Plateformes antivirus, EDR et XDR

La sécurité des points de terminaison a considérablement évolué au cours des 30 dernières années. Les antivirus traditionnels utilisaient des bases de données de signatures pour détecter les logiciels malveillants connus, mais à mesure que les attaquants ont développé l’obfuscation et le polymorphisme, les signatures statiques sont devenues insuffisantes. Cette évolution a conduit au développement de l’Endpoint Detection and Response (EDR), qui se concentre sur l’analyse comportementale des processus en cours d’exécution. Plus récemment, l’Extended Detection and Response (XDR) met en corrélation la télémétrie provenant des points de terminaison, des réseaux, des charges de travail Cloud et des courriels afin de fournir une plateforme unifiée de détection des menaces.

Un antivirus traditionnel (AV) fonctionne en comparant les fichiers à une base de données de signatures malveillantes connues, c’est-à-dire des séquences d’octets propres à certains échantillons de logiciels malveillants. Lorsqu’un fichier correspond à une signature, il est mis en quarantaine ou supprimé. L’AV utilise également l’analyse heuristique (recherche de séquences de code suspectes) et la mise en bac à sable (exécution des fichiers suspects dans un environnement isolé). Sa faiblesse fondamentale est son caractère réactif. Les nouveaux logiciels malveillants, notamment les attaques sans fichier, polymorphes ou utilisant les outils légitimes du système, peuvent entièrement contourner la détection par signature jusqu’à ce que le fournisseur ajoute une nouvelle signature.

Les plateformes EDR surveillent en permanence l’activité des points de terminaison et enregistrent un flux riche de télémétrie : créations de processus, connexions réseau, modifications du système de fichiers, modifications du registre et allocations mémoire. Cette télémétrie est analysée à l’aide de modèles comportementaux et de renseignements sur les menaces afin de détecter des comportements malveillants que l’AV fondé sur les signatures ne repère pas. Lorsqu’une menace est détectée, l’EDR peut automatiquement isoler l’hôte du réseau, terminer les processus malveillants et préserver les éléments de preuve médico-légaux (vidages mémoire, arbres de processus) pour l’enquête.

Au-delà de la détection, l’EDR offre des fonctionnalités essentielles de réponse. L’isolement à distance coupe un hôte compromis du réseau tout en maintenant le canal de gestion de l’EDR. Le shell distant permet aux analystes d’exécuter des commandes sur l’hôte isolé à des fins d’enquête. La terminaison des processus arrête les processus malveillants. La mise en quarantaine des fichiers déplace les fichiers malveillants vers un espace de stockage isolé. La restauration peut annuler le chiffrement par rançongiciel sur les systèmes de fichiers pris en charge. Les plateformes EDR (CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint) proposent également des interfaces de recherche de menaces permettant d’effectuer des recherches proactives dans toute la télémétrie.

L’XDR étend la visibilité de l’EDR au-delà du point de terminaison en ingérant et en mettant en corrélation la télémétrie de plusieurs couches de sécurité : agents installés sur les points de terminaison, outils de détection réseau, passerelles de sécurité de la messagerie, plateformes d’identité et capteurs des charges de travail Cloud. En mettant les données en corrélation entre les couches, l’XDR peut détecter des chaînes d’attaque qui semblent inoffensives lorsqu’elles sont examinées isolément. Par exemple, un courriel d’hameçonnage (télémétrie de la messagerie) → un vol d’identifiants (télémétrie de l’identité) → un déplacement latéral (télémétrie réseau) → une exfiltration de données (télémétrie du point de terminaison) forment un seul incident pour lequel des outils cloisonnés généreraient quatre alertes sans lien.

Le MDR est un modèle de service dans lequel un fournisseur fournit la technologie EDR/XDR ET une équipe d’analystes qui surveillent, enquêtent et répondent aux alertes 24 h/24 et 7 j/7 au nom du client. Le MDR répond à la pénurie de talents : de nombreuses organisations ne peuvent pas doter un Security Operations Center (SOC) en personnel en continu. Les fournisseurs de MDR disposent généralement de SLA pour les alertes (réponse sous 15 minutes, escalade sous 1 heure) et incluent la recherche de menaces ainsi que des rapports mensuels. Le MDR existe aux côtés des MSSP (Managed Security Service Provider), mais se concentre spécifiquement sur la détection et la réponse plutôt que sur la gestion générale de la sécurité.

Comprendre l’évolution de chaque plateforme vous aide à réussir l’examen. AV : détection par signature et heuristique, mise en quarantaine au niveau des fichiers, aucune visibilité sur les attaques utilisant les outils légitimes du système. EPP (Endpoint Protection Platform) : AV + pare-feu + contrôle des appareils au sein d’un seul agent. EDR : télémétrie comportementale continue, visibilité au niveau des processus, automatisation de la réponse, recherche de menaces. XDR : corrélation entre les couches (point de terminaison + réseau + messagerie + Cloud + identité), console d’alertes unifiée, détection pilotée par l’IA. De nombreux produits se présentent désormais comme un « EDR doté de fonctionnalités XDR », ce qui brouille la distinction.

Les plateformes EDR/XDR modernes utilisent des flux de renseignements sur les menaces pour enrichir les alertes et améliorer la détection. Lorsqu’un point de terminaison établit une connexion avec une adresse IP figurant dans le flux Threat Intel, l’EDR peut automatiquement augmenter la gravité de l’alerte. La mise en correspondance des IOC (hachages de fichiers, adresses IP, noms de domaine) permet de détecter rapidement les indicateurs malveillants connus. L’intégration de MITRE ATT&CK associe aux techniques détectées des identifiants de techniques (T1059.001 pour PowerShell), ce qui permet aux analystes de comprendre instantanément à quelle étape du cycle d’attaque se situe une technique et quelles défenses s’appliquent.

Le principal défi opérationnel de l’EDR/XDR est la fatigue liée aux alertes. Un déploiement EDR mal réglé peut générer des milliers d’alertes par jour, dont la plupart sont des faux positifs. Une gestion efficace de l’EDR nécessite de régler les règles de détection afin de réduire les faux positifs associés aux comportements connus comme légitimes (scripts de déploiement de logiciels, outils d’administration IT), de créer des exclusions pour les processus et chemins approuvés, et de définir une gravité des alertes par niveaux afin que les analystes se concentrent d’abord sur les alertes de gravité élevée. Dans tout programme de détection, la qualité des alertes est plus importante que leur quantité.

Les attaquants sophistiqués tentent activement d’échapper à la détection de l’EDR. Les techniques courantes comprennent : l’injection de processus (injection de code malveillant dans des processus légitimes comme explorer.exe pour le dissimuler), le débranchement des hooks (suppression des hooks d’API de l’EDR en mémoire pour empêcher la surveillance), les LOLBins (utilisation de binaires système approuvés pour éviter la détection fondée sur les hachages) et les appels système directs (contournement complet de la couche d’API Win32). Les équipes de sécurité doivent exécuter régulièrement des simulations de contournement de l’EDR (Atomic Red Team, MITRE Caldera) afin de vérifier que leurs contrôles détectent ces techniques.

Au-delà de la technologie, une sécurité efficace des points de terminaison nécessite des décisions de politique que les outils EDR appliquent. Le contrôle des appareils USB bloque les supports amovibles non autorisés. La liste d’autorisation des applications empêche l’exécution de logiciels non autorisés. Le filtrage du contenu Web au niveau du point de terminaison intercepte les téléchargements malveillants même lorsque l’appareil n’est pas connecté au VPN. La protection contre les altérations empêche les attaquants disposant de droits d’administrateur local de désactiver l’agent EDR. Les organisations doivent également définir des politiques d’utilisation acceptable des points de terminaison et les appliquer au moyen de MDM ou de la stratégie de groupe, créant ainsi une seconde ligne de défense lorsque les contrôles techniques sont contournés.

Vérifiez votre compréhension des notions de CompTIA Security+ (SY0-701) abordées dans cette leçon.

Dans cette leçon, vous avez appris que l’AV traditionnel repose sur les signatures et les heuristiques et ne peut pas détecter les menaces comportementales ou sans fichier ; que l’EDR fournit une télémétrie comportementale continue, ainsi que des fonctions de détection et de réponse automatisée, notamment l’isolement des hôtes ; et que l’XDR étend l’EDR en mettant en corrélation la télémétrie des points de terminaison, de la messagerie, du réseau, de l’identité et des couches Cloud pour détecter les incidents de manière unifiée. Nous allons maintenant étudier les techniques de renforcement de la sécurité des OS et les référentiels CIS.