Microsoft a lancé deux nouveaux services de sécurité, Defender Threat Intelligence et Defender External Attack Surface Management (EASM), qui visent à renforcer les capacités d’intelligence du centre d’opérations de sécurité (SOC) d’une entreprise plutôt que de se concentrer uniquement sur la protection des appareils.
Ces deux nouveaux produits fusionnent la technologie que Microsoft a acquise après avoir racheté la société de sécurité RiskIQ en juillet dernier pour 500 millions de dollars.
Des services complémentaires
Ces nouveautés pourraient empiéter sur le terrain de services existants de Microsoft, comme Sentinel, son service de gestion des informations et des événements de sécurité (SIEM), et Microsoft Defender Experts for Hunting, un service géré de chasse aux menaces, ou encore Defender Experts for XDR, un service géré de détection et de réponse étendues (XDR).
Mais Microsoft affirme que ces offres de services d’information sur les menaces basées sur RiskIQ diffèrent en ce qu’elles fournissent aux clients un « accès direct aux données en temps réel » provenant des signaux de sécurité de Microsoft. La semaine dernière, le directeur de Microsoft, Satya Nadella, indiquait que l’entreprise recevait 43 trillions de signaux de sécurité par jour.
Outre les signaux, Microsoft précise que son nouveau service de renseignements sur les menaces est basé sur des renseignements fusionnés entre RiskIQ, l’équipe de suivi des Etats-nations de Microsoft, le Microsoft Threat Intelligence Center (MSTIC, prononcé « Mystic ») et l’équipe de recherche en sécurité de Microsoft 365 Defender.
250 acteurs et familles de ransomware différents
Rob Lefferts, vice-président de l’unité Microsoft Modern Protection and SOC, explique à ZDNet que le service d’information sur les menaces consiste à « connecter les SOC aux chercheurs de MSTIC de Microsoft ». Quant à la gestion de la surface d’attaque externe de Microsoft Defender, elle vise à « faire en sorte que vous puissiez voir le monde entier comme le ferait l’attaquant », précise-t-il. « Nous allons scanner internet et vous aider à comprendre ce que vous présentez sur l’internet public, et quelle exposition cela signifie pour votre entreprise. »
Ce service de gestion de la surface d’attaque pourrait s’avérer particulièrement utile. En effet, on apprenait récemment que les cybercriminels scannent internet à la recherche de dispositifs vulnérables exposés dans les 15 minutes qui suivent la divulgation publique d’une faille majeure de sécurité. Sans oublier les vulnérabilités plus anciennes, qu’ils continuent à rechercher, comme les célèbres failles Exchange de l’année dernière, ProxyLogon et ProxyShell.
Ce service découvre les ressources inconnues et non gérées d’un client qui sont visibles et accessibles depuis internet – donnant aux défenseurs la même vue qu’un attaquant lorsqu’il choisit une cible. Defender EASM aide les clients à découvrir les ressources non gérées qui pourraient être des points d’entrée potentiels pour un attaquant.
A travers MSTIC et Microsoft 365 Defender Research, Microsoft suit 250 acteurs et familles de ransomware différents. « Nous fournissons des renseignements sur l’ensemble d’entre eux et apportons cela à votre équipe de sécurité – pas seulement pour apprendre les dernières nouvelles… mais aussi pour l’explorer. Donc, si je vois un indicateur, je pourrais explorer où cela pourrait vivre sur le réseau et le connecter à ce que je vois dans mon entreprise. C’est une sorte d’outil de travail pour les analystes au sein d’une entreprise », explique Rob Lefferts.
Microsoft développe sa gamme de produits de sécurité
L’activité de sécurité de Microsoft se développe rapidement. Elle valait 10 milliards de dollars annuels en 2021. En avril dernier, elle était montée à 15 milliards de dollars par an. Lors de la présentation des résultats du quatrième trimestre de l’exercice 2022, Satya Nadella soulignait que le « chiffre d’affaires de Microsoft dans le domaine de la sécurité a augmenté de 40 % ». Précisant que la sécurité couvrait désormais 50 catégories, bien au-delà de son antivirus Defender pour les PC Windows.
Pour renforcer son offre de cybersécurité, Microsoft a également fait l’acquisition de plusieurs entreprises spécialisées dans la sécurité de l’internet des objets, avec CyberX en 2020 et ReFirmLabs en 2021.
Microsoft a rebaptisé sa gamme de sécurité en 2020 pour regrouper Microsoft Threat Protection, Defender ATP, Azure Security Center et d’autres sous le nom de Microsoft Defender. Microsoft Defender deviendra son produit XDR, tandis qu’Azure Sentinel deviendra sa gamme SIEM.
Selon Rob Lefferts, les deux nouveaux services portant la marque Defender sont des produits autonomes. « C’est différent de la protection des terminaux. Il s’agit d’améliorer votre équipe de sécurité, de lui donner de nouvelles vues et perspectives. Imaginez une partie d’échecs où vous pouvez retourner le plateau et regarder du point de vue de votre adversaire. Cet outil est conçu pour aider les analystes à faire de même, à leur apporter cette perspective différente. »
Source : ZDNet.com