Toutes les organisations adorent acheter de nouveaux outils. XDR. EDR. SIEM. UEBA. ASM. SASE. Multipliez les acronymes face à un problème, et peut-être qu'il finira par disparaître.
Sauf que la sécurité ne fonctionne pas ainsi.
Vous pouvez empiler dix outils les uns sur les autres ; mais si personne ne surveille les alertes, n'affine les détections, ni ne répond aux signaux, vous n'avez acheté que des licences coûteuses qui clignotent sur des tableaux de bord sans jamais servir.
La question la plus difficile qu'un CISO puisse poser (à sa propre équipe comme à n'importe quel fournisseur) est celle-ci :« Comment savez-vous que vous n'avez pas déjà été compromis ? »
Si vous ne pouvez pas y répondre, le nombre d'outils que vous possédez n'a aucune importance.
Les attaquants se moquent du logo apposé sur votre stack de sécurité. Ce qui les intéresse :
- vos angles morts,
- vos erreurs de configuration,
- votre lenteur de détection,
- votre manque de visibilité,
- votre SOC en sous-effectif,
- vos analystes insuffisamment formés.
Un programme de sécurité bâti sur des outils sans les personnes ni les processus est un programme de sécurité bâti sur une illusion.
Voyons ce qui compte réellement.
1. Un outil que vous ne surveillez pas est un outil que vous n'avez pas
Lors des évaluations de tiers, les fournisseurs adorent se vanter : « Nous avons des pare-feux. » « Nous avons un antivirus. » « Nous avons un EDR. »
Très bien ; mais qui les surveille ? Qui trie les alertes ? Qui analyse les anomalies ? Qui valide les détections ? Qui traque les intrus déjà présents dans le réseau ?
Un outil n'est pas un contrôle. Un outil + un processus + un humain formé = un contrôle.
Si vous n'exploitez pas correctement vos outils existants, en ajouter d'autres ne vous sauvera pas. Cela offrira seulement aux attaquants davantage de surfaces non surveillées où se dissimuler.
2. La seule bonne réponse : détection en profondeur + réponse rapide
Quand un fournisseur me dit : « Nous avons des pare-feux et un antivirus ; on est bons », l'évaluation s'arrête là.
Si votre stratégie de sécurité ressemble à ce qui se faisait en 2008, il n'y a rien de plus à discuter.
La bonne réponse ressemble à ceci :
- Nous disposons de contrôles en couche 3 et en couche 7.
- Nous utilisons des analyses comportementales.
- Nous appliquons une détection d'anomalies pilotée par le machine learning.
- Nous assurons une surveillance continue et un ajustement permanent des alertes.
- Nous vérifions les détections par des processus de blue team.
- Nous disposons de mécanismes de confinement automatisés et manuels.
- Nous testons régulièrement nos plans de réponse aux incidents.
- Nous partons du principe que nous sommes déjà compromis, et non que nous sommes en sécurité.
Voilà une posture mature. Pas parfaite ; mais réaliste.
Vous ne bloquerez jamais toutes les attaques. Mais si vous détectez vite et répondez avec décision, vous pouvez survivre à tout, à l'exception d'une offensive étatique de grande envergure.
3. Le vrai différenciateur, ce n'est pas la technologie ; c'est l'équipe
Voici ce que les CISO apprennent rapidement :Former un analyste coûte moins cher et est plus efficace qu'acheter un nouvel outil.
Un humain bien formé peut :
- corréler des signaux entre plusieurs systèmes,
- repérer des anomalies subtiles,
- remettre en question les hypothèses,
- suivre des pistes que l'automatisation rate,
- interpréter des comportements,
- escalader sur la base de l'intuition et de la reconnaissance de schémas.
L'IA et le machine learning sont puissants. Mais les humains conservent la capacité de détection la plus importante qui soit : l'instinct.
Un outil peut générer une alerte. Seul un analyste peut comprendre.
4. On ne résiste pas aux menaces avancées avec des compétences junior
Si vous voulez tenir face à des adversaires sophistiqués, vous avez besoin :
- de défenseurs expérimentés,
- d'une compétence technique approfondie,
- de capacités de threat hunting,
- d'une capacité forensique,
- de talents en ingénierie de la détection,
- d'analystes qui connaissent votre environnement sur le bout des doigts.
Les groupes APT ne font pas venir des stagiaires. Pourquoi le feriez-vous ?
Si des attaquants s'en prennent à vous, vous voulez une équipe si redoutable que l'adversaire doive apporter son casse-croûte et passer sa journée juste pour progresser.
Les outils n'intimident pas les attaquants. Des défenseurs d'élite, si.
5. Personnes + Processus + Outils = Sécurité
Pas les outils seuls. Pas les personnes seules. Pas les processus seuls.
La sécurité fonctionne quand vous combinez :
- des outils correctement paramétrés,
- des playbooks de réponse documentés,
- une ingénierie de la détection continue,
- une équipe formée pour réagir instantanément et avec discernement.
C'est ainsi que vous répondez à la question :« Comment savons-nous que nous n'avons pas déjà été compromis ? »
Parce que vous cherchez. Activement. Sans relâche. Professionnellement.
Pour finir
Acheter un nouvel outil est facile. Former un analyste de premier niveau est difficile.
L'un produit des tableaux de bord. L'autre produit de la sécurité réelle.
Si vous voulez de la résilience, pas du théâtre, investissez d'abord dans les personnes. Les meilleurs défenseurs rendent puissants même des outils ordinaires. Mais les meilleurs outils du monde ne valent rien sans des humains compétents derrière eux.
Les outils soutiennent la stratégie.Les personnes l'exécutent.Et les attaquants craignent bien davantage les secondes que les premiers.
Si vous souhaitez constituer une équipe de sécurité capable de détecter, d'interpréter et d'arrêter de véritables attaquants ; c'est exactement ce que nous enseignons dans les programmes Cyber Academy Lead Implementer Rejoignez la prochaine session et transformez vos outils en capacité opérationnelle réelle.