Press
2.11.2023
di
Chaque jour, des milliers de cyberattaques touchent la vie de millions de personnes ; les données sont de plus en plus exposées et les personnes de plus en plus ciblées pour obtenir des informations qui, comme on le dit souvent, sont l'or de demain. Dans ce labyrinthe de menaces, la seule défense semble être de multiplier les boucliers, et parmi eux, un outil se distingue comme une arme efficace contre des adversaires déterminés : la Threat Intelligence. Ces dernières années, elle a joué un rôle de plus en plus central dans la protection de volumes croissants de données, mais ce que recouvre ce terme n'est pas évident. La Threat Intelligence peut être définie comme un processus de collecte, d'analyse et de diffusion proactives d'informations sur les cybermenaces émergentes. Elle s'appuie sur un large éventail de sources : indicateurs techniques, forums de pirates informatiques, réseaux sociaux et « places de marché » du Dark Web, où les données sont généralement vendues au plus offrant. Grâce à une analyse minutieuse de données hétérogènes sur les menaces, visant à en comprendre les motivations, les objectifs et les méthodes, les professionnels de la Cyber Threat Intelligence cherchent à identifier de nouvelles menaces, à les attribuer à des acteurs malveillants précis, à anticiper les futurs modèles d'attaque et à développer des contre-mesures efficaces.
Pourquoi utiliser la Threat Intelligence ?
Les acteurs malveillants, qui proposent souvent leurs services « as a service » à des tiers, sont de plus en plus motivés et disposent de ressources technologiques et financières croissantes. Or les vulnérabilités informatiques naissent souvent du fait de « ne pas savoir » et de « ne pas voir ». Il est donc essentiel de connaître l'ensemble de la surface d'attaque exploitable par un acteur malveillant. Comprendre l'écosystème informatique dans son intégralité permet de se préparer aux menaces, de les prévenir et de les reconnaître grâce à des mécanismes de sécurité mieux optimisés. Les mesures traditionnelles, comme le pare-feu et l'antivirus, restent essentielles mais ne suffisent plus face à des menaces de plus en plus dynamiques et complexes. Ce type d'informations permet à l'entreprise d'adopter une approche proactive, avec des décisions plus rapides, mieux adaptées à sa réalité et fondées sur des données réelles, car la Threat Intelligence fournit des informations précises, opportunes et pertinentes pour identifier de manière fiable les failles de sécurité existantes ou émergentes.
La Threat Intelligence fournit des données précises pour identifier les vulnérabilités. Elle aide aussi les dirigeants à évaluer les risques, les ressources nécessaires et l'impact financier de la cybersécurité. Mieux comprendre les menaces permet de s'en protéger en optimisant coûts et efforts. Des services comme l'Early Warning et l'Attack Surface Management permettent d'identifier et de réduire les menaces potentielles visant les systèmes et les données de l'entreprise, en offrant une vue complète de la surface d'attaque et en surveillant en continu les menaces externes. Le service Early Warning surveille toute fuite de données (identifiants, adresses e-mail et autres données de l'entreprise) en analysant l'ensemble du Web (Clear Web et Dark Web), à la recherche d'acteurs malveillants qui ciblent l'entreprise, sur des milliers de sites et forums où ces données sont échangées ou vendues.
Comment une entreprise peut-elle se doter de ces outils, mieux connaître les menaces internes et externes et ainsi améliorer sa posture de sécurité ?
Il existe plusieurs services auxquels on peut s'abonner pour recevoir ces flux d'informations. Le marché de la Threat Intelligence a atteint une certaine maturité ces dernières années. Les approches diffèrent : certains services sont plus efficaces pour découvrir des informations sur les réseaux sociaux, d'autres pour trouver des contenus sur le dark web, d'autres encore pour détecter le domain squatting dès qu'un domaine probablement hostile est enregistré. Certains de ces services, les plus complets et professionnels, ne sont toutefois accessibles qu'aux fournisseurs de services de sécurité gérés (MSSP) comme nous, précise Gianpiero Abellonio, associé et Senior Advisor chez Security Lab.
Que recommander aux entreprises intéressées par ces services ?
Il est conseillé de s'appuyer sur un MSSP fiable et expérimenté, qui utilise et intègre différents services afin que le client dispose d'une source d'informations unique, qui ne se contente pas d'intégrer ces flux mais effectue aussi le « triage » : déterminer la pertinence des informations et ne les transmettre au client que si elles représentent une menace probable, poursuit-il.
Par où commencer ? Les premières étapes ne sont pas toujours évidentes.
Lors de l'activation, le client fournit certaines informations qui définissent le « périmètre » du service, c'est-à-dire ce qui doit être surveillé : domaines des sites et de la messagerie de l'entreprise et mots-clés permettant de vérifier une éventuelle exposition sur le Web et le Dark Web. Il peut s'agir par exemple de noms de marques, de produits ou de services, ou de noms de personnes clés de l'organisation, observe Abellonio.
Une fois le paramétrage et le calibrage de la collecte terminés, on passe à la véritable phase de démarrage.
Le MSSP configure et active les flux de ses fournisseurs d'informations. Pendant cette phase d'assessment, de nombreuses informations sont collectées et un premier rapport détaillé est préparé et présenté au client. Ensuite, le MSSP ne reçoit de ses fournisseurs que les nouvelles informations non détectées lors de l'assessment, qui sont communiquées au client dès leur détection si elles sont jugées pertinentes, note-t-il.
Un sujet particulièrement mouvant, voire complexe à certains égards, où l'avis des experts est essentiel, tout comme le fait de suivre en permanence l'évolution du « marché » : il se prête donc bien à un événement dédié.
En collaboration avec l'ATED, nous avons organisé un événement à l'Hôtel Dante de Lugano le 30 novembre à 14h30, avec plusieurs intervenants et 5 à 6 interventions sur l'actualité et les tendances de la cybersécurité, avec la Threat Intelligence comme fil conducteur. Nous parlerons des nouveautés de la nouvelle norme ISO 27001 et du NIST 2 : dans les deux référentiels, l'une des innovations est justement la Threat Intelligence, souligne Alberto Redi, CEO de Security Lab, qui poursuit :
Deux interventions seront consacrées à la Threat Intelligence : l'une pour approfondir le sujet, l'autre par Group-IB, l'un des principaux fournisseurs que nous utilisons pour nos services MSSP, qui présentera son offre et fera une démonstration pratique. Enfin, nous ferons le point sur la nouvelle loi fédérale sur la protection des données (nLPD), entrée en vigueur le 1er septembre dernier. Pour conclure, l'habituel apéritif et un moment de réseautage et d'échange avec les intervenants.
Achille Barni
