3 façons de prévenir les menaces évasives
Les attaquants ne cessent de réutiliser, modifier ou créer des logiciels malveillants entièrement nouveaux, ce qui se traduit par des volumes importants de logiciels malveillants ciblant les organisations. Cela permet également aux attaquants de se concentrer sur le développement de menaces plus évasives, construites pour détecter les environnements d'analyse des logiciels malveillants et stopper les activités malveillantes jusqu'à ce qu'elles ne soient plus analysées. En attendant, les organisations luttent à la fois pour suivre le volume important de logiciels malveillants et pour identifier et prévenir les attaques sophistiquées.
La détection des menaces évasives pose de multiples problèmes. Les menaces évasives recherchent des indicateurs de l'activité d'un utilisateur valide et de la technologie de virtualisation et mettent en pause l'activité malveillante jusqu'à ce qu'il n'y ait plus de risque d'être identifié. Ils exploitent les vulnérabilités connues des logiciels libres et recherchent les techniques de détection utilisées par les hyperviseurs les plus répandus. De ce fait, ils se banalisent fortement et sont donc de plus en plus utilisés.
Il est essentiel de repenser les tactiques utilisées pour détecter ce type moderne de logiciels malveillants. Vous trouverez ci-dessous trois éléments clés que les outils de sécurité doivent prendre en compte pour faciliter l'identification et, en fin de compte, la prévention des menaces évasives.
1. Utiliser des analyses virtuelles conçues à cet effet
Pour détecter les logiciels malveillants très évasifs, utilisez un environnement d'analyse virtuelle spécialement conçu qui intègre un hyperviseur et un émulateur uniques ne reposant pas sur des logiciels libres ou propriétaires. Cet environnement ne doit pas présenter de caractéristiques qui permettraient à l'attaquant de savoir qu'il a été repéré ou que le comportement du logiciel malveillant est observé.
2. Employer l'analyse Bare Metal
L'utilisation d'un environnement virtuel pour l'analyse des logiciels malveillants est inévitable. Toutefois, les échantillons présentant des techniques d'évasion dans un environnement virtuel devraient également être utilisés sur des systèmes matériels réels, également connus sous le nom d'environnements d'analyse "bare metal". Pour ne pas éveiller les soupçons des attaquants, les fichiers suspects doivent être dirigés dynamiquement vers l'environnement "bare metal" sans intervention humaine.
3. Intégrer les renseignements sur les menaces
Pour lutter contre la montée des menaces très évasives disponibles dans l économie souterraine, les organisations doivent intégrer à leurs défenses de sécurité des renseignements sur les menaces hautement contextuels et exploitables.
Les renseignements sur les menaces doivent provenir de sources multiples et être corrélés et validés pour obtenir le contexte nécessaire. Sans contexte approprié, les renseignements sur les menaces ne font qu'ajouter au bruit des quantités écrasantes d'indicateurs bruts de compromission. Il en résulte une augmentation des faux positifs et des faux négatifs, exigeant du personnel de sécurité pour toute réponse exploitable. En outre, l'intégration des renseignements sur les menaces dans des environnements d'analyse virtuels permet une prévention rapide et automatisée, minimisant ainsi le besoin de personnel spécialisé supplémentaire.
Analyse anti-évasion et renseignements contextuels sur les menaces sur une seule plateforme.
Palo Alto Networks Next-Generation Security Platform détecte et prévient automatiquement les menaces les plus évasives sur le réseau, le cloud et les terminaux. Le service d'analyse des menaces WildFire® fait partie intégrante de la plateforme et intègre de multiples techniques d'analyse des logiciels malveillants résistants à l'évasion et de prévention automatisée - analyse statique, analyse dynamique via un environnement d'analyse virtuelle sur mesure, apprentissage machine et un environnement bare metal pour une exécution complète sur du matériel réel.
La plateforme comprend également le service AutoFocus™ de renseignements sur les menaces contextuelles, qui fournit les informations nécessaires pour comprendre pourquoi, où et comment une attaque aura un impact sur un réseau. Il répond à des questions telles que "Qui attaque ?". "Quels outils utilisent-ils ?" et "Quel va être l'impact sur le réseau ?" et priorise automatiquement les attaques ciblées. Il en résulte une analyse plus rapide, une corrélation plus aisée et une réponse rapide aux incidents, ce qui réduit en fin de compte le besoin de ressources informatiques supplémentaires spécialisées dans la sécurité.
Pour en savoir plus sur la défense contre les attaques évasives, lisez le Rethink Your Stratégie to Defeat Evasive Attacks white paper.
