e-Xpert Solutions Lausanne
Auteur : Michael Molho
Date de publication : 20 juillet 2020 - Dernière mise à jour : 14 juillet 2020
Dans le cadre de nos missions, nous constatons régulièrement que la gestion d’un incident est souvent perçue comme une tâche fastidieuse.
Un incident peut demander aux équipes (aka SOC/Incident Response team), plusieurs heures jusqu’à plusieurs jours de traitement en fonction de l’étendue de la brèche. La complexité du problème est un facteur mais c’est souvent des tâches répétitives qui occupent les ressources.
Les défaillances de la réponse classique aux incidents :
Le processus le plus communément appliqué a été créé par le NIST.
Il repose sur un processus d’amélioration continue (roue de Deming) et peut être résumé de la façon suivante :
Le traitement fastidieux des incidents de sécurité n’est pas une fatalité, l’automatisation de processus identifiés et définis à tous les niveaux permet de rendre cette gestion accessible et plus efficace.
La mise en œuvre de cette automatisation était jusqu’à peu un processus requérant des développements personnalisés complexes avec la nécessité pour les développeurs de s’adapter à chaque composant de l’infrastructure cible (Endpoints, Firewalls, IPS, Gateway mail…).
La société américaine Phantom, créée en 2014 avant d'être rachetée puis intégrée à Splunk en 2018, est spécialisée dans l’automatisation et l’orchestration de processus de réponse à incident avec des solutions de standardisation et d’industrialisation. Ce type de solutions est appelée SOAR pour "Security Orchestration, Automation and Response".
Ces technologies permettent d’interagir avec un grand nombre d'équipements de sécurité divers tels que les Antivirus, les IPS, les Firewalls, les postes et serveurs Windows, les serveurs de messagerie Exchange, les Proxies, les APIs Cloud (Virustotal, OpenDNS, …) et les scanners de vulnérabilités.
Ce travail d’intégration simplifié est un atout majeur et permet de s’intégrer dans n’importe quel écosystème pour toutes sortes d’activités liées à la réponse à incident.
Les solutions de type SOAR fonctionnent généralement sous forme de « Playbooks » gérés en partie de façon graphique via une interface Web bien conçue permettant d’enchainer des actions parmi lesquelles figurent la recherche d’informations, l'enrichissement et le blocage.
La gestion de l’incident est d’autant plus facilitée qu’elle est décrite via un workflow construit de façon graphique.
Dans ces conditions, il devient donc aisé d’automatiser une tâche répétitive même complexe si celle-ci est bien définie dans la phase de préparation.
Dans le cas de la solution Splunk Phantom, de nombreux cas d’usages sont d’ores et déjà disponibles dans la solution.
Exemple 01 : L’exemple suivant est un cas d’usage régulier des opérateurs SOC : une investigation manuelle sur un fichier joint à un email et le traitement complet d’incidents potentiels qui y sont liés.
Investigation en détail selon les étapes du schéma ci-dessus :
À noter : L’ensemble de ce processus prend quelques minutes, contre plusieurs heures s’il est effectué par un analyste SOC.
Exemple 02 : Allons plus loin !
Un autre cas concret et représentant un temps d’activité certains pour des analystes concerne la recherche de malwares persistants après « découverte » par un antivirus. Il est courant que les malwares sont détectés par les antivirus sans être supprimés par ces derniers à 100%.
Dans ce cas le processus consiste généralement à avoir une approche de « fast forensic » basée sur une analyse de la mémoire vive ou des outils tiers à la recherche d’indicateurs de compromissions persistants.
Ce processus peut être automatisé !
Imaginons le workflow suivant sur la base des deux schémas ci-dessus :
Ce dernier exemple montre le temps gagné par des analystes pour résoudre un incident puisque l’ensemble des étapes sont automatisées, sécurisées et tracées.
Anecdotique il y a encore quelques années, l'automatisation de la réponse aux incidents est aujourd'hui un incontournable, allant de pair avec le développement et l'optimisation des SOC. L'objectif premier étant d'éviter la répétition de tâches manuelles d'investigation et de réponse de la part des analystes SOC pour des alertes similaires et potentiellement nombreuses.
Nous constatons aujourd'hui un développement important des solutions de type SOAR, qui gagnent également en maturité de jour en jour. En effet, il existe aujourd'hui tant des solutions commerciales telles que Splunk Phantom, mais aussi des alternatives communautaires telles que Demisto ou même open source telles que Shuffle. Toutes ces solutions développent continuellement des plugins permettant de s'intégrer avec de plus en plus de produits et services, offrant des possibilités d'orchestration toujours plus riches sans introduire de complexité ni de nécessité de développements spécifiques.
Suivant le modèle de SIGMA, standard ouvert permettant de définir des règles de correlation pour détecter des attaques, Demisto a publié et propose le standard COPS (pour "Collaborative Open Playbook Standard") permettant de définir de manière standard des playbooks de réponse à incident. Sans aucune certitude que ce standard soit adopté par la majorité, cette initiative ouvre néanmoins une nouvelle porte à la contribution et au partage communautaire de playbooks.
Events
Archives