Indicateurs de Menaces Internes

Une alerte de sécurité classique est un événement : le pare-feu bloque une connexion, une authentification échoue cinq fois ou un fichier malveillant est mis en quarantaine. L'événement est net et se suffit à lui-même.

Les menaces internes produisent rarement des événements aussi nets. Elles laissent une suite d'actions dont chacune est légitime prise isolément. Un salarié qui télécharge cette semaine 50 % de fichiers de plus que d'habitude, accède à un projet hors de son service et envoie des données vers un compte cloud personnel à 23 heures ne déclenche aucune alerte isolée. Mises ensemble, ces actions sont significatives.

C'est pourquoi les programmes de lutte contre les menaces internes travaillent avec des indicateurs, c'est-à-dire des signaux comportementaux qui composent une image du risque, et non avec des événements isolés. Le travail d'analyse consiste à combiner les indicateurs et à suivre leur progression dans le temps.

Les indicateurs se répartissent en cinq groupes. D'autres signaux existent, comme une activité autour de licenciements ou de réorganisations, des manquements aux règles qui s'aggravent avec le temps, ou des difficultés financières.

Les règles déclenchées par un seul indicateur, comme « alerter dès qu'un utilisateur envoie des données vers le cloud », génèrent un flot de faux positifs. Dans une grande organisation, des milliers d'envois légitimes ont lieu chaque jour. Traiter chacun comme une alerte lasse les analystes et laisse les menaces réelles se perdre dans le bruit.

Les programmes matures utilisent les indicateurs comme données d'entrée d'une notation du risque, et non comme alertes autonomes. Cela réduit les faux positifs, concentre l'attention des analystes et protège la vie privée des salariés, en évitant une surveillance non ciblée.

Aucun indicateur isolé ne confirme une menace. Un développeur qui reste tard pour finir un projet, un commercial qui envoie une proposition sur sa messagerie personnelle pour travailler le week-end, ou un administrateur qui se connecte aux serveurs le soir pour une maintenance agissent légitimement, tout en pouvant correspondre à des schémas d'indicateurs.

La notation du risque combine plusieurs indicateurs pour séparer le signal du bruit. Le résultat est un score de risque hiérarchisé par personne, et non une alerte binaire. Les analystes examinent d'abord les dossiers les mieux notés, pour établir le contexte et l'intention, avant de décider de la réponse.

1. 1

   Fréquence et progression

   Un signal isolé est faible ; répété et croissant, il pèse davantage

2. 2

   Combinaison

   Faible seul, fort lorsque plusieurs signaux se produisent ensemble

3. 3

   Écart au niveau de référence

   Normal pour un utilisateur, il peut être anormal pour un autre

4. 4

   Poids du contexte

   Poids accru avec un départ, un changement de poste ou une sanction

Les indicateurs signalent un risque, les éléments établis démontrent un dommage. Un programme mature utilise les indicateurs pour hiérarchiser les investigations, puis réunit des constats vérifiés avant d'agir. Agir sur les seuls indicateurs mène à des accusations infondées, et attendre des éléments établis sans suivre les indicateurs revient à ne détecter les menaces qu'une fois le dommage causé.

• Les indicateurs sont des schémas de comportement qui justifient une investigation. Ils sont probabilistes : un indicateur ne prouve pas qu'une menace existe.
• Les éléments établis sont une activité vérifiée qui démontre une violation réelle des règles ou un dommage, comme une exfiltration confirmée, un accès non autorisé documenté ou une fraude avérée.

Le moteur d'analyse de risque d'Anexet évalue chaque utilisateur selon des catégories de risque prédéfinies. Le gestionnaire ci-dessous présente ces catégories avec leurs niveaux de risque par défaut.

Commencez par les signaux de la détection des menaces internes qui touchent les données dont la fuite causerait le plus de dégâts, puis ajoutez les canaux et les comportements, un groupe à la fois.

Une courte liste de signaux bien calibrés est plus facile à examiner qu'une longue liste d'alertes que personne ne lit.

Pour aller plus loin : Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?; Comment reconnaître un initié malveillant dans une entreprise et prévenir ses agissements ?.