Chaque e-mail signalé fait l'objet d'une enquête menée pour vous : les menaces confirmées sont éliminées en quelques minutes

Selon une étude menée par Omdia et Microsoft, 42% des alertes ne font l'objet d'aucune enquête, notamment en dehors des heures de travail, lorsque les files d'attente des menaces restent inchangées pendant la nuit. C'est dans l'écart entre ce qui est signalé et ce qui fait l'objet d'une enquête que surviennent les incidents de sécurité. La solution « Mimecast Managed Threat Response » comble cette lacune en proposant un service moderne, disponible 24 h/24 et 7 j/7, qui gère à votre place la file d'attente des e-mails signalés par les utilisateurs.

Le problème : une file d'attente qui s'allonge plus vite que les effectifs

Les tentatives de Phishing signalées par les utilisateurs s'inscrivent pleinement dans cette zone problématique où réside le risque. À mesure que les programmes de gestion des comportements en matière de sécurité gagnent en maturité et que les employés parviennent de mieux en mieux à repérer les e-mails suspects, le nombre d'e-mails signalés augmente. C'est bien là le résultat escompté — davantage de regards et davantage de signalements —, mais cela engendre un problème de second ordre : une boîte de réception dédiée aux signalements d'abus qui se remplit plus vite que n'importe quel centre d'opérations de sécurité (SOC) ne peut la traiter manuellement, et le simple fait d'embaucher davantage de personnel ne suffira pas à combler ce déficit.

La plupart des équipes réagissent comme elles le font face à toute file d'attente qu'elles ne parviennent pas à résorber : elles lui accordent une priorité moindre. Les rapports sont regroupés en fonction des horaires de travail, confiés à des analystes débutants ou examinés uniquement lorsqu'un cas est remonté à un niveau supérieur. La plupart des SOC ne disposent toujours pas d'une stratégie cohérente pour gérer les données qui alimentent leurs outils, et des études menées dans le secteur montrent que plus de la moitié des équipes de sécurité se disent submergées par le volume d'alertes ; elles ne se plaignent pas d'un manque de ressources au sens abstrait du terme, mais sont tout simplement dépassées par les événements sur le plan structurel.

Ce déséquilibre est aggravé par le fait que la plupart des files d'attente signalées par les utilisateurs ne font l'objet d'aucun enrichissement automatisé : ni vérification de la réputation de l'expéditeur, ni corrélation entre les différents locataires, ni comparaison de similitude avec une campagne connue. Chaque rapport nécessite qu'une personne parte de zéro. Le volume augmente. Le contexte reste inchangé. Il en résulte une file d'attente composée en grande partie de demandes inoffensives, mêlées à un petit nombre de menaces réelles, sans qu'il n'existe de moyen fiable de les distinguer à la vitesse requise par cette file d'attente.

À quoi ressemble une bonne défense ?

La solution ne consiste pas à choisir entre l'automatisation et les analystes, mais à les enchaîner dans le bon ordre. La détection, le triage et la correction sont trois tâches distinctes, et les considérer comme une seule et même tâche conduit à un surchargement de travail. L'IA est particulièrement adaptée aux deux premières tâches : classer un e-mail signalé, le comparer aux modèles de campagne connus et mettre en évidence le faible pourcentage de cas nécessitant une intervention humaine. Ce que l'IA ne devrait pas être laissée libre de faire seule, c'est la correction, la décision de bloquer un expéditeur ou la mise à jour de la logique de détection sur la base du résultat confirmé d'un algorithme. Dans l'enquête menée par Torq sur la sécurité et la confiance en matière d'IA, 34% des équipes SOC ont cité le recours excessif à l'examen humain comme leur principale critique concernant le triage par IA, tandis que le manque de fiabilité des conclusions figurait en tête des critiques concernant les enquêtes menées par l'IA. Les équipes qui comblent ce déficit d'investigation sont celles qui mettent délibérément en place cette répartition des tâches : l'automatisation prend en charge le volume de travail, les analystes se chargent des décisions discrétionnaires, et le lien entre « nous avons repéré cette menace » et « notre logique de détection en a désormais connaissance » reste étroit.

Le point de vue de Mimecast

La solution « Mimecast Managed Threat Response » s'articule précisément autour de cette séquence, mais si elle permet de combler ce retard plus rapidement qu'une file d'attente gérée manuellement, c'est grâce aux changements intervenus en coulisses. Ce service repose sur une toute nouvelle architecture de traitement : notre IA exclusive effectue un tri de chaque e-mail signalé par un utilisateur dès sa réception, sans suivre de calendrier ni traiter les messages par lots pendant la nuit, et ne transmet à un opérateur humain que les menaces confirmées. Les analystes du Centre des opérations de sécurité de Mimecast donnent ensuite suite à ces confirmations 24 heures sur 24, 7 jours sur 7 : ils bloquent l'expéditeur ou le domaine, suppriment l'intégralité d'une campagne à l'échelle du tenant et mettent à jour la logique de détection en fonction du résultat. Les mesures correctives sont ainsi mises en œuvre en quelques minutes, au lieu d'être mises en attente jusqu'à ce que quelqu'un s'en charge.

Au fil du temps, cette rapidité se transforme en quelque chose de plus puissant. La logique de détection s'améliore en permanence à mesure que des menaces confirmées sont identifiées au sein de la base de plus de 42 000 clients de Mimecast ; ainsi, toute menace confirmée par le centre d'opérations de sécurité (SOC) d'une organisation permet d'affiner la détection pour tous les autres utilisateurs de la plateforme. Une campagne détectée au sein d'une entreprise resserre l'étau sur l'ensemble des autres, avant même que la plupart des SOC n'aient eu le temps de terminer le tri du premier signalement.

Pour votre équipe de sécurité interne, cette évolution opérationnelle est tout aussi mûrement réfléchie : pas de nouvelle console à maîtriser, pas de modèle d'IA à ajuster et pas de postes d'analystes à financer. C'est le résultat qui s'affiche dans le tableau de bord, et non la charge de travail. La solution « Managed Threat Response » s'intègre au bouton de signalement et au flux de messagerie dédié aux signalements d'abus déjà en place chez le client ; ainsi, rien ne change pour les collaborateurs qui signalent un e-mail suspect ; ce qui change, c'est le traitement réservé à ce signalement une fois qu'il a été envoyé. Il s'agit également du premier d'une gamme élargie de services gérés que Mimecast prévoit de commercialiser, étendant ce même processus de « détection-tri-correction » au-delà de la file d'attente des e-mails signalés.

Quelles sont les conséquences pour les équipes de sécurité ?

Le déficit d'enquête ne se comble pas de lui-même, et le fait d'ajuster vos paramètres pour obtenir une file d'attente plus silencieuse ne fait que troquer la visibilité contre le silence. Si votre SOC procède manuellement au tri des signalements par e-mail, traite la file d'attente par lots pendant la nuit ou s'appuie sur des analystes débutants pour faire face à la charge de travail, il convient de se demander combien de ces signalements font l'objet d'un véritable examen approfondi, et combien restent exactement là où un attaquant souhaiterait qu'ils restent. Discutez avec votre équipe Mimecast de la solution « Managed Threat Response » afin de découvrir comment le triage accéléré par l'IA et les mesures correctives validées par des analystes peuvent combler cette lacune dans votre environnement. Vous n'êtes pas encore client de Mimecast ? Découvrez-en davantage sur la solution « Managed Threat Response » ou Obtenir un devis pour voir comment elle s'adapte à votre environnement.