Firewall Web Wireless Email Endpoint Encryption Mobile Server

Sophos
Central

Sécurité synchronisée :
une révolution de la
protection contre les
menaces

Livre blanc Sophos Février 2017

Sécurité synchronisée : une révolution de la protection contre les menaces

Section 1 : Le contexte actuel des cyber-risques Panorama

Les attaques ont augmenté en nombre, en complexité et en
des menaces
sophistication
Chaque entreprise, indépendamment de sa taille, doit apprendre à vivre et à prospérer dans Mirai Adfraud
Chevaux
Downloader de Troie
un monde exposé à des cyber-risques de plus en plus menaçants. Les risques augmentent
pour de nombreuses raisons, les principales étant la virulence et la complexité croissantes
Ransomware
IoTLocky Backdoor
des menaces, conjuguées à l’augmentation de la surface d’attaque.
Keyloggers Banques
Les employés utilisent de plus en plus les mobiles et les services Cloud, pendant que les Cerber Spyware
organisations de toutes tailles déploient des infrastructures virtuelles et dans le Cloud. Il en Kovter DDoS
résulte un élargissement considérable de la « surface d’attaque ». Botnets
Considérons les faits :

ÌÌ Périphériques : Un consommateur type de technologies

numériques possède désormais trois objets connectés.¹

ÌÌ Applications : Les employés utilisent en moyenne 16 applications Cloud au

travail, dont les plus populaires sont Box, SalesForce et Microsoft Office 365.²

ÌÌ Internet des objets : Selon Gartner, près de 21 milliards

d’objets seront connectés à Internet d’ici 2020.³

Face à l’élargissement de ces vecteurs, les attaques sont en hausse avec de nombreuses
violations de sécurité et un nombre croissant de pertes de données.

Les kits d’outil pour malware vendus sur les marchés gris et noir permettent aux pirates les
moins qualifiés de se lancer facilement.

De plus, les cybercriminels copient les modèles commerciaux basés sur le Cloud appliqués
par les entreprises légitimes et offrent des services complets de malwares-as-a-Service
(tels que les Ransomwares as a Service) avec des garanties de remboursement. Les
pirates n’ont plus besoin d’avoir des compétences techniques accrues pour accomplir leurs
attaques ni pour mettre à jour les outils utilisés.

Le résultat le plus dommageable est que les cyber criminels ont désormais une longueur
d'avance sur les entreprises, qui en retour ont bien du mal à réduire cet écart. Selon le
rapport d'enquête Verizon 2016 sur les violations de données :

ÌÌ Le piratage et les malwares sont les deux causes principales des violations de données.

ÌÌ Les pirates ont même gagné en rapidité, et il ne leur faut désormais qu’une journée pour
compromettre leurs victimes, voire même seulement quelques minutes tout au plus.

ÌÌ Le déficit de détection (c.-à-d. l'écart entre le temps du piratage et le temps de la

détection) se détériore et la durée avant la détection d’une attaque se rallonge.

La rapport de Verizon souligne également que l’appât du gain est la principale motivation
dans plus de 80 % des attaques. Pour les PME et les ETI, le résultat d’une telle attaque peut
être catastrophique.

Nous observons une augmentation des attaques, une augmentation de la complexité

des attaques et une augmentation des pertes liées à ces attaques. Nous posons alors la
question : Que devons-nous changer ?

Livre blanc Sophos Février 2017 2

 Sécurité synchronisée : une révolution de la protection contre les menaces

Équipes restreintes, ressources limitées, spécialistes rares

Nous pourrions penser que l’une des réactions naturelles serait d’« allouer plus de
personnes » à la résolution du problème, de recruter pour améliorer la sécurité. Cependant,
recruter ou redéployer des ressources supplémentaires n’est pas vraiment une option
viable pour de nombreuses PME.

Comme indiqué dans la figure 1, seules les grandes entreprises ont des équipes de sécurité
informatique dédiées, conséquentes en taille et ressources.
PERSONNEL DEDIE A LA SECURITE INFORMA-
TIQUE

100-500 500-1 000 1 000-5 000 5 000-20 000 >20 000

EMPLOYÉS EMPLOYÉS EMPLOYÉS EMPLOYÉS EMPLOYÉS
Figure 1 : Les équipes informatiques des PME et des ETI sont en général restreintes, avec des
ressources limitées. (Source : US Dept of Homeland Security, 2014)

Même si la direction veut renforcer son équipe de sécurité, elle est confrontée à un nouvel
obstacle : une pénurie sérieuse de personnel spécialisé dans la sécurité informatique.
Selon un rapport publié par Enterprise Strategy Group, 46 % des entreprises font face à une
pénurie de compétences en cyber sécurité.⁴ Ce qui en retour met davantage de pression sur
les services informatiques existants, pour faire plus avec moins.

Malgré un nombre record d’attaques, qui sont toujours plus sophistiquées (et fructueuses),
il n’y a tout simplement pas assez de personnel qualifié. S’appuyer sur les ressources
disponibles signifie que les entreprises font face à un niveau de risque inacceptable.

Livre blanc Sophos Février 2017 3

Sécurité synchronisée : une révolution de la protection contre les menaces

Section 2 : Approches actuelles en matière de Les attaquants

sécurité lancent des
Multi-niveaux et mal intégrées. Complexes et myopes. Indépendantes du contexte attaques
environnant. Décisions isolées. Tous ces qualificatifs s’appliquent aux approches actuelles
contre des
de la sécurité.
écosystèmes
Lorsque nous regardons l’évolution du secteur de la sécurité informatique, il est aisé de
comprendre pourquoi. Les entreprises de sécurité se sont concentrées au développement informatiques
de produits individuels qui répondent à des problèmes spécifiques de la chaîne d’attaque, entiers, et non
au lieu de développer une solution globale contre les cyber menaces. Par conséquent, la
difficulté d’intégrer un ensemble disparate de produits revient aux services informatiques
pas contre
déjà surchargés de travail. Ce serait l’équivalent d’un constructeur automobile qui produirait des produits
des pièces détachées et demanderait aux clients de les assembler eux-mêmes pour créer de sécurité
le véhicule final.
individuels.
Les professionnels de la sécurité informatique ont tenté de « faire le lien » entre les sources
de données en utilisant des moteurs de corrélation, des grands centres de données
(Datawarehouses), des SIEM (Security Information and Event Managers), le partage
d’informations à l’aide de modèles émergents tels que STIX et OpenIOC, sans oublier des
armées d’analystes. Cependant, même avec les outils les plus avancés, il s'avère difficile
de comprendre toutes les données issues d’une grande variété de sources, pour pouvoir
détecter et réduire rapidement les risques de pertes de données.

La corrélation entre les événements et les enregistrements nécessite toujours la création

et la maintenance de règles de corrélation complexes, la gestion interminable de tables de
correspondances et de filtres, et des heures d'analyses et d'efforts assurées par des experts
extrêmement qualifiés et rares. Les SIEM nécessitent des investissements financiers
considérables et des dépenses permanentes pour leur fonctionnement. Et le partage
d’informations, qui est certainement la clé de l'avenir de la sécurité, n'a pas encore atteint
une maturité suffisante pour une adoption simple et généralisée.

Les résultats, ou plutôt l’absence de résultats, parlent d’eux-mêmes. Les pertes de données
et les risques continuent de croître et ne sont pas prêts de s’arrêter. Et dans le même
temps, le personnel est surchargé. Selon un rapport récent de l'Institut Ponemon, 74 % des
violations de sécurité passent inaperçues pendant au moins six mois. Pire encore, les PME
et les ETI ont plus de mal à limiter ces risques que les grandes entreprises mieux équipées.
De toute évidence, la réponse ne consiste pas à rajouter d’autres produits ou consoles non
intégrés, plus de personnel ou des SIEM complexes. Ces approches ne marchent pas. Nous
devons trouver une meilleure approche, plus efficace.

Livre blanc Sophos Février 2017 4

Sécurité synchronisée : une révolution de la protection contre les menaces

Section 3 : Une nouvelle approche de la sécurité

informatique
Pendant des décennies, l'industrie de la sécurité a appréhendé la sécurité des réseaux, des
systèmes d'extrémité et la protection des données de manière complètement séparée. Cela
reviendrait à mettre trois agents de sécurité dans vos bureaux, le premier devant la porte
d’entrée, le second à l’intérieur du bâtiment et le troisième devant votre coffre-fort, mais
sans leur permettre de communiquer entre eux.

Les menaces continuent de se complexifier et les ressources informatiques continuent de

travailler en flux tendu, et il n’est plus possible désormais de maintenir une telle approche
sans compromettre la protection.

La sécurité synchronisée est un système de sécurité de pointe constitué de produits

intégrés qui partagent de manière dynamique des informations sur les menaces, sur la
santé des systèmes et sur la sécurité. Le résultat : les clients bénéficient d’une protection
plus rapide et de meilleure qualité contre les menaces avancées. C’est comme donner
un smartphone à chacun des agents pour qu’ils puissent communiquer entre eux et
coordonner leurs activités afin de prévenir toute menace.

Ce concept est simple, mais pourtant révolutionnaire. Pour parvenir à la sécurité

synchronisée, trois concepts sont nécessaires :

1. Un système central de sécurité

La plateforme centrale, qui rassemble les informations de sécurité et des menaces
pour l’ensemble des appliances et des données, se situe au cœur de l’approche de
la sécurité synchronisée. Elle doit être simple d'utilisation et vous permettre de gérer
l’ensemble de votre protection en un seul endroit. Plus besoin de passer d’une console
à l’autre, vous économisez chaque jour du temps et de l’énergie.

2. Technologie Next-Gen
La synchronisation ne devrait pas se faire au dépend de la protection. Chaque
composant de sécurité doit intégrer les technologies de prévention des menaces les
plus récentes. Ainsi, vous bénéficiez toujours de la protection la plus avancée.

3. Une protection intelligente

Le système de sécurité doit permettre aux technologies de sécurité de partager des
informations et d’automatiser la réponse apportée, notamment pour isoler en temps
réel tout système infecté afin de prévenir la perte de données et la propagation de
l’infection à d’autres systèmes au sein de votre entreprise. Le résultat : les clients
bénéficient d’une protection inégalée contre les menaces avancées et complexes.

Solutions de sécurité multi-niveaux actuelles Sécurité synchronisée

Centrées sur les menaces et opérant indépendamment Centrée sur l'écosystème et consciente des objets et
des objets et des événements environnants des événements environnants

Produits spécialisés fonctionnant séparément Produits coordonnés

Efficacité obtenue grâce à l’automatisation et à

Nécessitent plus de personnel pour être efficace l’innovation, sans nécessiter l’accroissement des
équipes

Protection avec chiffrement intégré qui répond

Gestion indépendante du chiffrement
automatiquement aux menaces

Complexes Simple

Figure 2 : Les solutions actuelles nécessitent des changements drastiques

Livre blanc Sophos Février 2017 5
Sécurité synchronisée : une révolution de la protection contre les menaces

Section 4 : L'approche Sophos

Sophos est le premier à avoir mis en œuvre la sécurité synchronisée. Selon IDG : « Aucune
autre entreprise ne propose un tel niveau de communication entre les produits de sécurité
Endpoint et réseau ». Comment y parvenons-nous ?

Grâce à Sophos Central, notre plateforme de sécurité multi-primée, vous pouvez gérer
l’ensemble de vos produits de protection Sophos d’un seul endroit : systèmes d’extrémité,
mobiles, serveurs, messagerie, Wi-Fi, chiffrement et pare-feu. La différence entre la
sécurité synchronisée et une console de gestion centrale est considérable. Comme le décrit
Gartner, la sécurité synchronisée est « une intégration au niveau des politiques de sécurité »
tandis qu’une console centrale est simplement « une intégration à l’écran ».

Firewall Web Wireless Email Endpoint Encryption Mobile Server

Sophos
Central

Figure 3 : La sécurité synchronisée avec Sophos

La technologie Next-Gen est intégrée dans nos produits, vous disposez donc toujours
la dernière protection contre les ransomwares, les exploits, les malwares et les ATP
pour l’ensemble de vos appareils et de vos données. Nos dernières récompenses et
commentaires du secteur et des analystes incluent :

ÌÌ Seul éditeur nommé « Leader » dans le Quadrant magique de Gartner pour les
plateformes de protection endpoint et UTM.

ÌÌ Nommé « Best Firewall 2016 » par Computing’s.

ÌÌ Nommé « Breakout Star » dans le rapport Forrester Encryption Wave 2016.

ÌÌ Lauréat du prix « Excellence Award for Encryption and Network Firewall » de SC

Magazine.

ÌÌ Nommé « Best Android Security 2016 » par AV Test.

La sécurité synchronisée est rendu possible grâce à notre Security Heartbeat™ breveté,
un lien de communication sécurisé entre les produits Sophos qui leur permet de partager
des informations sur les menaces, l’état de santé et la sécurité, et de répondre de manière
automatisée aux menaces. Des dizaines de technologies travaillent en synergie pour
offrir la meilleure protection contre les attaques coordonnées. Sophos Security Heartbeat
accélère la découverte des menaces, la protection et la réponse aux incidents. Ces actions,
qui d’ordinaire peuvent prendre des heures, voire des jours ou des semaines, sont réduites à
seulement quelques secondes.

Livre blanc Sophos Février 2017 6

Sécurité synchronisée : une révolution de la protection contre les menaces

Section 5 : Sécurité synchronisée : stopper les

menaces actuelles
Afin de mieux illustrer l’efficacité de la sécurité synchronisée, observons comment elle
fonctionne dans la réalité, avec deux exemples de menaces les plus fréquentes : les botnets
et les ransomwares.

Botnets
Les botnets sont des réseaux de systèmes innocents contrôlés par des pirates pour mener
des attaques coordonnées. À l’heure actuelle, ils font partie des cinq menaces de sécurité
principales dans le monde. Ils sont utilisés dans de nombreuses attaques, notamment :

ÌÌ La génération de crypto-monnaies, pour miner de nouvelles monnaies en ligne.

ÌÌ Le piratage de données via des terminaux de paiement,

comme Target aux Etats-Unis en a fait l’expérience.

ÌÌ Des attaques DDoS ou DNS par amplification, comme le botnet

Mirai qui a paralysé des sites web internationaux.

ÌÌ Le piratage de mots de passe par force brute et le spam.

Le statut de santé et les informations sur le botnet sont envoyés vers le pare-feu Sophos
XG Firewall via le Security Heartbeat, qui isole automatiquement l’appareil compromis
en supprimant son accès au réseau. Cela empêche le botnet de communiquer et de
récupérer des instructions depuis son serveur de Commande et de Contrôle. Cela empêche
également l’infection de se propager depuis l’appareil initial.

Afin d’empêcher tout vol de données, le Security Heartbeat partage ces informations
avec Sophos Encryption, qui révoque alors les clés de chiffrement sur la machine infectée
jusqu’à ce que le problème soit résolu.

Le processus global, de la détection jusqu’à l’isolement et la suppression des clés, se

déroule instantanément et réduit le temps de réponse aux incidents de quelques heures à
quelques secondes.

Une fois que toutes les machines affectées sont isolées et inutilisables pour une attaque,
notre protection Endpoint supprime automatiquement le malware à l’origine du botnet.

Après le retour automatique des systèmes vers leur état d’origine sain, l’administrateur
informatique peut restaurer le statut de santé du système d’extrémité vers l’indicateur
VERT. Cette information est instantanément partagée avec le reste du système de sécurité
via le Security Heartbeat. Le pare-feu XG Firewall restaure l’accès de l’appareil au réseau,
puis les clés de chiffrement sont restituées. Votre réseau est alors libre de tout botnet.

Livre blanc Sophos Février 2017 7

Sécurité synchronisée : une révolution de la protection contre les menaces

Ransomwares
Les ransomwares sont un business très lucratif. Ils représentent jusqu’à 35 % de toutes les
menaces informatiques présentes dans le monde et un attaquant avisé peut gagner jusqu’à
400 000 USD par mois.

Les emails sont généralement la porte d’entrée des ransomwares. Dès qu’un utilisateur sans
méfiance ouvre l’email et active le ransomware, la technologie anti-ransomware de Sophos
Intercept X stoppe l’attaque sur le poste de travail, l’ordinateur portable ou le serveur, tandis que
Sophos Mobile Security protège les appareils mobiles.

La sécurité synchronisée affiche les appareils à risques avec un statut de santé ROUGE
dans Sophos Central. Ce changement de statut, et les informations associées sur la
menace, sont envoyés via le Security Heartbeat vers le pare-feu Sophos XG Firewall, qui
isole automatiquement l’appareil infecté en supprimant l’accès au réseau. Cela empêche le
ransomware de communiquer avec un serveur de Commande et de Contrôle et d’infecter
davantage le système.

Le Security Heartbeat contacte simultanément Sophos Encryption, qui révoque alors les clés
de chiffrement de la machine affectée jusqu’à ce que le problème soit résolu. De manière
comparable au botnet, le temps total de la détection jusqu’à l’isolement et la suppression
des clés se déroule instantanément et réduit le temps de réponse aux incidents de quelques
heures à quelques secondes

Une fois le nettoyage réalisé, l’administrateur informatique peut restaurer le statut de santé
du système d’extrémité vers un indicateur VERT, information qui est instantanément partagée
avec le reste du système de sécurité via le Security Heartbeat. Le pare-feu XG Firewall restaure
l’accès de l’appareil au réseau, puis les clés de chiffrement sont restituées et l’utilisateur peut
réutiliser son ordinateur.

Tout cela se déroule automatiquement et instantanément. Aucune action de votre part n’est
requise.

Résumé
L’augmentation des attaques complexes et coordonnées dépasse les capacités de protection
de la plupart des entreprises. Les services informatiques sont dépassés et rencontrent des
difficultés à répondre aux menaces entrant dans leur infrastructure informatique en constante
expansion.

Se contenter de gérer des produits de sécurité disparates augmente les risques des
entreprises. À moins de changer radicalement l’approche de la sécurité informatique, ce
constat ne fera que s’aggraver.

La sécurité synchronisée est un système de pointe, où les produits intégrés partagent de

manière dynamique des informations sur la sécurité, sur la santé de l’infrastructure et sur les
menaces, afin d’offrir une protection plus rapide et plus efficace contre les menaces avancées.
Elle offre une protection et une facilité d'utilisation inégalées et simplifie le travail de vos
équipes informatiques.

Pour plus d’informations et pour essayer la sécurité synchronisée par vous-même, rendez-
vous sur la page [Link]/heartbeat.

Livre blanc Sophos Février 2017 8

Sécurité synchronisée : une révolution de la protection contre les menaces

Sécurité synchronisée
¹ Global Web Index, 18 février 2016
² UK Business Insider, août 2015
³ CNBC, février 2016
⁴ ESG Brief, Cybersecurity Skills Shortage: A State of Emergency, février 2016
Plus d’informations sur la page
[Link]/heartbeat

Équipe commerciale France :

Tél. : 01 34 34 80 00
Email : info@[Link]

© Copyright 2016-17. Sophos Ltd. Tous droits réservés.

Immatriculée en Angleterre et au Pays de Galles No. 2096520, The Pentagon, Abingdon Science Park,
Abingdon, OX14 3YP, Royaume-Uni
Tous les autres noms de produits et de sociétés mentionnés sont des marques ou des marques déposées
appartenant à leurs propriétaires respectifs.

15/02/17 WPFR (DD-2560)