SafeBreach veut mettre à l’épreuve les défenses de sécurité

Déployer tout un réseau de simulateurs

Pour ce faire, SafeBreach déploie des simulateurs « sur le réseau, le point de terminaison, un mobile. Cela n’a pas d’importance ; ils vont travailler ensemble comme un seul réseau et jouer à la guerre ensemble ». Par exemple, un simulateur interne peut essayer de communiquer avec un simulateur externe : le premier jouera le rôle d’un poste de travail compromis, et le second, celui d’un serveur de commande et de contrôle. « Vous saurez alors votre IPS et vos autres protections réseau voient ce trafic et l’arrêtent ». Les rôles des simulateurs sont appelés à changer régulièrement, pour tester d’autres scénarios, comme le téléchargement d’un code malveillant après une compromission initiale par une pièce jointe malicieuse, ou encore une tentative de mouvement latéral, voire d’exfiltration de données. Les charges utiles mises en œuvre ne sont toutefois que des artifices et sont donc inoffensifs pour l’environnement.

« De base, notre technologie nous permet d’effectuer tous les mouvements élémentaires d’une attaque, et de les jouer indépendamment des résultats des actions précédentes pour, au final, analyser l’ensemble » car, explique Guy Bejerano, « entre deux points, il y a des options multiples pour avancer. Nous les combinons toutes ensemble ».

Rester informé des méthodes des attaquants

Si le concept peut se montrer séduisant, encore faut-il maîtriser les méthodes utilisées par les pirates. « Tout le contenu est produit par nos laboratoires en Israël. Il y a là des experts en sécurité avec beaucoup d’expérience, venant de l’armée. Ils ont la connaissance des méthodes d’intrusion, et étudient les nouvelles méthodes dès qu’elles émergent […] pour les modéliser sur notre plateforme. Partant de là, elles seront jouées et mises à disposition de nos clients ».

La plateforme de SafeBreach ne relève donc pas de la recherche de vulnérabilités : « ils parcourent une base de données de vulnérabilités et vous disent lesquelles ils ont trouvées au sein de votre infrastructure. C’est important et c’est très bien, mais cela ne permet pas de répondre à la question ‘ok, mais qu’est-ce que peut faire l’attaquant avec ça ?’ ». Et de revendiquer ainsi une complémentarité.

Guy Bejerano insiste aussi sur la différence de son approche d’avec celle des tests d’intrusion – ou pentest : « tout d’abord, ces tests sont ponctuels, et se font généralement de l’extérieur pour fournir des informations sur des connues présentes dans votre environnement. Le cas échéant, vous pourrez traduire cela par la suite en impact métier pour hiérarchiser des actions correctrices. Mais le pentest ne permet pas d’étudier l’ensemble de la chaîne d’attaque ».

Un processus d’amélioration continue

Pour tenir toutes ses promesses, l’utilisation de la plateforme de SafeBreach doit se faire en continu, dans le cadre des processus opérationnels des équipes de sécurité du système d’information. « Généralement, nos clients déploient nos simulateurs sur leur infrastructure et les utilisent en deux phases. La première consiste à identifier les principales faiblesses et à planifier leur correction. Une fois que c’est fait, il s’agit de valider en continu que ces nouveaux contrôles fonctionnent effectivement. Et l’on se déplace ensuite d’une partie du SI à une autre, jusqu’à reboucler. De notre côté, nous fournissons de nouveaux contenus de simulation de manière hebdomadaire ».

La plateforme de SafeBreach peut ainsi d’interfacer avec un SIEM ou une solution de ticketing. Les simulateurs se déploient sous forme d’agents pour les points de terminaison ou d’appliances virtuelles au sein du réseau. Une fois déployés, ils fonctionnent de manière automatisée. La console d’administration peut quant à elle être déployées en local ou utilisée en mode Cloud. La plateforme est proposée à l’abonnement.