Aller au contenu

Outils et techniques de détection des incidents de sécurité

1. Objectif du cours

Comprendre l'écosystème des outils de détection (endpoint, réseau, SIEM, XDR, SOAR) et leur orchestration pour détecter, qualifier et répondre rapidement aux incidents de sécurité, dans un contexte opérationnel (ex. SOC bancaire).

2. Notions et définitions essentielles

  • Antivirus : détection par signatures de malwares connus, portée fichiers.
  • EDR (Endpoint Detection and Response) : surveillance continue des endpoints, analyse comportementale des processus et capacité de remédiation/isolation.
  • IDS/IPS : IDS détecte des intrusions sur le réseau ; IPS bloque en temps réel.
  • NDR (Network Detection and Response) : analyse des métadonnées réseau et détection d'anomalies via apprentissage.
  • SIEM : plateforme centralisée qui collecte, normalise et corrèle les logs multi-sources.
  • XDR : extension du EDR unifiant données endpoint, réseau, cloud, email avec ML/IA pour corrélations automatiques.
  • SOAR : orchestration et automatisation des réponses via playbooks.
  • UEBA : establishment de baselines comportementales pour utilisateurs/entités.

3. Fonctionnement et principes

  • Approche multicouche : combiner endpoints + surveillance réseau + SIEM pour couvrir vecteurs complémentaires et réduire angles morts.
  • EDR vs antivirus : l'EDR suit la chronologie et le comportement (processus, accès mémoire, scripts), permettant la détection d'attaques zero-day et living-off-the-land ; l'antivirus bloque les menaces connues.
  • Corrélation SIEM : normalisation des logs hétérogènes permet d'agréger IOCs et d'identifier patterns complexes (ex. combiner alerte EDR + logs réseau + AD pour révéler une attaque coordonnée).
  • NDR & ML : les NDR établissent une baseline du trafic (métadonnées) et détectent exfiltrations lentes et C2 sans inspecter le contenu ; nécessite période d'apprentissage.
  • Orchestration SOAR : automatise enrichissement et actions répétitives (recherche IOCs, géolocalisation IP, sandboxing) tout en orchestrant déclenchement d'actions entre SIEM, EDR et firewalls.
  • Supervision humaine : important pour décisions à fort impact (isolation de systèmes, actions de blocage).

4. Commandes et manipulations

Non abordé dans ce cours.

5. Sécurité et bonnes pratiques

  • Phase d'observation pour tuning : configurer l'EDR en mode « observation » 2–4 semaines pour établir une baseline avant d'activer blocages automatiques.
  • Limiter la fatigue d'alertes : viser un taux de faux positifs inférieur à 5 % pour préserver l'efficacité des analystes.
  • Période d'apprentissage : NDR nécessite 2–4 semaines ; systèmes IA/ML nécessitent 30–90 jours pour une baseline fiable.
  • Supervision humaine des IA : conserver un contrôle humain sur décisions automatisées, en particulier pour actions d'isolation ou de blocage.
  • Playbooks avec points de contrôle : intégrer étapes automatiques et contrôles humains pour décisions critiques.
  • Standardisation et intégration : utiliser APIs/formats standard pour échanges entre SIEM, EDR, gestion vulnérabilités et SOAR.
  • Politique de rétention et stockage hiérarchisé : définir durées selon criticité (ex. événements sécurité 3 ans, logs d'accès 1 an, debug 3 mois) et stocker hiérarchiquement (données récentes sur stockage rapide).

6. Points essentiels à retenir pour le TSSR

  1. Défense en profondeur : aucun outil seul n'est suffisant — combiner EDR, IDS/IPS/NDR et SIEM.
  2. L'EDR apporte visibilité comportementale et remédiation (isolation, rollback), complémentaire de l'antivirus.
  3. SIEM = cerveau de corrélation ; la qualité et la normalisation des logs sont critiques (horodatage, identifiants).
  4. Les solutions basées sur ML/IA réduisent faux positifs via contextualisation multi-sources mais exigent apprentissage et supervision humaine.
  5. SOAR automatise tâches répétitives (enrichissement, recherche IOCs) ; playbooks doivent prévoir contrôles humains pour actions à risque.
  6. Surveillez mouvements latéraux (SMB/RPC, WMI, PSExec, Kerberos anormales) pour protéger Active Directory et contrôleurs de domaine.
  7. Prioriser les alertes selon criticité des actifs et probabilité ; automatiser qualification de premier niveau (géolocalisation, réputation).
  8. Mesurer KPIs SIEM : nombre d'alertes, délai de traitement, taux de faux positifs ; adapter règles par itération (observation → test → affinage).
  9. Périodes d'apprentissage : NDR 2–4 semaines, IA 30–90 jours — planifier déploiement en conséquence.
  10. Intégration progressive : prioriser SIEM, EDR et firewall puis étendre orchestration.

7. Tableau récapitulatif

Outil Force principale Remarque opérationnelle
Antivirus Signatures pour menaces connues Efficace sur menaces connues uniquement
EDR Analyse comportementale & remédiation Mode observation 2–4 semaines recommandé
NDR Détection anomalies réseau via métadonnées Apprentissage 2–4 semaines, détecte exfiltrations lentes/C2
SIEM Corrélation et centralisation des logs Nécessite normalisation stricte des logs
SOAR Orchestration & automatisation de réponses Playbooks + contrôles humains pour décisions critiques

8. Vérifications pratiques

  • Confirmer qu'un EDR a bloqué/isolé un processus suspect (ex. certutil.exe tentant une URL) et vérifier entrée de blocage dans la timeline.
  • Vérifier reconstruction chronologique (timeline) dans l'EDR/SIEM pour identifier point d'entrée, propagation et données affectées.
  • Contrôler que une NDR a terminé sa période d'apprentissage (2–4 semaines) et que les alertes d'anomalie se stabilisent.
  • Vérifier dans le SIEM la corrélation multi-sources (EDR + logs réseau + AD) pour valider la détection d'une attaque coordonnée.
  • Contrôler KPIs SIEM/SOC : nombre d'alertes, délai de traitement, taux de faux positifs (<5 %) pour valider l'efficacité opérationnelle.
  • Valider l'exécution d'un playbook SOAR : enrichissement automatique (géoloc IP, réputation), collecte de logs et escalade selon matrice de criticité.

9. Flashcards Anki

Quelle est la principale différence entre un antivirus traditionnel et une solution EDR ? :: L'antivirus utilise des signatures connues tandis que l'EDR analyse les comportements Que surveille en continu un EDR ? :: Les endpoints pour détecter des comportements anormaux et permettre une réponse rapide Quel outil a bloqué l'utilisation malveillante de certutil.exe dans l'exemple du cours ? :: L'EDR Combien de temps recommander pour une phase d'observation EDR avant blocage automatique ? :: 2 à 4 semaines Quel taux maximal de faux positifs faut-il viser pour éviter la fatigue des alertes ? :: Moins de 5 % Quelle est la différence fonctionnelle entre IDS et IPS ? :: IDS détecte les intrusions, IPS les bloque en temps réel Combien de temps nécessite une NDR pour établir une baseline fiable ? :: 2 à 4 semaines Combien de temps prend généralement un système d'IA pour établir une baseline comportementale fiable ? :: 30 à 90 jours Quel est l'objectif principal d'un SIEM ? :: Collecter, normaliser et corréler les événements de sécurité provenant de multiples sources Que signifie SOAR et quel est son rôle ? :: Security Orchestration, Automation and Response : orchestrer, automatiser et répondre aux incidents via workflows automatisés