Détection et réponse à incidents : en route vers l’industrialisation

La fin de la seule prévention

Las, le fait est que beaucoup d’entreprises, en France (mais pas uniquement), semblent partir très loin. Et ce n’est pas hasard, ni un blâme : historiquement, la sécurité informatique s’est concentrée sur la prévention des incidents, à grands renforts de pare-feu et d’anti-virus. Même si le message est répété à l’envi, l’industrie de la sécurité informatique encourage à changer d’approche que depuis peu de temps : le temps est révolu où l’on pouvait s’imaginer que l’incident ne surviendrait pas ; il faut désormais accepter la nature faillible de ses défenses et s’engager résolument sur la voie de la détection et de la réponse aux incidents. Le message peut paraître simple, sinon simpliste, mais sa concrétisation l’est assurément bien moins.

Outils, processus… toute une organisation à inventer

Pour beaucoup d’entreprises, s’équiper de se doter de cette capacité de détection et de réponse aux incidents n’a rien de trivial. C’est même un important défi tant technique qu’organisationnel. La mise en place d’un centre opérationnel de sécurité (SOC) l’illustre d’ailleurs largement. Et ce n’est pas un hasard si les offres de SOC managés se sont récemment multipliées : il ne s’agit pas uniquement de répondre à une pénurie de compétences.

Et si les capacités de détection sont là, la réponse n’est pas plus triviale. Les erreurs à éviter sont nombreuses, avant l’incident, dans sa gestion, comme après. Surtout, avec les volumes d’alertes qui s’accroissent à mesure que les capacités de détection progressent et les biais psychologiques susceptibles d’affecter la réponse, il n’est guère surprenant que l’automatisation séduise de plus en plus.

Mais avant d’en arriver là, il convient d’examiner la manière dont s’articule la relation entre le SOC et les équipes de réponse à incident (CSIRT), sans oublier de se pencher sur leur trousse à outils.