Les équipes de cybersécurité souhaitent de plus en plus aller au-delà de l’analyse isolée des menaces et des vulnérabilités. Il ne s'agit pas seulement de savoir ce qui pourrait mal tourner (vulnérabilités) ou qui pourrait attaquer (menaces), mais aussi de savoir où ces éléments se croisent dans votre environnement réel pour créer une exposition réelle et exploitable.
Quelles expositions comptent vraiment ? Les attaquants peuvent-ils les exploiter ? Nos défenses sont-elles efficaces ?
Gestion continue de l’exposition aux menaces (CTEM) peut fournir une approche utile aux équipes de cybersécurité dans leur cheminement vers une gestion unifiée des menaces/vulnérabilités ou des expositions.
Ce que signifie réellement STEM
CTEM, tel que défini par Gartner, met l'accent sur un cycle « continu » d'identification, de priorisation et de correction des expositions exploitables sur l'ensemble de votre surface d'attaque, améliorant ainsi votre posture de sécurité globale. Il ne s’agit pas d’une analyse et d’un résultat uniques fournis via un outil ; Il s’agit d’un modèle opérationnel construit en cinq étapes :
- Portée – évaluez vos menaces et vulnérabilités et identifiez ce qui est le plus important : les actifs, les processus et les adversaires.
- Découverte – Cartographiez les expositions et les chemins d'attaque dans votre environnement pour anticiper les actions d'un adversaire.
- Priorisation – Concentrez-vous sur ce que les attaquants peuvent exploiter de manière réaliste et sur ce que vous devez corriger.
- Validation – Tester les hypothèses avec des simulations d’attaques contrôlées et sûres.
- Mobilisation – Piloter des mesures correctives et des améliorations de processus fondées sur des données probantes.
Quel est le véritable avantage du STEM ?
CTEM se concentre désormais sur la gestion de l'exposition basée sur les risques, en intégrant de nombreux sous-processus et outils tels que l'évaluation des vulnérabilités, la gestion des vulnérabilités, la gestion de la surface d'attaque, les tests et la simulation. CTEM unifie l'évaluation et la validation de l'exposition, dans le but ultime que les équipes de sécurité puissent enregistrer et signaler l'impact potentiel sur la réduction des cyber-risques. La technologie ou les outils n’ont jamais été un problème ; En fait, nous avons un problème d’abondance dans le domaine de la cybersécurité. Dans le même temps, avec davantage d’outils, nous avons créé davantage de silos, et c’est exactement ce que CTEM entend défier : pouvons-nous unifier notre vision des menaces/vulnérabilités/surfaces d’attaque et prendre des mesures contre les expositions véritablement exploitables afin de réduire le cyber-risque global ?
Rôle du renseignement sur les menaces dans les STEM
Des milliers de vulnérabilités sont signalées chaque année (on en comptait plus de 40 000 en 2024), mais moins de 10 % sont effectivement exploitées. La Threat Intelligence peut vous aider de manière significative à vous concentrer sur celles qui sont importantes pour votre organisation en reliant les vulnérabilités aux tactiques, techniques et procédures (TTP) adverses observées dans les campagnes actives. Les renseignements sur les menaces ne sont plus une chose agréable, mais une chose nécessaire. Il peut vous aider à spécifier les exigences prioritaires en matière de renseignement (PIR), c'est-à-dire le contexte et le paysage des menaces les plus importants dans votre environnement. Ces renseignements sur les menaces hiérarchisés vous indiquent quelles failles sont exploitées, contre quelles cibles et dans quelles conditions, afin que vous puissiez vous concentrer sur ce qui est exploitable. dans votre environnementpas ce qui est théoriquement possible.
La question que vous devez poser à votre équipe de renseignement sur les menaces est la suivante : optimisez-vous la valeur des données sur les menaces que vous collectez aujourd'hui ? C’est votre premier axe d’amélioration/changement.
Réduction des risques basée sur la validation
Les renseignements prioritaires sur les menaces doivent être suivis de tests et de validations pour voir comment vos contrôles de sécurité résistent aux exploits et aux chemins d'attaque les plus probables, et quel impact cela pourrait avoir sur votre organisation. Un facteur important ici est que votre programme de validation de sécurité doit aller au-delà de la technologie ; Cela doit également inclure les processus et les personnes. Un EDR, un SIEM ou un WAF parfaitement adaptés offrent une protection limitée si vos flux de travail en cas d'incident ne sont pas clairs, si les manuels sont obsolètes ou si les voies d'escalade échouent sous la pression. C’est là que nous nous attendons à voir une convergence de la simulation d’attaques et de violations, d’exercices sur table, de tests d’intrusion automatisés, etc., vers la validation de l’exposition contradictoire (AEV).
Évitez les mots à la mode
STEM n'est pas un produit ; est une approche stratégique qui utilise des mesures basées sur les résultats pour la gestion de l'exposition. Sa mise en œuvre ne relève pas non plus d’une seule équipe/fonction de sécurité. Elle doit être pilotée par le haut, en brisant les silos et en améliorant les flux de sécurité entre les équipes. Commencez par l'étape « Portée » pour décider que inclure dans votre programme de gestion de l’exposition et où concentrez-vous d'abord :
- Quels sont nos principaux risques commerciaux sur lesquels la cybersécurité peut directement influencer ?
- Quels environnements (sur site, cloud, IT/OT, filiales…) et types d'actifs (joyaux de la couronne, points de terminaison, systèmes d'identité, entrepôts de données…) sont concernés ?
- Avez-vous une vision précise de cet inventaire ?
- Quels acteurs de la menace et quelles méthodes d’attaque sont les plus pertinents pour notre secteur et notre technologie ?
- Comment allons-nous intégrer les renseignements existants sur les menaces et les données sur les incidents pour affiner la portée ?
- Comment définirons-nous « l’exposition critique » (en fonction de l’exploitabilité, de l’impact commercial, de la sensibilité des données, du rayon d’explosion, etc.) ?
- Sommes-nous capables de valider les outils, les personnes, les processus et les outils aujourd’hui ?
- Quelle est notre capacité initiale à résoudre des problèmes dans ce cadre (personnes, outils, SLA) ?
Il ne s’agit pas d’une liste exhaustive, mais ces questions aident à définir un périmètre STEM réaliste et adapté aux risques, qui peut être exécuté et mesuré, plutôt qu’un effort trop vaste mais ingérable.
En un mot:
STEM fonctionne lorsque vous répondez aux questions importantes, avec des preuves :
Qu'est-ce qui peut nous nuire ? Comment cela se passerait-il ? Pouvons-nous l'arrêter ?
Pour plus de ressources sur la gestion des expositions, les renseignements sur les menaces et les pratiques de validation, visitez Filigrane.
