La surveillance continue (CM) consiste à utiliser des outils automatisés pour vérifier constamment les réseaux, les systèmes IT et l’infrastructure de sécurité d’une organisation afin de détecter en temps réel toutes les menaces de sécurité, les problèmes de performance ou les problèmes de non-conformité.
Table des matières
CM, parfois appelé ConMon, combine des outils logiciels et matériels pour automatiser la collecte, l'analyse et le reporting en temps réel des données sur le réseau, les applications et l'infrastructure d'une organisation. Ces données fournissent une image complète des performances et des vulnérabilités de l'environnement IT.
La surveillance continue est un élément essentiel d’une plateforme de cybersécurité robuste, permettant aux opérations de sécurité (SecOps) de :
- Découvrez l'état général de l'infrastructure IT, y compris les réseaux et les applications déployés dans le cloud
- Identifier les vulnérabilités de sécurité potentielles
- Détectez les cybermenaces en temps réel et traitez-les rapidement
- Atténuer les risques
- Protéger les données confidentielles
- Développer une plus grande résilience en matière de sécurité
Comprendre la surveillance continue
La croissance de la fréquence et de la complexité des cybermenaces, associée à l'utilisation de systèmes distribués et de services numériques toujours actifs, rend impérative pour les organisations la possibilité de voir en permanence le statut de sécurité de leurs données, applications et infrastructures. La surveillance périodique ou par lots, lorsque des contrôles planifiés sont effectués à des intervalles définis, peut laisser les problèmes non détectés entre les contrôles et l'organisation vulnérable. D'où le besoin d'une sécurité plus proactive.
CM fonctionne en automatisant les fonctions de sécurité clés. Elle intègre les fonctionnalités suivantes :
- Collecte de données automatisée : à partir de plusieurs sources, par exemple les journaux système, le trafic réseau et les applications.
- Analyse automatisée : identification des schémas, des anomalies et des menaces de sécurité potentielles.
- Rapports automatisés : présentation d'une image claire de la santé, des performances et de la posture de sécurité du système.
- Réponse automatisée : alerte en cas d'activité suspecte en temps réel ou quasi-temps et/ou prise d'une action prédéfinie.
Types de surveillance continue
La surveillance continue comporte trois composants essentiels :
- Surveillance du réseau. Cela inclut l’inspection des modèles de trafic réseau, du trafic Web et des emails entrants et sortants, de l’utilisation de la bande passante, de la latence, de la perte de paquets, de l’état des dispositifs réseau (routeurs, commutateurs, pare-feu) et des problèmes au niveau du protocole. L’objectif est de voir si les données se déplacent correctement et en toute sécurité sur le réseau.
- Surveillance des applications. Il s'agit de suivre les performances des applications logicielles en recueillant des données telles que les temps de réponse, la disponibilité du système, l'utilitaire des ressources, la disponibilité et les taux d'erreur.
- Surveillance du système. L'accent est mis ici sur l'infrastructure IT comme les serveurs, le stockage, les unités matérielles, les appareils physiques et les ressources informatiques.
Bien que ces éléments soient généralement acceptés comme étant les trois composants nécessaires à la surveillance continue, il convient de noter que de nombreuses organisations incluent également la surveillance de la conformité. Il s’agit de s’assurer que l’organisation respecte les exigences de conformité en vérifiant les systèmes, les processus et la gestion des données par rapport aux exigences réglementaires, aux normes du secteur et aux politiques internes.
Plusieurs outils et technologies sont utilisés dans le cadre d'une surveillance continue, tels que les scanners de vulnérabilité, les systèmes SIEM (Security Information and Event Management), les systèmes IDS (Intrusion Detection Systems) et les systèmes IPS (Intrusion Prevention Systems), pour n'en citer que quelques-uns. Les deux points les plus importants à noter sont :
- Gestion et agrégation des journaux. Les données de journal sont la principale source d'informations permettant aux directions informatiques de détecter les menaces potentielles de cybersécurité. Par conséquent, il est essentiel de les collecter auprès de diverses sources, notamment l’activité des utilisateurs, l’utilisation des applications et les performances du système. Ces données doivent ensuite être collectées, centralisées et consolidées (agrégées) à partir de différents fichiers journaux sur les systèmes distribués en un seul endroit. Les journaux système historiques sont utiles pour créer des benchmarks de performance, de sécurité et de comportement des utilisateurs, ce qui permet aux directions informatiques de reconnaître plus facilement les anomalies telles que les attaques par force brute, la pulvérisation de mots de passe, l'injection SQL ou l'exfiltration de données.
- Surveillance passive. Il s'agit d'observer et de capturer des données provenant d'activités système existantes sans ajouter de trafic test ou de transactions synthétiques. En d'autres termes, la surveillance passive consiste à « écouter » le trafic réel des utilisateurs, les journaux d'application, les paquets réseau et les événements système.
Avantages d'une surveillance continue
L'un des principaux avantages pour CM est sa capacité à améliorer la posture de sécurité de l'organisation, mais les avantages ne s'arrêtent pas là. Les autres comprennent :
- Visibilité et transparence accrues. Le fait d'avoir une vue complète en temps réel de l'ensemble du paysage IT permet à l'organisation de mieux voir les problèmes de sécurité et d'y répondre avant qu'ils ne causent des dommages importants.
- Détection des menaces et réponse aux incidents améliorées. La vitesse est essentielle dans la cybersécurité. Plus une organisation peut traiter rapidement une menace, moins elle cause de dommages. La surveillance continue permet d'évaluer rapidement les menaces en fonction de leur gravité et de prendre les mesures appropriées, parfois avant qu'elles ne provoquent des perturbations. Dans de nombreux cas, des alertes automatisées sont envoyées aux équipes informatiques appropriées afin qu'elles puissent résoudre immédiatement les problèmes urgents. Cela minimise les temps d'arrêt, réduit le temps moyen de résolution (MTTR) et permet de restaurer rapidement les systèmes et les applications. Les données collectées via CM permettent à l'entreprise de prendre des décisions éclairées sur sa stratégie de cybersécurité et d'améliorer sa résilience, réduisant ainsi les risques de problèmes à l'avenir.
- Amélioration de la conformité. Pour les entreprises qui doivent se conformer à des réglementations telles que HIPPA, Payment Card Industry Data Security Standard (PCI DSS) ou le Règlement général sur la protection des données (RGPD) de l’UE, une surveillance continue est souvent requise pour assurer la protection et la confidentialité des données. Encore une fois, la visibilité améliorée et les données en temps réel fournies par CM permettent aux organisations de repérer les vulnérabilités et de prendre les mesures appropriées avant qu’une violation ne se produise.
- Efficacité opérationnelle et gestion des risques accrues. La surveillance des risques aide une entreprise à gérer les risques de sécurité plus efficacement, en réduisant les temps d'arrêt et les interruptions de service et en réduisant les coûts. La surveillance continue fournit également des données qui peuvent être utilisées pour comprendre et optimiser les performances commerciales et opérationnelles d’une organisation. Par exemple, le suivi du comportement des utilisateurs permet d'optimiser l'expérience client, améliorant ainsi la satisfaction et la fidélité des clients. La détection des problèmes de performances applicatives, quant à elle, permet de résoudre les interruptions avant que le problème n'entraîne des temps d'arrêt imprévus et des pertes de revenus.
Mise en œuvre d'une surveillance continue
Lorsqu'il s'agit de mettre en œuvre avec succès une surveillance continue, une organisation doit prendre certaines mesures :
- Clarifier les objectifs et la portée. Il est important de faire preuve de discrimination lorsqu’il s’agit de choisir les systèmes et les données à surveiller. Il serait coûteux et peu pratique de tout surveiller en permanence. Chaque entreprise a des besoins et des objectifs différents. Les parties prenantes doivent être consultées pour s’assurer que le profil de surveillance s’aligne sur les limitations organisationnelles, techniques et budgétaires. Une évaluation des risques est une bonne idée à ce stade, en donnant la priorité aux actifs en fonction du risque et de l'impact potentiel d'une cyberattaque. Les actifs à haut risque nécessitent des contrôles de sécurité plus rigoureux, tandis que les actifs à faible risque peuvent n'en nécessiter aucun.
- Sélection de la technologie. Il existe une multitude de solutions différentes qui permettent une surveillance continue. Les organisations doivent tenir compte de l'évolutivité, de la flexibilité et de la rentabilité de chaque technologie.
- Surveiller les politiques et procédures. Les contrôles de sécurité aident à protéger les biens physiques et les systèmes informatiques contre les risques de sécurité et comprennent des mots de passe et d'autres formes d'authentification, des pare-feu, des logiciels antivirus, des systèmes de détection des intrusions (IDS) et des mesures de chiffrement. Les organisations doivent clarifier qui est responsable de la surveillance, attribuer des propriétaires pour chaque contrôle, créer des normes de collecte de données, définir des règles et des seuils pour les alertes et les rapports, planifier la gestion des incidents et définir des procédures d’escalade.
- Configuration et intégration. La technologie sélectionnée doit être compatible avec le reste de l'infrastructure IT, y compris les applications logicielles et le système SIEM. Il devra ensuite être personnalisé et configuré afin que tous les systèmes fonctionnent bien ensemble.
- Révision. Comme le suggère le terme, la surveillance continue n’est pas une activité de type « set and forget ». Une analyse continue est essentielle pour déterminer si les objectifs de cybersécurité de l’organisation sont atteints. En particulier, la stratégie CM devra s'adapter aux besoins ou à l'infrastructure changeants et aux nouvelles cybermenaces ou aux risques potentiels.
Défis de la surveillance continue
Bien que les avantages d'une surveillance continue soient importants, ce n'est pas sans difficultés. Plus particulièrement, elle nécessite un investissement important en argent, en temps, en technologie et en personnel. Au niveau technique, les défis peuvent inclure :
- Surcharge de données et fatigue des alertes. CM produit une énorme quantité de données, augmentant les besoins de stockage et la charge de travail. C'est pourquoi il est important de spécifier des données et des systèmes hautement prioritaires lors de la mise en place d'une surveillance continue.
- Alerter la fatigue. Les directions informatiques peuvent facilement être submergées par le nombre d'avertissements, dont certains peuvent être des faux positifs ou des problèmes à faible risque. C'est là que les outils d'automatisation tels que les runbooks peuvent être intégrés à des alertes pour résoudre les problèmes sans intervention humaine.
- Suivi de l'activité des endpoints. De nos jours, divers appareils sont utilisés par les employés, notamment les ordinateurs de bureau, les ordinateurs portables, les tablettes, les imprimantes et les smartphones. Cela signifie qu’il est essentiel d’utiliser une combinaison de différentes méthodes de surveillance continue pour obtenir une visibilité complète.
- Assurer la confidentialité et la protection des données. Étant donné qu’il y a tellement de données à suivre, il est important de hiérarchiser, en attribuant des actifs d’importance faible, moyenne ou élevée afin que les ressources soient utilisées efficacement.
- Intégration. Des problèmes de compatibilité sont possibles en tenant compte des différents systèmes, applications, sources de données et outils impliqués dans le CM. Cela représente un nouveau défi à chaque fois qu'il y a des changements importants dans l'organisation ou son infrastructure. C’est pourquoi il est si important de consulter fréquemment toutes les parties prenantes, pour déterminer si la surveillance les profite ou les perturbe.
Tendances futures en matière de surveillance continue
À mesure que les cybermenaces et la cybersécurité continuent d'évoluer, la surveillance continue évolue également. L’une des tendances à noter est l’impact de l’IA et de l’apprentissage automatique (ML) sur la surveillance. Grâce à sa capacité à inspecter de grandes quantités de données, à repérer les schémas et à détecter les irrégularités que les humains trouveraient difficiles à détecter, elle aide les entreprises à améliorer la détection et la réponse. Cela permettra une prise de décision encore plus autonome, permettant à l’IA de prendre des mesures préventives proactives et de répondre aux attaques en temps réel.
Où puis-je obtenir de l’aide pour une surveillance continue ?
Trend Vision Oneð est la seule plateforme de cybersécurité d'entreprise qui centralise la gestion de l'exposition aux cyber-risques, les opérations de sécurité et une protection robuste par couches pour vous aider à prédire et à prévenir les menaces, accélérant ainsi les résultats de sécurité proactifs. Alimenté par l'IA et étayé par des recherches de pointe et les dernières informations sur les menaces, le programme Trend Vision Oneð Security Operations (SecOps) fournit des informations essentielles sur l'infrastructure du client, permettant aux organisations comme la vôtre de prendre le contrôle des risques de cybersécurité avec une seule plateforme et d'arrêter les adversaires plus rapidement.
Articles associés
Trend 2025 Cyber Risk Report
From Event to Insight: Unpacking a B2B Business Email Compromise (BEC) Scenario
Understanding the Initial Stages of Web Shell and VPN Threats: An MXDR Analysis
The Forrester Wave™: Enterprise Detection and Response Platforms, Q2 2024
It’s Time to Up-Level Your EDR Solution
Silent Threat: Red Team Tool EDRSilencer Disrupting Endpoint Security Solutions
Modernize Federal Cybersecurity Strategy with FedRAMP
2024 Gartner® Magic Quadrant™ for Endpoint Protection Platforms (EPP)
The Forrester Wave™: Endpoint Security, Q4, 2023