Renseignements en temps réel sur les menaces
La plupart des flux d’« informations sur les menaces » ne sont que du bruit déguisé en analyse — des milliers d’indicateurs par jour sans aucun lien avec la question de savoir si l’un d’entre eux menace réellement votre organisation. Les renseignements en temps réel, lorsqu’ils sont correctement exploités, sont plus ciblés et plus utiles : il s’agit de savoir quand un événement qui vous concerne spécifiquement se produit à l’instant même, qu’il s’agisse d’une nouvelle faille exploitant un logiciel que vous utilisez, d’identifiants de votre organisation apparaissant dans un nouveau lot de données issues d’une violation, ou de discussions sur un forum suggérant que vous êtes devenu une cible.
Ce qui compte réellement
Je privilégie la pertinence au volume. Un flux d’informations générique vous informant d’une nouvelle variante de ransomware est intéressant ; savoir que cette variante cible spécifiquement le dispositif VPN présent sur votre réseau, à l’instant même, est exploitable. Cette distinction est l’essence même de ce travail. J’analyse votre pile technologique réelle, votre secteur d’activité, votre présence publique et vos incidents passés afin de déterminer quel type de renseignements pourrait véritablement influencer vos prochaines actions, et je mets en place une surveillance en fonction de cela, plutôt qu’un flux d’informations générique qui entraîne une « fatigue des alertes » et finit par être ignoré au bout d’un mois.
Comment je m’y prends
En fonction de vos besoins, cela couvre la surveillance de l’exposition des identifiants et des fuites de données liées à vos domaines et à vos collaborateurs clés, le suivi des divulgations de vulnérabilités et des activités d’exploitation visant les systèmes spécifiques que vous exploitez, la surveillance des discussions suggérant un ciblage — mentions de votre organisation sur des forums, sur les places de marché ou les canaux où les attaquants planifient et vendent des accès — et de les mettre en évidence suffisamment rapidement pour que vous puissiez agir, et non pas trois semaines plus tard dans un rapport trimestriel. Lorsqu’un incident concret survient, je vous explique ce que cela signifie concrètement pour vous et ce que je ferais dans ce cas, et je ne me contente pas de vous fournir une simple liste d’indicateurs bruts.
Ce processus fonctionne mieux dans le cadre d’une relation continue plutôt que d’un rapport ponctuel, car sa valeur réside dans la rapidité et la pertinence des éléments signalés, et celle-ci ne fait que s’améliorer à mesure que je comprends mieux votre environnement au fil du temps.
À qui s'adresse ce document ?
Les organisations qui constituent une cible plausible — en raison de leur secteur d’activité, de leur profil ou d’incidents antérieurs — et les équipes de sécurité submergées par des flux d’informations génériques sur les menaces et qui souhaitent disposer d’un outil leur indiquant réellement quand il faut agir.
Si vous souhaitez obtenir des informations sur vos risques spécifiques, n’hésitez pas à nous contacter et discutons ensemble de ce à quoi cela pourrait ressembler.