Opérations de sécurité
Tout ce que j’ai écrit sur les opérations de sécurité, en commençant par les articles de recherche. Chacun d’entre eux se termine par une action concrète que vous pouvez mettre en œuvre dès lundi.
Vous êtes confronté à l’un de ces problèmes ? Je travaille avec des organisations qui ont besoin de réponses, pas d’une énième présentation PowerPoint. Discutons-en.
Que contient un court métrage à cinq angles ?
La plupart des sujets présentés ici occupent une page et comportent cinq courtes sections, toujours dans cet ordre. Chacune est identifiée par une couleur spécifique au sein de l’article, ce qui vous permet d’accéder directement à celle qui vous intéresse.
- 1Par où je commencerais : la première mesure que je prendrais et la question que je poserais avant de dépenser quoi que ce soit.
- 2 Lorsque les plans échouent : les points sur lesquels les plans relatifs à ce sujet échouent généralement, et l’hypothèse que je vérifierais en premier lieu.
- 3Au-delà du jargon : ce que le sujet signifie réellement une fois le langage commercial mis de côté.
- 4 À quoi ressemble un bon résultat : le résultat qui vous indiquerait que cela a fonctionné, et le chiffre que je surveillerais.
- 5 Le défi que les dirigeants ne peuvent éluder : la décision que la direction doit prendre, et les éléments dont elle a besoin pour la prendre.
Services associés : Centre d’opérations de sécurité (SOC), Services de sécurité gérés (MSSP), Gestion des vulnérabilités, Suivi et rapports de conformité.
-
Comment savoir si votre SOC est réellement efficace ?
Évaluez l’efficacité du SOC grâce à une détection éprouvée, des enquêtes défendables et un confinement vérifié. Mettez en évidence les cas manqués, les défaillances de transfert et les moyennes de réponse trompeuses.
-
Comment savoir si un contrôle de sécurité fonctionne toujours après un changement ?
Maintenir la validité des preuves relatives aux contrôles de sécurité après un changement : définir les déclencheurs de nouveaux tests, détecter les données télémétriques manquantes et limiter le délai nécessaire à la prise d’une décision défendable.
-
Comment reconstituer un incident OT lorsque les horloges ne concordent pas ?
Reconstituez les incidents liés aux technologies opérationnelles (OT) en tenant compte de l’incertitude relative à l’horodatage, de la provenance de la source et des preuves causales, puis vérifiez la restauration temporelle au regard des exigences de chaque fonction.
-
Comment mettre hors service un SIEM sans perdre les preuves d’enquête ?
Conservez les éléments de preuve exploitables pour l’enquête lors de la mise hors service d’un SIEM. Vérifiez l’exhaustivité de l’exportation, les horodatages, l’historique des recherches, l’intégrité, la récupération et l’acceptation de l’arrêt.
-
Comment tester l’autorisation des objets API entre différents locataires ?
Testez l’autorisation de l’API à l’aide d’une matrice de décision couvrant les locataires, les objets, les champs, les autorisations périmées et les tâches en file d’attente. Découvrez quelles preuves justifient une décision de mise en production.
-
Comment tester les faux positifs de détection avant d’activer une règle ?
Testez une règle de détection à l’aide de faux positifs bénins, de données mises de côté et d’un fonctionnement en mode fantôme. Distinguez le taux de faux positifs, la précision des alertes, la charge de travail et les preuves de publication.
-
Comment vérifier la couverture d’un scan de vulnérabilités authentifié ?
Vérifiez la portée des actifs, les privilèges d’authentification, les diagnostics d’analyse, l’actualité des capteurs et les résultats manquants avant de vous fier à la couverture des vulnérabilités authentifiées.
-
Comment vérifier la conformité DMARC pour chaque expéditeur d’e-mails légitime
Vérifiez la conformité DMARC entre les boîtes aux lettres, les applications, les fournisseurs et les services de transfert, à l’aide de tests de réception et de preuves permettant de prendre une décision d’application.
-
À quel moment une politique DLP est-elle prête à bloquer les transferts de fichiers ?
Testez le blocage DLP sur les transferts approuvés, les échecs d’inspection, les dérogations et les conflits de politiques avant de le déployer à l’ensemble de votre personnel.
-
Lorsque les scores de vulnérabilité divergent, que devez-vous corriger en priorité ?
Concilier les scores CVSS, EPSS et KEV de l’CISA avec les preuves relatives aux actifs, les conséquences pour l’entreprise et les contraintes liées aux correctifs afin de choisir une prochaine action justifiable.
-
Fatigue liée aux alertes
Je ne commencerais pas à lutter contre la fatigue des alertes en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, désigner le responsable et identifier un scénario…
-
La surveillance continue n’est pas une garantie continue
Un tableau de bord peut afficher une centaine d’indicateurs verts sans pour autant m’indiquer grand-chose sur la capacité d’un attaquant à atteindre un système critique. La surveillance recueille des données…
-
Ingénierie de détection
Je ne commencerais pas à mettre en place une ingénierie de détection en achetant une autre plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et trouver un…
-
Neuf questions à vous poser avant de signer un contrat de SOC géré
La détection de l’externalisation peut être la bonne décision. L’externalisation de la responsabilité ne peut pas l’être. C’est dans le contrat que ces deux notions se confondent ; voici donc les questions que je…
-
Purple teaming
Je ne commencerais pas le « purple teaming » en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et élaborer un scénario…
-
Architecture SIEM
Je ne commencerais pas la mise en place d’une architecture SIEM en achetant une nouvelle plateforme ou en lançant un programme de grande envergure. Je commencerais par définir le périmètre, désigner le responsable et identifier un scénario…
-
Modèle opérationnel SOC
Je ne commencerais pas à mettre en place le modèle opérationnel SOC en achetant une autre plateforme ou en lançant un programme de grande envergure. Je commencerais par définir le périmètre, le responsable et un sc...
-
Indicateurs de performance SOC
Je ne commencerais pas à définir les indicateurs de performance SOC en achetant une autre plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, le responsable, puis...
-
Effectifs SOC
Je ne commencerais pas la mise en place d’une équipe SOC par l’achat d’une nouvelle plateforme ou le lancement d’un programme de grande envergure. Je commencerais par définir le périmètre, désigner le responsable et élaborer un scénario…
-
Stratégie de télémétrie
Je ne commencerais pas une stratégie de télémétrie en achetant une autre plateforme ou en lançant un vaste programme. Je déterminerais d’abord le périmètre, le responsable, et un sce...
-
Le tableau de bord de sécurité que personne ne peut utiliser
Un tableau de bord peut afficher des pourcentages tout à fait satisfaisants sans pour autant permettre à la direction de déterminer si l’organisation est plus sûre.
-
Threat hunting
Je ne commencerais pas la threat hunting en achetant une nouvelle plateforme ou en lançant un vaste programme. Je commencerais par définir le périmètre, identifier le responsable et élaborer un scénario…
-
Quand un SOC doit-il autoriser l’automatisation pour désactiver les comptes des employés ?
Déterminez dans quels cas le confinement automatisé des comptes est justifié. Examinez les faux positifs, la révocation des sessions, les limites d’actions, les nouvelles tentatives et la restauration sécurisée.
-
Quand retirer une règle de détection
Tous les SOC que j’ai examinés comportent des règles dont personne ne se souvient avoir rédigé. Ils se déclenchent, un analyste les clôt, et le cycle se répète jusqu’à ce que quelqu’un finisse par demander quelle est la règle…
-
Pourquoi votre SOC est très sollicité mais manque d’efficacité
Un centre d’opérations de sécurité peut être très sollicité 24 heures sur 24 et pourtant passer à côté de l’incident qui compte. Je ne trouve pas que le nombre d’alertes clôturées soit particulièrement significatif...
Aucune correspondance. Essayez un autre mot ou posez-moi directement la question.