Ces entreprises jouant l’automatisation et l’orchestration pour combler leurs lacunes de sécurité

Automatiser des tâches de sécurité

Bien que l'automatisation présente une énorme valeur ajoutée pour les responsables de la sécurité – elle permet de gagner du temps en automatisant des processus répétitifs et manuels –, elle n’est pas forcément compliquée, estime Scott King, directeur principal des services de conseil stratégique chez Rapid7.

L'automatisation des tâches de sécurité peut être aussi simple que l'élaboration d'un script personnalisé permettant de recueillir régulièrement des informations, afin qu'un analyste puisse avoir plus de temps pour résoudre ou comprendre une alerte particulière, relevait ainsi Scott King lors d’un webinaire de l’Issa.

Le SOAR peut apporter l'échelle d'automatisation nécessaire au triage, à la détection sur plusieurs niveaux et à la réduction des temps de réponse.

Pour lui, la mise en œuvre des outils SOAR doit être l’occasion, pour les responsables de la sécurité, d’évaluer les compétences et les technologies en place, ainsi que les principaux défis auxquels les équipes de sécurité sont confrontées.

Michael Wylie, directeur des services de cybersécurité chez Richey May Technology Solutions, conseille pour sa part de trouver des moyens d'enrichir ses données afin de prendre de meilleures décisions, de définir leurs processus et de choisir ceux qui peuvent être automatisés. La mise en œuvre d'outils de SOAR pour examiner les courriels d'hameçonnage, par exemple, peut aider à répondre à ces courriels plus rapidement : « la capacité à interpréter ces courriels.... à répondre à certains types d'actions ou de demandes adressées au SOC, etc. », souligne S. King.

Automatiser l’IAM

La gestion des identités et des accès (IAM) est un autre domaine qui est mûr pour l'automatisation, selon Jason Winder, associé directeur chez Aerstone Labs : « lorsque j’interviens dans de très grandes entreprises, même sophistiquées, je vois typiquement un ensemble de scripts très byzantins qui exigent souvent beaucoup de traitement manuel ». Et il y a une bonne raison à cela : « nous observons beaucoup d'applications locales… dont beaucoup souffrent d’importantes lacunes, soit au niveau de la sécurité, soit au niveau du fonctionnel. Et même si un système de COTS [« commercial off-the-shelf »] a été acheté, il n'est souvent pas mis en œuvre aussi largement qu'il pourrait l'être et s’avère mal intégré avec le reste de l'entreprise et ses applications ».

Avant de choisir et de déployer un logiciel pour l'automatisation de l'IAM, pour Jason Winder, il est important de prendre en compte les trois éléments essentiels : les règles de fonctionnement de l'organisation, les communautés d'utilisateurs réelles et leurs cas d'utilisation pour l'authentification et l'autorisation, ainsi que les contraintes spécifiques aux différents systèmes d'entreprise. Ainsi, « la meilleure approche consiste à commencer par les applications qui perturbent le moins l'entreprise. Il faut essayer de planifier un plan de déploiement graduel et ciblé qui, en fin de compte, n'entraîne pas le blocage de l'entreprise, mais qui commence déjà à porter ses fruits à mesure que l’on avance ».

Défis associés à la mise en œuvre du SOAR

Augusto Barros souligne deux difficultés associées à la mise en œuvre d’un outil de SOAR : l'intégration des processus et des outils. Un outil de SOAR est essentiellement un outil d'automatisation des processus et sans processus en place, il n'y a rien à automatiser, relève-t-il. De nombreuses organisations qui ont des opérations de sécurité ad hoc sans processus établis pensent qu'elles peuvent éviter de régler ces problèmes en achetant des outils SOAR, ajoute-t-il.

Mais « la résolution de ces problèmes est une condition préalable. Si l’on ne sait pas comment l’on réagit aux incidents, on ne sait pas quels "playbooks" créer sur l'outil ou à quoi ils ressembleront. Un contenu prêt à l'emploi peut donner des idées, mais ce n'est pas quelque chose que l’on peut utiliser immédiatement ».

Et puis il faut connecter ses outils et services à l’outil de SOAR. La partie orchestration du SOAR implique de faire appel à de nombreuses technologies et services différents. Bien que les API puissent faciliter l'intégration, il n’en existe pas moins de réels défis : « tout d'abord, certaines intégrations pré-établiées peuvent ne pas fournir toutes les capacités souhaitées... et les APIs changent régulièrement, donc les intégrations fournies par l’éditeur de SOAR peuvent cesser de fonctionner après la mise à jour d'un outil ».

Dès lors, pour Augusto Barros, les organisations qui tirent le meilleur parti du déploiement d’un outil SOAR sont celles qui ont conscience de ces défis et conservent les ressources ayant les compétences nécessaires pour développer et maintenir les intégrations.

Investir dans l'automatisation de la sécurité semble être un jeu d'enfant pour la plupart des entreprises ; cependant, du point de vue d'un analyste, les flux de travail dérivés des technologies d'automatisation peuvent être considérés comme restrictifs, laissant peu de place à la réflexion créative. C'est ce qu'affirme Rebekah Wilke, directrice de la stratégie commerciale chez Swimlane : « suivre des workflows et des playbooks prédéfinis, a le potentiel d'écraser les curiosités poussant un analyste sur la voie de la notation d'un comportement anormal ou d’une menace avancée persistante, qui pourrait conduire à de gros gains pour l'équipe de sécurité ».