WithSecure Elevate (1/0) – Enquête sur les menaces, réponse aux incidents, module complémentaire EDR

Que comprend WithSecure Elevate (1/0) ?

Validation des menaces – Les analystes de WithSecure vérifient si une détection correspond bien à une attaque réelle.
Élevation depuis la console – Les cas sont signalés directement à partir des détections « Broad Context ».
Accès aux analystes 24 h/24, 7 j/7 – Le service fonctionne tous les jours, avec une validation ciblée dans un délai de deux heures.
Résumé écrit par des experts – Vous recevez les conclusions et des conseils concrets sur la manière de réagir.
Fenêtre de télémétrie de sept jours – La validation s’appuie sur les données du parc informatique des sept derniers jours.
Important – Service complémentaire ; un abonnement séparé à WithSecure Elements EDR est requis.

Quels sont les principaux avantages de WithSecure Elevate (1/0) ?

WithSecure Elevate (1/0) est un service complémentaire à WithSecure Elements Endpoint Detection and Response qui permet à votre propre équipe de confier une détection complexe aux analystes de menaces de WithSecure, plutôt que de passer à un service entièrement géré. Il est entièrement géré depuis le centre de sécurité Elements basé sur le cloud et était commercialisé sous le nom d’Elevate par F-Secure à l’époque de F-Secure Rapid Detection & Response, avant que le fournisseur ne se rebaptise WithSecure.

Moins de fausses alertes – Un analyste prend la décision au lieu de devoir deviner la nature d’une alerte ambiguë.
Pas de forfait annuel requis – L’aide d’experts est achetée à l’avance et utilisée à la demande.
Couverture en dehors des heures de bureau – Les nuits et les week-ends sont couverts sans qu’il soit nécessaire de prévoir une équipe de garde.
Conclusions documentées – Le verdict écrit vient étayer votre registre des incidents et vos rapports.
Filtre anti-faux positifs – Les analystes distinguent les attaques réelles des détections techniquement erronées.
Pas d’agent supplémentaire – L’agent Elements existant fournit toutes les données dont les analystes ont besoin.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique à quel moment la protection préventive des terminaux cesse de fonctionner et pourquoi la détection et la réponse constituent la couche qui intercepte ce qui passe entre les mailles du filet.

À quelle taille d’entreprise WithSecure Elevate (1/0) est-il adapté ?

Elevate est conçu pour les organisations qui exploitent elles-mêmes Elements EDR et qui sont parfois confrontées à une détection qu’elles ne peuvent pas évaluer avec certitude. Cette situation est la plus courante dans les entreprises disposant d’un ou deux généralistes informatiques plutôt que d’une équipe de sécurité dédiée, et la moins courante dans les organisations qui exploitent déjà un centre d’opérations de sécurité.

WithSecure Elevate (1/0) répond-il aux exigences de la législation suisse en matière de cybersécurité ?

La loi révisée sur la sécurité de l’information oblige les exploitants d’infrastructures critiques en Suisse à signaler les cyberattaques à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant leur découverte. La plupart des PME ne sont pas concernées ; cette obligation vise des secteurs tels que l’approvisionnement en énergie et en eau, les transports, la santé, la finance, l’information et la communication, ainsi que les administrations cantonales et communales. Elevate facilite le respect de ce délai d’une manière concrète : un verdict validé permettant de déterminer si une détection correspond à une véritable attaque, avec un délai cible de deux heures pour le lancement de la validation, est généralement l’élément déterminant pour savoir si un signalement est nécessaire. Ce qu’il ne fait pas, c’est rédiger le rapport, assurer le suivi du délai de 14 jours pour le finaliser, contenir l’attaque ou se substituer à un processus interne de gestion des incidents, car ce sont les analystes qui fournissent des conseils et votre équipe qui agit en conséquence. De plus, il ne couvre rien en dehors d’Elements EDR ; ainsi, une attaque qui débute sur un système non surveillé ne génère aucune détection à signaler. Cette description ne constitue pas un avis juridique ; il convient de vérifier auprès de votre propre conseiller juridique si votre organisation est soumise à l’obligation de signalement.

WithSecure Elevate (1/0) répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun logiciel ni service d’expertise ne permet à une entreprise de se conformer à la directive NIS 2. La directive NIS 2 impose aux entités essentielles et importantes de mettre en place une analyse des risques et des politiques de sécurité pour les systèmes d’information, la gestion des incidents, la continuité des activités, la sécurité de la chaîne d’approvisionnement et le signalement des incidents significatifs à l’autorité nationale compétente. Elevate intervient dans le domaine de la gestion des incidents : classification par des experts d’une détection en menace réelle, activité suspecte justifiant une action, comportement à risque accepté ou faux positif, ainsi qu’un compte rendu écrit des constatations et des recommandations. Il n’apporte aucune contribution à l’analyse des risques, à la continuité des activités, à la sécurité de la chaîne d’approvisionnement, ni aux obligations en matière de gouvernance et de formation que la directive impose à la direction. S’agissant d’un service réactif utilisé au cas par cas, il ne permet pas non plus d’assurer la surveillance continue que les entités soumises à une supervision plus stricte sont normalement tenues de démontrer.

WithSecure Elevate (1/0) aide-t-il à répondre aux questionnaires de sécurité des grands clients ?

En partie, et principalement dans un domaine précis. Les questionnaires de sécurité des grands clients demandent généralement si vous utilisez une solution EDR, si les détections sont triées par du personnel qualifié, dans quel délai un incident peut être classé, et si les résultats sont documentés. Elevate vous permet de répondre de manière crédible aux questions relatives au triage et à l’expertise : les cas sont transmis aux analystes de WithSecure 24 heures sur 24, 7 jours sur 7, avec un délai cible de deux heures pour le début de la validation, et chaque cas se clôture par un verdict écrit que vous pouvez joindre comme preuve. Il ne répond à aucune question concernant la surveillance continue, le temps moyen de réponse, la conservation des journaux au-delà de la fenêtre de données de l’EDR Elements, les tests d’intrusion, le développement sécurisé ou la gestion des risques fournisseurs, car il n’assure aucune de ces fonctions. Si un questionnaire échoue sur la surveillance continue plutôt que sur l’expertise, passer, au sein de la même gamme WithSecure, à un service géré de détection et de réponse est généralement moins coûteux et plus facile à justifier que d’ajouter les outils d’un deuxième fournisseur en complément d’Elements.

Quelle est la différence entre WithSecure Elevate (1/0) et WithSecure Elevate Package (2/1) ?

La différence décisive réside dans le fait que la phase plus approfondie d’enquête sur les menaces (Threat Investigation) vous soit ou non accessible. La notation décrit l’étendue du service du forfait : le premier chiffre couvre les cas de validation des menaces (Threat Validation), le second couvre les cas d’enquête sur les menaces (Threat Investigation). Avec la formule (1/0), une détection peut être validée et classée, mais si l’analyste confirme une attaque avérée et que vous souhaitez obtenir la chronologie complète de l’événement, des informations de renseignement sur les menaces croisées et un plan de confinement concret, cette phase ne fait pas partie de cette formule. Il en va de même pour toute détection datant de plus de sept jours, qui contourne la validation et passe directement à l’investigation. Aucune de ces formules n’inclut le service distinct WithSecure Incident Response.

Quelles sont les limites à connaître avant d’acheter ?

Trois limitations sont particulièrement importantes. Le service Elevate est proposé uniquement en anglais, ce qui constitue une réelle contrainte pour les équipes suisses et européennes dont le personnel d'astreinte travaille en allemand, en français ou en italien : l'interface d'Elements Security Center est localisée, mais les échanges avec les analystes ne le sont pas. Deuxièmement, Elevate s’appuie sur la couverture d’Elements EDR, qui protège les postes de travail et les serveurs ; ainsi, une compromission sur un appareil mobile ou sur tout système ne disposant pas de l’agent Elements ne génère aucune détection pouvant être signalée. Troisièmement, les analystes de WithSecure fournissent des analyses et des conseils plutôt que de mettre en œuvre des mesures de confinement dans votre environnement ; si un cas atteint le seuil d’incident majeur défini par le fournisseur (par exemple, plus de cinq appareils infectés ou un actif critique pour l’entreprise compromis), il sera recommandé de faire appel au service distinct de gestion des incidents, qui ne fait pas partie de ce produit.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les pannes
. Ce document aborde l’aspect de la restauration, que les conseils d’experts ne peuvent remplacer, ainsi que le coût réel d’une panne pour une entreprise.

Foire aux questions sur WithSecure Elevate (1/0)

Où sont stockées les données examinées par les analystes de WithSecure ?

Les données d'événements comportementaux collectées par l'agent Elements sont stockées sur l'infrastructure AWS au sein de l'Union européenne (Irlande) pendant un an, sur une base glissante, pendant la durée de la mission, et sont supprimées dans les deux mois suivant la fin de celle-ci. L'ouverture d'un dossier Elevate permet aux analystes d'accéder aux métadonnées relatives à cette détection spécifique.

Les analystes de WithSecure modifient-ils quoi que ce soit sur nos appareils ?

Non. Elevate fournit le verdict et les recommandations d’intervention via l’Elements Security Center. L’isolation d’un hôte, l’arrêt d’un processus ou la suppression de fichiers restent des actions que votre propre administrateur effectue depuis la console.

Notre prestataire de services peut-il ouvrir des dossiers Elevate en notre nom ?

Oui, si le prestataire gère votre environnement Elements. Elements Security Center dispose d’un mode géré par un partenaire, et Elevate est déclenché à partir de la même vue « Broad Context Detections » ; ainsi, un prestataire disposant d’un accès à la console peut créer un dossier Elevate pour vous.