WithSecure Elevate Package (2/1) – Enquête sur les menaces, réponse aux incidents, module complémentaire EDR

Que comprend l'offre WithSecure Elevate (2/1) ?

Module complémentaire Elements EDR – Nécessite un abonnement actif à WithSecure Elements EDR.
Deux jetons de validation – Les analystes vérifient si une détection correspond à une menace réelle.
Un jeton d'investigation – Analyse approfondie avec chronologie de l'attaque et conseils de confinement.
Accès aux analystes 24 h/24, 7 j/7 – La validation commence dans les deux heures suivant la demande.
Flux de travail via la console – L’élévation et les résultats restent dans Elements Security Center.
Important – Pas de surveillance continue ; c’est vous qui éléviez vous-même les détections.

Quels sont les principaux avantages du pack WithSecure Elevate (2/1) ?

WithSecure Elevate est un service d’expertise à la demande que l’administrateur d’Elements EDR déclenche depuis l’Elements Security Center lorsqu’une détection « Broad Context » est ambiguë. WithSecure est l’ancienne division F-Secure Business, et le module auquel ce service est associé était auparavant commercialisé sous le nom d’Elements Endpoint Detection and Response avant d’être intégré à Elements Endpoint Security.

Expertise à la demande – Ne payez le temps de travail d’un analyste que lorsqu’une détection n’est pas claire.
Triage plus rapide – Les analystes classent les détections en trois catégories : authentiques, suspectes ou faux positifs.
Conclusions documentées – Un résumé écrit que vous pouvez présenter à la direction ou à un auditeur.
Contexte historique – Sept jours de télémétrie du parc informatique alimentent chaque validation de menace.
Aucun déploiement requis – Aucun programme d’installation, agent ou portail distinct n’est nécessaire.
Processus d’escalade clair – Les analystes indiquent quand une réponse complète à l’incident devient nécessaire.

Le meilleur antivirus ? Pourquoi Windows Defender ne suffit pas à lui seul.
Explique jusqu’où va la protection intégrée à Windows et pourquoi la détection, l’investigation et la réponse sont des disciplines distinctes.

À quelle taille d’entreprise le pack WithSecure Elevate (2/1) est-il adapté ?

Elevate convient aux organisations qui exploitent déjà elles-mêmes Elements EDR mais qui n’emploient pas d’analyste de sécurité dédié. Une entreprise disposant de son propre centre d’opérations de sécurité a rarement besoin de jetons de validation achetés à l’extérieur, tandis qu’une entreprise ne disposant d’aucun EDR ne peut pas utiliser le service du tout, car il n’y a pas de détections à escalader.

Le pack WithSecure Elevate (2/1) répond-il aux exigences de la législation suisse en matière de cybersécurité ?

L'obligation de signalement prévue par la loi révisée sur la sécurité de l'information s'applique aux exploitants d'infrastructures critiques, telles que l'approvisionnement en énergie et en eau potable, les entreprises de transport ainsi que les administrations cantonales et communales, et non à toutes les entreprises suisses. Ces organisations doivent signaler une cyberattaque à l’Office fédéral de la cybersécurité (BACS) dans les 24 heures suivant sa découverte, et disposent de 14 jours supplémentaires pour compléter le rapport. Le rapport doit décrire le type d’attaque, ses effets et les contre-mesures déjà prises, et c’est précisément là qu’une «Threat Validation» s’avère utile : elle permet de déterminer rapidement si une détection ambiguë correspond bel et bien à une véritable attaque, ce qui, dans la pratique, marque le début du délai de notification. Une enquête sur les menaces va plus loin et produit une reconstitution écrite de la chronologie de l’attaque qui peut être jointe au rapport ou remise aux autorités. Ce qu’Elevate ne fait pas, c’est détecter l’attaque en premier lieu (ce qui relève de la compétence d’Elements EDR), soumettre le rapport en votre nom ou surveiller votre console pendant la nuit ; par conséquent, une détection passée inaperçue reste une détection non signalée. Ce texte constitue une information générale sur le produit et ne constitue pas un avis juridique ; il convient de vérifier auprès d’un conseiller juridique qualifié si votre organisation est soumise à l’obligation de signalement.

Le pack WithSecure Elevate (2/1) répond-il aux exigences de la législation européenne en matière de cybersécurité ?

Aucun produit ne garantit à lui seul la conformité à la directive NIS 2, car celle-ci porte sur les mesures organisationnelles, la gouvernance et la responsabilité plutôt que sur un logiciel en particulier. La directive NIS 2 exige des entités essentielles et importantes qu’elles mettent en œuvre des mesures dans des domaines tels que la gestion des incidents, l’analyse des risques et les politiques de sécurité des systèmes d’information, la continuité des activités et la gestion de crise, la sécurité de la chaîne d’approvisionnement et l’utilisation de la cryptographie. Elevate contribue à une seule de ces catégories, à savoir la gestion des incidents, en fournissant une analyse humaine qualifiée de la détection au niveau des terminaux ainsi qu’un résultat d’enquête documenté pouvant servir de preuve d’un processus structuré. Il n’apporte aucune contribution à la continuité des activités, à la sauvegarde, à la cryptographie ou à l’évaluation de la chaîne d’approvisionnement, et il ne génère ni ne transmet aucune notification d’incident. Il n’assure pas non plus de surveillance continue ; par conséquent, une organisation qui s’appuie uniquement sur Elevate n’a toujours aucune garantie qu’une détection survenant en dehors des heures de travail sera repérée à temps.

Le pack WithSecure Elevate (2/1) facilite-t-il le remplissage des questionnaires de sécurité des grands clients ?

En partie, et il est utile de savoir précisément quelles rubriques il permet de remplir. Il vous permet de répondre par l’affirmative aux questions concernant l’analyse documentée des incidents, l’accès à une expertise spécialisée en sécurité en dehors de vos propres effectifs, ainsi que la disponibilité de cette expertise 24 heures sur 24 ; les rapports d’analystes vous fournissent des éléments concrets à présenter plutôt que de simples affirmations. En matière de conservation des données, les données d’événements Elements EDR sont conservées pendant un an sur une base glissante pendant la durée du contrat, et les données collectées manuellement pendant trois mois, ce qui répond à la question courante concernant la période sur laquelle une enquête peut remonter. Elle ne vous permet pas de répondre par l’affirmative à des questions concernant la surveillance continue 24 h/24 et 7 j/7 de votre environnement, l’existence d’un centre d’opérations de sécurité dédié, la souscription à un contrat de réponse aux incidents avec un délai d’intervention garanti, ou la réalisation d’exercices réguliers de réponse aux incidents, car il s’agit là de services WithSecure distincts. Si un questionnaire client vous donne une note insuffisante sur ces points, la solution la plus économique consiste généralement à passer à un niveau supérieur au sein de la même gamme, en optant pour le service Co-Monitoring ou Elements MDR pour la surveillance, et pour un contrat de réponse aux incidents afin de bénéficier d’une intervention garantie, plutôt que d’ajouter un deuxième fournisseur et une deuxième console à votre infrastructure.

Quelle est la différence entre WithSecure Elevate (1/0) et Elevate Package (2/1) ?

La différence fondamentale réside dans le fait que le forfait (2/1) comprend un « Investigation Token », contrairement au forfait (1/0). Sans jeton d’investigation, vous pouvez faire valider une détection, ce qui signifie qu’un analyste vous indique s’il s’agit d’une menace réelle, d’une activité suspecte ou d’un faux positif, mais vous ne pouvez pas demander la phase plus approfondie qui reconstitue la chronologie de l’attaque et propose des mesures de confinement. Cela a également son importance dans une deuxième situation, moins évidente : si la détection que vous souhaitez escalader date de plus de sept jours, elle consomme directement un jeton d’investigation ; un forfait (1/0) ne peut donc pas traiter les détections plus anciennes. Le forfait (2/1) vous offre également deux validations au lieu d’une seule, ce qui signifie concrètement qu’une deuxième détection ambiguë survenant plus tard au cours de l’abonnement ne vous laissera pas les mains vides.

Quelles sont les restrictions à connaître avant d’acheter ?

Le service est proposé uniquement en anglais, ce qui constitue la restriction la plus importante pour les acheteurs en Suisse, en Allemagne, en France et en Italie, car les échanges avec les analystes et le rapport d’enquête écrit ne seront pas dans votre langue locale, même si la console Elements elle-même est localisée. Elevate est de par sa conception un système réactif : personne chez WithSecure ne surveille votre console ; c’est donc à un membre de votre organisation de repérer la détection et d’appuyer sur le bouton. Une détection découverte le lundi matin est ainsi restée sans suivi pendant tout le week-end. Les analystes fournissent des conseils et des instructions précises ; ils ne se connectent pas et ne procèdent pas aux corrections à votre place. Si le cas atteint le seuil d’incident majeur — qui inclut plus de cinq appareils infectés, un actif critique pour l’entreprise compromis ou un appareil compromis non couvert par l’EDR —, ils recommanderont une intervention distincte de réponse aux incidents qui ne fait pas partie de cette offre. Les jetons sont consommés par cas et les jetons inutilisés expirent à la fin de la période d’abonnement ; ainsi, une année calme se traduit par des jetons inutilisés plutôt que par un report de crédit. Enfin, le délai de deux heures est un objectif pour le lancement de la validation, et non une garantie contractuelle de réponse, ce qui est important si vous avez besoin d’un engagement soutenu par un SLA pour un client ou un auditeur.

La perte de données coûte cher : comment les sauvegardes vous aident à éviter les interruptions de service.
Cet article explique pourquoi l’analyse et les conseils ne suffisent pas à eux seuls à rétablir les opérations, et décrit à quoi doit ressembler une couche de restauration efficace.

Foire aux questions sur le pack WithSecure Elevate (2/1)

WithSecure Elevate nécessite-t-il une installation spécifique ?

Non. Il n’existe pas de programme d’installation ni d’agent Elevate distinct. Une fois l’agent Elements déployé et le module EDR activé, le bouton « Elevate » apparaît dans la section « Broad Context Detections » (Détections contextuelles étendues) du Centre de sécurité Elements, et le solde de jetons est visible dans la vue « Abonnements ».

Jusqu’à quand un analyste peut-il remonter dans le temps lorsqu’il examine une détection ?

Une validation de menace s’appuie sur les données télémétriques collectées au sein de votre environnement au cours des sept derniers jours. Les données d’événements Elements EDR sous-jacentes sont conservées pendant un an sur une base glissante pendant toute la durée du contrat, et les données collectées manuellement pendant trois mois, ce qui permet à une enquête sur les menaces de reconstituer une séquence d’événements plus longue.

Elevate est-il identique au service « Managed Detection and Response » ?

Non, et confondre les deux est l’erreur la plus courante avec ce produit. Elevate part du principe que vous exploitez votre propre solution EDR et que vous souhaitez bénéficier du soutien d’experts pour des cas individuels complexes, tandis que la détection et la réponse gérées confient entièrement à WithSecure les tâches de surveillance, de détection et de réponse. Si personne ne surveille la console le soir et le week-end, Elevate n’est pas la solution adaptée à ce problème.