Threat Intelligence : à quoi sert le renseignement sur les menaces pour une entreprise ?

Ce que l'antivirus ne vous dit pas

Un antivirus répond à une question : ce fichier est-il dangereux ? Il ne vous dit pas qui vous attaque, avec quels outils, à partir de quelles adresses, ni ce qu'il faudrait chercher dans vos journaux pour savoir si l'attaquant est déjà passé. C'est le rôle du renseignement sur les menaces — la Threat Intelligence.

Trois formes, trois usages

Les flux, pour les machines

Les flux de données sont des listes d'indicateurs mises à jour en continu : adresses de sites d'hameçonnage, serveurs pilotant des réseaux de machines infectées, empreintes de fichiers malveillants. Branchés sur un pare-feu, un proxy ou un SIEM, ils bloquent ou signalent automatiquement, sans intervention humaine.

Les rapports, pour les personnes

Les rapports d'analyse décrivent les campagnes en cours : quels groupes visent quels secteurs, avec quelles méthodes. Ils servent à décider quoi surveiller en priorité, et à expliquer le risque à une direction en des termes concrets.

Les portails, pour l'enquête

Un portail comme Threat Lookup répond à la question d'un analyste au moment d'un incident : cette adresse, ce fichier, ce domaine sont-ils connus ? À quelle campagne se rattachent-ils ? Un bac à sable permet d'exécuter un fichier douteux pour voir ce qu'il fait réellement.

À partir de quand est-ce utile ?

Le renseignement n'a de valeur que s'il est exploité. Trois situations types :

• Une PME sans équipe sécurité tirera surtout parti de flux branchés sur son pare-feu : le bénéfice est automatique, sans compétence particulière.
• Une entreprise avec un informaticien et un SIEM gagne à croiser les flux spécialisés avec ses journaux, et à disposer d'un accès au portail d'investigation.
• Une équipe sécurité ou un centre de supervision exploite l'ensemble : flux, règles de détection prêtes à l'emploi, rapports et services d'analyse.

Acheter des rapports détaillés sans personne pour les lire, ou des flux sans équipement pour les consommer, revient à payer un renseignement qui ne sert pas. Le bon point de départ dépend de vos outils actuels, pas de l'offre la plus complète.

Un exemple concret

Une campagne d'hameçonnage imite la page de connexion de votre messagerie. Avec un flux d'adresses d'hameçonnage, la page est bloquée sur votre réseau dès qu'elle est connue, avant même qu'un salarié ne clique. Sans flux, vous découvrez la campagne quand un compte est déjà compromis.

L'offre Kaspersky au Maroc

Kaspersky propose l'un des catalogues de renseignement les plus complets : une vingtaine de flux spécialisés, des offres groupées, des rapports APT et Crimeware, Threat Lookup, un bac à sable et un moteur d'attribution. Nous les présentons, classés par usage, sur notre page Kaspersky Threat Intelligence, et établissons des devis en dirhams avec accompagnement à l'intégration. Contactez-nous pour déterminer le bon point de départ.