La détection est la phase du cycle de vie défensif où une organisation découvre qu'une activité malveillante ou anormale est en cours. Elle se situe entre la préparation, qui pose les fondations, et la réponse, qui agit sur ce que la détection révèle. Une détection solide réduit le temps pendant lequel un adversaire peut opérer sans être repéré et donne aux intervenants le signal dont ils ont besoin pour agir. Elle repose sur une bonne visibilité, une logique rigoureuse et des personnes qui savent reconnaître ce qui est normal pour mieux repérer ce qui ne l'est pas.
Ce pilier couvre les capacités qui transforment l'activité brute en signal exploitable.
- La collecte rassemble la télémétrie et les sources de journaux provenant des postes de travail, des réseaux, des systèmes d'identité et des plateformes cloud, afin que l'activité soit enregistrée et disponible pour l'analyse.
- L'analyse applique la corrélation et la logique de détection à cette télémétrie pour distinguer les événements significatifs du bruit de fond.
- Les alertes acheminent les constats confirmés ou suspects vers les bonnes personnes et les bons systèmes, avec suffisamment de contexte pour agir.
- La chasse aux menaces recherche de façon proactive l'activité adverse que les détections automatisées ont pu manquer.
- La tromperie utilise des pots de miel et des leurres pour attirer et révéler les intrus tout en générant des signaux à forte valeur de confiance.
- L'ingénierie de détection conçoit, teste et maintient les règles et les analyses qui alimentent la détection.
- L'amélioration continue mesure la couverture de détection et l'ajuste à mesure que les menaces et l'environnement évoluent.
Références#
- NIST SP 800-61, Computer Security Incident Handling Guide
- SANS Institute, ressources sur la détection et la chasse aux menaces