Comment rationaliser les opérations de réponse à incident avec la Threat Intelligence

Un bon plan de réponse à incident bien préparé est crucial pour les organisations car il permet une approche structurée concernant les incidents de cybersécurité. Il est aujourd'hui bien connu que la question de savoir si nous serons affectés par un incident de sécurité n'est plus pertinente ; elle a été remplacée par la question de savoir si nous sommes bien préparés à gérer les incidents futurs.

Dans un précédent article sur le Threat Hunting, nous avons exploré les méthodes avancées que les équipes SOC utilisent pour garder une longueur d'avance sur les menaces potentielles. Dans cet article, nous prendrons du recul pour couvrir les responsabilités fondamentales des Incident Responders, et nous plongerons dans la manière dont l'intégration de la Threat Intelligence peut améliorer et rationaliser les opérations de réponse à incident pour une posture de cybersécurité plus résiliente.

Qu'est-ce que la réponse à incident ?

La réponse à incident est l'approche systématique et les procédures que les organisations utilisent pour identifier, gérer et atténuer l'impact d'un incident de cybersécurité. Ces incidents peuvent aller des violations de données et infections par malwares aux attaques de phishing et aux accès non autorisés aux systèmes. L'objectif de la réponse à incident est de gérer la situation pour limiter les dommages, réduire le temps et les coûts de récupération, et prévenir les incidents futurs.

Cette activité incombe principalement aux Incident Responders au sein de la CSIRT (Computer Security Incident Response Team), qui peut comprendre divers rôles, tels que les analystes SOC de niveau 1 à 3, les ingénieurs sécurité et les administrateurs.

Les Incident Responders suivent généralement un processus structuré, connu sous le nom de méthode « 1+7 étapes » (également appelée « the drumroll »), pour traiter tous les types d'incidents.

La méthode « 1+7 étapes » pour la réponse à incident

1. Préparation : S'assurer que l'organisation est prête à répondre efficacement à tout incident de sécurité.

• Développer et maintenir un plan de réponse à incident.
• Constituer et former une équipe de réponse à incident.

2. Détection : Identifier et confirmer rapidement les incidents de sécurité potentiels.

• Surveiller les réseaux, systèmes et applications pour identifier les incidents potentiels.
• Valider et classifier les incidents en fonction de leur gravité et de leur impact.

3. Réponse : Prendre des mesures immédiates pour traiter l'incident identifié.

• Activer l'équipe de réponse à incident et les procédures de réponse initiale pour contenir l'incident tout en préservant les preuves pour une analyse ultérieure et une éventuelle action en justice
• Évaluer la portée et l'impact de l'incident.

4. Atténuation : Limiter les dommages et prévenir d'autres impacts de l'incident

• Mettre en œuvre des stratégies de confinement pour minimiser les dommages (par exemple, isoler les systèmes affectés).
• S'assurer que des mesures de confinement à court et long terme sont en place.

5. Reporting : Documenter et communiquer les détails de l'incident.

• Préparer des rapports d'incident détaillés incluant les chronologies, l'impact et les actions de réponse pour les parties prenantes, notamment la direction, les parties affectées et les organismes de réglementation si nécessaire.
• Maintenir des registres pour la conformité et référence future.

6. Récupération : Restaurer les opérations normales et s'assurer que les systèmes fonctionnent de manière sécurisée.

• Restaurer les systèmes et données à partir de sauvegardes propres et confirmer que tous les systèmes fonctionnent normalement et de manière sécurisée.
• Surveiller les systèmes pour détecter les signes de menaces résiduelles ou nouvelles afin de s'assurer que tous les problèmes sont résolus.

7. Remédiation : Traiter la cause profonde pour prévenir des incidents similaires à l'avenir.

• Identifier et éliminer la cause profonde de l'incident.
• Mettre en œuvre des mesures de sécurité supplémentaires et mettre à jour les politiques et procédures de sécurité pour éviter la récurrence.

8. Leçons apprises : Améliorer le processus de réponse à incident et la posture de sécurité globale.

• Identifier les succès et les domaines d'amélioration à travers une revue post-incident avec l'équipe de réponse à incident et les parties prenantes.
• Mettre à jour le plan de réponse à incident, les politiques et les procédures en fonction des enseignements tirés.

Comment la CTI s'intègre-t-elle à la réponse à incident ?

La Cyber Threat Intelligence (CTI) s'intègre à chaque phase du processus de réponse à incident, renforçant la capacité de l'organisation à détecter, répondre et récupérer des incidents de cybersécurité. La CTI renforce en fin de compte leur posture de sécurité globale.

Voici comment la CTI s'intègre dans les étapes de réponse à incident :

Définir un périmètre de préparation plus détaillé

La CTI fournit des informations sur les menaces actuelles, les tactiques, techniques et procédures (TTP) utilisées par les adversaires. En comprenant le paysage des menaces le plus récent et pertinent pour le contexte d'une organisation, le plan de réponse à incident peut être plus précis, et les équipes de réponse peuvent mener des exercices de simulation précis.

Améliorer la détection

La CTI offre des indicateurs de compromission (IOC) et des indicateurs de menaces potentielles, carburant essentiel pour les moteurs de détection (tels que E-X-N/DR, SIEM, FW, IDS/IPS). Des flux de threat intelligence de haute qualité améliorent la surveillance et la détection des événements de sécurité, et aident également à l'identification des incidents potentiels en corrélant les données CTI avec les logs internes.

Prioriser les actions de réponse

La CTI fournit un contexte sur les motivations et objectifs de l'acteur de menace ; permettant aux Incident Responders de prioriser les efforts de réponse et d'allouer les ressources plus efficacement.

Guider l'atténuation

Avec la CTI, les Incident Responders peuvent comprendre les impacts potentiels et la propagation de la menace, aidant à l'identification des meilleures méthodes de confinement.

Améliorer la récupération

La CTI garantit que les systèmes sont sécurisés pendant et après la phase de récupération en validant que les IOC liés à l'incident ont été traités. Elle aide également à surveiller les menaces persistantes après la récupération.

Faciliter la remédiation

La CTI aide à identifier et traiter la cause profonde de l'incident. Des corrections à long terme peuvent être mises en œuvre, les vulnérabilités éliminées et les contrôles de sécurité améliorés grâce à la compréhension des méthodes de l'adversaire.

Enrichir le reporting et les leçons apprises

Inclure la CTI dans les rapports d'incident fournit une compréhension complète de la menace, informant les parties prenantes sur la nature et l'impact de l'incident. Le partage de CTI avec la communauté de sécurité au sens large soutient les efforts de défense collective et la conformité aux exigences de reporting réglementaire.

Comment utiliser efficacement OpenCTI pour la réponse à incident ?

Préparation

OpenCTI est précieux pour la threat intelligence dans tous les secteurs et régions. Les rapports et tableaux de bord de sécurité offrent des indicateurs clés pour suivre les dernières tendances dans le contexte d'une organisation (industrie, localisation, chaîne d'approvisionnement, etc.), permettant des plans de réponse à incident sur mesure pour se préparer aux menaces les plus pertinentes.

Tableau de bord OpenCTI

Détection : Partage efficace d'IOC et investigation des événements.

La détection et le triage des événements de sécurité est un sujet complexe qui mérite son propre article, mais voici un bref aperçu.

Améliorer la détection avec la Cyber Threat Intelligence (CTI) commence par alimenter les outils de détection (comme FW, IPS, NDR, EDR, XDR, SIEM) avec des indicateurs de haute qualité, fonction centrale de toute plateforme de Threat Intelligence. Collecter des indicateurs auprès de divers fournisseurs, les consolider, les standardiser et les traiter vous permet de filtrer les indicateurs pertinents pour votre contexte spécifique. Le contexte varie selon l'organisation mais inclut généralement des facteurs tels que le secteur d'activité, la localisation et l'organisation elle-même ainsi que ses fournisseurs. Faire correspondre les indicateurs pertinents au contexte d'une organisation offre des avantages significatifs, tels que réduire le nombre considérable d'indicateurs (souvent des millions) à un volume plus gérable pouvant être ingéré par les outils de détection (milliers ou centaines de milliers), ainsi que réduire les faux positifs.

OpenCTI facilite cela en fournissant un ensemble complet de fonctionnalités de gestion des indicateurs et, plus important encore, des playbooks d'automatisation. L'objectif des playbooks est de libérer les analystes et opérateurs de sécurité des tâches fastidieuses, répétitives et chronophages (telles que l'étiquetage, l'enrichissement, l'assignation et la révocation de données), leur permettant de se concentrer sur des activités à plus forte valeur ajoutée comme l'investigation des incidents.

Playbooks d'automatisation dans OpenCTI

Réponse

OpenCTI permet l'ingestion de threat intelligence interne incluant les événements de sécurité des outils de sécurité internes (FW, IPS, NDR, EDR, XDR, SIEM…), corrélant l'intelligence interne avec les données externes. Cette corrélation aide considérablement au triage, à la priorisation et à l'investigation.

Les événements de sécurité générés apparaîtront dans la section Événements > Incidents.

Vue d'ensemble des incidents de sécurité

La vue d'incident de sécurité donne une perspective de threat intelligence des événements de sécurité partagés par les outils de sécurité. Bien qu'il soit possible de travailler directement depuis la page d'incident, il est recommandé de créer un cas de réponse à incident pour mener une analyse approfondie.

Vue d'incident

Les cas de réponse à incident permettent une meilleure collaboration et des options de workflow pour s'assurer que le processus correct est suivi et que les bonnes tâches sont assignées aux membres appropriés de l'équipe. De plus, un seul cas de réponse à incident peut centraliser les données de plusieurs incidents liés, fournissant une vue d'ensemble plus complète de la situation.

Tous les outils d'investigation d'OpenCTI sont utiles ici :

Vue Matrice des Tactiques

Cela mettra en évidence et placera les méthodes dans le cadre des tactiques

Vue Matrice des Tactiques

Vue de corrélation :

Cela indiquera si cet incident peut être lié à d'autres incidents similaires. Nous pouvons voir par exemple ici que l'hôte filigran-host1.fr a été impliqué dans 2 incidents avec les mêmes entités

Vue de corrélation

Vue d'investigation :

Les fonctionnalités de pivot nous permettent de naviguer facilement dans les relations voisines et de mettre en évidence :

• les indicateurs liés au hash du fichier (ou tout autre élément signalé dans l'événement)
• les malwares indiqués par les indicateurs
• l'acteur de menace potentiel attribué à cette attaque
• les rapports de sécurité qui pourraient mentionner cette attaque
• les méthodes ou modèles d'attaque (TTP) qui sont utilisés
• les vulnérabilités exploitées ou les outils

Investigation

Avec ces informations en main, nous sommes maintenant en mesure de définir :

• la gravité de l'incident (Est-ce grave ?)
• les acteurs de menace derrière l'attaque (qui sont-ils ?), leurs méthodes (quel est leur prochain mouvement ?), et leurs motivations (que recherchent-ils ?)

Répondre à, atténuer, récupérer de, et remédier à un incident devient beaucoup plus simple lorsque vous comprenez qui est derrière l'incident, ce qu'ils recherchent, et comment ils opèrent

N'oublions pas de stocker les indicateurs identifiés pour une utilisation future et de les partager avec nos pairs du secteur pour une défense cyber collaborative. Cela peut être fait manuellement en sélectionnant tous les indicateurs ou observables et en les étiquetant avec un drapeau dédié. Cependant, cela peut aussi être automatisé via un playbook qui gérera cela pour vous une fois que le cas de réponse à incident aura été marqué comme terminé.

Automatisation de l'étiquetage et du stockage

Reporting

Souvent considéré comme une tâche fastidieuse, le reporting peut être rationalisé avec l'aide de askAI, qui aide à résumer les incidents du point de vue d'OpenCTI. Cependant, ce résumé doit être complété par des informations supplémentaires non disponibles dans OpenCTI, ainsi que les insights et commentaires de l'Incident Responder.

Demander à l'IA de générer un rapport

Conclusion

La réponse à incident est un composant critique de toute politique de sécurité. Un plan de réponse à incident robuste garantit que les organisations peuvent répondre aux attaques efficacement et récupérer aussi rapidement que possible avec des impacts minimaux. Cependant, peu importe la qualité du plan, il doit être exécuté avec rigueur et discipline, surtout pendant les situations difficiles (voire catastrophiques).

OpenCTI est-il un bon outil pour les Incident Responders ?

Absolument ! OpenCTI offre non seulement des insights précieux lors de la préparation d'un plan de réponse à incident, mais il sert également de guide pour les Incident Responders pendant les événements critiques et stressants. Au lieu de lutter dans l'obscurité, les Incident Responders peuvent rapidement déterminer qui est derrière une attaque, comment ils opèrent, et ce qu'ils recherchent.

Restez calme et planifiez vos prochaines actions !

Si vous avez des commentaires, questions ou retours, connectez-vous avec nous sur slack !