FireEye : une autre approche des menaces

Comprendre l'Évolution des Menaces Informatiques et les Limites des Défenses Traditionnelles

Évolution des Menaces Informatiques

Avec l'essor d'Internet et la multiplication des vecteurs de communication, les menaces informatiques ont évolué de manière significative. Les anciens malwares, conçus pour infecter un grand nombre d'utilisateurs et nuire de façon directe, ont laissé place à des attaques plus sophistiquées et ciblées. Aujourd'hui, les menaces informatiques modernes se caractérisent par plusieurs aspects clés :

• Coordonnées et Persistantes : Les menaces actuelles, telles que les APT (Advanced Persistent Threats), sont soigneusement orchestrées pour cibler des environnements spécifiques. Elles sont conçues pour s'adapter aux défenses en place, rester invisibles et persister sur le long terme. Ces attaques ont pour objectif principal l'extraction d'informations de valeur, comme la propriété intellectuelle, les secrets de défense nationale, ou les stratégies industrielles.
• Dynamiques et Polymorphiques : Les malwares modernes sont capables de se transformer pour éviter la détection par les systèmes de sécurité traditionnels. Cette capacité polymorphique leur permet de contourner les défenses en constante évolution, rendant leur identification plus complexe.
• Multi-vectorielles : Les nouvelles attaques utilisent divers vecteurs pour infecter les systèmes. Cela inclut les vulnérabilités dans les navigateurs, les plugins, les emails, les pièces jointes, et les terminaux mobiles. Cette approche multi-vectorielle augmente les chances de pénétration en exploitant plusieurs points d'entrée.
• Infection en Plusieurs Étapes : Les attaques modernes sont souvent séquencées en plusieurs phases. Par exemple, le code malicieux peut être récupéré et exécuté en plusieurs étapes, avec des communications souvent chiffrées pour masquer leur activité. Les flux de données nécessaires pour l'attaque peuvent être dissociés, compliquant ainsi la détection et l'analyse.

Limites des Défenses Traditionnelles

Les systèmes de défense traditionnels, tels que les IPS (Intrusion Prevention Systems), Firewalls, Next-Gen Firewalls, antivirus, et relais de messagerie, reposent principalement sur :

• Analyse de Signatures : Ces systèmes utilisent des signatures connues de malwares pour identifier les menaces. Bien que efficaces pour détecter les menaces déjà identifiées, ils sont moins performants face aux nouvelles attaques et aux variantes inconnues.
• Analyse Comportementale : Ils examinent également les comportements malveillants connus. Cependant, ces systèmes sont souvent confrontés à un taux élevé de faux positifs, ce qui complique la distinction entre les comportements légitimes et les attaques.
• Analyse Unidirectionnelle : Les flux de données sont souvent analysés uniquement dans un sens (entrant), ce qui limite la capacité des systèmes à détecter des menaces qui nécessitent une analyse bidirectionnelle pour une identification complète.

Ces méthodes présentent plusieurs limitations majeures :

• Incapacité à Détecter les Menaces Inconnues : Les systèmes basés sur des signatures sont incapables de détecter des attaques inconnues ou des menaces de type "zéro-day". Ces menaces exploitent des vulnérabilités non encore identifiées et ne sont pas couvertes par des signatures existantes.
• Difficulté à Gérer les Menaces Persistantes : Les menaces persistantes avancées, qui peuvent évoluer et se transformer, échappent souvent aux méthodes traditionnelles. Les malwares peuvent se modifier pour éviter la détection même après l'application de signatures de sécurité.
• Complexité dans l'Identification des Attaques : Avec des flux de données souvent analysés de manière unidirectionnelle, il devient difficile d'identifier les attaques qui se déroulent sur plusieurs phases ou qui utilisent des méthodes de communication chiffrées et dissociées.

Vers une Défense Plus Avancée

Pour répondre aux défis posés par ces nouvelles menaces, les organisations doivent adopter une approche de défense plus avancée et intégrée. Cela peut inclure des solutions telles que :

• Sandboxing : Exécuter les fichiers suspects dans un environnement isolé pour analyser leur comportement sans risquer d'infecter le système principal.
• Détection basée sur l'Analyse Comportementale et l'IA : Utiliser des technologies d'intelligence artificielle pour identifier des comportements anormaux et détecter les menaces inconnues.
• Surveillance Continue et Analyse Bidirectionnelle : Adopter des outils capables de surveiller les communications dans les deux sens pour une détection plus complète des menaces.

Colmater les Brèches : La Réponse de FireEye aux Menaces Modernes

Face aux menaces informatiques évoluées, il est crucial de déployer des solutions capables de détecter, analyser et répondre aux attaques complexes. FireEye a développé une gamme de produits spécifiquement conçus pour adresser ces défis en utilisant des technologies avancées telles que le moteur de détection MVX (Multi-Vector Virtual Execution). Voici comment les solutions FireEye aident à colmater les brèches et renforcer la sécurité.

Technologies Clés de FireEye

1. Moteur de Détection MVX (Multi-Vector Virtual Execution)
   • Analyse Multi-flux : Le moteur MVX effectue une analyse approfondie en surveillant les flux de données à travers différents points de sécurité. Il comprend l'intégralité du contexte d'une menace en recréant l'attaque dans un environnement virtuel. Cette méthode permet de détecter les menaces sophistiquées qui peuvent échapper aux systèmes traditionnels.
   • Détection et Contention des Attaques : Dès qu’un comportement suspect est identifié, le MVX engine intervient pour contenir l’attaque. Il prévient également les autres équipements du réseau, assurant une réponse coordonnée et une minimisation des impacts.
2. Dynamic Threat Intelligence (DTI)
   • Partage des Découvertes : Le DTI permet à l’ensemble des équipements FireEye de bénéficier des découvertes de nouveaux malwares réalisées sur le réseau DTI. Cette intelligence dynamique enrichit les capacités de détection et améliore les réponses aux menaces en temps réel.

Gamme d’Appliances FireEye

1. Traffic Web - NX
   • Protection des Flux Web : Le NX protège les flux web transitant dans le réseau, détecte les attaques zero-day et les exploits web, et surveille les callbacks vers les serveurs de Command and Control (C&C).
2. Analyse Mail - EX
   • Prévention du Spear-Phishing : Le EX analyse les emails et les pièces jointes pour détecter les menaces de spear-phishing et les fichiers vérolés, offrant une protection spécifique contre les attaques ciblées via email.
3. Analyse Partage de Fichier - FX
   • Analyse Réseau : Le FX analyse les partages de fichiers réseau et met en quarantaine les fichiers malicieux, ce qui permet de détecter et d'isoler les menaces qui se propagent à travers les fichiers partagés.
4. Forensic - AX
   • Analyse Dynamique : Le AX est une plateforme de sandboxing qui permet l'analyse dynamique de fichiers et d'URLs. Les environnements d'analyse peuvent être configurés pour simuler différentes versions d'OS et d’applications, offrant une vue détaillée des comportements malveillants.
5. Endpoint - HX
   • Gestion des Menaces sur les Postes : Le HX est un agent de poste qui gère les menaces sur les machines fixes et mobiles (y compris les connexions VPN SSL). Il assure la liaison entre les menaces détectées sur le réseau et les machines, et est également utile pour les investigations forensic sur des postes infectés.

Réponse à Incident avec FireEye

1. Isolation de la Menace
   • Blocage des Échanges Malicieux : Lorsqu'une menace est détectée, les équipements FireEye peuvent isoler les flux malveillants, mettre en quarantaine les emails, et bloquer les connexions vers les serveurs de C&C. Cette isolation rapide empêche la fuite de données sensibles et limite les dégâts.
2. Identification de la Source et des Failles
   • Dashboard Centralisé : Les alertes sont remontées dans un tableau de bord où le taux de faux positifs est minimisé. Ce tableau met en évidence la source de l'attaque, la victime, et les vecteurs d’infection, fournissant une vue claire des vulnérabilités exploitées.
3. Remédiation
   • Analyse Forensic : Les outils forensic de FireEye offrent un aperçu détaillé des modifications apportées par le malware (processus créés, modifications du registre). Les fichiers vérolés sont identifiables et peuvent être patchés pour restaurer l'intégrité du système.