LIVRE BLANC Infrastructure Advanced Threat Protection de Fortinet Approche unifiée de lutte contre les attaques ciblées avancées
Infrastructure Advanced Threat Protection de Fortinet Table des matières Introduction 3 Infrastructure Advanced Threat Protection de Fortinet 4 Garder une longueur d avance sur les menaces grâce à Fortinet 6 2 www.fortinet.com ou www.fortinet.fr
Introduction Des attaques sophistiquées qui rapportent gros En 2013 et 2014, de nombreuses grandes entreprises et marques de premier plan ont fait la une, non pas en raison d une reprise économique remarquable après la récession ou du lancement d un produit innovant, mais pour des atteintes massives à la sécurité de leurs données. Les données personnelles ou de carte bancaire de plus de 100 millions de clients ont été ainsi dérobées par le biais d une seule de ces attaques audacieuses de grande envergure. Les attaques de ce type attirent l attention du grand public, des législateurs et des médias dès lors qu elles parviennent à mettre à mal les défenses d entreprises de très grande taille disposant d équipes de sécurité dédiées et d une vaste infrastructure de protection contre les hackers. Personne n est à l abri : les petites entreprises sont également des cibles, soit dans le cadre d une attaque coordonnée de plus grande envergure, soit par le biais de différents logiciels malveillants distribués. Une seule conclusion possible : il est temps d adopter une approche plus poussée et plus complète de la cybersécurité. «Toutes les entreprises doivent désormais considérer qu elles se trouvent dans un état de compromission permanente.» Gartner «Dans une enquête menée en 2014, 18 % des entreprises ont indiqué que des assaillants externes avaient réussi à infiltrer leurs réseaux.» PwC «44 % des entreprises ont expliqué qu une faille de sécurité récente était à l origine de leur projet NGFW (Firewalls de Nouvelle Génération).» Forrester/Fortinet 3 www.fortinet.com ou www.fortinet.fr
La tromperie est l arme la plus puissante de l arsenal du hacker Forts du succès des piratages de profils, les cybercriminels devraient continuer à déployer des trésors d ingéniosité afin de tromper et de déjouer les solutions de sécurité existantes. Les hackers mal intentionnés ont entrepris de dissimuler des logiciels malveillants en utilisant différents types de fichiers et formats de compression dans le but d exploiter les failles des méthodes classiques de protection des réseaux. Nous prévoyons également une augmentation du nombre de plateformes sophistiquées de logiciels malveillants susceptibles d être personnalisées en vue d attaques ciblées. Une fois qu un logiciel malveillant a ouvert une brèche dans un réseau, il se transforme, s adapte et se déplace, automatiquement ou sous le contrôle d un cybercriminel, en restant inaperçu aussi longtemps que possible. Il peut ainsi récupérer des données telles que les dossiers clients et la propriété intellectuelle, mais aussi les profils de Devices et les identifiants de connexion des employés. Si les contrôles de sécurité ne parviennent pas à détecter le logiciel malveillant ou ses communications durant cette période, ce n est alors qu une question de temps avant que les données recueillies ne soient transférées et extraites, c està-dire renvoyées au cybercriminel. Se protéger -> Se soustraire à l application de la loi Définir la cible Avant-projet Étudier la cible Développer ou acquérir des outils Tester les outils + détection Planification FIGURE 1 : ANATOMIE D UNE MENACE AVANCÉE Obtenir les identifiants de connexion S implanter en profondeur Intrusion initiale Entrée Survivre Communication sortante amorcée Extraction des données Intrusion initiale Sortie Les menaces avancées nécessitent une protection avancée Il n existe aucune solution miracle pour protéger les entreprises contre les types de menaces ciblées avancées ci-dessus. En raison de la rapidité des innovations en matière de logiciels malveillants, de la fréquence élevée des attaques inédites (ou «zero-day») et de l émergence de techniques anti-détection, n importe quelle approche peut se révéler incapable de prévenir une intrusion élaborée sur mesure. La défense la plus efficace repose plutôt sur une infrastructure de protection unifiée et extensible. Cette infrastructure intègre des fonctionnalités de sécurité actuelles, des technologies émergentes et un mécanisme d apprentissage personnalisé qui génère des informations de sécurité exploitables à partir des nouvelles menaces détectées. Cette dernière composante est sans doute la plus cruciale pour garder une longueur d avance sur les menaces. Une infrastructure simple contre des menaces complexes L infrastructure Advanced Threat Protection de Fortinet est constituée de trois éléments : Prévenir : agir en fonction des informations et menaces connues Détecter : identifier les menaces inconnues jusqu à présent Neutraliser : réagir aux incidents potentiels Simple sur le plan conceptuel, cette infrastructure englobe une grande variété d outils avancés et classiques pour la sécurité des réseaux, des applications et des terminaux, la détection des menaces et la neutralisation. Ces outils s appuient sur de solides fonctionnalités de recherche et de veille sur les menaces qui transforment les informations issues de différentes sources en une protection directement applicable. Bien que les éléments de l infrastructure (et même les technologies associées) puissent fonctionner en vase clos, les entreprises bénéficieront d une bien meilleure protection en les combinant dans le cadre d une stratégie de sécurité globale. Élément 1 Prévenir : agir en fonction des informations et menaces connues Les menaces connues doivent être bloquées immédiatement (Élément 1 de l infrastructure Advanced Threat Protection de Fortinet) dans la mesure du possible grâce à des Firewalls de Nouvelle Génération, des passerelles de messagerie sécurisées, des fonctions de sécurité des terminaux et des solutions similaires qui tirent parti de technologies de sécurité extrêmement précises. Ces technologies incluent notamment la protection contre les logiciels malveillants, le filtrage Web et la prévention des intrusions. C est le moyen le plus efficace d écarter de nombreuses menaces avec un impact minimal sur les performances réseau. 4 www.fortinet.com ou www.fortinet.fr
Par exemple, la technologie de protection contre les logiciels malveillants peut détecter et bloquer les virus, les botnets et même les variantes prévues des logiciels malveillants, notamment grâce à la technologie brevetée Compact Pattern Recognition Language (CPRL) de Fortinet, avec un temps de traitement minimal. La réduction de la surface d attaque peut également permettre de déjouer les attaques. Plus le nombre de points d entrée ou de vecteurs d attaque potentiels disponibles pour les cybercriminels est limité, mieux c est. Un contrôle minutieux des accès et la mise en œuvre de réseaux privés virtuels (VPN) constituent donc aussi un aspect important de l Élément 1 et font partie de la première ligne de défense contre les attaques ciblées. Le trafic qui ne peut pas être géré rapidement à ce stade est transféré à l Élément 2... Élément 2 Détecter : identifier les menaces inconnues jusqu à présent La prise en charge des menaces dans l Élément 1 présente des avantages manifestes. Plus le nombre de menaces entrant dans la catégorie des menaces connues est élevé, mieux c est. Toutefois, des menaces encore inédites («zeroday») et des attaques sophistiquées conçues pour déjouer les mesures classiques sont utilisées chaque jour pour forcer les défenses de cibles extrêmement sensibles. L Élément 2 de l infrastructure emploie des technologies avancées de détection des menaces pour examiner le comportement du trafic réseau, des utilisateurs et du contenu de façon plus approfondie afin d identifier les attaques originales. Un certain nombre de nouvelles approches sont capables de détecter automatiquement les menaces inconnues jusqu à présent et de générer des informations exploitables sur ces dernières. Le Sandboxing, en particulier, permet de transférer les logiciels potentiellement malveillants dans un environnement protégé où leur comportement peut être directement observé sans affecter les réseaux de production. En outre, la technologie de détection des botnets signale les modèles de communication laissant supposer une activité de botnet. De leur côté, les fonctionnalités de réputation client signalent les terminaux potentiellement infectés sur la base d un profil contextuel. Bien qu incroyablement puissant, ce type de détection des menaces consomme énormément de ressources et est donc réservé aux menaces qui n ont pas pu être identifiées par des méthodes classiques plus efficaces. La détection n est bien évidemment qu un autre élément de l infrastructure ATP. L élément suivant s attaque avec fermeté à ces nouvelles menaces. Élément 3 Neutraliser : réagir aux incidents potentiels Une fois les incidents potentiels et les nouvelles menaces identifiés dans l Élément 2, les entreprises doivent immédiatement vérifier chaque menace et neutraliser les éventuels effets néfastes. Les utilisateurs, Devices ou contenus doivent être mis en quarantaine, avec des systèmes automatisés et manuels en place pour assurer la sécurité des ressources réseau et des données organisationnelles jusque-là. Parallèlement, les dispositifs de détection des menaces déclenchent un autre transfert critique : la transmission des informations découvertes aux groupes de recherche et développement. Des protections tactiques peuvent être mises en œuvre. Les menaces jusqu alors inconnues peuvent maintenant être analysées de façon approfondie. Des correctifs prenant en compte toutes les couches de sécurité sont ainsi élaborés, ce qui permet de fournir un niveau approprié de protection à jour pour chaque couche. À ce stade, il est important d éliminer toute redondance et de créer une synergie entre les différentes technologies de sécurité afin de déployer une solution de sécurité très performante où «l inconnu devient connu». Bien entendu, le cycle n est pas clos tant que ces informations exploitables sur les menaces ne sont pas disponibles aux différents points d application et partagées à l échelle globale. L Élément 1 est ainsi consolidé de manière à agir sur la base des nouvelles menaces connues. Ce n est pas une seule entreprise, mais toutes les entreprises à travers le monde qui sont ainsi protégées contre les cybercriminels. L efficacité optimale de la détection et de la prévention (avec une combinaison des Éléments 1, 2 et 3) est essentielle au maintien de niveaux élevés de performances réseau et à l optimisation de la protection. FortiGate et toute technologie capable d appliquer une politique de sécurité Élément 1 Transfert : Création d un correctif et mise à jour de la prévention Transfert : Points à haut risque Prevent Mitigate Detect Équipes FortiGuard et automatisation Élément 3 FortiSandbox et toute technologie basée sur le comportement Élément 2 Transfert : Mise à disposition des évaluations et résultats FIGURE 2 : INFRASTRUCTURE ADVANCED THREAT PROTECTION DE FORTINET 5 www.fortinet.com ou www.fortinet.fr
Transferts : le chaînon manquant La fonction la plus critique de l infrastructure de protection contre les menaces est probablement la notion de transfert, plutôt qu une technologie ou un élément particulier. Elle est du reste négligée dans les mesures de sécurité mises en œuvre dans de nombreuses entreprises. L infrastructure Advanced Threat Protection repose sur divers types de technologies de sécurité, de produits et de recherches, dont les rôles sont différents. Toutefois, les éléments seront moins efficaces s ils ne communiquent pas en permanence, avec un transfert des données d un élément au suivant. Comme le montre la figure 2, l Élément 1 (la phase de prévention) transfère les points à haut risque à l Élément 2 (la phase de détection). Et les menaces inconnues jusqu à présent sont transférées dans l Élément 3 pour analyse ultérieure ou neutralisation. Enfin, les informations générées sur les menaces et la protection mise à jour par l Élément 3 sont retransférées aux produits dans les Éléments 1 et 2. Ce cycle incessant améliore efficacement la protection et la détection face à des attaques de plus en plus sophistiquées. Garder une longueur d avance sur les menaces grâce à Fortinet Synergie et recherche FortiGuard Labs L un des principaux points forts de Fortinet réside dans la synergie entre ses logiciels propriétaires, ses appliances très performantes et surtout les équipes de recherche FortiGuard Labs sur les menaces. Les groupes de recherche FortiGuard Labs servent de plateforme de veille pour garantir le fonctionnement transparent des trois éléments. Ils étudient les menaces inconnues jusqu à présent et élaborent des stratégies de neutralisation complètes, conçues dès le départ pour offrir des performances élevées et une protection efficace. Ils fournissent également des informations de sécurité qui consolident la prévention et la détection au fil du temps. Sécurité complète : FortiGuard Labs tire parti des informations en temps réel sur le paysage des menaces afin de fournir des mises à jour de sécurité complètes pour l ensemble de la gamme de solutions et de technologies essentielles de Fortinet en vue d une protection synergique. Une protection en avance sur les menaces : dès l apparition d une nouvelle menace, l équipe Global Operations de FortiGuard Labs, disponible 24h/24, 7j/7 et 365 jours par an, transmet les informations de sécurité à jour en temps réel aux solutions Fortinet. Cela assure une protection instantanée contre les menaces nouvelles et émergentes. Solutions hautes performances : le portefeuille de services de sécurité intégrés de Fortinet est conçu dès le départ pour optimiser la protection et les performances dans l ensemble des solutions de sécurité de Fortinet, qu elles soient physiques ou virtuelles. Le transfert entre l Élément 3 et les Éléments 1 et 2, qui clôture systématiquement le cycle Advanced Threat Protection, s opère lorsque les informations détaillées de sécurité développées par FortiGuard Labs sont remises à tous les utilisateurs de solutions Fortinet par le biais du réseau mondial de distribution Fortinet. Par ailleurs, dans le cadre de la Cyber Threat Alliance et d autres initiatives associées, Fortinet partage également des informations sur les menaces avec un cercle plus large d experts, ce qui étend encore la portée de leur travail et des informations de sécurité générées par l entreprise, découvertes grâce à cette infrastructure. Ensemble, les solutions Fortinet offrent une meilleure protection Des produits de sécurité individuels, aussi puissants qu ils soient, ne peuvent pas offrir une sécurité optimale s ils opèrent de façon isolée. Toutes les composantes de la solution doivent fonctionner en synergie pour assurer une protection optimale. Fortinet intègre les informations générées par FortiGuard Labs dans les Firewalls de Nouvelle Génération FortiGate, les passerelles de messagerie sécurisées FortiMail, la sécurité des terminaux FortiClient, la détection avancée des menaces FortiSandbox et d autres produits de sécurité au sein de son écosystème. L objectif est d optimiser et d améliorer en permanence le niveau de sécurité de chaque entreprise. Pour en savoir plus sur Fortinet et son écosystème de produits Advanced Threat Protection, consultez le site www.fortinet.com/sandbox. France TOUR ATLANTIQUE 11ème étage, 1 place de la Pyramide 92911 Paris La Défense Cedex France Ventes: +33-1-8003-1655 SIÈGE SOCIAL MONDIAL Fortinet Inc. 899 Kifer Road Sunnyvale, CA 94086 États-Unis Tél. : +1 408 235 7700 www.fortinet.com/sales SUCCURSALE EMEA 120, rue Albert Caquot 06560, Sophia Antipolis, France Tél. : +33 (0)4 89 87 05 10 SUCCURSALE APAC 300 Beach Road 20-01 The Concourse Singapore 199555 Tél. : +65 6513 3730 SUCCURSALE AMÉRIQUE LATINE Prol. Paseo de la Reforma 115 Int. 702 Col. Lomas de Santa Fe, C.P. 01219 Del. Alvaro Obregón México D.F. Tél. : 011 52 (55) 5524 8480 Copyright 2015 Fortinet, Inc. Tous droits réservés. Fortinet, FortiGate, FortiCare, FortiGuard et certaines autres marques sont des marques déposées de Fortinet, Inc., et les autres dénominations Fortinet mentionnées sont susceptibles d être également détenues par Fortinet. Toutes les autres marques appartiennent à leurs détenteurs respectifs. Les performances et autres mesures présentées dans ce document ont été évaluées dans un laboratoire interne et dans des conditions optimales. Elles peuvent varier en conditions réelles. Les variations réseau, la diversité des environnements réseau et d autres éléments sont susceptibles d affecter ces performances. Rien dans le présent document ne tient lieu d autorisation formelle de la part de Fortinet, et Fortinet s exonère de toute garantie sur le contenu de ce document, implicite ou explicite, sauf si cette garantie résulte d une obligation contractuelle, signée par le Directeur des affaires juridiques de Fortinet, avec un acheteur, avec mention expresse de la garantie que le produit respecte les performances et spécifications indiquées dans ce document et, dans un tel cas, que seules les performances et spécifications indiquées dans le cadre de cette obligation contractuelle engagent Fortinet. Pour éviter toute confusion, une telle garantie ne s appliquera que si les performances sont évaluées dans des conditions aussi optimales que celles des laboratoires de tests de Fortinet. Fortinet décline toute responsabilité concernant les clauses, représentations et garanties, explicites ou implicites, définies en vertu du présent document. Fortinet se réserve le droit de changer, modifier, transférer ou réviser de quelque manière que ce soit cette publication sans avis préalable. La version anglaise la plus récente de ce document fait foi, en cas d erreur de traduction notamment.