Les solutions Endpoint Detection & Response et Network Detection & Response possèdent chacune, des fonctionnalités et des avantages bien spécifiques. La première se focalise sur la protection des postes de travail et des serveurs, tandis que l’autre surveille tous les échanges et communications au niveau du réseau. L’intégration des deux technologies n’a rien de redondant : ces dernières sont en effet parfaitement complémentaires. Ce qui les distinguent foncièrement : le niveau de maturité de l’organisation requis.

Endpoint Detection & Response

Origines de l’EDR

L’Endpoint Detection & Response a été créé pour pallier les limites de l’antivirus classique. En effet, les solutions historiques antivirales ont rapidement perdu de leur pertinence dans un monde où il faut également faire face à des menaces Zero day. Quand les cybermenaces deviennent de plus en plus sophistiquées, il devient nécessaire de pouvoir cibler le plus de types de canaux (ordinateur, mobile, serveur, réseau…) possibles.

L’EDR est aujourd’hui le type de solution de cybersécurité le plus adopté par les entreprises. Il permet à n’importe quelle organisation, de bénéficier d’une simplicité d’installation et de configuration, mais aussi de la couverture de sécurité polyvalente proposée par les acteurs présents sur le segment.

Fonctionnalités de l’EDR

Une solution Endpoint Detection & Response se matérialise sous forme d’un agent de sécurité installé sur les postes de travail et/ou les serveurs. Ce dernier collecte les données remontant des différents canaux analysés et permet une mise en relation pour détecter les activités malveillantes et de prendre des actions de remédiation.

Surveillance en temps réel à 360°

L’EDR étant installé grâce à un agent on-device, tout le flux peut être analysé en temps-réel. Téléchargement de fichiers, navigation internet, paramètres réseau, … tous les canaux, vecteurs de menaces, sont sous surveillance.

Détection des menaces avancées

Les solutions EDR protègent efficacement contre les menaces de type ransomware, botnet, trojan… qu’ils soient connus ou non. Allant bien au-delà de la simple analyse virale, l’analyse comportementale des EDR permet de détecter des indicateurs de menaces beaucoup plus fins et pertinents.

Investigation et remédiation

Le travail d’investigation peut être encore plus poussé. En corrélant plusieurs éléments entre eux, il est possible d’enclencher des actions de remédiation (mise en quarantaine d’un terminal, désinstallation d’un fichier par exemple) et d’informer l’utilisateur sur la menace.

Bénéfices de l’EDR

Visibilité étendue

L’agent de sécurité installé a une vue d’ensemble sur la quasi-totalité du système d’information. La puissance de l’EDR réside aussi dans sa capacité à avoir une vision globale en temps-réel, tout en faisant un focus sur un terminal précis ou une connexion à l’instant T.

Autoapprentissage continue

Les solutions EDR utilisent des principes d’IA et de machine learning pour identifier les menaces connues ou de type Zero Day. En combinant de l’analyse statique et dynamique, les malwares, par exemple, pourront être identifiés avant ou après leur exécution.

Intégration avec l’écosystème existant

Les éditeurs de solutions EDR ont rapidement compris l’intégrer de pouvoir s’intégrer avec d’autres acteurs. Certains éditeurs ont fait le choix d’évoluer leur technologie vers de l’XDR (eXtended Detection & Response). D’autres constructeurs ont pris une autre voie et privilégié une synchronisation par API avec différentes solutions de type SIEM ou SOAR afin que les données puissent être analysées et exploitées à un seul endroit par les équipes de sécurité.

Network Detection & Response

Origines du NDR

Pour analyser le réseau, des solutions d’analyse du trafic sont disponibles depuis de longues années maintenant. Pour autant, celles-ci n’ont pas vocation à agir en profondeur et plus précisément contre les menaces exploitant le réseau. Ce n’est que très récemment, en 2020 avec Gartner, que le terme Network Detection & Response est né.

Fonctionnalités du NDR

Le Network Detection & Response identifie et stoppe les menaces réseau évasives. La solution analyse des données brutes pour détecter les comportements anormaux et prendre des mesures de remédiation.

Contrôle en temps-réel

Avec une visibilité complète sur les échanges réseaux, la moindre anomalie avérée peut remonter sous forme d’alerte sur la plateforme. Le NDR agit notamment lorsqu’il y a tentative d’intrusion. La détection est assurée et permet de prendre très rapidement les mesures correctives qui s’imposent pour stopper net l’attaquant et retracer son parcours.

Analyse de tous les échanges

Quid des échanges chiffrés ? Une grande partie des échanges se font se manière sécurisés mais un NDR est malgré tout capable de déceler de l’information. Au lieu de lire et d’interpréter le contenu d’un paquet réseau, il analyse les métadonnées et identifie les changements de comportements en cours.

Investigation approfondie

Les plateformes NDR collectent une quantité importante d’informations et sont capables de donner du contexte à chaque action. Elles peuvent notamment identifier : les tentatives de reconnaissance du réseau, les identifiants utilisés dans le cadre de mouvement latéral, les accès à des fichiers importants, les sites de Command & Control qui sont contactés, … Avec cette vue d’ensemble, les faux positifs sont réduits et les alertes mieux catégorisées.

Bénéfices du NDR

Surveillance de chaque machine possédant une IP

Contrairement à une solution EDR, la technologie NDR va être directement installée sur les équipements réseaux qui gèrent le traffc : switchs, TAP, … Cela ouvre la possibilité de sécuriser des machines qui étaient jusqu’à là délaissées ou trop peu couvertes : imprimantes, dispositif de domotique, machines industrielles, matériel médical, etc.

Intégration étendue

Les différents acteurs du NDR offrent des intégrations avancées avec des plateformes de centralisation SIEM ou SOAR. Cette fonctionnalité est d’autant plus intéressante que l’entreprise sécurisée possède déjà une solution EDR, MDM etc. et qu’elle souhaite regrouper toutes ses données à un seul et même endroit.

Combiner les deux technologies pour une couverture étendue

Les technologies EDR et NDR protègent les entreprises en analysant des métriques de sécurité et prennent des actions correctives. Elles agissent sur un périmètre différent et sont à ce titre, complémentaires.
Le NDR va se focaliser sur les échanges réseaux entre différentes machines tandis que l’EDR va analyser les différentes actions effectuées sur un ordinateur, un mobile ou un serveur.
La couverture des menaces est également différente :

• EDR : surveille l’apparition de vulnérabilités, le téléchargement de fichiers ou d’exécutables malveillants. Détecte les malwares qui ont une signature virale ou non.
• NDR : Identifie les mouvements latéraux, l’utilisation d’identifiants inappropriés, les communications avec un serveur C&C et plus globalement toute anomalie de communication réseau.

Si disparités il y a, la bonne nouvelle est que les deux technologies fonctionnement parfaitement ensemble. Car en combinant les forces de l’EDR et du NDR, vous profitez d’une couverture étendue de votre système d’information.

FORTINET, leader mondial de la gestion unifiée des menaces

Née à l’aube du nouveau millénaire, FORTINET, qui compte parmi les leaders mondiaux de la cybersécurité, offre aujourd’hui un vaste portefeuille de solutions pour protéger tous types de terminaux et de données, tous types d’entreprises. Si l’entreprise californienne de Sunnyvale a d’abord fait ses armes sur le hardware pour la protection réseau, elle propose des dizaines de solutions cloud et physiques regroupées dans une seule et même plateforme complète d’administration.

Une approche globale de la cybersécurité

Dans un environnement en pleine mutation, FORTINET a fait le choix de couvrir l’ensemble du paysage des menaces en ayant pour principe de proposer des solutions avec le meilleur rapport qualité/prix possible. Le catalogue intègre donc des solutions comme celles dédiées à l’authentification (NAC, OTP), de SOC (XDR, SIEM, SOAR) ou de protection cloud (CASB, Mail).
Pour simplifier la vie des équipes de sécurité et uniformiser le déploiement des différents produits, l’ensemble des solutions FORTINET s’administre sur une plateforme SaaS unique et intuitive développée autour de FORTIOS. Cette approche a également ouvert la porte à des entreprises de type MSSP (Managed Security Service Provider) afin de gérer ou cogérer l’infrastructure réseau de leurs clients. Quand une entreprise de taille moyenne n’a pas les ressources en interne pour déployer de telles solutions alors que le besoin est là, elle peut profiter des avantages de la technologie FORTINET et optimiser sa sécurité en déléguant le maintien en condition opérationnelle de ses équipements.

Un partenariat historique avec SNS SECURITY

SNS SECURITY s’est rapidement rapprochée de FORTINET, deux ans après l’arrivée du constructeur en France. La relation privilégiée que nous entretenons nous vaut aujourd’hui le niveau de partenariat le plus haut reconnu en France : EXPERT PARTNER.

Ce niveau de reconnaissance se traduit par :

• 10 000 FORTIGATE installés et infogérés ;
• 2 000 bornes Wi-Fi supervisées ;
• 100 FORTIWEB déployés ;
• 50 000 boites mail sécurisées avec FORTIMAIL/FORTISANDBOX.

Pour aider notre équipe SOC dans le traitement quotidien des alertes, nous avons également fait le choix d’un outillage spécifique. Nos analystes exploitent au quotidien FORTISOAR pour collecter les données de différentes plateformes EDR et SIEM…, mieux investiguer et prendre des actions de remédiation automatiques ou manuelles adéquates.

Notre offre d’accompagnement [S]SECURE

Pour conseiller, intégrer et superviser au quotidien nos clients, nous avons développé l’offre [S]SECURE dédiée au maintien en condition opérationnelle des équipements FORTINET.
Avec ce contrat vous bénéficiez d’un accompagnement personnalisé et illimité sur vos équipements FORTIGATE, FORTIAP, FORTIMANAGER, FORTIANALYZER, FORTIAP…

Les engagements [S]SECURE

Notre offre d’accompagnement s’adapte selon vos besoins. Pour toutes les solutions, les services sont disponibles à la carte.

• Exploitation ou cogérance de vos équipements FORTINET ;
• Aide à la mise en place de politiques de sécurité sur votre SI en suivant les bonnes pratiques ;
• Mises à jour du matériel, gestion des correctifs ;
• Maintenance curative ;
• Remplacement de vos pare-feu et points d’accès en J+1 en cas de panne ;
• Support téléphonique direct 5j/7 ;
• Extranet client pour ouvrir et suivre vos tickets.

Retrouvez le replay de la session du 9 novembre

Pour en savoir plus, retrouverez en rediffusion notre session digitale organisée de concert avec FORTINET. Ludovic RANCOUL, Directeur technique et Lilian CHATELET, Consultant sécurité réseau SNS SECURITY ainsi qu’Alain MORAIS, Systems Engineer FORTINET ont animé la session.

Ils ont évoqué la complémentarité de la technologie et de notre offre de service. Nos experts ont également assuré une démonstration de l’architecture d’un client qui a été déployée cette année par l’équipe d’ingénieurs SNS SECURITY.

Pour en savoir plus et poser vos questions, inscrivez-vous sans plus tarder :

Comment assurer une couverture de sécurité complète à votre réseau ? De nombreuses solutions existent comme l’EDR, XDR, le SIEM, … Tous proposent des fonctionnalités à divers niveaux, de protection réseau mais ne sont pas efficaces sur certaines parties clés de votre système d’information.

Une technologie avancée

Le Network Detection & Response (NDR) se distingue des solutions plus polyvalentes conçues pour protéger les postes de travail, les smartphones, … La technologie est en effet dédiée à l’écoute et à l’analyse de vos flux réseaux.

Elle fonctionne grâce à une IA avancée et des principes d’autoapprentissage, ce qui rend également possible l’analyse des paquets chiffrés. En observant les habitudes et les redondances dans les échanges réseaux, la solution est capable de détecter les anomalies et d’y remédier selon la politique mise en place.

Une visibilité sur les zones d’ombre

Le fonctionnement du NDR est méthodologique : il concentre sa surveillance dans un espace-temps précis, au cours d’une attaque : la solution regarde tous les mouvements effectués sur le SI comme les accès à des identifiants, mouvements latéraux, collecte, escalade de privilèges, évasion…

La solution s’appuie sur l’analyse comportementale pour détecter les anomalies dans les comportements des utilisateurs, c’est le cas en cas d’intrusion. En se positionnant en amont d’une potentielle brèche de sécurité, il est possible de contenir l’attaque et de retracer le parcours complet du hacker. Ici on ne parle pas de signature virale ou de décompilation de fichier. Uniquement les 0 et les 1 sont analysés, et souvent, ils ne mentent pas.

Le NDR complète donc parfaitement toutes les solutions qui sont placées en amont (authentification) ou en aval (analyse de malware) dans la chaîne de détection.

Pas besoin d’agent on-device

De plus, cette capacité de détection ne s’applique pas à des machines protégées par un agent. La solution se déploie au travers d’appliances physiques on-premise ou bien dans le Cloud afin de couvrir tous les échanges réseaux en local ou distant, ainsi que les communications Cloud avec différentes applications.

Cela permet à un NDR de protéger plus que des ordinateurs, smartphones ou serveurs. Toute machine communiquant sur le réseau et ayant une IP est monitorée. On peut donc apporter une couche de sécurité aux imprimantes, scanners, machines industrielles ou au matériel médical par exemple.

Moins d’alertes pour plus de pertinence

Contrairement aux technologies SIEM ou XDR qui sont parfois (trop) verbeuses, le Network Detection & Response génère un nombre limité d’alertes. À l’aide de l’intelligence artificielle et de machine learning, les faux positifs sont réduits et les alertes corrélées à un contexte pertinent.

Ce tri dans les alertes est un vrai plus pour les équipes SOC. Que la solution soit gérée par une entreprise ou un MSSP, les analystes SOC peuvent se concentrer sur les investigations plus complexes et qui nécessitent de l’être.

VECTRA, acteur majeur du NDR depuis bientôt 15 ans

VECTRA est un acteur américain qui a démocratisé la technologie NDR. Sa solution repose sur une IA brevetée issue de sa propre recherche. Celle-ci est étudiée pour permettre la détection des comportements anormaux et les compromissions d’équipements.

Moins d’alertes pour plus de pertinence

Forte de 15 ans d’expérience dans la sécurité informatique, VECTRA s’est spécialisée dans la détection et la remédiation des menaces réseaux. L’entreprise compte 500 collaborateurs et a aujourd’hui une présence internationale.

Sa technologie NDR est la dernière entrée au sein du catalogue d’offres SOC SNS SECURITY. La solution VECTRA a été choisie pour son niveau de maturité et l’étendue de la protection qu’elle propose. C’est un composant qui s’intègre parfaitement à nos différentes offres EDR et SOC.

Protection étendue des environnements on-premise et cloud

Peu importe votre configuration réseau, les capteurs VECTRA peuvent s’installer :

• Sur votre infrastructure LAN & WAN : Au niveau des équipements réseaux qui gèrent les flux ;
• Sur les serveurs : Sur un TAP et les serveurs directement ;
• Sur le cloud public : Grâce à des capteurs cloud virtuels, la solution analyse les flux vers GOOGLE Cloud, AWS, OFFICE 365 et MICROSOFT Azure ;

Quelle que soit votre infrastructure, la solution NDR de VECTRA s’adapte à vous tout en anticipant vos évolutions possibles dans le futur. En couvrant plusieurs vecteurs en même temps, vous profitez d’une couverture étendue de tous vos équipements, aujourd’hui et demain.

Des intégrations avec un large panel de solutions

Le NDR s’intègre facilement à différentes solutions EDR, SOAR ou SIEM pour ajouter encore plus de contexte et de précision aux alertes.
Si nous avons fait le choix de VECTRA, ce n’est décidément pas un hasard. Au-delà des bénéfices qu’elle apporte, leur technologie communique avec les autres solutions que nous proposons à nos clients dans le cadre d’accompagnement de maintien en condition opérationnelle avec FORTINET et WALLIX ou SOC avec SEKOIA.IO et SENTINELONE.

Retrouvez le replay de la session du 23 novembre

Pour la toute première fois, nous avons animé un webinar en collaboration avec VECTRA.Nous vous donnons rendez-vous le 23 novembre à 14h30 pour une session en live sur notre chaîne WEBIKEO.FR. Les intervenants étaient : Christian MILAN, Responsable SOC SNS SECURITY, Romain FASQUEL et Claire LOFFLER, respectivement Avant-vente et Senior Security Engineer VECTRA.

À l’occasion de ce webinar, vous en apprendrez plus sur le NDR VECTRA grâce à une présentation et une démonstration live d’un cas d’attaque.