![\"R\u00e9sultats](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2023\/09\/word-image-304515-1.png\")
<\/span><\/div>Dans un secteur aussi mouvant que celui de la cybers\u00e9curit\u00e9, il devient absolument vital de devancer des adversaires qui redoublent d\u2019inventivit\u00e9 pour contourner les d\u00e9fenses. C\u2019est un jeu extr\u00eamement risqu\u00e9 dont les r\u00e8gles changent en permanence et dont les cons\u00e9quences, pour les perdants, peuvent \u00eatre d\u00e9vastatrices.<\/p>\n
Pour d\u00e9ployer des cyberd\u00e9fenses efficaces et y voir plus clair dans la palette des solutions disponibles, MITRE\u00a0Engenuity a mis au point son programme d\u2019\u00e9valuations ATT&CK. Ces tests grandeur nature constituent une ressource indispensable pour les RSSI, les professionnels de la s\u00e9curit\u00e9 et tout autre acteur \u0153uvrant pour la protection des assets num\u00e9riques d\u2019une entreprise. Elles \u00e9tablissent un point de r\u00e9f\u00e9rence indiscutable sur la performance des solutions de s\u00e9curit\u00e9 des terminaux face \u00e0 des cybermalfaiteurs disposant de tr\u00e8s gros moyens techniques, humains et financiers.<\/p>\n
Mais en quoi consistent les \u00e9valuations MITRE\u00a0Engenuity\u00a0ATT&CK et pourquoi leurs r\u00e9sultats ont-ils une telle importance\u00a0? Men\u00e9e une fois par an, cette \u00e9valuation \u00e9mule, c\u2019est-\u00e0-dire reproduit \u00e0 l\u2019identique, les modes op\u00e9ratoires des groupes d\u2019attaque les plus actifs et les plus en vue actuellement. L\u2019\u00e9quipe Red Team de MITRE\u00a0Engenuity invite les fournisseurs de solutions de cybers\u00e9curit\u00e9 \u00e0 se mesurer \u00e0 des attaques minutieusement orchestr\u00e9es (dans le cadre d\u2019un sc\u00e9nario de d\u00e9tection d\u2019abord, puis de pr\u00e9vention ensuite). L\u2019objectif\u00a0? D\u00e9terminer leur efficacit\u00e9 dans trois domaines cl\u00e9s\u00a0:<\/p>\n
- \n
- Visibilit\u00e9<\/strong>\u00a0: quelles actions la solution permet-elle de voir\u00a0?<\/li>\n
- D\u00e9tection<\/strong>\u00a0: quelles actions la solution identifie-t-elle correctement comme malveillantes\u00a0?<\/li>\n
- Protection<\/strong>\u00a0: quelles actions malveillantes la solution permet-elle de pr\u00e9venir\u00a0?<\/li>\n<\/ol>\n
Chaque ann\u00e9e, un nombre impressionnant de fournisseurs (29 en 2023) participe \u00e0 ces \u00e9valuations, preuve s\u2019il en faut de leur importance et des efforts consid\u00e9rables que MITRE\u00a0Engenuity d\u00e9ploie pour proposer des \u00e9preuves toujours plus compl\u00e8tes et exigeantes.<\/p>\n
<\/a>5e\u00a0\u00e9dition (Turla)<\/h2>\n
Cette ann\u00e9e marque la cinqui\u00e8me \u00e9dition de cette \u00e9valuation lors de laquelle la Red Team de MITRE\u00a0Engenuity a entrepris de reproduire fid\u00e8lement les techniques de\u00a0Turla<\/a>, un groupe de cybercriminels russes\u00a0surveill\u00e9 de pr\u00e8s par nos chercheurs d\u2019Unit\u00a042<\/a>\u00a0et qui se distingue par ses modes op\u00e9ratoires et ses moyens financiers particuli\u00e8rement d\u00e9velopp\u00e9s. \u00c0 ce jour, Turla est l\u2019auteur de compromissions av\u00e9r\u00e9es dans plus de 45\u00a0pays. Administrations gouvernementales, groupes militaro-industriels, missions diplomatiques, instituts de recherche, m\u00e9dias\u2026 Turla cible des entit\u00e9s \u00e9minemment strat\u00e9giques. Parmi ses m\u00e9thodes et outils tristement c\u00e9l\u00e8bres pour l\u2019exfiltration furtive de donn\u00e9es\u00a0: des attaques par point d\u2019eau (watering hole) de sites Internet gouvernementaux, des rootkits personnalis\u00e9s, des infrastructures r\u00e9seau\u00a0CnC \u00e9labor\u00e9es et des techniques de leurre. Selon les retours d\u2019exp\u00e9rience des participants \u00e0 l\u2019\u00e9valuation de cette ann\u00e9e, MITRE\u00a0Engenuity a clairement \u00e9lev\u00e9 la barre en termes de sophistication des attaques reproduites.<\/p>\n
Pour y faire face, l\u2019\u00e9quipe Blue Team de Palo\u00a0Alto\u00a0Networks a d\u00e9ploy\u00e9 Cortex\u00a0XDR\u00a0Pro pour les agents de terminaux sur les syst\u00e8mes Windows et Linux. Aucune autre solution n\u2019a \u00e9t\u00e9 utilis\u00e9e et Cortex\u00a0XDR a \u00e9t\u00e9 configur\u00e9 selon les param\u00e8tres par d\u00e9faut du produit, avec pour seule diff\u00e9rence la possibilit\u00e9 de mettre en quarantaine les fichiers malveillants et, pour Linux, la possibilit\u00e9 de traiter le grayware comme du malware.<\/p>\n
<\/a>Principaux crit\u00e8res d\u2019\u00e9valuation et m\u00e9triques<\/h2>\n
L\u2019\u00e9dition de cette ann\u00e9e s\u2019est d\u2019abord divis\u00e9e en deux sc\u00e9narios de d\u00e9tection uniquement, appel\u00e9s Carbon et Snake et correspondant \u00e0 des outils notoirement cr\u00e9\u00e9s et utilis\u00e9s par Turla. Le sc\u00e9nario de protection s\u2019est d\u00e9roul\u00e9 dans un second temps, mettant en miroir les techniques des tests de d\u00e9tection, avec cependant suffisamment d\u2019entropie pour ne pas para\u00eetre identique aux \u00e9preuves de d\u00e9tection. Chacun des sc\u00e9narios de d\u00e9tection comprenait 10\u00a0\u00e9tapes, elles-m\u00eames subdivis\u00e9es en de multiples sous-\u00e9tapes correspondant \u00e0 des techniques r\u00e9elles r\u00e9pertori\u00e9es dans le framework MITRE\u00a0ATT&CK. En tout, chaque fournisseur avait la possibilit\u00e9 de d\u00e9tecter 143\u00a0sous-\u00e9tapes. Le travail de l\u2019\u00e9quipe MITRE\u00a0Engenuity consistait \u00e0 compter le nombre de sous-\u00e9tapes d\u00e9tect\u00e9es par chaque solution.<\/p>\n
Chacune de ces d\u00e9tections a ensuite \u00e9t\u00e9 \u00e9valu\u00e9e au regard de leur qualit\u00e9, puis r\u00e9pertori\u00e9e dans l\u2019une des cat\u00e9gories ci-dessous.<\/p>\n
Cat\u00e9gories de d\u00e9tections de MITRE\u00a0Engenuity\u00a0:<\/p>\n
- \n
- Sans objet (S.O.)<\/strong>\u00a0: le fournisseur n\u2019a aucune visibilit\u00e9 sur le syst\u00e8me test\u00e9 (c\u2019est notamment le cas des fournisseurs n\u2019ayant pas particip\u00e9 \u00e0 l\u2019\u00e9valuation sous Linux)<\/li>\n
- Aucune<\/strong>\u00a0: le fournisseur n\u2019a rien d\u00e9tect\u00e9 (aucune t\u00e9l\u00e9m\u00e9trie n\u2019est associ\u00e9e \u00e0 l\u2019activit\u00e9 malveillante)<\/li>\n
- T\u00e9l\u00e9m\u00e9trique<\/strong>\u00a0: donn\u00e9es faiblement trait\u00e9es recueillies par la solution de s\u00e9curit\u00e9, indiquant la survenance d\u2019un ou plusieurs \u00e9v\u00e8nements (les d\u00e9tections de ce type renvoient g\u00e9n\u00e9ralement \u00e0 une journalisation basique des activit\u00e9s)<\/li>\n
- G\u00e9n\u00e9rale<\/strong>\u00a0: l\u2019\u00e9v\u00e8nement anormal a \u00e9t\u00e9 d\u00e9tect\u00e9, mais aucune tactique ATT&CK (ou de nature \u00e9quivalente) n\u2019a \u00e9t\u00e9 sp\u00e9cifi\u00e9e (dans ce type de d\u00e9tection, l\u2019analyste de s\u00e9curit\u00e9 doit investiguer et d\u00e9terminer lui-m\u00eame quelle action a \u00e9t\u00e9 entreprise et \u00e0 quelles fins)<\/li>\n
- Tactique<\/strong>\u00a0: une tactique ATT&CK (ou de nature \u00e9quivalente) a \u00e9t\u00e9 sp\u00e9cifi\u00e9e (dans ce type de d\u00e9tection, le motif de l\u2019action est automatiquement identifi\u00e9, mais l\u2019analyste de s\u00e9curit\u00e9 doit encore d\u00e9terminer lui-m\u00eame la nature de l\u2019action ou du mode op\u00e9ratoire)<\/li>\n
- Technique<\/strong>\u00a0: une technique ATT&CK (ou de nature \u00e9quivalente) li\u00e9e \u00e0 l\u2019\u00e9v\u00e8nement anormal a \u00e9t\u00e9 sp\u00e9cifi\u00e9e (les d\u00e9tections de cette cat\u00e9gorie fournissent le contexte et les informations requises pour comprendre pourquoi un adversaire a men\u00e9 une action donn\u00e9e, et la nature pr\u00e9cise de l\u2019action entreprise pour atteindre son objectif)<\/li>\n<\/ul>\n
![\"Graphique]()
<\/span><\/div><\/p>\nMITRE\u00a0Engenuity op\u00e8re une distinction entre deux grands types de d\u00e9tection\u00a0: une couverture t\u00e9l\u00e9m\u00e9trique et une couverture analytique. La couverture t\u00e9l\u00e9m\u00e9trique renvoie au nombre de sous-\u00e9tapes pour lesquelles une solution parvient \u00e0 une d\u00e9tection t\u00e9l\u00e9m\u00e9trique, ce niveau de d\u00e9tection \u00e9tant sa capacit\u00e9 maximale. La couverture analytique se rapporte au nombre de sous-\u00e9tapes faisant l\u2019objet d\u2019une d\u00e9tection g\u00e9n\u00e9rale, de la tactique ou de la technique employ\u00e9e.<\/p>\n
Notons \u00e9galement que toutes les d\u00e9tections peuvent faire l\u2019objet d\u2019une ou deux r\u00e9serves\u00a0:<\/p>\n
- \n
- Changement de configuration<\/strong>\u00a0\u2013 La r\u00e9serve \u00ab\u00a0changement de configuration\u00a0\u00bb est \u00e9mise lorsque la d\u00e9tection a lieu au bout du quatri\u00e8me jour de l\u2019\u00e9valuation, \u00e9tape \u00e0 laquelle les fournisseurs peuvent effectuer des r\u00e9glages pour d\u00e9tecter une activit\u00e9 malveillante qu\u2019ils auraient manqu\u00e9e lors du test initial.<\/li>\n
- D\u00e9tection retard\u00e9e<\/strong>\u00a0\u2013 La r\u00e9serve \u00ab\u00a0d\u00e9tection retard\u00e9e\u00a0\u00bb fait r\u00e9f\u00e9rence \u00e0 une d\u00e9tection qui a lieu au-del\u00e0 des temps impartis. Autrement dit, un laps de temps important s\u2019\u00e9coule entre l\u2019action en elle-m\u00eame et son apparition sur la console de la solution de s\u00e9curit\u00e9.<\/li>\n<\/ul>\n
C\u00f4t\u00e9 protection, le sc\u00e9nario est compos\u00e9 de 129\u00a0sous-\u00e9tapes organis\u00e9es en 13\u00a0\u00e9tapes majeures. Chacune de ces sous-\u00e9tapes est consid\u00e9r\u00e9e comme bloqu\u00e9e ou non bloqu\u00e9e, et est r\u00e9pertori\u00e9e selon l\u2019un des crit\u00e8res ci-dessous\u00a0:<\/p>\n
- \n
- Prot\u00e9g\u00e9<\/strong>\u00a0: l\u2019activit\u00e9 malveillante a \u00e9t\u00e9 bloqu\u00e9e<\/li>\n
- Sans objet (S.O.) (Prot\u00e9g\u00e9)<\/strong>\u00a0: ce crit\u00e8re est rempli lorsqu\u2019une sous-\u00e9tape pr\u00e9c\u00e9dente a \u00e9t\u00e9 bloqu\u00e9e et que, par cons\u00e9quent, les \u00e9tapes suivantes n\u2019ont pas pu \u00eatre ex\u00e9cut\u00e9es<\/li>\n
- Aucune protection<\/strong>\u00a0: l\u2019activit\u00e9 malveillante n\u2019a pas \u00e9t\u00e9 bloqu\u00e9e<\/li>\n<\/ul>\n
<\/a>Cortex\u00a0XDR\u00a0: le verdict<\/h2>\n
Ces \u00e9valuations ont pour objectif de d\u00e9tailler les performances des fournisseurs \u00e0 trois niveaux\u00a0:<\/p>\n
- \n
- Visibilit\u00e9<\/strong>\u00a0: quelles actions la solution permet-elle de voir\u00a0?<\/li>\n
- D\u00e9tection<\/strong>\u00a0: quelles actions la solution identifie-t-elle correctement comme malveillantes\u00a0?<\/li>\n
- Protection<\/strong>\u00a0: quelles actions malveillantes la solution permet-elle de pr\u00e9venir\u00a0?<\/li>\n<\/ol>\n
Cortex\u00a0XDR s\u2019est impos\u00e9e comme la seule solution \u00e0 afficher un 100\u00a0% en\u00a0protection<\/strong>, un 100\u00a0% en\u00a0visibilit\u00e9<\/strong>\u00a0et un 100\u00a0% en\u00a0couverture analytique<\/strong>\u00a0(d\u00e9tection), sans aucun retard ni changement de configuration.<\/p>\n
Et ce n\u2019est pas tout\u00a0: la qualit\u00e9 de nos d\u00e9tections est in\u00e9gal\u00e9e puisque 142\u00a0d\u00e9tections sur 143 sont class\u00e9es au niveau technique,\u00a0soit le plus haut niveau de d\u00e9tection possible<\/em>. La d\u00e9tection manquante \u00e0 ce total s\u2019est vue attribuer le niveau tactique. Chacune des 129\u00a0sous-\u00e9tapes du sc\u00e9nario de protection a \u00e9t\u00e9 bloqu\u00e9e. Le tout, sans aucun changement de configuration ni retard de d\u00e9tection. D\u2019ailleurs, si l\u2019on exclut les d\u00e9tections qui r\u00e9sultent d\u2019un changement de configuration, Cortex\u00a0XDR est le seul fournisseur \u00e0 afficher z\u00e9ro d\u00e9tection manqu\u00e9e (cat\u00e9gorie \u00ab\u00a0Aucune\u00a0\u00bb). En bref, Cortex\u00a0XDR est la\u00a0seule solution \u00e0 d\u00e9montrer 100\u00a0% de visibilit\u00e9.<\/em><\/p>\n
![\"Capture]()
<\/span><\/div>Tableau de bord Palo\u00a0Alto\u00a0Networks des \u00e9valuations MITRE\u00a0Engenuity\u00a0ATT&CK<\/a>\u00a0Capture d\u2019\u00e9cran des r\u00e9sultats de l\u2019\u00e9valuation Turla\u00a02023<\/figcaption><\/figure>\n Les r\u00e9sultats de l\u2019\u00e9valuation de cette ann\u00e9e refl\u00e8tent les intenses efforts que Palo\u00a0Alto\u00a0Networks continue de fournir en mati\u00e8re de recherche sur les adversaires et de conception de solutions de s\u00e9curit\u00e9 pour les terminaux. Ces connaissances et savoir-faire, nous les mettons \u00e0 la disposition de nos clients pour les aider \u00e0 mieux se prot\u00e9ger dans un monde cyber de plus en plus hostile.<\/p>\n
<\/a>Remarque \u00e0 propos des scores de 100\u00a0%<\/h2>\n
Si vous suivez les \u00e9valuations ATT&CK depuis quelques ann\u00e9es, vous pensez s\u00fbrement que nos r\u00e9sultats n\u2019ont rien d\u2019extraordinaire et que nous ne sommes pas les seuls \u00e0 d\u00e9crocher un 100\u00a0%. Mais attention, lorsque d\u2019autres fournisseurs revendiquent un score de 100\u00a0% dans l\u2019\u00e9valuation\u00a02023, cela signifie qu\u2019ils ont satisfait \u00e0 au moins une d\u00e9tection et\/ou pr\u00e9vention dans toutes les \u00e9tapes majeures. Pour rappel, Cortex est la seule solution \u00e0 avoir d\u00e9tect\u00e9 chacune des actions malveillantes men\u00e9es, \u00e0 savoir chacune des sous-\u00e9tapes.<\/p>\n
100\u00a0% de d\u00e9tection et de pr\u00e9vention devrait \u00eatre le minimum syndical. Comme l\u2019expliquait Allie\u00a0Mellen de Forrester \u00e0 l\u2019issue de l\u2019\u00e9valuation\u00a02022, \u00ab\u00a0la capacit\u00e9 \u00e0 d\u00e9tecter une attaque inspir\u00e9e des m\u00e9thodes d\u2019un adversaire connu devrait \u00eatre le seuil de base des produits de s\u00e9curit\u00e9, et non le plafond.\u00a0\u00bb<\/a>1\u00a0Nous sommes enti\u00e8rement d\u2019accord et estimons que Cortex\u00a0XDR fait figure de r\u00e9f\u00e9rence \u00e0 cet \u00e9gard.<\/p>\n
En contrepoint, l\u2019analyste de Forrester notait \u00e9galement qu\u2019un score de 100\u00a0% en d\u00e9tection n\u2019avait pas que des avantages. Pour elle, les solutions qui \u00ab\u00a0d\u00e9tectent la moindre technique peuvent devenir envahissantes, g\u00e9n\u00e9rer un grand nombre de faux positifs et d\u00e9clencher un volume excessif d\u2019alertes.<\/a>\u00a0\u00bb C\u2019est aussi notre point de vue et c\u2019est pourquoi nous utilisons le machine learning pour distinguer clairement les activit\u00e9s normales des actes potentiellement malveillants. Dans le cas de Cortex\u00a0XDR, nous compl\u00e9tons les donn\u00e9es t\u00e9l\u00e9m\u00e9triques par de multiples autres sources de data, offrant ainsi \u00e0 nos clients tout le contexte n\u00e9cessaire pour guider leurs investigations.<\/p>\n
<\/a>\u00c9valuations\u00a0ATT&CK\u00a0: d\u00e9crypter les r\u00e9sultats<\/h2>\n
Nous saluons le travail de l\u2019\u00e9quipe MITRE\u00a0Engenuity dont l\u2019\u00e9valuation a \u00e9t\u00e9 beaucoup plus ardue que ses \u00e9ditions pr\u00e9c\u00e9dentes. Par ailleurs, nous sommes ravis des am\u00e9liorations apport\u00e9es pour aider les professionnels de la cybers\u00e9curit\u00e9 \u00e0 prendre les bonnes d\u00e9cisions. Disponibles sur le site de MITRE\u00a0Engenuity, les r\u00e9sultats de l\u2019\u00e9valuation ATT&CK vous permettent d\u00e9sormais de comparer\u00a0les r\u00e9sultats de trois fournisseurs<\/a>. Vous pouvez choisir chacun des trois sc\u00e9narios d\u2019\u00e9valuation et jusqu\u2019\u00e0 trois fournisseurs en m\u00eame temps. Par d\u00e9faut, les r\u00e9sultats incluent les d\u00e9tections retard\u00e9es et celles obtenues apr\u00e8s un changement de configuration. Mais vous pouvez \u00e9galement voir les r\u00e9sultats des d\u00e9tections effectu\u00e9es sans ces deux r\u00e9serves.<\/p>\n
![\"\u00c9valuation]()
<\/span><\/div>R\u00e9sultats du sc\u00e9nario de protection extraits du site Internet de l\u2019\u00e9valuation MITRE\u00a0Engenuity\u00a0ATT&CK<\/a> Seul Cortex\u00a0XDR d\u00e9montre 100\u00a0% de pr\u00e9vention.<\/figcaption><\/figure>\n Depuis plusieurs ann\u00e9es, les lecteurs des \u00e9valuations ATT&CK d\u00e9ploraient un certain manque de lisibilit\u00e9 des r\u00e9sultats, en l\u2019absence d\u2019outils de visualisation des donn\u00e9es capables de livrer une vue globale des r\u00e9sultats pour l\u2019ensemble des participants. Pour y rem\u00e9dier, nous avons cr\u00e9\u00e9 notre propre outil pour vous aider \u00e0 parcourir les r\u00e9sultats de cette ann\u00e9e et des ann\u00e9es pr\u00e9c\u00e9dentes. Gr\u00e2ce \u00e0 ce tableau de bord, vous pouvez s\u00e9lectionner les fournisseurs et les attaquants dont les m\u00e9thodes ont \u00e9t\u00e9 \u00e9mul\u00e9es. Tous les tableaux obtenus sont cr\u00e9\u00e9s directement \u00e0 partir des fichiers JSON fournis par MITRE\u00a0Engenuity pour chaque fournisseur. Alors \u00e0 vous de juger\u00a0: explorez les\u00a0r\u00e9sultats des \u00e9valuations ATT&CK<\/a>\u00a0pour prendre vos d\u00e9cisions sur la base de donn\u00e9es fiables et objectives.<\/p>\n
- D\u00e9tection<\/strong>\u00a0: quelles actions la solution identifie-t-elle correctement comme malveillantes\u00a0?<\/li>\n
- Sans objet (S.O.) (Prot\u00e9g\u00e9)<\/strong>\u00a0: ce crit\u00e8re est rempli lorsqu\u2019une sous-\u00e9tape pr\u00e9c\u00e9dente a \u00e9t\u00e9 bloqu\u00e9e et que, par cons\u00e9quent, les \u00e9tapes suivantes n\u2019ont pas pu \u00eatre ex\u00e9cut\u00e9es<\/li>\n
- D\u00e9tection retard\u00e9e<\/strong>\u00a0\u2013 La r\u00e9serve \u00ab\u00a0d\u00e9tection retard\u00e9e\u00a0\u00bb fait r\u00e9f\u00e9rence \u00e0 une d\u00e9tection qui a lieu au-del\u00e0 des temps impartis. Autrement dit, un laps de temps important s\u2019\u00e9coule entre l\u2019action en elle-m\u00eame et son apparition sur la console de la solution de s\u00e9curit\u00e9.<\/li>\n<\/ul>\n
- Aucune<\/strong>\u00a0: le fournisseur n\u2019a rien d\u00e9tect\u00e9 (aucune t\u00e9l\u00e9m\u00e9trie n\u2019est associ\u00e9e \u00e0 l\u2019activit\u00e9 malveillante)<\/li>\n
- D\u00e9tection<\/strong>\u00a0: quelles actions la solution identifie-t-elle correctement comme malveillantes\u00a0?<\/li>\n
![\"Graphique](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2023\/09\/word-image-304515-2.png\")
<\/span><\/div><\/p>\n![\"Capture](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2023\/09\/image-15.png\")
<\/span><\/div>![\"\u00c9valuation](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2023\/09\/word-image-304515-4.png\")
<\/span><\/div>![\"Graphique](\"https:\/\/www.paloaltonetworks.com\/blog\/wp-content\/uploads\/2023\/09\/word-image-304515-5.png\")
<\/span><\/div>