Pour gérer les risques dans un environnement en constante évolution, les équipes de sécurité ont besoin de réponses claires sur le comportement réel de leur environnement.
La plupart des équipes de sécurité disposent déjà d'une grande quantité de données. Tout ce dont elles ont besoin pour évaluer leur vulnérabilité s'y trouve probablement quelque part.
Les outils réseau, les fournisseurs d’identité, les plateformes d’ cloud , les pare-feu et les applications SaaS génèrent plus de données qu’une personne ne pourrait raisonnablement en lire. Obtenir ces données est la partie la plus facile, mais nous ne sommes pas dans « Matrix », à regarder les lignes défiler à l’infini…
Alors, comment transformer ces données en informations exploitables qu’une personne peut comprendre rapidement ? Comment transformer ces informations en décisions ? Et surtout, comment ces décisions se traduisent-elles par une amélioration mesurable du niveau de sécurité d’une organisation ?
Toutes les expositions ne doivent pas nécessairement donner lieu à une alerte
Dans le secteur de la sécurité, il existe une méthode courante pour exploiter les données : créer une alerte.
Cela fonctionne lorsqu'un événement est important, inhabituel et relève de la responsabilité d'une personne capable d'agir en conséquence. Cela fonctionne moins bien lorsque des milliers d'observations mettent en évidence un problème plus général lié à l'attitude.
Pensez à la segmentation du réseau. Si un hôte franchit une limite protégée une fois par semaine, un ticket peut s'avérer utile. Si cela se produit 10 000 fois par jour, 10 000 tickets ne rendent pas l'entreprise 10 000 fois plus sûre. Cela ne fait que créer du bruit.
L'équipe doit déterminer si la configuration de la périphérie présente des erreurs généralisées ou si seuls quelques systèmes se comportent de manière inattendue.
Une alerte vous signale qu'un événement s'est produit. Un tableau de bord vous aide à comprendre la nature et l'ampleur du problème.
Les êtres humains ne sont pas particulièrement doués pour analyser des millions de lignes de données, mais nous sommes très doués pour repérer des tendances. Mon collègue Erik Evangelista explore les fondements scientifiques de ce phénomène dans « La science derrière la visualisation des attaques modernes ».
Un tableau de bord efficace permet de mettre en évidence, en 10 secondes et sur une seule page, une défaillance généralisée des contrôles, quelques exceptions hautement prioritaires et des contrôles qui semblent fonctionner correctement. C’est là toute la différence entre le simple fait d’observer des événements isolés et la compréhension de l’état de la sécurité.
Commencez par une question plutôt que par une requête
L'intérêt d'un tableau de bord d'observabilité ne réside pas simplement dans le fait qu'il s'agisse d'un moyen supplémentaire d'afficher des données. Il réside dans la capacité à organiser ces données autour des questions qui comptent pour votre environnement :
- Quels sont les services d'IA autorisés et non autorisés qui sont utilisés ?
- Quels agents d'IA sont actifs, et qui ou quoi communique avec eux ?
- Les communications réelles sont-elles conformes à notre politique de segmentation ?
- Quels sont les systèmes qui nécessitent une attention particulière en vue de leur préparation à l'ère post-quantique ?
- L'activité autour des systèmes critiques a-t-elle évolué ?
En règle générale, pour répondre à une nouvelle question, il faut collecter des données, les envoyer vers un SIEM, les analyser, gérer les pipelines et rédiger une requête.
La bonne nouvelle, c'est que Vectra AI le fait déjà.
La plateforme « Vectra AI » rassemble des données relatives au réseau, à l’ cloud, à l’identité et aux menaces, et les enrichit d’un contexte de sécurité. Des tableaux de bord spécialement conçus aident les équipes à comprendre l’utilisation et la gouvernance de l’IA, l’IA fantôme, les agents IA, la cryptographie post-quantique, la segmentation du réseau et l’activité réseau.
Lorsque la question concerne spécifiquement l'organisation, les équipes peuvent utiliser l'agent « Vectra AI » pour créer un tableau de bord personnalisé, en partant d'une question plutôt que d'une requête vide.
Dans le cadre du processus global de gestion de l'exposition :
- La rubrique « Résultats d'exposition » indique les points à surveiller.
- L'inventaire des actifs indique où ils se trouvent.
- Les tableaux de bord d'observabilité permettent de visualiser le comportement de l'environnement et de déterminer si les risques évoluent.
Les tableaux de bord sont-ils la solution à tout ?
Vous vous dites sans doute que je ne jure plus que par les tableaux de bord. Il suffirait de regrouper toutes vos données de sécurité dans quelques graphiques pour voir votre niveau de sécurité s'améliorer. Absolument pas !
Vous avez sans doute déjà vu ce grand écran du SOC sur lequel s'affiche un globe terrestre, avec des lignes reliant les pays entre eux et suffisamment d'activité pour donner l'impression que la sécurité est bel et bien assurée.
Mais personne ne va lever les yeux et dire : « Tiens, mais qui parle au Chili ? »
Un tableau de bord doit répondre à la question « Et alors ? ». Qu'est-ce que l'utilisateur va analyser, modifier ou mesurer après l'avoir consulté ?
Il doit également rester précis. Les réseaux évoluent, les sources de données cessent de fournir des informations et les hypothèses deviennent obsolètes. Un tableau de bord obsolète peut continuer à paraître fiable bien après avoir cessé de refléter la réalité.
Et il faut qu’il y ait un responsable. Personne ne tire profit de 200 tableaux de bord portant des noms du type « Copie de Critical Insights — Version finale ».
Les tableaux de bord utiles sont caractérisés par une question, un public cible, un responsable et une action clairement définis. Ils doivent être mis à jour et supprimés lorsqu'ils ne remplissent plus leur fonction. Ma collègue Ada Tirelli approfondit ces pratiques dans un article complémentaire.
Transformer l’observabilité en réduction des risques d’exposition
Le simple fait qu'un tableau de bord existe ne suffit pas à réduire l'exposition.
Lorsque cela met en évidence un élément significatif, les équipes peuvent analyser l'activité sous-jacente, corriger une politique, modifier un contrôle architectural, mettre en place une détection plus précise ou évaluer si les mesures correctives ont porté leurs fruits.
Cela crée une boucle de rétroaction continue : observer ce qui se passe, comprendre ce que cela signifie, agir sur ce qui compte, vérifier que le risque a diminué.
Le but n'est pas de créer un énième tableau de bord. Il y a déjà tellement de fichus graphiques de nos jours.
L'objectif est de trouver un juste milieu entre des données brutes que personne ne peut réellement interpréter et un volume d'alertes que personne ne peut réellement assimiler.
Un bon tableau de bord permet de repérer des tendances, de saisir l'ampleur d'un problème et de concentrer les efforts là où ils auront le plus d'impact.