Télétravail : comment une solution XDR managée peut-elle améliorer la sécurité des terminaux ?

Les équipes sécurité sont souvent confrontées à un nombre écrasant d'alertes déclenchées par différentes solutions. A titre d’exemple, une entreprise comptant en moyenne 1 000 employés peut percevoir un pic allant jusqu’à 22 000 événements par seconde entrer dans son système de gestion des informations et des événements de sécurité (SIEM). Cela représente près de 2 millions d'événements en une journée.³ Face à ce volume abondant d'alertes, il est difficile de corréler ces informations et de les hiérarchiser pour en déduire des événements critiques.

XDR relie automatiquement une série d'activités de moindre confiance en un événement de plus grande confiance, permettant de réduire le nombre d'alertes pour une action. XDR propose automatiquement des actions de remédiation pour augmenter la réactivité lorsqu’il s’agit par exemple d’isoler un poste sur le réseau, de tuer un programme manifestement malveillant ou de mettre en quarantaine un email. En apportant la chronologie centrée sur l’attaque, XDR aide également à la remédiation et facilite le travail d’investigation des équipes sécurité.

En cela XDR ne remplace pas le SIEM mais se positionne comme un outil complémentaire au SIEM. L’intégration de la solution XDR au SIEM permet aux analystes d’orchestrer les informations de XDR avec l’écosystème complet de sécurité géré par la plateforme SIEM centralisant les logs issus des fiwerall, de l’AD, du cloud et du réseau notamment. Il joue le rôle d’entonnoir pour aider à déterminer ce qui est utile et requiert une attention et une investigation approfondie de la part des experts et analystes sécurité. Ces analyses avancées fournissent des éclairages supplémentaires pour avoir une vision concrète des menaces.

Face à la pénurie des compétences en sécurité et aux ressources limitées, la DSI requiert des outils coordonnés avec les autres solutions de sécurité de l’entreprise et une plateforme de gestion unique et centralisée pour l’identification et la gestion des menaces informatiques. Si l’utilisation de dispositifs de détection avancés des menaces est primordiale, le paramétrage, la coordination et l’analyse en profondeur des activités nécessite l’expertise des analystes en cybersécurité. Confier la gestion des solutions XDR et leur intégration avec le SIEM/SOAR à un SOC (Security Operations Center) va permettre à l’organisation de gagner en temps, souplesse et efficacité. Des experts garantissent la surveillance et l’analyse constante des menaces et des données d'activité de l’environnement IT global de l’entreprise 24 h/24 et 7 j/7. Ces données sont ensuite corrélées à des bases de données mondiales sur les menaces pour détecter plus rapidement l'origine et l'étendue des attaques ciblées et mieux les comprendre. Les menaces sont non seulement mieux identifiées mais elles sont également hiérarchisées ce qui limite l’avalanche d’alertes. Une assistance à la réponse à incident et à l’investigation peut être opérée et des recommandations d’amélioration sont ensuite communiquées pour permettre à l’entreprise de continuer à renforcer sa protection, en miroir par rapport à l’évolution des cybermenaces.