intégrer à d’autres pour créer un système de sécurité adapté au modèle de protection en couches déjà connu.

—

—

Outils importants

Il existe plusieurs outils particulièrement importants, tels que SIEM (gestion des informations et des événements de sécurité), qui collecte de grandes quantités de données sur les événements sur les ordinateurs, serveurs, réseaux et applications. Cela inclut les tentatives de connexion, les modifications de configurations système ou la détection d’activités suspectes. Marić nous a expliqué que SIEM est particulièrement utile car il peut corréler différents types de données et détecter des modèles inhabituels. En visualisant ces données, il peut alerter le personnel informatique sur des événements suspects. Contrairement à SIEM, TIP (plateforme d’intelligence des menaces) collecte des informations provenant de diverses sources sur Internet concernant les menaces cybernétiques connues. Cela peut inclure des données sur des virus, des logiciels malveillants, des groupes de hackers attaquant des organisations dans des secteurs spécifiques, et similaires.

Les experts de CARNET nous ont dit qu’ils disposent d’une pléthore d’outils commerciaux disponibles sur le marché, mais ils ne voulaient pas recommander lequel est le meilleur, conseillant aux utilisateurs divers outils open-source qui sont déjà connus de la communauté de la sécurité. Il n’y a pas de meilleur outil, ont-ils souligné, car en pratique, il n’existe pas une seule solution ou un outil qui offre une protection complète. La cybersécurité est un processus ininterrompu : établir, maintenir, mesurer, améliorer et renforcer tous les aspects techniques et humains de la sécurité dans un processus cyclique constant. En plus d’investir dans des mesures de protection techniques, il est nécessaire de sensibiliser et d’éduquer les utilisateurs du système sur les mesures de protection, l’hygiène en cybersécurité et l’utilisation correcte et sécurisée des systèmes. Pour cela, nous avons besoin de règles claires, compréhensibles et écrites qui illustrent ce processus et permettent un suivi plus facile de la maturité et de la résilience des systèmes et des utilisateurs dans le cyberespace.

Chasseurs de vulnérabilités

Les chasseurs de menaces sont souvent engagés dans la défense contre les attaques. Cela fait référence à des processus actifs en cybersécurité où des individus formés cherchent activement, identifient et isolent des menaces avancées qui échappent aux solutions de sécurité existantes au sein du système d’une organisation (entreprise). Souvent, la chasse aux menaces et l’intelligence des menaces sont appliquées ensemble. En fait, il est difficile de rechercher efficacement des menaces sans de bonnes données d’intelligence. Comme Marić nous l’a dit, tout comme l’entretien d’une maison ou d’une voiture nécessite un nettoyage et un entretien réguliers, l’infrastructure informatique a également besoin d’attention pour rester à l’abri des menaces cybernétiques. Dans le monde cybernétique, ce rôle est rempli par des outils de gestion des vulnérabilités qui trouvent, évaluent et priorisent les problèmes pour éliminer même les plus petites failles dans les systèmes informatiques d’une organisation. Lorsque des failles sont trouvées, ces outils créent des rapports détaillés sur les vulnérabilités existantes et décrivent souvent des moyens de les remédier.

Comme c’est le cas avec les menaces cybernétiques les plus courantes, il en va de même pour d’autres, y compris les menaces physiques, donc la collecte de données d’intelligence à l’avenir pourrait être l’une des activités clés des entreprises. Ainsi, nous sommes arrivés jusqu’ici, mais nous devons vivre avec cela.