Difficulté: la multinationale pharmaceutique avait besoin d'une vision globale de son exposition
Une multinationale pharmaceutique disposait d'un programme de sécurité de l'information qui ne lui offrait pas une vision globale de son exposition sur le web classique et le dark web. Son objectif était de mieux comprendre comment une solution de surveillance de l'exposition pouvait apporter valeur ajoutée et sécurité pour garantir le respect des objectifs de contrôle de l'organisation, et comment la surveillance du web classique et du dark web pouvait assurer une visibilité continue sur ses objectifs de sécurité des données. Elle a contacté notre client, partenaire de Flare, pour cette mission.
Pour aider à gérer leur objectif et pour mieux comprendre les besoins spécifiques de l'entreprise, l'équipe du MSSP a utilisé Flare pour mener une démonstration de la valeur ajoutée de la surveillance de l'exposition. Cette démonstration comprenait une présentation des fonctionnalités et une évaluation générale de l'exposition externe de l'organisation. Lorsque le client a découvert des résultats indiquant un risque à l'aide de la plateforme Flare, il a utilisé ces données pour améliorer en permanence la surveillance des risques similaires.
Grâce aux résultats intéressants obtenus, les MSSP ont endossé leur rôle d'équipe offensive afin d'analyser les conclusions comme le ferait un adversaire. Ils ont ainsi pu illustrer l'impact potentiel et formuler des recommandations pour résoudre ou atténuer les risques.
Mise en service: le MSSP offre une preuve de concept complète à son client
Le MSSP a mené les efforts suivants.
Le tableau ci-dessous décrit le processus utilisé par le MSSP pour identifier, enrichir, prioriser et corriger les menaces.
Grâce à son expertise et à la plateforme Flare, le MSSP a mis à leur disposition les fonctionnalités suivantes.
- Surveillance du milieu criminel:
- Courtiers d'accès – Fournir du renseignement exploitable qui permet de gagner du temps dans la détection et dans la correction des cyberattaques ou des systèmes compromis destinés à être vendus sur les marchés du Web clandestin.
- Conversations de forums – Classer et rédiger des rapports sur les conversations ayant lieu sur les canaux de communication du Web clandestin qui portent sur la marque, sur les produits et sur les opérations.
- Surveillance de la propriété intellectuelle:
- Code source publié – Examiner le code source accessible au public publié par des entités internes et externes à une entreprise. Le code source est analysé et fait l'objet d'un rapport rédigé par des développeurs logiciels expérimentés.
- Dépôts publics – Examiner le contenu qui concerne la marque de l'organisation publié sur des circuits comme Pastebin.
- Divulgations sur les forums publics – Surveiller les forums publics à la recherche de discussions qui divulguent des informations internes critiques.
- Surveiller la surface d'attaque externe:
- Surveillance de GitHub pour détecter les fuites de code source et de secrets – Surveiller les dépôts de code en ligne afin de détecter toute fuite accidentelle d'informations. Exécuter des expressions régulières et des requêtes personnalisées qui traversent les dépôts de code publics comme GitHub, BitBucket et GitLabGit-environments.
- Détecter les fuites de données techniques – Détecter les erreurs et les secrets archivés dans l'environnement de l'entreprise et envoyer des alertes à l'équipe de sécurité en cas d'archivage accidentel.
- Identifier les serveurs mal configurés – Activer les notifications en temps réel du stockage S3, de Shodan et d'autres données infonuagiques susceptibles de mettre l'organisation en danger.
- Surveiller les sites Web de partage anonyme – Surveiller les fuites de mots de passe, de données techniques critiques et d'informations personnelles identifiables publiées sur Pastebin et sur d'autres sites de partage anonymes (sites bin).
- Prévenir l'usurpation de comptes:
- Surveillance des données d'identification en temps réel – Collecter des données d'identification compromises sur le Web clandestin, sur le Web invisible et sur le Web visible afin de garantir qu'ils ne puissent pas être utilisés à des fins malveillantes dès leur découverte.
- Surveillance automatique des comptes de salariés – Intégrer les processus de données d'identification aux processus existants de l'organisation.
- Protéger la marque:
- Surveillance des marchés de drogues – Surveiller en permanence les annonces de vente et de contrefaçon de produits ainsi que de services sur les marchés du Web clandestin.
- Surveillance des clichages – Surveiller les informations clichées concernant les activités de l'organisation.
- Détecter les attaques par hameçonnage:
- Surveillance des sous-domaines – Identifier les noms de domaine et les certificats SSL utilisés à des fins d'hameçonnage et détecter l'enregistrement de nouveaux noms de domaine similaires à ceux de l'entreprise.
- Prévenir la fraude fiscale:
- Protection des salariés – Rechercher dans le répertoire des victimes de fraude financière, basé sur des fuites provenant du Web clandestin, du Web invisible et du Web visible, ainsi que sur des identités mises en vente sur des marchés illicites. Permettre à l'organisation de vérifier si ses employés ont été victimes de fraude tout en garantissant la protection et la confidentialité des informations.
Avantage: les alertes escaladées émanant de la surveillance de l'exposition fournissent des informations précieuses sur les risques importants
Grâce à la preuve de valeur, nous avons pu montrer les avantages et la valeur ajoutée de la mise en service d'une solution de surveillance de l'exposition. Grâce à Flare, notre client a réussi à accroître la surveillance de l'exposition externe de son organisation sur le Web visible et sur le Web clandestin. Les éléments suivants ont été présentés au cours de la preuve de valeur:
- Création de 1,590 identifiants Flare ;
- Rapport sur la surveillance de la surface d'attaque externe - 1 alerte escaladée ;
- Rapport sur la propriété intellectuelle - 9 alertes escaladées ;
- Rapport sur les données d'identification compromises - 1 alerte escaladée ;
- Rapport sur la surveillance de la surface d'attaque externe - 6 alertes escaladées ;
- Rapport sur la prévention de la fraude fiancière - 5 alertes escaladées.
Plusieurs des alertes escaladées ont permis à cette entreprise de découvrir un système qui présentait un risque important. Le client du MSSP a demandé une intervention complémentaire pour un test d'intrusion de type APT (Advanced Persistent Threat) ciblant ce système. Pour conduire ce test, le MSSP a fait appel à son équipe d'experts qui ont largement utilisé le système Flare.
