Le marché de la protection des terminaux a connu une profonde transformation ces dernières années. Les solutions EDR traditionnelles, axées uniquement sur les terminaux, sont de plus en plus insuffisantes face aux attaques qui se déplacent entre les réseaux, le cloud et les utilisateurs. Palo Alto Networks a répondu à ce défi avec la plateforme Cortex XDR, une solution qui va au-delà des terminaux et construit une image cohérente des menaces dans l’ensemble de l’environnement informatique.
Principales conclusions
- L’EDR traditionnel ne surveille que le terminal – Cortex XDR intègre les données provenant du réseau, du nuage et des applications.
- Le Cortex XDR utilise l’apprentissage automatique pour corréler des événements provenant de différentes sources.
- La plateforme réduit le nombre d’alertes en les mettant automatiquement en corrélation et en les classant par ordre de priorité.
- Les capacités de réponse intégrées vous permettent de réagir aux incidents sans passer d’un outil à l’autre.
- Cortex XDR fait partie de l’écosystème plus large de Palo Alto Networks.
Table des matières
- Évolution de l’EPP vers l’EDR et l’XDR
- Limites de la CED traditionnelle dans les environnements modernes
- Cortex XDR – architecture et sources de données
- Corrélation des risques et réduction du bruit des alertes
- Capacités de détection – que détecte le Cortex XDR ?
- Réponse – comment répondre aux incidents de la plateforme ?
- Cortex XDR et l’écosystème Palo Alto Networks
- FAQ
- Résumé
Évolution de l’EPP vers l’EDR et l’XDR
L’histoire de la protection des points d’accès est une histoire de réponses à la sophistication croissante des attaques. L’EPP (Endpoint Protection Platform) – ou antivirus traditionnel – était basé sur les signatures et l’heuristique. L’EDR (Endpoint Detection and Response) a ajouté une surveillance comportementale continue et des capacités d’investigation. XDR (Extended Detection and Response) va encore plus loin en intégrant des données provenant de plusieurs couches de l’environnement informatique dans une plateforme d’analyse unique.
La différence n’est pas cosmétique – il s’agit d’un changement fondamental dans l’approche de la détection. L’EDR ne voit que ce qui se passe sur un appareil. La technologie XDR tient compte de l’ensemble du contexte : le trafic réseau généré par cet appareil, les journaux du pare-feu, les événements dans les applications en nuage, les données d’identité. Les attaques invisibles sur une seule couche deviennent évidentes en corrélation.
Limites de la CED traditionnelle dans les environnements modernes
L’EDR traditionnel présente trois limites principales dans le contexte des menaces modernes. Premièrement, il ne voit que le point d’extrémité – si un attaquant se déplace latéralement entre les appareils via des protocoles réseau légitimes, l’EDR peut ne pas l’enregistrer. Deuxièmement, il génère d’importants volumes d’alertes sans les corréler entre elles – l’analyste SOC doit combiner manuellement les événements provenant de différents appareils.
Troisièmement, un EDR traditionnel n’a pas de contexte pour les événements – il sait qu’un processus a effectué une opération suspecte, mais il ne sait pas si le même utilisateur vient de se connecter à partir d’un lieu inconnu et de télécharger de grands volumes de données à partir du nuage. Ce manque de contexte conduit à de fausses alertes et à des incidents réels manqués.
Cortex XDR – architecture et sources de données
Cortex XDR de Palo Alto Networks collecte des données provenant d’agents de terminaux, de journaux de pare-feu Palo Alto (NGFW), de données de réseau, de journaux d’applications cloud et de systèmes d’identité. Toutes ces données sont transmises à une couche analytique centrale, où elles sont normalisées dans un format commun et analysées par des moteurs ML.
L’agent Cortex XDR sur le poste de travail est léger et combine la protection contre les logiciels malveillants (NGAV) avec des capacités EDR – surveillance des processus, des fichiers, des connexions réseau et des événements système. La clé, cependant, est l’intégration avec des données extérieures au point d’extrémité, qui fournit un contexte que l’agent seul ne peut pas fournir.
Corrélation des risques et réduction du bruit des alertes
L’un des plus grands problèmes du SOC est la fatigue des alertes, qui surcharge les analystes avec un trop grand nombre d’alertes de faible qualité. Cortex XDR résout ce problème en corrélant automatiquement les événements provenant de différentes sources en un seul incident.
Au lieu de dizaines d’alertes individuelles provenant de différents appareils et couches, l’analyste voit un seul incident avec une chronologie complète de l’attaque, une liste d’appareils et d’utilisateurs impliqués et une évaluation de la criticité. Le temps d’analyse est considérablement réduit, passant de plusieurs heures à quelques minutes.
Capacités de détection – que détecte le Cortex XDR ?
La plateforme détecte les menaces à plusieurs niveaux : logiciels malveillants (y compris les logiciels malveillants sans fichier), exploits et techniques « Living off the Land », mouvements latéraux dans le réseau, tentatives d’escalade des privilèges, exfiltration de données et attaques d’identité. Toutes les détections sont mises en correspondance avec MITRE ATT&CK pour faciliter la compréhension du contexte et l’établissement des priorités.
La détection comportementale basée sur des profils de comportement normal de l’utilisateur et de l’appareil est particulièrement précieuse – les anomalies par rapport à une base de référence établie sont un signal d’investigation, que la menace soit connue ou non.
Réponse – comment répondre aux incidents de la plateforme ?
Cortex XDR offre de nombreuses possibilités d’intervention directement à partir de la console, sans qu’il soit nécessaire d’accéder à distance aux appareils ou de passer d’un outil à l’autre. L’analyste peut isoler un appareil, arrêter les processus, collecter des artefacts médico-légaux, exécuter des scripts de réparation et annuler les modifications apportées par les logiciels malveillants.
Pour les scénarios récurrents, il est possible de définir des playbooks qui répondent automatiquement à certains types d’incidents – réduisant ainsi les temps de réponse et la dépendance à l’égard de la disponibilité des analystes.
Cortex XDR et l’écosystème Palo Alto Networks
Cortex XDR fait partie de la plateforme Cortex, qui s’intègre à d’autres produits de Palo Alto Networks – les pare-feu NGFW, la solution SASE Prisma Access, la plateforme Prisma Cloud et d’autres. Cette intégration permet à l’entreprise de construire une architecture de sécurité cohérente, où les données de chaque couche améliorent les capacités de détection de l’ensemble de l’écosystème.
FAQ
Le Cortex XDR est-il en train de remplacer le SIEM ? Le Cortex XDR complète le SIEM – il ne le remplace pas complètement, mais il prend en charge de nombreuses fonctions analytiques et peut réduire de manière significative le volume de données entrant dans le SIEM.
Le Cortex XDR fonctionne-t-il avec d’autres produits Palo Alto ? Oui, il fonctionne de manière autonome avec son propre agent et peut s’intégrer aux produits d’autres fournisseurs par le biais d’API.
Combien de temps dure la mise en œuvre ? La mise en œuvre d’agents sur les points d’extrémité est relativement rapide. L’intégration complète avec d’autres sources de données et la configuration des politiques de détection est un projet de plusieurs semaines.
Résumé
Cortex XDR de Palo Alto Networks représente une nouvelle génération de protection pour les environnements informatiques – une protection qui comprend le contexte des menaces et met en corrélation les événements provenant de plusieurs couches pour obtenir une image cohérente d’un incident. Par rapport à l’EDR traditionnel, il s’agit d’une différence qualitative qui se traduit par des temps de détection plus rapides, moins de fausses alarmes et une réponse plus efficace.
