Comment HP veut tuer la Kill Chain avec une nouvelle approche ancienne – Tec-Bite

À propos de cette offre

Bromium a été acquis à l’automne 2019 par HP Inc. et fait désormais partie des HP Security Solutions sous le nom un peu inhabituel de « HP Sure Click ». Certains se demandent peut-être : quel rapport HP a-t-il avec la sécurité ? Pour être honnête, j’étais moi aussi sceptique au début. Cependant, en examinant de plus près les appareils HP, ou plutôt les solutions de sécurité que HP propose pour sa flotte d’appareils, l’acquisition de Bromium a tout son sens. Plus de détails plus tard.Kill Chain – où intervient Sure Click ?Les solutions antivirus classiques tentent d’empêcher une infection ou l’exploitation d’une faille de sécurité ouverte grâce à la détection d’IOCs connus ou d’un comportement inhabituel via l’analyse comportementale. Dans le modèle Kill Chain, nous intervenons ici entre Deliver et Exploit. Le problème est que ces solutions doivent détecter quelque chose pour pouvoir protéger. Peu importe la méthode, que ce soit par motifs, analyse comportementale, apprentissage automatique ou IA : si on ne peut pas détecter quelque chose, c’est compliqué.En général, un système EDR est ajouté comme couche de défense supplémentaire. Celui-ci intervient soit entre Install et C2 (C&C), soit entre C2 et Actions. L’objectif est de détecter une attaque au plus tard lorsqu’un processus inhabituel démarre sur un endpoint ou lorsqu’il y a des mouvements latéraux entre hôtes. Comme pour l’AV, les systèmes EDR reposent sur la détection. Avec l’EDR, la détection est encore plus difficile car on ne peut pas se fier uniquement aux IOCs connus, il faut chercher l’inconnu. Ce qui nous amène à la Threat Intelligence. Pour les intéressés : www.tec-bite.ch/endpoint-detection-and-response-wer-richtig-sucht-der-findet/HP Sure Click intervient également entre Deliver et Exploit, mais renonce à la détection pour la protection. Tout est simplement isolé dans une micro-VM, indépendamment du potentiel danger d’un fichier ou d’un site web. La détection intervient ensuite dans une seconde étape, par l’analyse des opérations dans la micro-VM. Par exemple, en cas de ransomware caché dans un fichier Word, on aurait un rapport d’autopsie sans cadavre. Le ransomware peut s’exécuter, mais mon hôte et mes systèmes backend ne sont pas affectés du tout. Modèle Kill Chain issu du webinaire HP Sure Click Enterprise.Qu’est-ce qui est protégé ?HP Sure Click offre une protection forte pour les fichiers Office, PDF, images, vidéos et archives. Les sources de données prises en charge sont les pièces jointes Outlook, les téléchargements de navigateurs et les clés USB.Le fichier à protéger n’est pas modifié par Sure Click. Le hash du fichier est identique avec ou sans Sure Click installé. Cela est important notamment lorsqu’on veut partager un document avec un destinataire externe. Même si le fichier est isolé sur un ordinateur interne, un destinataire externe peut l’ouvrir sans problème sans Sure Click.De Bromium à HP Sure Click – qu’est-ce qui change ?En termes de fonctionnalité générale, rien ne change. Ceux qui connaissent Bromium devront juste s’habituer au nouveau design. L’orange Bromium est remplacé par le bleu HP, aussi bien pour la partie visible sur le endpoint, l’icône de la console de bureau et les icônes des fichiers non fiables, que pour l’interface du contrôleur.Même si « HP » figure dans le nom, le logiciel fonctionne bien sûr aussi sur du matériel d’autres fabricants. Il existe cependant des versions adaptées ou des bundles qui ne fonctionnent que sur des appareils HP. Par exemple, HP Sure Click Pro est préinstallé sur les EliteBooks et peut donc être utilisé par des particuliers. C’est vraiment une bonne chose, je peux en témoigner personnellement. Bien sûr, les fonctionnalités sont limitées et ne sont pas aussi étendues que Sure Click Enterprise. Mais pour un utilisateur privé soucieux de sécurité, c’est parfait.Nouvelles fonctionnalités à partir de la version 4.2La nouvelle version ne se contente pas d’un nouveau look, elle apporte aussi des fonctionnalités intéressantes.Protection d’identité :Avec la protection d’identité activée, l’URL est vérifiée via un service de réputation web. Si l’URL a une mauvaise ou inconnue réputation, la politique configurable décide si l’utilisateur peut saisir des identifiants sur le site ou non. Le service de réputation peut être complété par une liste blanche ou noire personnalisée. Cette fonctionnalité est disponible non seulement dans les navigateurs isolés, mais aussi via un plugin dans Microsoft Edge ou Firefox.Application protégée :L’application protégée n’est pas vraiment une nouvelle fonctionnalité. D’un point de vue licence, c’est même un produit autonome. La gestion se fait cependant via le même contrôleur HP Sure Click Enterprise. Depuis la version 4.2, la solution a fait un grand pas en avant et est vraiment une bonne chose !L’application protégée consiste essentiellement à faire fonctionner une PAW (Privileged Access Workstation) virtuelle de manière sécurisée sur son propre ordinateur. Elle ne s’adresse donc pas à la majorité des utilisateurs « normaux », mais principalement aux administrateurs. L’objectif est de sécuriser les connexions RDP ou HTTPS des admins vers les systèmes cibles. Avec l’application protégée, il n’est plus possible d’intercepter les frappes clavier ou d’espionner le bureau via des captures d’écran. Comme pour la micro-virtualisation de HP Sure Click, les connexions passent par un hyperviseur dédié et sont ainsi séparées de l’hôte.Solutions de sécurité HP – un aperçuLes fonctionnalités de Bromium sont proposées par HP dans différents bundles, avec plus ou moins de fonctionnalités. Outre Sure Click, les bundles incluent aussi Sure Sense comme solution AV, Sure View comme bouclier de confidentialité et Sure Start comme vérification du BIOS.Dans le tableau ci-dessous, on voit quelles versions des HP Security Solutions couvrent quelles fonctionnalités. Concernant Sure Click, puisque ce n’est pas un blog HP, je laisse de côté le reste.ConclusionComme on peut le voir, le package complet n’est disponible qu’avec HP Sure Click Enterprise. Dans les discussions avec des clients, il est souvent apparu que les entreprises utilisant du matériel HP pensaient ne plus avoir besoin de Sure Click Enterprise. Comme le montre le tableau, ce n’est vrai que partiellement.Une fois qu’on s’est habitué au nom et au nouveau design, Bromium fonctionne comme on le connaît et l’apprécie. C’est et reste une solution très cool que je recommande à peu près à tous les technophiles. Bien sûr, il y a quelques points à examiner en détail pour minimiser les impacts perceptibles pour les utilisateurs finaux. Et c’est là, à mon avis, que réside le plus grand risque pour HP : en cherchant sur le net HP Sure Click, on trouve plusieurs forums avec des avis assez négatifs. Sure Click perturberait le fonctionnement normal, ralentirait tout et en général, HP devrait laisser ses solutions de sécurité là où le poivre pousse. La version critiquée est HP Sure Click Pro, la version « gratuite » préinstallée sur les ordinateurs HP. Cependant, si la solution est installée et configurée professionnellement, les impacts sur l’utilisateur sont très faibles.Lienswww.avantec.ch/loesungen/hp-sure-click-enterprise/Le billet Comment HP veut tuer la Kill Chain avec une nouvelle approche ancienne est initialement paru sur Tec-Bite.