Il y a quelques jours, un ami et moi avions une conversation plut\u00f4t engageante qui a suscit\u00e9 mon excitation. Nous parlions de mes perspectives de devenir membre de l’\u00e9quipe rouge en tant que progression de carri\u00e8re naturelle. La raison pour laquelle j’ai \u00e9t\u00e9 \u00e9mu n’est pas que je veuille changer de travail ou de poste, car je suis un campeur heureux de faire partie de l’\u00e9quipe bleue de Cymulate.<\/p>\n
Ce qui m’a boulevers\u00e9, c’est que mon ami n’arrivait pas \u00e0 saisir l’id\u00e9e que je voulais continuer \u00e0 travailler dans l’\u00e9quipe bleue car, pour lui, la seule progression naturelle \u00e9tait de passer \u00e0 l’\u00e9quipe rouge. <\/p>\n
Les \u00e9quipes rouges incluent de nombreux r\u00f4les allant des testeurs d’intrusion aux attaquants et aux d\u00e9veloppeurs d’exploits. Ces r\u00f4les attirent le plus l’attention et les nombreuses certifications qui tournent autour de ces r\u00f4les (OSCP, OSEP, CEH) les font para\u00eetre fantaisistes. Les films font g\u00e9n\u00e9ralement des pirates les h\u00e9ros, tout en ignorant g\u00e9n\u00e9ralement le c\u00f4t\u00e9 d\u00e9fenseur, les complexit\u00e9s et les d\u00e9fis des r\u00f4les des \u00e9quipes bleues sont beaucoup moins connus.<\/p>\n
Bien que les r\u00f4les de d\u00e9fenseur des \u00e9quipes bleues puissent ne pas sembler aussi fantaisistes et recueillir peu ou pas de buzz, ils incluent des titres essentiels et divers qui couvrent des fonctions passionnantes et stimulantes et, enfin, bien r\u00e9mun\u00e9r\u00e9s. En fait, Hollywood devrait s’en occuper !<\/p>\n
D\u00e9fendre est plus complexe qu’attaquer, et c’est plus crucial<\/h2>\n
Consid\u00e9rez que vous \u00eates un d\u00e9fenseur de la cybers\u00e9curit\u00e9 et que votre travail consiste \u00e0 prot\u00e9ger votre infrastructure informatique.<\/p>\n
- \n
- En tant que d\u00e9fenseur, vous devez apprendre toutes sortes de techniques d’att\u00e9nuation des attaques pour prot\u00e9ger votre infrastructure informatique. \u00c0 l’inverse, un attaquant peut se contenter de ma\u00eetriser l’exploitation d’une seule vuln\u00e9rabilit\u00e9 et continuer \u00e0 exploiter cette seule vuln\u00e9rabilit\u00e9.<\/li>\n
- En tant que d\u00e9fenseur, vous devez \u00eatre vigilant 24\/7\/365 pour prot\u00e9ger votre infrastructure. En tant qu’attaquant, vous choisissez soit une heure\/date sp\u00e9cifique pour lancer une attaque, soit vous lancez des attaques par force brute ennuyeuses sur de nombreuses cibles potentielles.<\/li>\n
- En tant que d\u00e9fenseur, vous devez prot\u00e9ger tous les maillons faibles de votre infrastructure – xerox, imprimante machine, syst\u00e8me de pr\u00e9sence, syst\u00e8me de surveillance ou terminal utilis\u00e9 par votre r\u00e9ceptionniste – tandis que les attaquants peuvent s\u00e9lectionner n’importe quel syst\u00e8me connect\u00e9 \u00e0 votre infrastructure.<\/li>\n
- En tant que d\u00e9fenseur, vous devez vous conformer \u00e0 votre organisme de r\u00e9glementation local lors de l’ex\u00e9cution de votre travail quotidien. Les attaquants ont la libert\u00e9 d’enfreindre les lois et les r\u00e9glementations.<\/li>\n
- En tant que d\u00e9fenseur, vous \u00eates pr\u00e9par\u00e9 par l’\u00e9quipe rouge qui assiste votre travail en cr\u00e9ant des sc\u00e9narios d’attaque pour tester vos capacit\u00e9s. <\/li>\n<\/ul>\n
Les \u00e9quipes bleues comprennent des disciplines complexes, stimulantes et \u00e0 forte intensit\u00e9 de recherche, et les r\u00f4les connexes ne sont pas pourvus.<\/h2>\n
Dans la conversation mentionn\u00e9e ci-dessus, mon ami a suppos\u00e9 que les r\u00f4les de d\u00e9fense consistaient principalement \u00e0 surveiller les SIEM (Security Information and Event Management) et d’autres outils d’alerte, ce qui est correct pour les r\u00f4les d’analyste SOC (Security Operations Center). Voici quelques r\u00f4les atypiques de la Blue Team :<\/p>\n
- \n
- Chasseurs de menaces<\/strong> \u2013 Responsable de la recherche proactive des menaces au sein de l’organisation<\/li>\n
- Chercheurs de logiciels malveillants<\/strong> \u2013 Responsable de la r\u00e9tro-ing\u00e9nierie des logiciels malveillants<\/li>\n
- Chercheurs en renseignement sur les menaces<\/strong> – Responsable de fournir des renseignements et des informations concernant les attaques futures et d’attribuer les attaques \u00e0 des attaquants sp\u00e9cifiques<\/li>\n
- DFIR<\/strong> – Digital Forensics et Incident Responders sont charg\u00e9s de contenir et d’enqu\u00eater sur les attaques lorsqu’elles se produisent<\/li>\n<\/ul>\n
Ces r\u00f4les sont stimulants, chronophages, complexes et exigeants. De plus, ils impliquent de travailler avec le reste de l’\u00e9quipe bleue pour fournir la meilleure valeur pour l’organisation. <\/p>\n
Selon une r\u00e9cente enqu\u00eate du CSIS aupr\u00e8s de d\u00e9cideurs informatiques dans huit pays\u00a0: “82\u00a0% des employeurs signalent une p\u00e9nurie de comp\u00e9tences en cybers\u00e9curit\u00e9, et 71\u00a0% pensent que ce manque de talents cause des dommages directs et mesurables \u00e0 leurs organisations”. Selon CyberSeek, une initiative financ\u00e9e par la National Initiative for Cybersecurity Education (NICE), les \u00c9tats-Unis faisaient face \u00e0 un manque de pr\u00e8s de 314 000 professionnels de la cybers\u00e9curit\u00e9 en janvier 2019. Pour mettre cela en contexte, l’effectif total de la cybers\u00e9curit\u00e9 employ\u00e9e dans le pays n’est que de 716 000. Selon les donn\u00e9es tir\u00e9es des offres d’emploi, le nombre d’emplois non pourvus en cybers\u00e9curit\u00e9 a augment\u00e9 de plus de 50 % depuis 2015. D’ici 2022, la p\u00e9nurie mondiale de main-d’\u0153uvre en cybers\u00e9curit\u00e9 devrait atteindre plus de 1,8 million de postes non pourvus.<\/p>\n
Les cadres de niveau C sont d\u00e9connect\u00e9s de la r\u00e9alit\u00e9 en ce qui concerne les \u00e9quipes bleues internes <\/h2>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1659984932_535_Les-avantages-de-constituer-une-Blue-Team-mature-et-diversifiee.jpg\")
<\/div>\nLe graphique ci-dessus est issu d’un excellent expos\u00e9 intitul\u00e9 “Comment obtenir une promotion\u00a0: d\u00e9velopper des m\u00e9triques pour montrer le fonctionnement de Threat Intel – SANS CTI Summit 2019”. Cela illustre la d\u00e9connexion entre les cadres de haut niveau et les employ\u00e9s “sur le terrain” et comment les cadres de haut niveau pensent que leurs \u00e9quipes d\u00e9fensives sont beaucoup plus matures que leur auto-\u00e9valuation d’\u00e9quipe.<\/p>\n
R\u00e9soudre le probl\u00e8me<\/h2>\n
S’efforcer d’enseigner le nouveau m\u00e9tier d’analyste SOC<\/h4>\n
Faire venir des chercheurs nouveaux et exp\u00e9riment\u00e9s est co\u00fbteux et compliqu\u00e9. Peut-\u00eatre que les organisations devraient s’efforcer de promouvoir et d’encourager les analystes d’entr\u00e9e \u00e0 apprendre et \u00e0 exp\u00e9rimenter de nouvelles comp\u00e9tences et technologies. Si les managers du SOC peuvent craindre que cela n’interf\u00e8re avec les missions quotidiennes des analystes exp\u00e9riment\u00e9s ou qu’ils ne se traduisent par des d\u00e9parts de l’entreprise, cela va paradoxalement inciter les analystes \u00e0 rester et \u00e0 participer plus activement \u00e0 la maturation de la s\u00e9curit\u00e9 de l’organisation sans surco\u00fbt ou presque. <\/p>\n
Faites passer les employ\u00e9s d’un poste \u00e0 l’autre<\/h4>\n
Les gens en ont marre de faire la m\u00eame chose tous les jours. Une fa\u00e7on astucieuse de maintenir l’engagement des employ\u00e9s et de renforcer votre organisation consiste peut-\u00eatre \u00e0 laisser les gens passer d’un r\u00f4le \u00e0 l’autre, par exemple en apprenant aux chasseurs de menaces \u00e0 effectuer un travail de renseignement sur les menaces en leur donnant des affectations faciles ou en les envoyant suivre des cours. Une autre id\u00e9e prometteuse consiste \u00e0 impliquer des analystes SOC de niveau inf\u00e9rieur avec de v\u00e9ritables \u00e9quipes de r\u00e9ponse aux incidents et ainsi faire progresser leurs comp\u00e9tences. Tant les organisations que les employ\u00e9s b\u00e9n\u00e9ficient de tels engagements.<\/p>\n
Laissez nos employ\u00e9s voir les r\u00e9sultats de leur travail exigeant<\/p>\n
Qu’il s’agisse d’analystes SOC de niveau inf\u00e9rieur ou de cadres sup\u00e9rieurs de niveau C, les gens ont besoin de motivation. Les employ\u00e9s doivent comprendre s’ils font bien leur travail, et les cadres doivent comprendre la valeur de leur travail et la qualit\u00e9 de son ex\u00e9cution. <\/p>\n
Envisagez des moyens de mesurer votre centre d’op\u00e9rations de s\u00e9curit\u00e9\u00a0:<\/p>\n
- \n
- Quelle est l’efficacit\u00e9 du SOC dans le traitement des alertes importantes\u00a0?<\/li>\n
- Avec quelle efficacit\u00e9 le SOC collecte-t-il des donn\u00e9es pertinentes, coordonne-t-il une r\u00e9ponse et prend-il des mesures\u00a0?<\/li>\n
- Quelle est l’activit\u00e9 de l’environnement de s\u00e9curit\u00e9 et quelle est l’ampleur des activit\u00e9s g\u00e9r\u00e9es par le SOC\u00a0?<\/li>\n
- Dans quelle mesure les analystes couvrent-ils efficacement le nombre maximal d’alertes et de menaces\u00a0?<\/li>\n
- Dans quelle mesure la capacit\u00e9 du SOC est-elle ad\u00e9quate \u00e0 chaque niveau et quelle est la charge de travail des diff\u00e9rents groupes d’analystes\u00a0?<\/li>\n<\/ul>\n
Le tableau ci-dessous contient d’autres exemples et mesures tir\u00e9s d’Exabeam.<\/p>\n
![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/1659984932_608_Les-avantages-de-constituer-une-Blue-Team-mature-et-diversifiee.jpg\")
<\/div>\nEt, bien s\u00fbr, validez le travail de votre \u00e9quipe bleue avec des outils de validation de s\u00e9curit\u00e9 continue tels que ceux sur La plate-forme XSPM de Cymulate o\u00f9 vous pouvez automatiser, personnaliser et \u00e9tendre les sc\u00e9narios d’attaque et les campagnes pour une vari\u00e9t\u00e9 d’\u00e9valuations de s\u00e9curit\u00e9. <\/a><\/p>\n
S\u00e9rieusement, valider le travail de votre \u00e9quipe bleue augmente \u00e0 la fois la cyber-r\u00e9silience de votre organisation et fournit des mesures quantifi\u00e9es de l’efficacit\u00e9 de votre \u00e9quipe bleue dans le temps.<\/p>\n
Remarque\u00a0: Cet article a \u00e9t\u00e9 \u00e9crit et contribu\u00e9 par Dan Lisichkin, Threat\u00a0Hunter et Threat\u00a0Intelligence Researcher chez Cymuler<\/a>.<\/i><\/p>\n
<\/p>\n<\/div>\n
- Chercheurs de logiciels malveillants<\/strong> \u2013 Responsable de la r\u00e9tro-ing\u00e9nierie des logiciels malveillants<\/li>\n
- Chasseurs de menaces<\/strong> \u2013 Responsable de la recherche proactive des menaces au sein de l’organisation<\/li>\n