Sesame IT enrichit la NDR à grand renfort de Threat Intelligence

Jizô, un NDR piloté par le risque

Pour l’éditeur, il faut adopter une approche opérationnelle qui vise à couvrir l’entreprise contre les risques qui sont réellement critiques pour elle, plutôt que de tenter de générer des alertes tous azimuts pour toutes les menaces possibles. La vocation de Jizô est de se livrer à une détection guidée par les éléments critiques identifiés par l’analyse de risque ou identifiés lors de la mise en place de la solution.

« Nous travaillons avec le client pour évaluer son écosystème, lui poser quelques questions afin de lui présenter ce que l’on connaît de lui en matière de menace, des acteurs qui sont particulièrement actifs dans son secteur, son métier, sa marque, ou à des individus au sein de son organisation. On définit avec le client ce qui doit être surveillé en priorité et quelles sont les ressources les plus critiques pour lui ».

« Tout détecter n’a aucun sens et plus personne ne veut suivre cette voie ».

L’éditeur a implémenté cette démarche dans son logiciel Jizô avec la capacité de créer des « use case ». Il s’agit des scénarios de détection qui reposent sur cette analyse de la menace.

Pour délivrer ce service, la start-up a constitué une équipe de renseignement sur les menaces, la fameuse Threat Intelligence, en interne. Cette équipe produit quotidiennement du renseignement qui est transformé en scénarios de détection poussés ensuite chez les clients.

En outre, une entreprise peut demander à l’équipe de se focaliser sur des menaces très spécifiques à son métier et disposer de scénarios de détection sur mesure.

« Nos clients comprennent aujourd’hui tout l’intérêt de cette approche », affirme Antonin Hily. « L’un d’eux, à qui nous publions de nouvelles données toutes les 36 heures, a récupéré un use case lié à un acteur iranien. Nous lui avons poussé les prémices de la détection et cela a immédiatement déclenché l’alerte dans son système d’information. Il a pris conscience de ne pas négliger la contextualisation de la menace, car dans une approche plus traditionnelle personne n’aurait prêté attention aux signes précurseurs de l’attaque. L’entreprise a immédiatement pu réagir. Nos clients sont de plus en plus demandeurs pour que nous fassions pour eux cette analyse ».

Pour avoir fait l’essentiel de sa carrière chez des prestataires en cybersécurité, Antonin Hily estime que les MSSP doivent à leur tour adopter cette approche dirigée par le risque et transformer le renseignement sur la menace en une commodité.

La Threat Intelligence, une composante clef du NDR Jizô

Pour Antonin Hily, le métier du renseignement ne consiste pas seulement à glaner des indicateurs de compromission sur Internet et les mettre à disposition via un outil. Il s’agit de collecter, mais surtout de traiter et d’enrichir le renseignement pour lui donner un poids. « Ce travail de vérification et d’enrichissement est nécessaire ; or nous avions besoin d’un outil qui soit capable de supporter ce mode de fonctionnement ».

Alors qu’il existe de nombreuses plateformes de Threat Intelligence sur le marché, Sesame IT s’est tourné vers l’Américain Threat Quotient : « ThreatQ est la plateforme qui nous permet de travailler comme nous l’entendons », argumente Antonin Hily.

Antonin Hily, directeur
des opérations, Sesame IT.

« Ceux-ci ont une approche totalement disruptive sur le marché et j’ai tout de suite vu l’importance que cela pouvait prendre dans une équipe opérationnelle. J’ai déjà longuement utilisé ThreatQ. Lorsque nous avons monté l’équipe de Threat Intelligence de Sesame IT, nous avions besoin d’un outil qui nous permette de travailler comme nous l’entendions et c’est ce que nous apporte Threat Quotient ».

L’éditeur français a fait le choix de travailler avec le Data Model de renseignement Diamond qui est certainement le plus complexe, mais sans doute le plus performant, estime Antonin Hily : « ce modèle nous garantit que l’information que nous utilisons est à un bon niveau de pertinence et de véracité pour pouvoir être exploitée. Grâce à ThreatQ, on peut modéliser une multitude de tâches d’enrichissement, de croisement de données, de scoring, ce que ne permettent pas les autres plateformes ».

Cap sur l’ouverture aux autres fournisseurs de sécurité

Sesame IT n’est pas un revendeur de renseignement et ne souhaite pas se positionner en tant que tel. Ce rapprochement est aussi une opportunité pour la start-up d’intégrer la marketplace de Threat Quotient, ce qui ne peut qu’accroître la visibilité de l’éditeur à l’international.

Les clients de la plateforme de Threat Intelligence bénéficieront de l’intégration entre les deux solutions. Sesame IT poursuit en cela une stratégie d’ouverture envers les autres acteurs de la cybersécurité. L’éditeur a déjà dévoilé son interopérabilité avec la gamme de firewalls Stormshield Network Security ou encore le logiciel de détection automatisée des fichiers malveillants QFlow de Quarkslab.

Outre le développement de Jizô et de Hoshi, son service de Threat Intelligence dédié à Jizô, l’équipe de développeurs de Sesame IT travaille en parallèle sur un produit de Threat Deception baptisé, Loki. « L’idée est de créer au sein de l’entreprise un “Shadow IT” pour récupérer des données et alimenter le NDR », résume Antonin Hily.

Ce projet, lauréat du Grand Défi Cyber en 2021, a déjà remporté le challenge cyberdéfense « Deceptive Security » de la COMCYBER et de la DGA. La solution est en cours d’industrialisation et sera lancée sur le marché en 2023.