Ce principe du pilier de sécurité du Google Cloud Well-Architected Framework fournit des recommandations pour créer des programmes de cyberdéfense robustes dans le cadre de votre stratégie de sécurité globale.
Ce principe met l'accent sur l'utilisation des renseignements sur les menaces pour guider de manière proactive vos efforts dans les fonctions de cyberdéfense de base, telles que définies dans The Defender's Advantage: A guide to activating cyber defense.
Présentation du principe
Lorsque vous défendez votre système contre les cyberattaques, vous disposez d'un avantage important et sous-utilisé par rapport aux pirates informatiques. Comme l'indique le fondateur de Mandiant, "personne d'autre ne connaît mieux que vous votre entreprise, vos systèmes, votre topologie et votre infrastructure. N'oubliez jamais cet atout." Pour vous aider à exploiter cet avantage inhérent, ce document fournit des recommandations sur les pratiques de cyberdéfense proactives et stratégiques, qui sont mappées au framework Defender's Advantage.
Recommandations
Pour mettre en œuvre une cyberdéfense préventive pour vos charges de travail cloud, tenez compte des recommandations des sections suivantes :
- Intégrer les fonctions de cyberdéfense
- Utiliser la fonction de renseignement dans tous les aspects de la cyberdéfense
- Comprendre et exploiter l'avantage du défenseur
- Valider et améliorer vos défenses en continu
- Gérer et coordonner les efforts de cyberdéfense
Intégrer les fonctions de cyberdéfense
Cette recommandation s'applique à tous les domaines d'action.
Le framework The Defender's Advantage identifie six fonctions essentielles de la cyberdéfense : renseignement, détection, réponse, validation, recherche et contrôle de mission. Chaque fonction se concentre sur un aspect unique de la mission de cyberdéfense, mais elles doivent être bien coordonnées et travailler ensemble pour assurer une défense efficace. Concentrez-vous sur la création d'un système robuste et intégré où chaque fonction soutient les autres. Si vous avez besoin d'une approche progressive pour l'adoption, tenez compte de l'ordre suggéré suivant. En fonction de votre maturité actuelle du cloud, de la topologie des ressources et du paysage des menaces spécifiques, vous pouvez hiérarchiser certaines fonctions.
- Renseignement : la fonction de renseignement guide toutes les autres fonctions. Il est essentiel de comprendre le paysage des menaces (y compris les pirates informatiques les plus probables, leurs tactiques, techniques et procédures, ainsi que l'impact potentiel) pour hiérarchiser les actions dans l'ensemble du programme. La fonction Renseignement est responsable de l'identification des parties prenantes, de la définition des exigences en matière de renseignement, de la collecte, de l'analyse et de la diffusion des données, de l'automatisation et de la création d'un profil de cybermenace.
- Détection et réponse : ces fonctions constituent le cœur de la défense active, qui consiste à identifier les activités malveillantes et à y répondre. Ces fonctions sont nécessaires pour agir sur les renseignements recueillis par la fonction de renseignement. La fonction Détection nécessite une approche méthodique qui aligne les détections sur les TTP des pirates informatiques et garantit une journalisation robuste. La fonction de réponse doit se concentrer sur le tri initial, la collecte de données et la correction des incidents.
- Valider : la fonction de validation est un processus continu qui garantit que votre écosystème de contrôle de sécurité est à jour et fonctionne comme prévu. Cette fonction garantit que votre organisation appréhende correctement sa surface d'attaque, localise ses failles et mesure l'efficacité de ses contrôles. La validation de la sécurité est également un composant important du cycle de vie de l'ingénierie de détection. Elle doit être utilisée pour identifier les lacunes de détection et créer de nouvelles détections.
- Recherche : la fonction Recherche implique de rechercher de manière proactive les menaces actives dans un environnement. Cette fonction doit être implémentée lorsque votre organisation dispose d'un niveau de maturité de base dans les fonctions de détection et de réponse. La fonction Recherche étend les capacités de détection et permet d'identifier les failles et les points faibles des contrôles. La fonction de recherche doit être basée sur des menaces spécifiques. Cette fonction avancée s'appuie sur des fonctionnalités robustes de renseignement, de détection et de réponse.
- Contrôle de mission : la fonction Contrôle de mission sert de hub central qui connecte toutes les autres fonctions. Cette fonction est responsable de la stratégie, de la communication et des actions décisives dans l'ensemble de votre programme de cyberdéfense. Elle garantit que toutes les fonctions fonctionnent ensemble et qu'elles sont alignées sur les objectifs commerciaux de votre organisation. Vous devez vous concentrer sur l'établissement d'une compréhension claire de l'objectif de la fonction Contrôle de mission avant de l'utiliser pour connecter les autres fonctions.
Utiliser la fonction de renseignement dans tous les aspects de la cyberdéfense
Cette recommandation s'applique à tous les domaines d'action.
Cette recommandation met en avant la fonction de renseignement comme un élément central d'un programme de cyberdéfense solide. Le renseignement sur les menaces fournit des informations sur les acteurs malveillants, leurs TTP et les indicateurs de compromission (IOC). Ces connaissances doivent guider et hiérarchiser les actions dans toutes les fonctions de cyberdéfense. Une approche basée sur le renseignement vous aide à aligner vos défenses pour faire face aux menaces les plus susceptibles d'affecter votre organisation. Cette approche permet également d'allouer et de hiérarchiser efficacement les ressources.
Les produits et fonctionnalités Google Cloud suivants vous aident à exploiter les renseignements sur les menaces pour guider vos opérations de sécurité. Utilisez ces fonctionnalités pour identifier et hiérarchiser les menaces, les failles et les risques potentiels, puis planifier et mettre en œuvre les actions appropriées.
Google Security Operations (Google SecOps) vous aide à stocker et à analyser les données de sécurité de manière centralisée. Utilisez Google SecOps pour mapper les journaux dans un modèle commun, les enrichir et les associer à des chronologies pour obtenir une vue complète des attaques. Vous pouvez également créer des règles de détection, configurer la mise en correspondance des IoC et effectuer des activités de recherche des menaces. La plate-forme fournit également des détections optimisées, qui sont des règles prédéfinies et gérées pour aider à identifier les menaces. Google SecOps peut également s'intégrer aux renseignements de première ligne de Mandiant. Google SecOps intègre de manière unique une IA de pointe, ainsi que des renseignements sur les menaces de Mandiant et de Google VirusTotal. Cette intégration est essentielle pour évaluer les menaces, comprendre qui cible votre organisation et identifier l'impact potentiel.
Security Command Center, optimisé par l'IA de Google, permet aux professionnels de la sécurité d'évaluer, d'analyser et de résoudre efficacement les problèmes de sécurité dans plusieurs environnements cloud. Les professionnels de la sécurité qui peuvent bénéficier de Security Command Center incluent les analystes du centre des opérations de sécurité (SOC), les analystes des failles et de la stratégie de sécurité, ainsi que les responsables de la conformité. Security Command Center enrichit les données de sécurité, évalue les risques et hiérarchise les failles. Cette solution fournit aux équipes les informations dont elles ont besoin pour corriger les failles à haut risque et les menaces actives.
Chrome Enterprise Premium offre une protection contre les menaces et une protection des données, ce qui permet de protéger les utilisateurs contre les risques d'exfiltration et d'empêcher les logiciels malveillants de s'introduire sur les appareils gérés par l'entreprise. Chrome Enterprise Premium offre également une visibilité sur les activités dangereuses ou potentiellement dangereuses qui peuvent se produire dans le navigateur.
La surveillance du réseau, via des outils tels que Network Intelligence Center, offre une visibilité sur les performances du réseau. La surveillance du réseau peut également vous aider à détecter des schémas de trafic inhabituels ou des volumes de transfert de données pouvant indiquer une attaque ou une tentative d'exfiltration de données.
Comprendre et exploiter l'avantage du défenseur
Cette recommandation s'applique à tous les domaines d'action.
Comme indiqué précédemment, vous avez un avantage sur les pirates informatiques lorsque vous avez une compréhension approfondie de votre entreprise, de vos systèmes, de votre topologie et de votre infrastructure. Pour tirer parti de cet avantage, utilisez ces données sur vos environnements lors de la planification de votre cyberdéfense.
Google Cloud fournit les fonctionnalités suivantes pour vous aider à gagner en visibilité de manière proactive afin d'identifier les menaces, de comprendre les risques et de réagir rapidement pour limiter les dommages potentiels :
Chrome Enterprise Premium vous aide à renforcer la sécurité des appareils d'entreprise en protégeant les utilisateurs contre les risques d'exfiltration. Il étend les services Sensitive Data Protection au navigateur et empêche les logiciels malveillants. Il offre également des fonctionnalités telles que la protection contre les logiciels malveillants et l'hameçonnage pour éviter l'exposition à des contenus dangereux. De plus, elle vous permet de contrôler l'installation des extensions afin d'éviter les extensions non sécurisées ou non approuvées. Ces fonctionnalités vous aident à établir une base sécurisée pour vos opérations.
Security Command Center fournit un moteur d'analyse des risques continu qui offre une analyse et une gestion complètes et continues des risques. La fonctionnalité de moteur de risque enrichit les données de sécurité, évalue les risques et hiérarchise les failles pour vous aider à résoudre rapidement les problèmes. Security Command Center permet à votre organisation d'identifier de manière proactive les faiblesses et de mettre en œuvre des mesures d'atténuation.
Google SecOps centralise les données de sécurité et fournit des journaux enrichis avec des chronologies. Cela permet aux équipes de sécurité d'identifier de manière proactive les compromissions actives et d'adapter les défenses en fonction du comportement des pirates informatiques.
La surveillance du réseau permet d'identifier les activités réseau irrégulières pouvant indiquer une attaque et fournit des indicateurs précoces que vous pouvez utiliser pour prendre des mesures. Pour protéger vos données de manière proactive contre le vol, surveillez en permanence l'exfiltration de données et utilisez les outils fournis.
Validez et améliorez vos défenses en continu
Cette recommandation s'applique à tous les domaines d'action.
Cette recommandation souligne l'importance des tests ciblés et de la validation continue des contrôles pour comprendre les points forts et les faiblesses sur l'ensemble de la surface d'attaque. Cela inclut la validation de l'efficacité des contrôles, des opérations et du personnel par le biais de méthodes telles que les suivantes :
- Tests d'intrusion
- Exercices de red-blue team et de purple team
- Simulations
Vous devez également rechercher activement les menaces et utiliser les résultats pour améliorer la détection et la visibilité. Utilisez les outils suivants pour tester et valider en continu vos défenses contre les menaces réelles :
Security Command Center fournit un moteur d'analyse des risques en continu pour évaluer les failles et prioriser les mesures correctives, ce qui permet d'évaluer en permanence votre stratégie de sécurité globale. En hiérarchisant les problèmes, Security Command Center vous aide à vous assurer que les ressources sont utilisées efficacement.
Google SecOps propose des fonctionnalités de chasse aux menaces et de détections optimisées qui vous permettent d'identifier de manière proactive les points faibles de vos contrôles. Cette fonctionnalité permet de tester et d'améliorer en continu votre capacité à détecter les menaces.
Chrome Enterprise Premium fournit des fonctionnalités de prévention des menaces et de protection des données qui peuvent vous aider à faire face aux menaces nouvelles et en constante évolution, et à mettre à jour en permanence vos défenses contre les risques d'exfiltration et les logiciels malveillants.
Cloud Next Generation Firewall (Cloud NGFW) permet de surveiller le réseau et l'exfiltration de données. Ces fonctionnalités peuvent vous aider à valider l'efficacité de votre stratégie de sécurité actuelle et à identifier les faiblesses potentielles. La surveillance de l'exfiltration de données vous aide à valider la solidité des mécanismes de protection des données de votre organisation et à effectuer des ajustements proactifs si nécessaire. Lorsque vous intégrez les résultats de détection des menaces de Cloud NGFW à Security Command Center et Google SecOps, vous pouvez optimiser la détection des menaces réseau, optimiser la réponse aux menaces et automatiser les playbooks.
Gérer et coordonner les efforts de cyberdéfense
Cette recommandation s'applique à tous les domaines d'action.
Comme décrit précédemment dans Intégrer les fonctions de cyberdéfense, la fonction de contrôle de mission interconnecte les autres fonctions du programme de cyberdéfense. Cette fonction permet la coordination et la gestion unifiée du programme. Cela vous aide également à vous coordonner avec d'autres équipes qui ne travaillent pas sur la cybersécurité. La fonction Contrôle de mission favorise l'autonomisation et la responsabilisation, facilite l'agilité et l'expertise, et favorise la responsabilité et la transparence.
Les produits et fonctionnalités suivants peuvent vous aider à implémenter la fonction Mission Control :
- Security Command Center sert de hub central pour coordonner et gérer vos opérations de cyberdéfense. Il regroupe les outils, les équipes et les données, ainsi que les fonctionnalités de réponse intégrées de Google SecOps. Security Command Center offre une visibilité claire sur l'état de sécurité de votre organisation et permet d'identifier les erreurs de configuration de sécurité sur différentes ressources.
- Google SecOps fournit une plate-forme permettant aux équipes de répondre aux menaces en mappant les journaux et en créant des chronologies. Vous pouvez également définir des règles de détection et rechercher des menaces.
- Google Workspace et Chrome Enterprise Premium vous aident à gérer et à contrôler l'accès des utilisateurs finaux aux ressources sensibles. Vous pouvez définir des contrôles d'accès précis en fonction de l'identité de l'utilisateur et du contexte d'une requête.
- La surveillance du réseau fournit des insights sur les performances des ressources réseau. Vous pouvez importer des insights de surveillance du réseau dans Security Command Center et Google SecOps pour une surveillance centralisée et une corrélation avec d'autres points de données basés sur la chronologie. Cette intégration vous aide à détecter les modifications potentielles de l'utilisation du réseau causées par une activité malveillante et à y répondre.
- La surveillance de l'exfiltration des données permet d'identifier les incidents de perte de données potentiels. Grâce à cette fonctionnalité, vous pouvez mobiliser efficacement une équipe de réponse aux incidents, évaluer les dommages et limiter l'exfiltration de données. Vous pouvez également améliorer les règles et les contrôles actuels pour assurer la protection des données.
Résumé du produit
Le tableau suivant liste les produits et fonctionnalités décrits dans ce document, et les met en correspondance avec les recommandations et les fonctionnalités de sécurité associées.
| Google Cloud produit | Recommandations applicables |
|---|---|
| Google SecOps |
Utilisez la fonction de renseignement dans tous les aspects de la cyberdéfense : permet la traque des menaces et la mise en correspondance des IoC, et s'intègre à Mandiant pour une évaluation complète des menaces.
Comprenez et exploitez l'avantage du défenseur : fournit des détections optimisées et centralise les données de sécurité pour une identification proactive des compromissions. Valider et améliorer vos défenses en continu : permet de tester et d'améliorer en continu les fonctionnalités de détection des menaces.Gérer et coordonner les efforts de cyberdéfense via Mission Control : fournit une plate-forme pour la réponse aux menaces, l'analyse des journaux et la création de chronologies. |
| Security Command Center |
Utilisez la fonction de renseignement dans tous les aspects de la cyberdéfense : utilise l'IA pour évaluer les risques, hiérarchiser les failles et fournir des insights exploitables pour la correction.
Comprendre et exploiter l'avantage du défenseur : offre une analyse des risques complète, une hiérarchisation des failles et une identification proactive des points faibles. Validez et améliorez vos défenses en continu : évaluez en permanence votre stratégie de sécurité et hiérarchisez vos ressources.Gérer et coordonner les efforts de cyberdéfense via le contrôle de mission : joue un rôle central pour la gestion et la coordination des opérations de cyberdéfense. |
| Chrome Enterprise Premium |
Utilisez la fonction Intelligence dans tous les aspects de la cyberdéfense : protège les utilisateurs contre les risques d'exfiltration, empêche les logiciels malveillants et offre une visibilité sur les activités dangereuses du navigateur.
Comprendre et exploiter l'avantage du défenseur : renforce la sécurité des appareils d'entreprise grâce à la protection des données, à la prévention des logiciels malveillants et au contrôle des extensions. Validez et améliorez vos défenses en continu : répondez aux menaces nouvelles et émergentes en mettant à jour en continu vos défenses contre les risques d'exfiltration et les logiciels malveillants.Gérer et coordonner les efforts de cyberdéfense via Mission Control : gérez et contrôlez l'accès des utilisateurs finaux aux ressources sensibles, y compris les contrôles des accès précis. |
| Google Workspace | Gérer et coordonner les efforts de cyberdéfense via Mission Control : gérez et contrôlez l'accès des utilisateurs finaux aux ressources sensibles, y compris les contrôles des accès précis. |
| Network Intelligence Center | Utilisez la fonction de renseignement dans tous les aspects de la cyberdéfense : elle offre une visibilité sur les performances du réseau et détecte les schémas de trafic ou les transferts de données inhabituels. |
| Cloud NGFW | Validez et améliorez vos défenses en continu : optimisez la détection et la réponse aux menaces réseau grâce à l'intégration à Security Command Center et Google SecOps. |