Ce qui a commenc\u00e9 avec les antivirus et les firewalls dans les ann\u00e9es 80, s’est diversifi\u00e9 en une dizaine ou centaines de types d’outils et d’acronymes \u00e9voluant r\u00e9guli\u00e8rement au gr\u00e9 des innovations techniques et marketing pour finir en un paysage o\u00f9 il n’est plus toujours facile de s’orienter.<\/p>\n\n\n\n
Le but de cette s\u00e9rie d’articles est d’apporter un \u00e9clairage sur les acronymes r\u00e9cents de la cyber s\u00e9curit\u00e9, d’y combiner les remont\u00e9s terrains et les retours des experts m\u00e9tiers pour donner une vision claire, concret et “0-bullsh.t”.<\/p>\n\n\n\n
Pour ce premier num\u00e9ro, nous explorons les EDRs, ou Endpoint Detection and Response, la solution r\u00e9cente pour prot\u00e9ger les postes de travail ou serveurs.<\/p>\n\n\n\n
Cet article se veut \u00e9galement un r\u00e9sum\u00e9 de notre podcast avec HarfangLab, une des premi\u00e8res solutions de EDR en France, accessible ici.<\/p>\n\n\n\n
Les solutions de Endpoint Detection & Response se sp\u00e9cialisent, comme le nom l’indique, sur la d\u00e9tection et la mitigation des menaces pouvant arriver sur les terminaux (ordinateurs, serveurs et dans certains cas, mobiles).<\/p>\n\n\n\n
Th\u00e9oris\u00e9s en 2015 par Gartner, les EDR sont une \u00e9volution, sinon une r\u00e9volution des antivirus et contribuent \u00e0 la protection des postes de travail (mais aussi des serveurs).<\/p>\n\n\n\n
Les antivirus se basant principalement sur l’analyse de signatures de fichier, ils se sont fait rapidement d\u00e9passer par des malwares modifiant \u00e0 la vol\u00e9e leurs codes source (polymorphisme). De m\u00eame, l’\u00e9mergence des malwares dits “fileless” c’est-\u00e0-dire en s’inscrivant directement dans la m\u00e9moire de l’ordinateur et sans cr\u00e9er de fichier, a rendu les antivirus totalement inutiles.<\/p>\n\n\n\n
Contrairement aux antivirus qui regardent principalement les signatures de fichier, les EDR ont une approche beaucoup plus large et syst\u00e9mique. De nos jours, l’EDR est un agent qui tourne sur les diff\u00e9rentes machines (PC, serveur etc.) et va se concentrer sur 3 \u00e9l\u00e9ments:<\/p>\n\n\n\n
– des comportements utilisateur ou syst\u00e8me: un processus qui se lance ou qui \u00e9crit \u00e0 des endroits o\u00f9 il n’est pas cens\u00e9 \u00e9crire. Un utilisateur qui fait des dizaines de tentatives de connexion \u00e0 des heures inhabituelles. Bref, tout comportement suspect et qui sort de l’ordinateur a vocation \u00e0 g\u00e9n\u00e9rer des alertes c\u00f4t\u00e9 administrateur.<\/p>\n\n\n\n
– des indicateurs de compromission: ce sont des adresses IP, des domaines identifi\u00e9s comme malicieux, des sources de trafic suspicieux, des protocoles inhabituelles etc. l’EDR fait appel \u00e0 des bases de donn\u00e9es de menaces ou sources de menaces connues (bases YARA, IP\/URLs connus comme malicieux…) pour lever des drapeaux quand il retrouve des occurrences.<\/p>\n\n\n\n
– les signatures: un peu comme les antivirus, l’EDR est \u00e0 l’aff\u00fbt de binaires de logiciel non sign\u00e9s ou des fichiers ayant des signatures connues pour \u00eatre dangereux, pour attirer l’attention des administrateurs.<\/p>\n\n\n\n
L’EDR, par d\u00e9finition, analyse un grand volume de donn\u00e9es pour identifier des signaux inhabituels ou suspects: des fichiers de logs notamment. L’agent va s’abonner \u00e0 diverses sources d’information sur les endpoints comme les journaux d’audit, de s\u00e9curit\u00e9, des journaux applications, d’activit\u00e9 syst\u00e8me OS (Windows, Mac, Linux) pour y rechercher des types de comportement suspect.<\/p>\n\n\n\n
Multipliez cela par le nombre de machines \u00e0 analyser et vous obtenez un immense volume de donn\u00e9es que l’utilisateur ne peut pas interpr\u00e9ter.<\/p>\n\n\n\n
Un EDR a donc besoin d’un dashboard ou console d’administrateur qui regroupera l’ensemble de la t\u00e9l\u00e9m\u00e9trie et alertes remont\u00e9s par les diff\u00e9rents agents tournant sur les machines et qui permettra \u00e0 un op\u00e9rateur humain d’enqu\u00eater sur les alertes, les classer (faux positif ou vrai danger) et prendre les actions adapt\u00e9es. Le dashboard va tourner sur un serveur ind\u00e9pendant, soit dans l’infrastructure SI du client, soit dans un cloud et op\u00e9r\u00e9 par un MSSP si la comp\u00e9tence n’existe pas en interne chez le client. A la diff\u00e9rence des antivirus ou EPP, les EDR sont donc une solution manag\u00e9e.<\/p>\n\n\n\n
En plus de se concentrer principalement sur des signatures de fichier, les antivirus\/EPP ne permettent pas l’investigation ou les forensiques. De m\u00eame, la rem\u00e9diation (suppression des fichiers, mise en quarantaine, arr\u00eat de processus) est \u00e9galement automatique.<\/p>\n\n\n\n
Les attaques modernes sont plus subtiles et difficiles \u00e0 d\u00e9tecter qu\u2019\u00e0 l’\u00e9poque des antivirus. Il est donc essentiel d’offrir la possibilit\u00e9 \u00e0 un op\u00e9rateur humain d’investiguer, classer et documenter les alertes avant de prendre une d\u00e9cision de rem\u00e9diation. Un EDR donne la main \u00e0 l’op\u00e9rateur du SOC pour d\u00e9cider de l’action \u00e0 prendre. N\u00e9anmoins, en fonction des r\u00e8gles, types ou criticit\u00e9 des alertes ou configuration, il reste possible de prendre des actions imm\u00e9diates sans attendre l’intervention humaine.<\/p>\n\n\n\n
Bien s\u00fbr indispensables, les EDR ne sont ni suffisants, ni infaillibles. Des malwares de plus en plus intelligents ou des bases de donn\u00e9es de menaces pas forc\u00e9ment \u00e0 jour suffisamment \u00e0 temps pour les attaques, font qu’il est n\u00e9cessaire d’empiler plusieurs couches suppl\u00e9mentaires de protection pour faire face au d\u00e9ferlement de menaces cyber auquel nous faisons face aujourd’hui.<\/p>\n\n\n\n
Les solutions de filtrage, tel que Ekinops Saas contribuent \u00e0 bloquer les menace en amont et avant qu’elles n’arrivent sur les postes de travail et sont un compl\u00e9ment redoutable des EDR pour assurer la s\u00e9curit\u00e9 des collaborateurs.<\/p>\n\n\n\n
La cybers\u00e9curit\u00e9 met \u00e0 contribution tout un ensemble d\u2019outils pour faire face \u00e0 la diversit\u00e9 des sources, vecteurs et types de cyber attaques. Comme les couches d\u2019un oignon, les organisations empilent diff\u00e9rents outils sp\u00e9cialis\u00e9s pour offrir la couverture fonctionnelle la plus large possible pour leur strat\u00e9gie de cyber d\u00e9fense.<\/p>","protected":false},"author":10,"featured_media":5112,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[82],"tags":[],"class_list":["post-4090","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity"],"_links":{"self":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4090","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/comments?post=4090"}],"version-history":[{"count":1,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4090\/revisions"}],"predecessor-version":[{"id":5114,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4090\/revisions\/5114"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media\/5112"}],"wp:attachment":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media?parent=4090"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/categories?post=4090"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/tags?post=4090"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}