Cessez de courir après les alertes. Commencez à bloquer les attaques.


Les attaquants échappent à la détection en menant des activités qui simulent un comportement normal et de confiance, leur permettant de rester indétectables tout en progressant dans l'environnement. Ils suivent généralement un schéma cohérent :

• Utilisez des identifiants valides pour accéder aux systèmes sans déclencher d'alertes  

• Utilisez des outils d'administration fiables et des utilitaires système intégrés (LOLBins)  

• Rester en dessous des limites de détection basées sur la signature et le seuil  

• S'intégrer progressivement au comportement normal des utilisateurs et du système  

Parmi les techniques couramment utilisées, on peut citer l'exploitation des ressources locales (LOLBins), le trafic de commande et de contrôle chiffré et l'exploitation progressive et discrète des identifiants. Comme les outils traditionnels génèrent des alertes isolées sans établir de lien entre les comportements, ces attaques passent souvent inaperçues en tant que campagne coordonnée.

Les équipes SOC sont submergées par le volume d'alertes, ce qui oblige les analystes à consacrer du temps à vérifier les fausses alertes au lieu de se concentrer sur les menaces réelles, ce qui, au final, accroît les risques pour l'organisation. Cela engendre un problème qui ne fait que s'aggraver :

• Les équipes reçoivent chaque jour des centaines de milliers d'alertes  

• La plupart des alertes manquent de contexte et nécessitent un triage manuel  

• Les analystes se concentrent sur des activités inoffensives ou de faible priorité plutôt que sur de véritables attaques  

• Les menaces réelles restent cachées plus longtemps, ce qui allonge la durée de présence

Une détection et une réaction plus rapides réduisent directement la durée de présence de l'attaquant, limitant ainsi l'ampleur de la propagation de l'attaque et l'étendue des dégâts qu'elle peut causer. Lorsque les équipes de sécurité sont en mesure d'identifier rapidement les menaces réelles et d'y faire face, elles peuvent contenir les attaques avant qu'elles ne s'aggravent :

• Réduire le délai moyen de détection et d'intervention, afin de limiter l'ampleur des dégâts  

• Contenir les menaces avant le déploiement d'un ransomware ou l'exfiltration de données  

• Éviter toute perturbation des systèmes critiques et des opérations commerciales  

• Améliorer l'efficacité du SOC en se concentrant sur les menaces hautement probables  

Les organisations utilisant Vectra AI ont démontré un impact mesurable, notamment Globe Telecom qui a réduit son temps de réponse de 16 heures à 3,5 heures, et Verifone qui a ramené 438 000 événements à seulement 6 incidents prioritaires.