WithSecure Client Triage Support – Validation des menaces, examen de détection

Que comprend le service d'assistance « WithSecure Client Triage » ?

Transfert vers WithSecure – Service officiel d’escalade accessible à partir d’une détection Elements EDR.
Validation de la menace – Les analystes confirment si une détection signalée correspond à une véritable attaque.
Enquête sur la menace – Analyse approfondie des méthodes d’attaque, des chemins de réseau et des chronologies.
Conseils d’intervention – Recommandations écrites sur les mesures de confinement et de remédiation.
Résultats dans la console – Les conclusions s’affichent directement dans Elements Security Center.
Important – Il ne s’agit pas d’une surveillance continue ; votre propre équipe continue de surveiller la console.

Quels sont les principaux avantages du service WithSecure Client Triage Support ?

Le WithSecure Client Triage Support est le nom commercial du service d’escalade à la demande de WithSecure pour Elements Endpoint Detection and Response, utilisé lorsqu’une détection nécessite une expertise supérieure à celle dont dispose l’équipe interne. Il est entièrement géré depuis l’Elements Security Center basé sur le cloud, la même console que le fournisseur utilise depuis qu’il a changé de nom (anciennement F-Secure Business).

Pas de SOC permanent – L’analyse par des experts est demandée au cas par cas, et non sur la base d’un effectif mensuel.
Objectif de deux heures – Le travail de validation démarre rapidement après le dépôt d’une demande.
24 heures sur 24 – Les demandes peuvent être formulées 24 h/24, 7 j/7, tout au long de l’année.
Décisions plus rapides – Mettez fin aux débats internes visant à déterminer si une détection est réellement pertinente.
Conclusions documentées – Une analyse écrite que vous pouvez joindre à un rapport d’incident.
Approche au cas par cas – L’aide d’un expert est sollicitée pour chaque détection, et non de manière continue.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul
Explique pourquoi la protection intégrée bloque les logiciels malveillants courants, mais ne permet pas d’analyser les attaques ciblées.

À quelle taille d’entreprise le service WithSecure Client Triage Support est-il adapté ?

Le facteur déterminant n’est pas l’effectif, mais le fait de savoir si une personne au sein de votre organisation examine déjà les détections EDR. Ce service apporte un avis d’expert sur les détections que votre équipe a déjà identifiées ; il ne les repère pas à votre place.

Le service WithSecure Client Triage Support répond-il aux exigences de la législation suisse en matière de cybersécurité ?

Aucun service ne le fait à lui seul, et l’obligation elle-même s’applique à bien moins d’entreprises que ne le supposent la plupart des acheteurs. L’obligation de signalement introduite par la loi révisée sur la sécurité de l’information concerne les exploitants d’infrastructures critiques, qui doivent signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte. Ce service intervient à l’étape qui prend généralement le plus de temps dans ce délai : la confirmation par un analyste qu’une détection correspond bien à une véritable cyberattaque, accompagnée d’un compte rendu écrit décrivant les méthodes, les chemins de réseau et la chronologie de l’incident, ce qui correspond en grande partie au contenu qu’un premier rapport doit comporter. En revanche, ce service ne se charge pas de détecter l’incident en premier lieu, de surveiller la console en dehors de vos propres horaires de travail, ni de transmettre quoi que ce soit au BACS en votre nom, car chaque demande doit être formulée par votre équipe. Il ne génère par ailleurs aucun dossier de conformité permanent au-delà du texte de l’analyse lui-même ; l’obligation de déterminer si vous relevez du champ d’application de la réglementation et de déposer votre rapport dans les délais vous incombe donc entièrement. Il s’agit ici d’une description des fonctionnalités du produit et non d’un avis juridique ; évaluez vos propres obligations avec l’aide d’un conseiller juridique qualifié.

Le service WithSecure Client Triage Support répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ou service ne rend une organisation conforme à la directive NIS 2, car celle-ci porte sur la responsabilité de la direction et les processus plutôt que sur les outils. La directive NIS 2 exige des entités concernées qu’elles mettent en place des mesures couvrant l’analyse des risques et les politiques de sécurité, la gestion des incidents, la continuité des activités et la sauvegarde, la sécurité de la chaîne d’approvisionnement, ainsi que le signalement à l’autorité compétente. Ce service ne correspond qu’à l’une de ces catégories : la gestion des incidents, et plus précisément la partie relative à l’analyse et à la classification. Il ne contribue en rien à l’analyse des risques, à la planification de la continuité des activités, à la sauvegarde, à la gestion des fournisseurs, ni aux obligations en matière de gouvernance et de formation que la directive impose aux instances de direction. Il ne génère pas non plus la notification elle-même ; la chaîne de signalement doit donc exister indépendamment de ce service.

Le service WithSecure Client Triage Support aide-t-il à remplir les questionnaires de sécurité des grands clients ?

En partie, et il convient de préciser quelles rubriques il permet de remplir. Il répond aux questions demandant si vous avez accès à une expertise spécialisée en analyse d’incidents en dehors de votre propre personnel, si cet accès est disponible 24 h/24 et 7 j/7, et si les incidents confirmés sont documentés par un tiers désigné, puisque l’analyse est consignée et stockée dans Elements Security Center. Il ne répond pas aux questions qui suivent immédiatement : si votre environnement fait l’objet d’une surveillance continue, quels sont vos délais moyens de détection et de réponse, combien de temps les journaux de sécurité sont conservés, comment sont gérées les sauvegardes et la restauration, ou encore comment sont mis en œuvre l’application des correctifs, le chiffrement et la gestion des vulnérabilités. Ces éléments nécessitent soit un abonnement Elements plus complet, soit des justificatifs organisationnels que vous fournissez vous-même. Si un questionnaire échoue systématiquement aux questions relatives à la surveillance et aux délais de réponse, passer à un niveau de service géré au sein de la même gamme WithSecure s’avère généralement moins coûteux et plus simple que d’ajouter le service de surveillance d’un deuxième fournisseur en complément d’un déploiement Elements, car les détections, la console et le processus d’escalade restent centralisés.

Quelle est la différence entre « Elevate to WithSecure » et « WithSecure Elements Infinite » ?

La différence décisive réside dans l’identité de la personne qui assure la surveillance. Avec ce service, c’est votre équipe qui surveille Elements EDR et décide quand transmettre un dossier ; avec Elements Infinite, c’est l’équipe de détection et de réponse de WithSecure qui surveille l’environnement en continu et ouvre elle-même les dossiers. Cette seule différence détermine tout le reste, y compris le fait que quelqu’un surveille ou non votre console à trois heures du matin. Elements Infinite effectue également des opérations de confinement dans le cadre du service géré, tandis qu’avec cette formule, vous recevez des conseils et menez vous-même les actions de réponse.

Quelles sont les restrictions à connaître avant d'acheter ?

La plus importante pour les acheteurs suisses et européens concerne la langue : Elevate to WithSecure est fourni en anglais uniquement, ce qui signifie que les échanges avec les analystes lors d’un incident ne se feront pas en allemand, en français ou en italien. Il s'agit d'un module complémentaire et non d'un produit autonome, ce qui signifie qu'il n'a aucune valeur sans un déploiement actif de WithSecure Elements EDR en arrière-plan, et qu'il n'assure aucune protection en soi. Comme l’escalade est déclenchée par votre équipe, le service hérite de vos propres lacunes de couverture : une attaque qui se déroule pendant un week-end ne sera examinée que lorsque quelqu’un ouvrira la console et soumettra la demande. L’analyse se limite également aux données de télémétrie des terminaux collectées par le capteur Elements EDR ; ainsi, toute activité n’ayant jamais touché un terminal surveillé reste hors champ. L’achat complémentaire auquel cela conduit le plus souvent est un niveau de surveillance gérée, dès lors que l’acheteur se rend compte qu’une analyse rapide par des experts ne sert à rien si personne n’est là pour la demander.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les interruptions de service.
Ce sujet traite de l’aspect « reprise » d’un incident, que les services de détection et d’analyse ne couvrent pas.

Foire aux questions sur le service WithSecure Client Triage Support

S’agit-il d’un produit de sécurité autonome ?

Non. Il s’agit d’un service d’escalade utilisé depuis WithSecure Elements Endpoint Detection and Response et qui nécessite un déploiement existant d’Elements EDR. En soi, il n’installe rien et ne bloque rien.

Dans quel délai un analyste commence-t-il à travailler ?

WithSecure fixe un objectif de deux heures à compter du moment où la demande est formulée pour que la phase de validation de la menace commence. Les demandes peuvent être soumises à tout moment, car le service fonctionne 24 heures sur 24, toute l’année.

Où les résultats s’affichent-ils ?

Les conclusions sont renvoyées dans le WithSecure Elements Security Center et associées à la détection à laquelle elles se rapportent, de sorte que l’analyse reste rattachée au dossier plutôt que d’arriver sous la forme d’un fil de discussion séparé par e-mail.