La télémétrie XDR (Extended detection and response) fait référence à la collecte de données à partir de couches et de solutions de sécurité, y compris celles pour les emails, les endpoints, les serveurs, les instances cloud et les réseaux. Une plateforme XDR consolide et vérifie les informations d’activité pour détecter et rechercher les menaces, connues et inconnues, et aider à l'analyse des causes profondes.
Table des matières
Comprendre la télémétrie XDR
La télémétrie XDR fournit aux équipes de centre d’opérations de sécurité (SOC) des informations exploitables, consolidées à partir de données en temps réel issus de votre environnement numérique. Il s'agit d'un composant essentiel de la réduction de la surface d'attaque et de la gestion proactive des risques, qui aide les SOC à agréger et corréler les données pour visualiser, hiérarchiser et atténuer les menaces. Cela vous permet également de décloisonner les données, en assurant une identification des risques et des mesures de réponse plus rapides et pertinentes.
Au fil du temps, la télémétrie XDR est passée d’une simple journalisation des événements à des analyses sophistiquées en temps réel. Les premières approches ont recueilli des informations d'alerte de base, mais cela ne suffit pas pour garder une longueur d'avance sur les acteurs malveillants et prendre véritablement le contrôle sur les risques. Depuis, la télémétrie s’est étendue pour prendre en compte les données comportementales, les schémas de trafic, les modifications de configurations et même l’empreinte digitale chiffrée pour les clients Transport Layer Security (TLS) via JA3.
L’intelligence artificielle (IA), l’apprentissage automatique (ML) et l’automatisation jouent un rôle essentiel dans toute stratégie de sécurité proactive utilisant la télémétrie XDR, fournissant aux équipes SOC des éléments de contexte qui permettent une réponse plus rapide aux menaces.
Types de télémétrie par couche de sécurité
Les plateformes, solutions et fonctionnalités de cybersécurité collectent des données à partir de divers événements. Celles-ci varient en quantité et en complexité en fonction de l’organisation en question, de sorte que disposer d’une plateforme personnalisée et centralisée aide à les analyser et à les hiérarchiser rapidement. En consolidant la télémétrie XDR et en l’intégrant dans un « hub » sécurisé pour un accès simplifié, les équipes SOC n’ont plus besoin d’outils autonomes et cloisonnés. Cela leur permet d'organiser et de traiter les événements de sécurité par ordre d'urgence, en atténuant la surcharge d'alerte et en réduisant l’utilisation des ressources.
Les données d'événement comprennent tout, des informations de fichier accessibles par l'utilisateur aux modifications de registre sur les appareils. Voici quelques exemples classés :
Événements sur le réseau
- Schémas de flux de trafic
- Connexions de périmètre et latérales effectuées
- Comportement suspect en matière de trafic
- Empreinte digitale pour TLS, anciennement Secure Sockets Layer (SSL), via JA3
Instances cloud
- Modifications de la configuration
- Instances nouvelles ou modifiées
- Activités sur le compte utilisateur
- Processus
- Commandes exécutées
- Connexions réseau
- Fichiers créés ou consultés
- Modifications du registre
- Métadonnées de message pour les emails externes et internes
- Métadonnées de pièce jointe
- Liens externes
- Activité des utilisateurs, comme les connexions
Endpoints
- Processus
- Commandes exécutées
- Connexions réseau
- Fichiers créés ou consultés
- Modifications du registre
Le rôle de la télémétrie dans les performances XDR
Ce qui différencie les plateformes XDR, c’est le type de données collectées et la manière dont elles sont utilisées.
Une plateforme XDR construite principalement sur sa propre pile de sécurité native permet une compréhension plus approfondie des données. Cela permet à la plateforme de collecter précisément ce qui est nécessaire pour optimiser les modèles analytiques de détection corrélée, d'investigation approfondie et de détection des menaces.
Les fournisseurs qui extraient principalement des données à partir de produits tiers ont tendance à manquer de contexte, n’ayant qu’un aperçu au niveau de la surface. Il leur manque peut-être le type et la profondeur de télémétrie nécessaires pour comprendre pleinement les risques et les menaces auxquels les organisations sont confrontées. Bien que la télémétrie, les métadonnées et NetFlow soient couramment utilisés, les données d’alerte seules peuvent manquer des détails d’activité nécessaires pour des analyses et des informations efficaces. Comprendre la structure et le stockage de la télémétrie est essentiel, car cela influence la manière dont les données sont capturées, interrogées et utilisées pour obtenir des informations sur l’activité.
En utilisant les données réseau comme exemple, une base de données graphique peut être très efficace, tandis que pour les données liées aux endpoints, un moteur de recherche et d’analyse ouvert comme Elasticsearch est bien adapté. Disposer de différentes structures de lac de données peut aider à la détection, à la corrélation et aux recherches, mais uniquement s’ils peuvent « parler » les uns aux autres via une plateforme XDR centralisée.
Principales caractéristiques et avantages d’une télémétrie XDR efficace
Informations complètes sur les données, sur l'ensemble de votre environnement
Les plateformes XDR rassemblent la télémétrie dans votre environnement numérique complet, offrant aux équipes SOC une vue claire, holistique et complète des événements de sécurité. Comme évoqué précédemment, la télémétrie XDR moderne s’étend au-delà des journaux et alertes traditionnels pour inclure les données d’activité, les flux réseau, les processus exécutes et les indicateurs comportementaux.
Corrélation et analyse automatisées des données
Les modèles de détection avancés analysent et mettent en corrélation des sources de données disparates en temps réel. Cela vous aide à repérer les schémas d'attaque, les comportements suspects et d'autres éléments de risque sur toutes les couches de sécurité. En tirant parti de ces informations, vous pouvez avoir confiance dans vos actions de réponse, hiérarchisées et alimentées par les dernières analyses de données.
Interopérabilité et architecture flexible
Les approches les plus efficaces et proactives de la télémétrie XDR s’intègrent parfaitement aux bases de données, lacs de données et moteurs d’analyse en place. Ils prennent également en charge le stockage, des requêtes et des analyses efficaces et simples, adaptés aux différents types de données d’activité.
Intégration IA et ML
Le XDR moderne exploite la puissance de l’IA et du ML pour analyser les flux de télémétrie en temps réel. Les modèles s'adaptent continuellement aux dernières menaces, méthodes d'attaque et types de risques pour vous aider non seulement à suivre le rythme des adversaires, mais aussi à anticiper leurs prochaines évolutions. L’analyse prédictive aide à détecter les comportements suspects et à les traiter, avant que les violations ne se produisent. En d'autres termes, rien n'est laissé au hasard. Ces technologies intégrées puissantes apprennent et s'adaptent en permanence.
Télémétrie XDR ou alertes SIEM
La gestion traditionnelle des informations et des événements de sécurité (SIEM) est efficace pour agréger les journaux et les alertes, mais elle n'est pas aussi efficace pour associer plusieurs alertes liées au même incident. Cela nécessite une analyse au niveau de la télémétrie racine sur toutes les couches de sécurité.
En tirant parti de la télémétrie, les alertes XDR prennent en compte les informations d’alerte ainsi que d’autres activités critiques conçues pour identifier les activités suspectes ou malveillantes. Par exemple, l’activité Microsoft PowerShell seule peut ne pas entraîner une alerte SIEM, mais XDR est en mesure d’évaluer et de corréler les activités sur plusieurs couches de sécurité, y compris les endpoints.
En exécutant des modèles de détection sur la télémétrie collectée, une plateforme XDR peut identifier et envoyer des alertes moins nombreuses mais plus fiables au SIEM, ce qui réduit la charge de tri requise par les analystes de sécurité.
Comment la télémétrie XDR fonctionne-t-elle avec l’IA et l’apprentissage automatique ?
Les plateformes XDR alimentées par l’IA peuvent analyser de vastes flux de données de télémétrie en temps réel, en identifiant les modèles subtils et les anomalies que les méthodes traditionnelles peuvent négliger. Cette capacité de reconnaissance rapide des schémas permet une détection plus précise des risques et des menaces sophistiquées, y compris les vulnérabilités zero-day et les mouvements latéraux au sein des réseaux.
Pendant ce temps, le ML apprend continuellement des dernières informations sur les menaces et s’adapte à l’évolution des tactiques d’attaque. Cela rend l'identification des menaces plus précise, aidant les équipes SOC à réduire les faux positifs et à se concentrer sur ce qui nécessite leur attention la plus urgente, sans être surchargées ou submergées. En automatisant la corrélation des données entre les endpoints, les réseaux et les environnements cloud, cette combinaison d’IA et d’apprentissage automatique est la solution proactive nécessaire pour éliminer les goulots d’étranglement, simplifier les opérations de sécurité et accélérer la réponse aux incidents.
Quels sont les défis de la télémétrie XDR ?
S’ils ne sont pas consolidés et hiérarchisés correctement, le volume et la diversité des données de télémétrie, collectées à partir des endpoints, des réseaux, des environnements cloud et des applications, peuvent entraîner une surcharge d’informations. Les équipes de sécurité peuvent avoir du mal à analyser et hiérarchiser cet afflux constant, créant des risques supplémentaires tels que des menaces manquées, une contrainte de ressources ou une fatigue liée aux alertes. L’intégration de la télémétrie dans des systèmes disparates exige également une interopérabilité robuste, mais les silos techniques et les formats propriétaires entravent souvent l’agrégation transparente.
Obtenir un accès cohérent à des données précises, en temps réel et pertinentes est un autre défi. Une télémétrie incomplète ou incohérente peut saper les modèles de détection, produisant des faux positifs ou amenant votre équipe SOC à négliger les modèles d’attaque cachés ou subtils. Il est également nécessaire de maintenir la conformité en matière de confidentialité et de sécurité, en particulier dans des environnements tels que le gouvernement, les finances et les soins de santé.
De plus, le déploiement efficace d’analyses basées sur l’IA dans les plateformes XDR repose sur des modèles bien formés, qui peuvent être entravés par des menaces en évolution et des techniques contradictoires. Enfin, le fardeau opérationnel lié à la maintenance, au réglage et à l’évolutivité des solutions XDR peut consommer trop de ressources, en particulier pour les organisations disposant d’une expertise ou d’un budget limités.
Quelle est l’approche de Trend Micro en matière de télémétrie XDR ?
L’approche Trend de la télémétrie XDR est conçue pour la prochaine génération de SOC. En intégrant la télémétrie à partir des endpoints, des réseaux, des emails et des instances cloud, elle met en corrélation les données sur des couches de sécurité disparates, transformant vos silos de données en informations exploitables tout en accélérant la réponse aux menaces. Les puissantes technologies d’IA, d’apprentissage automatique et d’automatisation vous permettent de détecter les risques en temps réel, y compris les vulnérabilités zero-day et les mouvements latéraux que les outils traditionnels peuvent manquer. La corrélation automatisée et l'évaluation des risques contextuels donnent la priorité aux menaces les plus critiques, permettant aux équipes de sécurité de réagir plus rapidement et avec plus de précision. Cette approche vous aide également à hiérarchiser l’interopérabilité, en assurant une intégration fluide avec divers environnements et solutions tierces.
Joe Lee est vice-président de la gestion des produits chez Trend Micro, où il dirige la stratégie mondiale et le développement de produits pour les solutions de messagerie d'entreprise et de sécurité réseau.
Articles associés
Trend 2025 Cyber Risk Report
From Event to Insight: Unpacking a B2B Business Email Compromise (BEC) Scenario
Understanding the Initial Stages of Web Shell and VPN Threats: An MXDR Analysis
The Forrester Wave™: Enterprise Detection and Response Platforms, Q2 2024
It’s Time to Up-Level Your EDR Solution
Silent Threat: Red Team Tool EDRSilencer Disrupting Endpoint Security Solutions
Modernize Federal Cybersecurity Strategy with FedRAMP
2024 Gartner® Magic Quadrant™ for Endpoint Protection Platforms (EPP)
The Forrester Wave™: Endpoint Security, Q4, 2023