Transformez les règles SIEM avec la détection comportementale des menaces

Pourquoi les règles SIEM traditionnelles sont insuffisantes

La conception des règles patrimoniales et les paramètres par défaut ne peuvent suivre le rythme de l’évolution du comportement et des outils des attaquants. De nombreuses organisations utilisent des paramètres SIEM qui dépendent trop des schémas d’attaque datés et des indicateurs statiques, tels que les adresses IP malveillantes connues, les signatures de logiciels malveillants et les noms de domaine associés à des attaques passées. Ces indicateurs ont une courte durée de vie, ce qui les rend inefficaces contre les menaces modernes, qui sont adaptatives et nouvelles.

Les défis résultants comprennent :

• Une fatigue liée aux alertes et un épuisement futur des talents, dus aux faux positifs excessifs.
• Des lacunes dans la détection des attaques modernes et furtives, telles que le living-off-the-land, s’appuyant sur des outils légitimes présents dans l’environnement affecté, et les attaques internes.
• Un manque de conscience contextuelle.
• Des hypothèses de menace obsolètes et un faux sentiment de sécurité.
• Une visibilité limitée et des lacunes dans la collecte de données.

Les pratiques organisationnelles jouent un rôle dans ces défis, telles que :

• Le manque d’ajustement continu pour répondre aux pratiques métier changeantes et aux menaces évolutives. Les règles sont rarement examinées ou ajustées après le déploiement initial.
• Un mauvais alignement entre les contrôles de sécurité et les risques métier, entraînant le traitement de toutes les alertes avec la même priorité, quelle que soit la valeur de l’actif.

Les règles SIEM ne sont pas intrinsèquement défectueuses, mais sans gouvernance, elles génèrent plus de bruit que d’information et laissent les organisations exposées aux menaces qu’elles sont censées détecter.

Passer à la détection basée sur le comportement

La transition des règles SIEM vers l’analyse basée sur le comportement met l’accent sur ce que font les attaquants, et pas seulement ce qu’ils utilisent. Le résultat est une détection améliorée des menaces inconnues ou nouvelles.

La détection basée sur le comportement comprend l’identification de :

• Des schémas de connexion inhabituels, tels que ceux provenant de différents endroits ou en dehors de l’heure normale d’un utilisateur.
• Des anomalies d’élévation de privilèges, telles que l’accès pour la première fois à des outils ou la création de comptes administrateurs privilégiés avec une utilisation à haut risque immédiat.
• Un déplacement latéral, tel qu’un nouveau compte accédant à plusieurs systèmes en succession rapide. Des signaux d’accès et d’exfiltration de données, tels que de grands volumes de données consultés ou transférés en dehors des schémas normaux.
• Des anomalies du comportement réseau, telles que des systèmes communiquant avec de nouvelles destinations externes.

Les règles traditionnelles demandent : est-ce mauvais ? Les règles basées sur le comportement demandent : est-ce normal – et sinon, pourquoi ?

Utiliser le Mitre ATT&CK pour l’alignement stratégique

Le cadre Mitre ATT&CK catalogue les tactiques et techniques d’attaques cybernétiques du monde réel basées sur le comportement observé de l’adversaire. Il est dynamique et réaliste – et bien plus efficace que les schémas d’attaque statiques et théoriques. Le cadre est important, car il fournit un langage commun pour les équipes de sécurité et la direction, aligne la détection sur la manière dont les attaquants opèrent et permet une visibilité mesurable sur la couverture et les lacunes de la sécurité.

Adopter le cadre ATT&CK commence par la cartographie des règles SIEM aux techniques ATT&CK. Alignez les détections défensives avec les tactiques des acteurs malveillants, telles que la persistance, le déplacement latéral et l’exfiltration, et assurez-vous que les règles reflètent la manière dont les attaquants opèrent réellement, en évitant les hypothèses et les connaissances historiques.

Les responsables de la sécurité de l’information et leurs équipes peuvent ensuite utiliser ATT&CK pour identifier et prioriser les lacunes dans les règles SIEM. Commencez par mettre en évidence les techniques avec peu ou aucune couverture de détection. Ensuite, concentrez les investissements en ressources sur les chemins d’attaque à haut risque et à fort impact.

Ensuite, utilisez le cadre pour améliorer la détection et la qualité des règles en réduisant les règles redondantes ou de faible valeur et en renforçant la couverture tout au long du cycle de vie de l’attaque. Ce cadre peut également aider à valider et tester les règles. Par exemple, utilisez ATT&CK comme base pour l’émulation d’adversaire et des exercices de purple team, et testez continuellement si les règles détectent efficacement les techniques connues.

Avec Mitre ATT&CK, les équipes de cybersécurité peuvent passer d’une surveillance réactive à un modèle stratégique axé sur le renseignement, fondé sur le comportement réel des attaquants. Pour soutenir davantage ce modèle, établissez une détection d’anomalies assistée par IA, l’enrichissement automatisé des messages à l’aide de SOAR et des capacités de réglage à grande échelle.

Le maillon manquant : ajustement continu et validation

Le point crucial est que ce modèle ne peut pas rester statique. Il nécessite un ajustement et une validation réguliers pour rester efficace. La gestion des règles SIEM ne peut pas adopter une approche « configurer et oublier ». Pour atténuer efficacement les risques et réaliser la valeur des investissements en ressources, les organisations ont besoin de pratiques solides de gestion des règles. Celles-ci comprennent l’analyse et l’ajustement réguliers pour identifier et réduire le bruit ; la validation via des attaques simulées, y compris le purple teaming et l’émulation d’adversaire ; ainsi qu’une télémétrie mesurable pour l’analyse.

Des métriques spécifiques incluent :

• Taux de détection.
• Taux de faux positifs.
• Réduction de la durée de séjour (dwell time).
• Temps moyen de détection et temps moyen de réponse.

La validation continue garantit que les règles SIEM restent efficaces à mesure que les menaces évoluent et que la structure de l’entreprise change. L’organisation peut s’attendre à des capacités du centre des opérations de sécurité plus efficaces et à une confiance accrue dans les capacités de détection.

Recommandations stratégiques pour les CISO et les responsables informatiques

Utilisez les étapes suivantes pour développer une stratégie efficace de gestion des règles SIEM :

• Établir une propriété claire et interfonctionnelle du modèle opérationnel entre les équipes SOC, le renseignement sur les menaces et les opérations, permettant la gouvernance et la responsabilité.
• Investir dans les capacités de détection basées sur le comportement.
• Adopter des cadres, tels que Mitre ATT&CK, pour améliorer la visibilité et l’alignement.
• Établir des processus d’amélioration continue – ce n’est pas un projet isolé.
• Aligner les résultats SIEM avec les objectifs de risque et de résilience de l’entreprise.

Un SIEM moderne et efficace exige un leadership stratégique, pas seulement des outils. Cette approche porte ses fruits en améliorant la détection et la réponse aux menaces, produisant des avantages mesurables, notamment la transformation des alertes bruyantes en informations significatives et des règles statiques en détection adaptative.

Ne permettez pas aux règles SIEM obsolètes de dicter la posture de sécurité de l’organisation. Agissez maintenant pour développer une capacité de détection résiliente et axée sur le renseignement.

Damon Garn possède Cogspinner Coaction et fournit des services de rédaction et d’édition informatique en freelance. Il a écrit plusieurs guides d’étude CompTIA, y compris les guides Linux+, Cloud Essentials+ et Server+, et contribue de manière significative à InformaTechTarget Editorial, The New Stack et aux blogs CompTIA.
Article initialement publié sur searchsecurity.