Quand la tour de guet échoue : Comprendre les brèches de plusieurs jours manquées par le MDR

Le paysage de la cybersécurité est de plus en plus défini par la vitesse et la furtivité. Pourtant, un schéma inquiétant est apparu : des brèches qui passent inaperçues pendant plusieurs jours, même avec des services de détection et de réponse gérés (MDR) en place. Il ne s'agit pas seulement d'une alerte manquée ; c'est une panne systémique où des indicateurs de menace critiques sont perdus dans le bruit, entraînant un compromis prolongé et des dommages amplifiés.

Ce qui s'est passé

Les organisations, malgré des investissements significatifs dans les technologies de détection, subissent des brèches de plusieurs jours où l'activité de compromission initiale est totalement manquée par leurs fournisseurs MDR. Cette négligence permet aux attaquants d'établir une persistance, d'exfiltrer des données et de se déplacer latéralement sur les réseaux avant qu'une alarme ne soit déclenchée. Le problème central découle souvent d'un volume accablant d'alertes que même les équipes d'experts ont du mal à trier efficacement.

Certaines observations mettent en évidence des cas où l'activité de brèche est détectée et arrêtée, même lorsque d'autres solutions de sécurité ne l'auraient peut-être pas identifiée. Cela souligne la dépendance à l'égard des services de détection avancés pour détecter ce que d'autres outils ne détectent pas, rendant tout échec à le faire particulièrement critique. L'objectif de ces fournisseurs est d'assurer une surveillance continue des menaces pour éviter que les brèches ne se propagent sans contrôle jusqu'à ce qu'il soit trop tard.

Pourquoi ce schéma se répète-t-il

La cause profonde de ce schéma récurrent est multiple, mais la fatigue des alertes se distingue comme un facteur principal. Les analystes du SOC sont inondés de milliers de notifications chaque jour, ce qui rend plus difficile l'identification des menaces réelles. Ce problème s'accélère, l'IA abaissant considérablement la barrière pour les cybercriminels afin de lancer des attaques massives et accablantes.

Les campagnes de phishing générées par l'IA, le développement automatisé de logiciels malveillants et la reconnaissance intelligente permettent aux attaquants de créer plus d'activités malveillantes que jamais auparavant. À mesure que le volume d'attaques augmente, les alertes générées par les outils de sécurité traditionnels augmentent également. Cela crée une situation où les équipes de sécurité passent plus de temps à trier les alertes qu'à arrêter activement les attaques, ce qui rend les incidents critiques plus faciles à manquer.

Le volume même des attaques générées par l'IA submerge les mécanismes de détection traditionnels, transformant la gestion des alertes en un risque commercial critique plutôt qu'en un simple risque opérationnel.

Le manuel de l'attaquant étape par étape

Les attaquants exploitent l'IA pour automatiser diverses étapes de leurs opérations, contribuant à la surcharge d'alertes. Leur manuel devient de plus en plus sophistiqué et volumineux. Cela inclut la génération d'e-mails de phishing convaincants en quelques secondes, la création de variantes de logiciels malveillants uniques pour échapper à la détection par signature, et la numérisation simultanée de milliers de systèmes exposés à Internet. Ils lancent également des attaques d'identifiants à des échelles sans précédent.

Cette automatisation signifie que les tentatives d'accès initiales, qui pourraient générer de nombreuses alertes de faible priorité, ne sont souvent que des précurseurs d'un compromis plus important. Le grand nombre de ces tentatives peut masquer le point d'entrée réussi, permettant à l'attaquant de contourner la détection initiale et d'établir un point d'appui. Une fois à l'intérieur, ils peuvent opérer en toute impunité jusqu'à ce qu'un indicateur plus définitif, souvent beaucoup plus tardif, déclenche une enquête.

Ce que les défenseurs ont manqué

Les défenseurs, même ceux qui s'appuient sur le MDR, manquent les premiers indicateurs critiques de compromission. Il ne s'agit pas nécessairement d'un manque d'outils, mais d'une défaillance de l'interface homme-machine. L'EDR géré, par exemple, vise à ajouter la couche d'experts en sécurité qui surveillent les environnements 24 heures sur 24, enquêtent sur chaque alerte et réagissent. Cependant, si ces experts sont submergés, la valeur diminue.

Le principal manquement est souvent l'incapacité à distinguer les signaux critiques du bruit de fond. Bien que des technologies de détection soient en place, le volume même des alertes, exacerbé par les attaques basées sur l'IA, signifie que des menaces réelles sont négligées. Cela conduit à une situation où un compromis n'est détecté qu'après qu'il a considérablement progressé, souvent des jours après l'entrée initiale, lorsque le potentiel de dommages est bien plus grand.

Une liste de contrôle défensive pratique

Pour contrer cette menace évolutive, les CISO et les ingénieurs en sécurité doivent réévaluer leur posture défensive. Une approche proactive axée sur la réduction du bruit et l'amélioration de la clarté du signal est essentielle :

• Mettre en œuvre des mécanismes robustes de corrélation et de priorisation des alertes pour réduire la charge de travail des analystes.
• Utiliser les flux de renseignements sur les menaces pour contextualiser les alertes et identifier les tactiques, techniques et procédures (TTP) des attaquants connus.
• Examiner et affiner régulièrement les règles de détection pour minimiser les faux positifs et élever les alertes critiques.
• Effectuer des exercices périodiques de réponse aux incidents pour améliorer l'efficacité de l'équipe dans des situations de haute pression.
• S'assurer que les fournisseurs MDR détaillent leurs méthodologies de priorisation des alertes et leurs chemins d'escalade.
• Investir dans des analyses comportementales avancées pour détecter les anomalies qui pourraient contourner les détections basées sur des signatures.
• Automatiser les tâches de tri des alertes banales lorsque cela est possible pour libérer le temps des analystes pour des investigations complexes.

Comment les tests offensifs modernes auraient détecté cela

Les méthodes de test offensif modernes apparaissent comme des compléments cruciaux aux stratégies défensives traditionnelles, en particulier contre les attaques accélérées par l'IA. Ces approches impliquent souvent la simulation continue de scénarios d'attaque réels, y compris ceux exploitant l'IA, contre l'environnement réel d'une organisation. En lançant de manière autonome des techniques d'attaque simulées, ces systèmes peuvent identifier les lacunes dans les capacités de détection et de réponse avant qu'un véritable attaquant ne les exploite. Cette validation proactive garantit que les alertes sont correctement générées, priorisées et traitées, abordant directement la fatigue des alertes et les schémas d'alertes manquées qui peuvent affecter les opérations de sécurité. Elle fournit une évaluation objective et continue de l'efficacité réelle des mesures de sécurité ou si leurs alertes sont perdues.

Ce qu'il faut surveiller ensuite

L'industrie de la cybersécurité doit se préparer à une escalade encore plus grande de la sophistication et du volume des attaques basées sur l'IA. Le marché des services de détection et de réponse gérés (MDR) connaît une croissance significative, ce qui indique une dépendance croissante à l'égard de ces services. Cependant, cette croissance doit s'accompagner d'innovations qui s'attaquent directement au problème de la fatigue des alertes.

Attendez-vous à une concentration continue sur la corrélation des alertes alimentée par l'IA, les capacités de réponse autonomes et une modélisation des menaces plus sophistiquée au sein des offres MDR. La capacité à filtrer efficacement le bruit et à prioriser les menaces réelles différenciera les principaux fournisseurs MDR. En outre, l'intégration de tests offensifs continus en tant que pratique standard deviendra cruciale pour valider l'efficacité de ces services en temps réel, garantissant que la tour de guet assure réellement sa garde.