Comment fonctionne un Security Operations Center (SOC)?

Analyse de l’homme et de la machine

Il a fallu réagir vite. La plateforme SOAR (Security Orchestration, Automation and Response) a signalé des attaques inhabituelles d’utilisateurs sur le serveur interne et sur des adresses internet. Le Security Analyst de service a transformé l’alerte en incident via la plateforme SOAR et l’a transmis à sa collègue de l’équipe Incident Response Layer pour une analyse plus approfondie.

«Notre plateforme centrale SOAR nous aide à enrichir les alertes provenant de différents systèmes de détection par le biais de flux de travail d’analyse automatisés, à filtrer les fausses alertes et ainsi à identifier rapidement les incidents sérieux», explique Florian Leibenzeder, responsable technique au SOC de Swisscom. Dans ce cas, la première analyse a révélé un «True Positive», c’est-à-dire un véritable incident de sécurité. Ce dernier a ainsi été transféré en escalade.

Dès lors, les résultats de la spécialiste en sécurité se sont révélés problématiques: déjà trois ordinateurs portables montrent le même comportement suspicieux. L’un des utilisateurs avait contacté la hotline dédiée à la cyberdéfense parce que l’un des documents qu’il a reçu lui a semblé étrange à l’ouverture.

L’entretien téléphonique a permis de comprendre que cet utilisateur a reçu une «offre» d’un fournisseur présumé sur une plateforme de partage de fichiers. Cette étape est survenue après un premier échange par mail; de ce fait, l’utilisateur ne s’est pas méfié et a ouvert le document. Et a ainsi été victime d’un nouveau programme malveillant élaboré. Étant donné que les cybercriminels ont utilisé une plateforme connue de partage de fichiers à des fins frauduleuses, ils ont pu contourner les mécanismes d’identification de la solution EDR (Endpoint Detection & Response). Cette attaque particulièrement élaborée et ciblée met les nerfs des spécialistes en sécurité à rude épreuve.

Du SOC au CSIRT

L’expertise humaine est à présent nécessaire, à savoir celle des Incident Responders expérimentés du CSIRT, qui sont actuellement de service dans l’Operations Squad. Malgré tout, le calme règne. Les experts sont concentrés devant leurs écrans. Ils sont désormais parvenus à isoler le logiciel malveillant et à limiter l’attaque – il s’agit de la phase «Containment» de l’Incident Response. Le SANS Institute(ouvre une nouvelle fenêtre), spécialisé dans la formation continue en matière de cybersécurité, est à l’origine de ce processus standard. L’«Incident Response Cycle» divise la stratégie de défense en six étapes, de la préparation jusqu’aux «Lessons Learned», au cours desquelles les expériences et les enseignements tirés du traitement de l’incident de sécurité sont évalués et des mesures d’amélioration sont définies. «Cette standardisation permet de garder une vue d’ensemble dans certains cas et de ne pas sombrer dans la panique», explique Stephan Rickauer, responsable du service CSIRT pour les clients commerciaux chez Swisscom.

Afin de limiter l’attaque, le CSIRT a bloqué les trois comptes utilisateurs concernés et séparé les ordinateurs portables du réseau afin de freiner la propagation du logiciel malveillant sur le réseau de l’entreprise. Même avec ces mesures, les spécialistes ne pouvaient pas encore affirmer avec certitude que les hackers avaient été écartés du réseau. Après une brève concertation, ils ont alors mis l’accent sur la recherche d’éventuelles traces de l’attaque (Indicator of Compromise, IoC). Les spécialistes veulent en effet s’assurer que les cybercriminels ne se baladent pas sur un autre système ou ne causent pas d’autres dommages. Leur expertise est désormais requise.

Les routiniers de sécurité poursuivent le travail du système SOAR et examinent manuellement l’infrastructure à la recherche d’autres traces d’intrusion. Leurs vastes connaissances et leur longue expérience aident à structurer les recherches. L’un des experts examine les fichiers journaux à la recherche de logins et activités suspicieux du logiciel malveillant, tandis qu’un autre analyse le trafic réseau à la recherche d’éventuelles attaques sur un serveur Command&Control. Ces activités permettent aux experts de trouver des fichiers malveillants, des anomalies sur le réseau et des entrées de registre bien cachés.

De la limitation au post-traitement

Peu de temps après, les experts en sécurité donnent la fin de l’alerte. Aucune nouvelle alerte n’a été déclenchée sur la plateforme SOAR, et les tentatives d’accès au serveur ont échoué. L’incident est déclassé, et les personnes impliquées planifient l’évaluation de leur intervention dans le cadre de l’étape «Lesson Learned».

«L’automatisation et l’harmonisation des outils nous permettent de faire face à la complexité croissante de nos infrastructures et des attaques dont elles font l’objet.»

Florian Leibenzeder, responsable technique du SOC Swisscom

Comment les spécialistes du CSIRT parviennent-ils à planifier des tâches qui dépendent d’événements extérieurs, qui peuvent survenir à tout moment et qui sont donc imprévisibles? «La criticité d’un événement permet de définir les priorités, c’est le critère le plus important», précise Stephan Rickauer.

C’est pourquoi les analystes en sécurité décident de remettre l’examen approfondi des appareils à plus tard. Cet examen aide à mieux comprendre la procédure des hackers, c’est-à-dire à identifier les techniques, les tactiques et les procédés employés (TTP). Néanmoins, cette étape n’est plus urgente car les ordinateurs portables sont à présent hors de danger.

De l’analyse à l’automatisation

L’examen approfondi sera réalisé dans le cadre de l’évaluation de l’incident de sécurité. Dans un premier temps, les spécialistes en sécurité échangeront au sujet de la procédure pour savoir ce qui s’est bien passé et ce qui peut être amélioré. Ensuite, ils développeront un nouveau «Detection Use Case» sur la base de l’analyse de l’incident. Il s’agit d’une représentation schématique du modèle de l’attaque – pour indiquer, par exemple, les entrées de journal et les systèmes qui ont été touchés par ce type d’attaque.

«Lors de l’élaboration de use case, notre objectif est d’automatiser la première analyse, le tri et éventuellement la réaction. Pour cela, nous nous appuyons sur les fonctions EDR sur les postes de travail et les serveurs, ainsi que sur les flux de travail SOAR pour l’automatisation de l’analyse et de la réponse. L’automatisation et l’harmonisation des outils nous permettent de faire face à la complexité croissante de nos infrastructures et des attaques dont elles font l’objet», ajoute Florian Leibenzeder. Pour une cyberdéfense de pointe, le SOC et le CSIRT doivent miser sur des outils d’automatisation.

De cette manière, le SOC est en mesure de réagir automatiquement à ce type d’attaque. Le CSIRT n’aurait alors même plus besoin d’intervenir, car l’attaque aurait déjà été stoppée par l’Incident Response. «Tout l’intérêt du travail au CSIRT réside dans la variété des tâches. Nous ne faisons jamais deux fois la même chose», dit Stephan Rickauer en riant.

L’attaque décrite ici est fictive et vise à illustrer le travail du SOC et du CSIRT.