Les cybermenaces se multiplient et deviennent de plus en plus sophistiquées. Les organisations ont besoin de mesures de sécurité avancées pour protéger leurs réseaux, car les systèmes de sécurité traditionnels sont souvent insuffisants, laissant des failles que les cyberattaquants peuvent exploiter.

Cet article explore comment les NDR (Network Detection and Response) peuvent combler ces lacunes, en s'appuyant sur des technologies modernes comme l'apprentissage automatique (Machine Learning) pour améliorer la sécurité des réseaux. Nous introduirons le concept de NDR, discuterons du rôle crucial de l'apprentissage automatique dans ce domaine, et présenterons les meilleures pratiques pour déployer une solution de NDR.

Pourquoi les solutions de sécurité traditionnelles sont-elles insuffisantes ?

Les solutions de sécurité traditionnelles - comme les solutions de protection des terminaux, les proxys, ou les systèmes de détection d'intrusion (IDS) - échouent souvent à fournir une protection adéquate contre certains types d'attaques, ce qui signifie qu'elles peuvent laisser des angles morts que des attaquants sophistiqués peuvent exploiter.

Voici les principales raisons pour lesquelles ces solutions sont souvent insuffisantes :

• Visibilité limitéeLa plupart des solutions de sécurité ne parviennent pas à surveiller les appareils non gérés car elles fonctionnent sur les terminaux, laissant ainsi des points d'entrée potentiels pour les attaquants. De plus, la majorité de ces solutions se concentrent principalement sur le trafic externe, ignorant le trafic interne circulant au sein du réseau. Il y a en effet beaucoup de trafic non pertinent qui traverse le réseau interne des entreprises, ce qui en rend l'analyse plus difficile.
• Technologie obsolèteLes solutions de sécurité comme les IDS reposent sur des méthodes basées sur des signatures qui ne détectent pas les techniques d'attaque modernes. Elles ne sont pas non plus très évolutives car elles nécessitent souvent de surveiller du trafic non chiffré.
• Manque de contexteLes solutions de sécurité réseau traditionnelles ont tendance à ne fournir que des données de connexion basiques, sans aperçu détaillé de la nature des connexions. Elles manquent souvent les informations contextuelles nécessaires pour identifier et répondre avec précision aux menaces.

Ces limitations entraînent des angles morts, des temps de réponse plus élevés et une protection inadéquate contre les attaques sophistiquées.

Qu'apporte le NDR ?

Le NDR est une sonde réseau placée de manière similaire à un IDS dans le réseau. Il tente de combler les lacunes identifiées ci-dessus en basant sa reconnaissance sur les métadonnées des paquets traversant le réseau plutôt que sur leur contenu. Cela permet à cette technologie de traiter davantage de flux et de fonctionner sur du trafic chiffré (qui constitue la majorité du trafic de nos jours).

Cela signifie que la sonde peut analyser beaucoup d'informations superficielles, ce qui est le contexte idéal pour exploiter des technologies de pointe comme l'apprentissage automatique afin d'analyser les schémas de trafic réseau et de détecter les anomalies en temps réel, offrant une haute fidélité et un grande pertinence.

Cette capacité permet une identification plus rapide et plus précise des menaces, garantissant que les organisations puissent répondre rapidement et efficacement aux incidents de sécurité.

Sa position dans le réseau en fait également un excellent outil pour corréler les fragments d'information qu'il peut obtenir de diverses sources.

Le rôle de l'apprentissage automatique dans le NDR

Les algorithmes d'apprentissage automatique analysent de vastes quantités de données réseau pour établir une base de référence du comportement normal. Une fois cette base établie, le système peut identifier les écarts qui peuvent indiquer des menaces potentielles. Les principaux avantages de l'apprentissage automatique dans le NDR comprennent :

• Détection d'anomalies
  Les modèles d'apprentissage automatique excellent dans la détection de motifs inhabituels dans le trafic réseau, tels que des transferts de données inattendus ou des tentatives de connexion anormales.
• Analyse comportementale
  En comprenant le comportement typique des utilisateurs et des appareils, l'apprentissage automatique peut repérer des écarts qui suggèrent des comptes compromis ou des menaces internes, comme un employé travaillant soudainement au milieu de la nuit.
• Intégration du renseignement sur les menaces
  L'apprentissage automatique peut intégrer divers types d'informations de renseignement sur les menaces, améliorant la capacité du système à reconnaître les menaces connues et émergentes.
• Amélioration continue
  Les modèles d'apprentissage automatique utilisent à la fois l'apprentissage supervisé et non supervisé pour apprendre et s'adapter au fil du temps à la réalité de votre réseau, améliorant leur précision et réduisant les faux positifs à mesure qu'ils traitent plus de données.

Déroulement de l’opération d’un NDR pour la détection et la réponse aux attaques

Pour mieux comprendre comment utiliser un NDR pour effectuer de la détection et de la réponse à un incident, considérons l'exemple ci-dessous.

Scénario

Une grande organisation devient la cible d'un attaquant sophistiqué qui a réussi à s'introduire dans le réseau de l'entreprise et à compromettre les authentifiants d'un utilisateur privilégié. Au lieu de lancer une attaque directe, l'attaquant se déplace latéralement dans le réseau, accédant et recueillant des données sensibles de divers serveurs sur plusieurs semaines. L'objectif est d'éviter la détection en se fondant dans le trafic réseau habituel et finalement d'exfiltrer des données sans déclencher d'alarme immédiate.

Détection

Le système NDR, surveillant tout le trafic réseau interne, détecte des anomalies subtiles que les outils de sécurité traditionnels manqueraient probablement. Par exemple, le système remarque que le compte compromis commence à accéder à des serveurs avec lesquels l'utilisateur n'interagit généralement pas, et à des heures inhabituelles. De plus, le NDR détecte des schémas inhabituels dans le volume et la fréquence des transferts de données entre les systèmes internes, qui ne correspondent pas au comportement de référence établi pour cet utilisateur ou ces systèmes.

Contrairement aux solutions de protection des terminaux, qui se concentrent uniquement sur l'activité des terminaux, ou aux proxys qui surveillent le trafic web, le système NDR a une visibilité sur l'ensemble du réseau, y compris le trafic entre les appareils au sein du réseau. Cette large visibilité permet au NDR d'identifier les mouvements latéraux et les activités de préparation de l’exfiltration de données qui apparaîtraient autrement comme du trafic interne légitime.

Réponse

Lors de la détection de ces anomalies, le système NDR corrèle les activités suspectes à travers diverses parties du réseau, les reconnaissant comme faisant partie d'une attaque coordonnée. Le système augmente automatiquement le niveau d'alerte et notifie le SOC (Security Operations Center), fournissant des informations détaillées sur les mouvements latéraux suspects et les zones potentielles touchées par l’attaque.

Note : La partie "réponse" dans le terme NDR peut aussi être prise au sens littéral en bloquant l’accès au réseau à un utilisateur ou un terminal, ce qui se fait par exemple en réinitialisant les connexions qu'il tente d'établir. Cependant, il s'agit d'une fonctionnalité dangereuse qui pourrait se retourner contre vous en cas de faux positifs et qui doit être utilisée avec prudence.

Meilleures pratiques pour le déploiement d'une solution de NDR

Pour maximiser l'efficacité d'une solution de NDR, les organisations devraient considérer les pratiques suivantes :

• Visibilité complète du réseau
  La clé pour tirer le meilleur parti de votre déploiement de NDR est d'avoir une visibilité maximale de votre réseau, en s'assurant que la solution de NDR a accès à tous les segments de réseau pertinents, y compris aux environnements cloud. Il faut donc choisir son positionnement avec soin.
• Intégration avec les outils existants
  Intégrez le NDR avec les outils EDR (Endpoint Detection and Response) existants, le SIEM (Security Information and Event Management), et d'autres outils de sécurité pour créer un écosystème de sécurité cohérent. Cela vous permet également de corréler davantage d'informations dans le SIEM, qui peuvent aller des terminaux au réseau, pour fournir une vue encore plus complète sur votre infrastructure.
• Mises à jour et ajustements réguliers
  Maintenez la solution de NDR à jour avec les derniers flux de renseignements sur les menaces et ajustez régulièrement les modèles d'apprentissage automatique pour maintenir une haute précision de détection.
• Planification de la réponse aux incidents
  Développez et mettez à jour régulièrement vos plans de réponse aux incidents pour assurer une action rapide lorsque le système de NDR détecte des menaces.
• Formation et sensibilisation
  Formez le personnel de sécurité à l'utilisation efficace du système de NDR et tenez-les informés des dernières cybermenaces et tendances.

Conclusion

Le NDR représente une avancée significative en cybersécurité, répondant aux limitations des systèmes traditionnels et fournissant des capacités de détection et de réponse aux menaces complètes et en temps réel.

En intégrant des technologies avancées d'apprentissage automatique, les plateformes de NDR offrent une solution robuste aux défis évolutifs de la sécurité des réseaux, garantissant que les organisations puissent protéger leurs actifs critiques contre un large éventail de cybermenaces.

Néanmoins, le NDR nécessite une bonne maturité en matière de sécurité dans votre organisation pour tirer le meilleur parti de cet outil en le combinant notamment avec d'autres ressources telles que l'EDR, le SIEM et les scénarios de réponse.