De la détection à l'analyse de sécurité avec CrowdStrike LogScale et Mimecast
En intégrant Mimecast et CrowdStrike LogScale, les entreprises bénéficient de capacités de recherche et de corrélation sur tous les types de journaux afin de détecter les cyberattaques et d’y répondre. Les recherches en direct et les tableaux de bord en temps quasi réel réduisent les délais de détection, tandis que la recherche ultra-rapide permet aux équipes chargées de la réponse aux incidents et de la chasse aux menaces de mettre au jour l’intégralité de la chaîne d’attaque et d’identifier de manière proactive toute activité potentiellement malveillante. Les performances de recherche ultra-rapides de LogScale permettent aux chasseurs de menaces d’interroger rapidement leurs données Mimecast, y compris par le biais de recherches de corrélation complexes portant sur plusieurs sources de données.
Présentation de la solution
1. Les e-mails reçus par Mimecast sont soumis à une série de techniques d’analyse de sécurité afin de garantir leur innocuité avant leur remise au destinataire.
2. Les informations sur les e-mails fournies par Mimecast sont transmises à CrowdStrike LogScale à des fins de normalisation et de corrélation.
3. CrowdStrike LogScale utilise ces informations pour alerter les analystes et enrichir de contexte les données provenant d’autres sources d’outils de sécurité.
Cas d’utilisation de Mimecast et CrowdStrike Logscale :
- Hameçonnage : un e-mail d'hameçonnage est envoyé ; l'utilisateur clique sur le lien, puis Mimecast identifie ce lien comme malveillant et bloque l'accès de l'utilisateur. Le SIEM ingère les données télémétriques des e-mails provenant de Mimecast, y compris les journaux d'URL. Le SIEM analyse le lien d'hameçonnage à la recherche d'autres indicateurs de compromission (IOC) et identifie 10 e-mails correspondants. L’analyste lance un processus de remédiation pour supprimer l’e-mail malveillant.
- Comptes compromis : le SIEM déclenche une alerte sur la base d’un comportement utilisateur suspect. Le SIEM enrichit les indicateurs issus de l’alerte provenant de Mimecast et de la sécurité Web, en recherchant des événements liés aux URL. Des événements liés à des URL malveillantes sont détectés dans Mimecast et la sécurité Web. L’analyste réinitialise les identifiants de l’utilisateur.
- Mouvement latéral : l’ordinateur portable d’un utilisateur est connecté à un réseau Wi-Fi public et infecté par un logiciel malveillant qui communique avec un serveur de commande et de contrôle (C&C). L’attaquant s’en sert comme point d’ancrage pour propager le logiciel malveillant par e-mail. Mimecast identifie le logiciel malveillant, bloque l’e-mail et le supprime de la boîte de réception de l’utilisateur. Le SIEM met en corrélation les événements provenant des agents et l’activité de messagerie afin d’établir une chronologie complète et de déterminer les TTP (techniques, tactiques et procédures) de l’incident. L’analyste met l’ordinateur portable en quarantaine et crée une règle de blocage du pare-feu pour l’adresse IP du serveur C&C.
Principaux avantages
- L’architecture unique de CrowdStrike Logscale permet aux clients de tout consigner afin de ne rien manquer.
- Tirez davantage parti des détections d’IOC de Mimecast en effectuant des recherches sur ces indicateurs dans d’autres sources de journaux.
- Contenez les attaques plus tôt grâce à des détections et des réponses rapides face au phishing et aux tactiques de compromission des e-mails professionnels.
- Donnez les moyens aux chasseurs de menaces d’effectuer des recherches ultra-rapides dans les journaux relatifs au vecteur d’attaque n° 1 : l’e-mail.
- Permettez aux enquêtes de mettre au jour l’intégralité de la chaîne d’attaque, jusqu’à la compromission initiale de l’e-mail.
