Surveillance de la sécurité réseau (NSM) : détection en temps réel des menaces réseau

La surveillance de la sécurité réseau (NSM) analyse en continu le trafic pour identifier les menaces, les anomalies et les activités non autorisées sur tous les segments réseau. Les fonctionnalités NSM et de détection et réponse réseau (NDR) de Cypher Sentinel détectent en temps réel les déplacements latéraux, l’exfiltration de données, les communications de commande et contrôle et les attaques DDoS grâce à l’analyse comportementale, à l’intégration des pare-feu et à l’inspection avancée du trafic chiffré.

La plupart des organisations s’appuient aujourd’hui sur des pare-feu et des systèmes de détection d’intrusion pour protéger leurs réseaux. Cependant, les pare-feu n’appliquent que les règles pour lesquelles ils sont configurés, et les solutions IDS/IPS traditionnelles manquent les attaques sophistiquées qui utilisent le chiffrement ou évitent la détection par signatures. La surveillance de la sécurité réseau (NSM) propose une autre approche : l’analyse continue de tout le trafic pour détecter les menaces à partir des comportements et des anomalies plutôt que de règles prédéfinies.

Une solution NSM complète comme Cypher Sentinel offre une visibilité intégrale sur le trafic réseau, permettant de détecter les attaques internes au réseau, notamment les déplacements latéraux entre systèmes, l’exfiltration de données et les communications de commande et contrôle. C’est essentiel, car de nombreuses attaques surviennent après qu’un attaquant a déjà franchi le périmètre : la NSM détecte ces menaces internes avant qu’elles ne causent des dommages importants.

Qu’est-ce que la surveillance de la sécurité réseau (NSM) ?

La surveillance de la sécurité réseau (NSM) collecte et analyse de manière complète le trafic réseau afin d’identifier en temps réel les menaces de sécurité, les anomalies et les activités non autorisées. Les solutions NSM capturent tout le trafic ou l’échantillonnent à grande échelle, recherchent des indicateurs de compromission et des schémas d’attaque, puis permettent une réponse rapide aux menaces détectées.

La NSM se distingue fondamentalement des pare-feu et des IDS/IPS traditionnels. Les pare-feu appliquent des contrôles d’accès selon des règles prédéfinies. Les IDS/IPS traditionnels détectent les attaques à partir de signatures connues ou de règles simples de détection d’anomalies. La NSM analyse le comportement réel observable dans le trafic réseau et identifie aussi bien les attaques connues, grâce au renseignement sur les menaces, que les attaques inconnues, grâce à l’analyse comportementale et à la détection d’anomalies.

• Visibilité complète du réseau — Visualisez toutes les communications réseau, au-delà de celles que les pare-feu journalisent ou signalent.
• Détection des menaces au-delà des signatures — Détectez les menaces inconnues grâce à l’analyse comportementale et à la détection d’anomalies.
• Détection des déplacements latéraux — Identifiez les communications entre des systèmes compromis et d’autres systèmes du réseau.
• Prévention de l’exfiltration de données — Détectez les tentatives de vol de données en analysant les schémas et les volumes des flux de données.
• Détection des menaces chiffrées — Analysez les métadonnées du trafic chiffré pour détecter les communications chiffrées malveillantes.

Fonctionnalités de détection et réponse réseau (NDR)

La détection et réponse réseau (NDR) étend la NSM en ajoutant des fonctionnalités de réponse automatisée aux menaces détectées. Les plateformes NDR détectent les attaques réseau et prennent automatiquement des mesures défensives pour contenir les menaces et minimiser leur impact.

Les fonctionnalités NDR avancées comprennent la détection des déplacements latéraux par l’analyse comportementale des communications entre systèmes, l’identification des activités de reconnaissance où les attaquants recherchent des systèmes et services de valeur, la détection de l’exfiltration par l’analyse de flux inhabituels et de transferts sortants volumineux, et la détection des communications de commande et contrôle avec des serveurs malveillants. La NDR permet d’isoler rapidement les segments réseau compromis et de bloquer les flux malveillants.

Intégration des pare-feu et sécurité de nouvelle génération

La sécurité réseau moderne nécessite l’intégration des pare-feu, des IDS/IPS, de la NSM et du renseignement sur les menaces dans une défense coordonnée. Alors que les pare-feu assurent le contrôle d’accès et une détection élémentaire des menaces, la NSM offre une visibilité approfondie sur le contenu et le comportement du trafic. Cette combinaison fournit une défense en couches qui arrête les attaques à plusieurs niveaux.

Les pare-feu de nouvelle génération (NGFW) associent les fonctions traditionnelles d’un pare-feu à la prévention des intrusions, au filtrage applicatif et à l’intégration du renseignement sur les menaces. Les NGFW inspectent le trafic au niveau applicatif et corrèlent l’activité réseau avec le renseignement sur les menaces pour bloquer le trafic malveillant connu et prévenir les schémas d’attaque connus.

Intégrés aux plateformes NSM comme Cypher Sentinel, les journaux et alertes des pare-feu se combinent à une analyse détaillée du trafic pour assurer une sécurité réseau complète. Cypher Sentinel peut mettre à jour automatiquement les règles des pare-feu selon les menaces détectées, bloquant en temps réel de nouvelles sources d’attaque.

Systèmes de détection et de prévention des intrusions (IDS/IPS)

Les systèmes de détection d’intrusion (IDS) analysent le trafic réseau à la recherche de schémas correspondant à des attaques connues et génèrent des alertes en cas d’activité suspecte. Les systèmes de prévention d’intrusion (IPS) vont plus loin en bloquant automatiquement les attaques détectées, par suppression des paquets malveillants ou réinitialisation des connexions.

Cependant, les IDS/IPS traditionnels reposent sur la détection par signatures, qui n’identifie que les attaques connues. Les plateformes EDR avancées comme Cypher Sentinel associent détection par signatures, analyse comportementale et apprentissage automatique pour détecter les exploits zero-day et les nouvelles techniques d’attaque que les IDS/IPS seuls manqueraient.

L’intégration des IDS/IPS avec l’analyse comportementale offre une détection en couches : les attaques connues sont bloquées par les signatures, tandis que les attaques inconnues sont identifiées par l’analyse comportementale et la détection d’anomalies.

Protection DDoS et atténuation des attaques

Les attaques par déni de service distribué (DDoS) cherchent à saturer les ressources réseau en les inondant de trafic, empêchant les utilisateurs légitimes d’accéder aux services. Les solutions de protection DDoS utilisent des techniques sophistiquées pour détecter et atténuer ces attaques tout en maintenant la disponibilité des services.

L’atténuation des DDoS analyse le trafic pour identifier les schémas d’attaque et filtrer le trafic malveillant en temps réel. Les attaques volumétriques qui inondent le réseau de données sont identifiées par l’analyse du volume et des schémas de trafic. Les attaques protocolaires qui exploitent les faiblesses des protocoles réseau sont détectées en analysant la structure et le comportement des paquets. Les attaques de la couche applicative visant des applications précises sont identifiées par l’analyse des schémas de trafic applicatif.

La protection DDoS avancée utilise l’analyse comportementale pour détecter les attaques sophistiquées pouvant échapper à un simple filtrage volumétrique. La protection DDoS de Cypher Sentinel combine filtrage du trafic, protection au niveau des protocoles, protection applicative et analyse comportementale pour maintenir la disponibilité du réseau, même face aux attaques DDoS sophistiquées.

Analyse du trafic chiffré et détection des menaces cachées

À mesure que le chiffrement se généralise, les attaquants l’utilisent de plus en plus pour dissimuler des communications malveillantes. Le chiffrement protège la confidentialité des données, mais masque aussi aux outils NSM traditionnels les communications malveillantes de commande et contrôle et l’exfiltration de données.

L’analyse du trafic chiffré surmonte cette difficulté en examinant les métadonnées et le comportement des communications, même lorsque leur contenu est chiffré. Elle étudie notamment les schémas de connexion, la taille des paquets, la fréquence des communications et les informations temporelles. Les communications chiffrées malveillantes présentent souvent des schémas caractéristiques, différents du trafic chiffré légitime.

Par exemple, les communications de commande et contrôle comportent souvent des signaux périodiques, émis à intervalles fixes, qui diffèrent du trafic applicatif normal. L’exfiltration de données chiffrées implique souvent des transferts volumineux et soutenus, différents de l’usage habituel des applications chiffrées. En analysant ces comportements, les plateformes NSM peuvent détecter le trafic chiffré malveillant sans le déchiffrer.

Intégration et contexte du renseignement sur les menaces

La sécurité réseau s’améliore considérablement lorsque les plateformes NSM intègrent des flux de renseignement sur les menaces identifiant les adresses IP, domaines et schémas d’attaque malveillants connus. Ce renseignement permet d’identifier immédiatement les menaces connues et fournit un contexte à l’analyse réseau.

L’intégration du renseignement sur les menaces à divers outils de détection permet à la NSM d’identifier les communications avec des serveurs malveillants connus, de détecter les attaques correspondant à des schémas connus, de repérer les systèmes compromis communiquant avec une infrastructure de réseau de machines zombies et de reconnaître les schémas d’attaque d’acteurs connus. Elle accélère considérablement la détection des menaces connues, tandis que l’analyse comportementale traite les attaques inconnues.

Cypher Sentinel s’intègre à plusieurs flux de renseignement sur les menaces et permet aux organisations d’ajouter leurs propres renseignements issus de leurs incidents de sécurité et de leur évaluation des menaces.

Segmentation réseau et architecture Zero Trust

La segmentation réseau divise le réseau en zones distinctes dont les communications sont restreintes, limitant les déplacements latéraux lorsqu’un système est compromis. L’architecture Zero Trust va plus loin en exigeant l’authentification et l’autorisation de toute communication réseau, quelle qu’en soit la source.

Les plateformes NSM et NDR offrent une visibilité essentielle sur la segmentation réseau : elles détectent les communications entre segments et identifient les violations des politiques de segmentation. Elles permettent ainsi l’application de ces politiques et la détection des schémas de communication non autorisés.

Les fonctionnalités de cybersécurité Zero Trust de Cypher Sentinel appliquent la segmentation réseau et détectent ses violations, en collaboration avec la NSM pour détecter et empêcher les déplacements latéraux.

Modèles de déploiement NSM et souveraineté des données

La surveillance de la sécurité réseau peut être déployée selon différentes architectures pour répondre aux exigences de l’organisation. La NSM cloud propose des services gérés et un déploiement simple, mais fait transiter la télémétrie réseau par des serveurs externes. La NSM sur site, déployée dans les centres de données de l’organisation, offre une souveraineté et un contrôle complets sur les données. La NSM hybride combine détection sur site et intégration sélective du renseignement sur les menaces issu du cloud.

Pour les organismes publics et les organisations traitant des données sensibles, un déploiement NSM souverain garantit que toutes les analyses du trafic réseau et les données de menace restent sous le contrôle de l’organisation, dans le respect des exigences de résidence des données.