Des dizaines de fournisseurs vous diront qu'ils offrent des services de détection et de réponse gérées (DRG ou MDR) 24/7/365.
Si l'on définit le MDR comme un ensemble de fonctions de SOC clés en main, livrées à distance, pilotées par des humains et assistées par une machine, visant la neutralisation et le confinement actifs des menaces, un bon nombre de ces fournisseurs sortent de cette catégorie. Ces derniers offrent des outils de surveillance qui relaient des alertes, sans analyse ni prise en charge de la réponse aux incidents qu'exige cette définition.
Si vous évaluez des fournisseurs qui utilisent ces trois mêmes lettres pour décrire des offres fondamentalement différentes, une grille d'évaluation ne vous sera d'aucune aide. Vous finirez par comparer les prix car c'est la seule ligne qui signifie la même chose dans les deux propositions.
Les organisations qui trouvent la bonne solution ne commencent pas par comparer les fournisseurs. En effet, elles commencent par définir ce que le service doit accomplir dans leur environnement, avec leur équipe, afin de protéger ce qui compte pour elles, dans le contexte où elles évoluent.
Voici nos recommandations pour évaluer les fournisseurs MDR. Elles proviennent de nos échanges avec des dirigeants d'entreprise ainsi que des responsables TI et cybersécurité, mais aussi, de ce que nous observons lors de mandats réels auprès de nos clients.
Le MDR centré sur les terminaux domine encore le marché parce qu'il se comprend facilement (nous connaissons tous l'antivirus), qu'il couvre une bonne partie du périmètre, que son déploiement est rapide et sans friction, et qu'il coûte relativement peu cher. On installe un agent, la télémétrie est alors transmise, puis on surveille la console. Pour une firme de services professionnels dont tous les actifs sont des portables gérés et dont tout le reste est hébergé dans le nuage, c'est une réponse défendable.
Elle l'est beaucoup moins pour un manufacturier qui exploite trois usines, ou pour une organisation dont les serveurs patrimoniaux, les automates industriels, les systèmes de bâtiment, les objets connectés, les caméras et les imprimantes partagent le réseau des postes de travail. Ces appareils ne peuvent pas héberger d'agent, et c'est justement là qu'un attaquant peut établir un point d'ancrage pour se déplacer latéralement, précisément parce que rien ne les surveille.
Demandez aux fournisseurs MDR que vous évaluez quelle visibilité ils ont réellement sur votre environnement et comment ils surveillent la portion qui ne peuvent pas accueillir d'agent. Un fournisseur dont toute la capacité de détection repose uniquement sur des agents créera inévitablement des angles morts dès qu'un attaquant basculera vers des infrastructures non gérées ou vers les identités. Ce compromis peut être acceptable, mais il doit être fait en toute connaissance de cause.
C'est la différence la plus forte entre les services qui portent l'étiquette MDR, et elle n'apparaît presque jamais dans les documents de vente et de marketing.
Certains fournisseurs détectent un événement de sécurité, le trient et vous envoient une alerte. D'autres enquêtent et vous transmettent une recommandation. Dans les deux cas, c'est votre équipe qui exécute les actions. Certains vont un peu plus loin et posent des gestes de confinement directement dans votre environnement (isoler un terminal, arrêter un processus, désactiver un compte compromis, révoquer des sessions). La distinction est autant contractuelle que technique. Le confinement actif exige généralement une autorisation précisant les actions que le fournisseur peut effectuer sans demander la permission au préalable, ainsi que les limites applicables.
À quatorze heures un mercredi, la différence relève peut-être de la préférence, mais à deux heures du matin pendant un long congé, elle constitue toute la valeur du service. Une recommandation qui dort dans une boîte de réception n'est pas une intervention.
Demandez quels gestes sont préautorisés, quel est le processus d'approbation pour toute action qui sort de cette liste, et ce qui se passe lorsque personne de votre organisation n'est joignable.
Les engagements de délai d'intervention constituent la partie la plus comparée et, souvent, la moins comprise d'une proposition MDR. Avant de pouvoir comparer deux chiffres, il faut savoir ce que chacun mesure.
Tout service MDR suit la même chaîne d'événements lors d'un incident :
Les fournisseurs annoncent leurs délais à partir de points différents de cette chaîne, en utilisant des termes qui semblent interchangeables mais qui ne le sont pas.
Le délai moyen de détection ou MTTD, mesure habituellement le temps écoulé entre la première et la deuxième étape. Il mesure l'outillage, et non le service. Les chiffres bas, parfois exprimés en secondes, sont fréquents et correspond généralement au déclenchement d'une détection automatisée, sans intervention humaine à ce stade.
Le délai de prise en charge ou de notification mesure le moment où une personne de l'organisation est informée par le fournisseur pour la première fois. C'est davantage ce que la plupart des acheteurs imaginent lorsqu'ils lisent « délai d'intervention ».
Le délai moyen d'intervention et le délai moyen de résolution partagent le même acronyme, MTTR, ce qui en fait le terme le plus ambigu de la catégorie. Selon le fournisseur, il peut désigner le moment où un analyste ouvre l'enquête, celui où la menace est confinée, ou celui où le billet d'incident est fermé. Ces trois points peuvent être séparés d'une heure comme d'une semaine pour un même incident.
Le délai de confinement mesure le moment où la menace a cessé de se propager. C'est le chiffre qui correspond le plus étroitement aux dommages évités, et c'est celui qui est le plus rarement inscrit noir sur blanc.
Quand un fournisseur promet une intervention en quinze minutes et qu'un autre annonce un délai de soixante minutes, vous comparez peut-être deux réalités différentes : une alerte automatisée et un appel téléphonique humain.
Demandez à chaque fournisseur, par écrit :
Un chiffre sans définition claire n'est pas un engagement.
Deux questions importantes se posent ici : qui effectue le travail et quelles sont les règles qui l'encadrent ?
Demandez qui emploie les analystes qui surveillent votre environnement. Certains fournisseurs assurent leurs opérations en permanence avec leurs propres équipes. D'autres couvrent les heures ouvrables à l'interne et confient les nuits, les fins de semaine et les jours fériés à des équipes tierces ou délocalisées. C'est souvent au moment du transfert que la continuité du contexte se fragilise, parce que l'analyste qui prend l'appel à trois heures du matin connaît peu ou pas l'historique de votre environnement et n'a pas nécessairement de relation établie avec votre équipe, sans compter des éventuelles barrières linguistiques.
Demandez également où votre télémétrie de sécurité est entreposée, quel régime juridique s'y applique et auprès de quel organisme de réglementation le fournisseur est tenu de répond. La souveraineté n'est pas seulement un argument de conformité. L'emplacement de votre télémétrie et les lois qui s'y appliquent relèvent de plus en plus d'un choix délibéré plutôt que d'une réflexion après coup. Le paysage canadien de la protection des renseignements personnels est une véritable mosaïque, et la complexité qui en découle renforce l'importance de choisir un partenaire qui évolue dans le même cadre réglementaire que vous, plutôt qu'un partenaire auquel il faudra expliquer ce contexte en pleine violation de données.
Au-delà des exigences réglementaires, il existe une réalité plus simple. De nombreux acheteurs sont plus à l'aise de confier leurs données opérationnelles les plus sensibles à une organisation établie sur leur propre territoire, soumise aux mêmes tribunaux et aux mêmes obligations de surveillance. C'est un critère d'évaluation légitime, qui mérite d'être considéré ouvertement plutôt que traité comme une simple préférence.
Demandez à une douzaine de fournisseurs de décrire leurs capacités de détection, et vous obtiendrez une douzaine de réponses similaires : analyse comportementale, renseignement sur les menaces, corrélation entre les sources, validation humaine avant l'escalade. Les différences existent, mais elles sont marginales, et particulièrement difficiles à évaluer ou à vérifier de l'extérieur.
C'est dans la capacité d'intervention que les fournisseurs se distinguent réellement, et c'est pourtant l'aspect auquel la plupart des acheteurs consacrent le moins de temps.
Le confinement permet d'arrêter l'hémorragie, mais il ne permet pas de déterminé comment les acteurs malveillants sont entrés, combien de temps ils sont restés, ce qu'ils ont compromis, s'ils disposent d'un moyen de revenir ni s'il est sécuritaire de remettre les systèmes en production. Ce sont les activités de réponse aux incidents qui répondent à ces questions, et y parvenir exige un travail d'analyse judiciaire mené par des experts ayant déjà traité de véritables intrusions.
Un nombre important de fournisseurs n’effectuent toutefois pas ce travail. Ils isoleront les hôtes touchés, consignent leurs observations, formulent parfois des recommandations, puis transfèrent le dossier à une firme tierce qui intervient sans connaissance préalable de votre environnement, sans accès déjà établi, sans relation avec votre équipe TI, et avec un mandat à définir pendant qu'un intrus se trouve peut-être toujours dans votre réseau.
Ce délai coûte plus cher que les jours qu'il ajoute au calendrier, car un intrus toujours présent profite de ce temps pour rétablir ses accès et maintenir sa présence, tandis que les preuves nécessaires à la reconstitution de l'incident se dégradent progressivement.
C'est l'argument qui justifie de traiter la capacité d'intervention comme un critère de sélection. Demandez :
Il y a aussi un effet indirect qui mérite d'être soulevé : les équipes qui interviennent sur de véritables intrusions développent souvent de meilleures capacités de détection, parce que leur ingénierie de détection s'appuie sur les comportements observés chez des attaquants réels dans les environnements qu'elles ont contribué à sécuriser, plutôt qu'uniquement sur les informations fournis par des flux de renseignement. L'expérience en réponse aux incidents constitue donc un bon indicateur indirect de la qualité de détection, et pas seulement un service complémentaire.
Un fournisseur qui n'a jamais dirigé d'incident n'est pas nécessairement un mauvais choix. Toutefois, il offre davantage un service de détection gérée qu'un véritable service MDR, et il devrait être évalué et tarifé en conséquence.
La plupart des organisations n'entament pas une évaluation MDR à partir d'une page blanche. Elles partent d'un ensemble d'outils déjà en place, et les fournisseurs abordent généralement cette réalité selon l'une des deux approches.
Les services natifs à une plateforme surveillent leur propre produit et peuvent offrir une corrélation plus étroite ainsi qu'une réponse automatisée plus rapide, puisque chaque composant parle le même langage. Cela peut représenter un véritable avantage pour les organisations qui ont réellement consolidé leur environnement. Leur recommandation consiste généralement à remplacer les systèmes actuels par leurs propres solutions.
Les services indépendants des fournisseurs s'adaptent aux technologies déjà en place, une réalité à laquelle la plupart des organisations sont confrontées après des années d'acquisitions, d'achats effectués par différents services et de migrations partielles vers le nuage. Un SOC indépendant des technologies peut s'appuyer sur des outils déjà déployés, démontrer où la couverture est adéquate et où elle ne l'est pas, puis recommander des remplacements ciblés au fil du renouvellement des licences, de l'évolution de l'environnement, ou de l'apparition de nouvelles obligations contractuelles ou réglementaires.
Cette approche progressive présente un avantage commercial important : elle permet d'étaler les changements sur plusieurs cycles budgétaires plutôt que de financer un remplacement complet dès la première année. Elle présente également un avantage technique, puisque les recommandations de remplacement reposent sur plusieurs mois d'observations dans votre environnement, plutôt que sur un simple appel de cadrage.
Un fournisseur qui mérite d'être retenu devrait accepter de faire l'inventaire de ce que vous avez, d'utiliser ce qui fonctionne, de vous dire ce qui ne fonctionne pas, et de vous recommander ou de vous facturer l'écart plutôt que l'ensemble de la surface.
Nous avons récemment pris le relais d'un chef de file mondial de la sécurité des terminaux chez un client qui était, selon toute mesure technique, bien protégé. Le produit n'était pas en cause, et ce fournisseur demeure l'un des acteurs les plus solides du marché. Ce qui a changé, c'est l'adéquation du service, sur trois aspects qui n'avaient rien à voir avec la qualité des outils en place.
La couverture s'est étendue à des parties de l'environnement où aucun agent ne pouvait être installé, alors même qu'elles représentaient une part importante du risque opérationnel. La communication est passée d'une file de billets à un conseiller attitré qui comprenait le fonctionnement de l'entreprise et pouvait aider à déterminer quelles alertes méritaient réellement une attention prioritaire dans un contexte de production. Enfin, plutôt que de recevoir un flux continu d'alertes validées sans vision globale, l'organisation a obtenu un plan séquencé pour faire mûrir leur posture de sécurité.
Ce qui a été remplacé n'était donc pas un mauvais outil, mais un service conçu pour répondre à un autre besoin que celui auquel l'organisation faisait face.
Le pire résultat d'une évaluation MDR n'est pas de choisir le mauvais fournisseur. C'est de signer un contrat et de supposer être protégé alors que vous ne l'êtes pas.
Les évaluations en laboratoire et les classements d'analystes indiquent ce qu'un fournisseur peut accomplir dans des conditions idéales, avec des experts dédiés. Ils révèlent toutefois peu de choses sur ce qu'il fera dans votre environnement, avec votre équipe, à trois heures du matin.
La bonne réponse n'est pas nécessairement le fournisseur qui affiche le meilleur score ou le discours le plus convaincant. C'est celui dont l'approche correspond à votre réalité et à ce que vous cherchez réellement à protéger.
Contactez notre équipe pour discuter de vos enjeux de cybersécurité et découvrir comment nous pouvons vous accompagner.
.png)