Décider avant de savoir

Un exécutable arrive sur un ordinateur portable à neuf heures du matin. Il vient d'une pièce jointe, d'un téléchargement ou d'une clé USB, personne dans l'organisation ne l'a vu auparavant, et il est sur le point de démarrer. L'agent installé sur cette machine n'a aucun historique sur lequel s'appuyer et ne dispose que de quelques millisecondes, et ne rien faire est aussi un acte. Chaque produit de sécurité des postes répond à cette même question, et chaque famille de réponse envoie une facture différente.

Les deux façons de se tromper

La décision comporte deux directions d'erreur, et une seule des deux a un plaignant. Autorisez le fichier à tort et le rançongiciel chiffre sous le compte de la personne qui l'a ouvert. Bloquez le fichier à tort et un script de compilation ou un utilitaire de paie s'arrête, et un utilisateur identifié ouvre un ticket dans l'heure. Le blocage erroné s'annonce de lui-même, l'autorisation erronée non, et le réglage dérive donc vers la permission.

Refuser tout ce qui n'est pas reconnu supprime l'autorisation erronée et porte le blocage erroné à son maximum. C'est pourquoi le refus par défaut figure dans plus de politiques écrites que de configurations en production. Les trois familles de réponse sont trois manières d'organiser le moment où la décision est prise. La détection décide à l'instant de l'exécution. La liste d'autorisation décide à l'avance, dans une liste que quelqu'un entretient. Le confinement refuse de décider à cet instant et fait en sorte que la réponse n'importe pas encore.

Quelque chose a bougé sous tout cela. Quand un binaire que personne n'avait jamais vu était un événement rare, traiter l'inconnu comme une exception était une conception saine, et un moteur pouvait être réglé en supposant que le code familier était le cas normal. Les machines qui écrivent, réécrivent et réempaquettent du code ont rendu un binaire inhabituel bon marché à produire, et c'est cette production bon marché qui érode la supposition. Cela ne rend pas la détection fausse. Cela déplace l'arithmétique, car le prix d'une supposition se paie plus souvent à mesure que la part de code inhabituel augmente, et une conception qui exécute l'inconnu là où il n'atteint rien gagne du terrain sans avoir changé.

Les mêmes machines travaillent du côté du défenseur. Elles lisent la file d'alertes, regroupent des événements dispersés en un seul incident et rédigent le brouillon de la note de tri qu'un analyste écrivait ligne par ligne. Les deux directions ont bougé. L'instant décrit au premier paragraphe n'a pas bougé, car il arrive toujours avant que quiconque sache quoi que ce soit.

Ce qu'un score de test affirme, et ce qu'il n'affirme pas

Les acheteurs comparent les produits sur les résultats de laboratoires indépendants, car un laboratoire réunit des jeux d'échantillons qu'aucun acheteur ne peut constituer seul. Le chiffre du titre est plus étroit qu'il n'y paraît.

AV-Comparatives écrit dans sa méthodologie du Real-World Protection Test qu'un résultat parfait démontre uniquement que le produit a protégé contre les échantillons particuliers de ce test précis. Le même document définit la protection comme un état et non comme une action. Le système n'est pas compromis, le logiciel malveillant ne s'exécute pas, et il n'y a aucune modification du système. Un produit qui laisse un fichier s'exécuter puis annule ce qu'il a fait est noté sur la même ligne qu'un produit qui ne l'a jamais laissé démarrer.

L'autre moitié du score mesure la seconde direction d'erreur. AV-Comparatives mène son test de fausses alertes en deux parties, en parcourant environ mille domaines populaires et en installant environ cent applications issues de portails de téléchargement, et les produits dont les fausses alertes dépassent la moyenne voient leur récompense rétrogradée. AV-TEST répartit son résultat en trois catégories, et sa catégorie Usability existe précisément pour mesurer dans quelle mesure les fausses alertes nuisent à l'usage.

Demandez le chiffre de fausses alertes issu de la même campagne que le chiffre de protection qui vous est présenté.

La liste d'autorisation déplace le travail, elle ne le supprime pas

La réponse des manuels autorise ce qui figure sur la liste et refuse tout le reste.

NIST SP 800-167, le Guide to Application Whitelisting, est franc sur ce que coûte l'entretien de la liste. Si la liste repose sur des empreintes cryptographiques, un binaire corrigé porte une empreinte différente, et le jour du correctif transforme un logiciel approuvé en logiciel inconnu. NIST écrit que cela peut provoquer des retards problématiques dans les organisations qui appliquent les correctifs rapidement, et qu'un logiciel corrigé peut être tenu pour inconnu et son exécution interdite.

La même publication demande aux organisations de prévoir du personnel dédié à l'entretien de la liste, au même titre que faire fonctionner un antivirus d'entreprise. Pour les parcs gérés ordinaires, elle demande une analyse de risque qui pèse le bénéfice de sécurité face à l'impact négatif possible sur les opérations, et c'est pour cela que le refus par défaut reste dans le document de politique.

NIST nomme aussi la catégorie autour de laquelle tourne tout l'argument. Une liste grise contient des entités dont on n'a pas encore établi si elles sont saines ou malveillantes, et l'une des manières documentées de la traiter consiste à demander à l'utilisateur d'accepter ou de refuser chaque tentative d'exécution. Cela confie le jugement à une personne qui n'a ni l'information ni le temps.

Le confinement répond en ne répondant pas encore

La troisième famille laisse le fichier non reconnu s'exécuter dans un conteneur dont les écritures n'atteignent ni le disque réel, ni la base de registre réelle, ni les données de l'utilisateur. Le fichier se comporte exactement comme il l'entend et ne change rien à l'extérieur. Le verdict arrive après l'observation du comportement, si bien que rien n'a été deviné à l'instant de l'exécution et que l'utilisateur n'est jamais interrogé.

Le décompte honnête tient en trois lignes. Cela couvre le code qui arrive sous la forme d'un objet non reconnu. Un intrus qui se connecte avec un mot de passe d'administrateur volé puis pilote les outils de script déjà présents ne présente rien à confiner. C'est pourquoi l'enregistrement de l'activité des processus, des fichiers et du réseau tourne dans le même agent, et pourquoi quelqu'un doit encore le lire. Un utilitaire écrit en interne qui doit légitimement écrire se comporte différemment jusqu'à l'arrivée de son verdict, et le travail de compatibilité se déplace dans le conteneur. Et différer une décision n'est pas la supprimer. La chaîne de verdicts doit produire des verdicts, et quelqu'un est propriétaire de cette file.

CrowdStrike Falcon, SentinelOne et Microsoft Defender for Endpoint décident si un fichier est malveillant puis agissent sur cette décision, et les méthodes de laboratoire ci-dessus mesurent précisément la qualité de cette décision. Le confinement répond à une autre question, celle de l'état de la machine pendant l'intervalle où personne ne sait. Un pourcentage de protection unique ne compare qu'une de ces questions.

La moitié de l'achat qui est un tableau de garde

La sécurité des postes s'achète rarement comme un logiciel seul. Le cahier des charges écrit surveillance vingt-quatre heures sur vingt-quatre, et cette ligne est commerciale avant d'être technique, car elle décide qui a le droit de soumissionner.

Le National Cyber Security Centre britannique, dans son guide sur la conception d'un modèle d'exploitation de SOC, écrit que maintenir un SOC en 24/7 exige nettement plus de personnel qu'un fonctionnement de 9h à 17h avec astreinte en dehors des heures ouvrées. La couverture est un problème d'effectifs habillé en exigence technique, et aucune automatisation de la file de tri ne signe un tableau de garde.

Cette clause oblige quelqu'un à disposer de trois choses.

• Un tableau de garde assez profond pour qu'aucun poste ne dépende du congé d'une seule personne
• Une décision sur qui détient la file de verdicts à trois heures du matin et ce qu'il peut faire seul
• Une phrase de contrat indiquant si la garde incombe à l'éditeur, au partenaire ou au client

L'acheteur sans équipe de sécurité et le partenaire sans centre d'opérations lisent la même clause depuis deux bords opposés, et le nombre de personnes tranche dans les deux cas.

Le produit que nous portons dans ce domaine

Xcitium est le produit de sécurité des postes de ce portefeuille, et il appartient à la troisième famille. Le code non reconnu s'exécute dans un conteneur sans route vers le disque, la base de registre ou les données, sous le nom ZeroDwell Containment, tandis que la détection et réponse enregistre l'activité des processus, des fichiers et du réseau pour l'investigation ultérieure. La surveillance s'achète avec la plateforme, à travers managed detection and response, managed threat hunting et guided security operations, ce qui permet à un acheteur de répondre à la clause de garde avant de recruter. Des certifications de MRG Effitas, AVLAB et AV-TEST sont publiées, et une édition libre et gratuite nommée OpenEDR peut être déployée avant qu'un bon de commande existe.