Cato Networks et CrowdStrike ont intégré leurs plateformes de cybersécurité pour combiner en un seul flux d’investigation l’activité du réseau, des utilisateurs et des dispositifs de l’entreprise. Le partenariat relie la plateforme Cato SASE à CrowdStrike Falcon pour réduire le temps que les analystes passent à reconstruire un incident à partir d’alertes dispersées entre plusieurs outils.
Les points clés de l’intégration Cato-CrowdStrike en 30 secondes
- Cato et CrowdStrike associent les détections des dispositifs au trafic réseau et à l’activité en ligne.
- L’intégration couvre l’enquête sur les incidents, l’inventaire des actifs et la recherche de menaces.
- Cato XOps reçoit les alertes de Falcon et y ajoute du contexte sur les utilisateurs, les sessions, le DNS et les mouvements latéraux.
- La télémétrie de Cato peut aussi être transmise à Falcon Next-Gen SIEM.
- Ces intégrations sont accessibles mondialement via le CrowdStrike Marketplace.
Contexte et enjeux : une menace laisse rarement une seule trace
Ce dispositif répond à un problème courant dans les centres opérationnels de sécurité. La protection des endpoints peut repérer un processus suspect sur un ordinateur portable, pendant que le pare-feu, le DNS ou la plateforme d’accès distant enregistrent les connexions que ce processus tente d’établir. Quand ces sources restent isolées, l’analyste jongle entre plusieurs consoles pour reconstituer manuellement la chronologie de l’attaque. L’intégration ne fusionne pas les produits ni ne crée une nouvelle console : elle relie techniquement Cato SASE, Cato XOps, Cato Asset Security, CrowdStrike Falcon Discover et Falcon Next-Gen SIEM.
Les faits : trois intégrations techniques
La première connecte les détections de CrowdStrike Falcon à Cato XOps, la plateforme qui rassemble opérations réseau et sécurité chez Cato. Quand une activité suspecte apparaît sur un dispositif, XOps relie l’alerte à l’utilisateur associé, aux sessions ouvertes, aux requêtes DNS, aux destinations contactées, aux applications utilisées et à d’éventuels mouvements latéraux. Un processus malveillant peut avoir été lancé sur un poste, mais l’analyste doit aussi savoir s’il a communiqué avec un serveur externe ou tenté d’atteindre d’autres machines : la fiche publiée sur le CrowdStrike Marketplace décrit une séquence d’investigation construite autour de la détection, avec le dispositif concerné, les connexions établies et l’évolution de l’incident. Cato disposait déjà d’une intégration via l’API de CrowdStrike ; les détections sont regroupées en histoires de sécurité dans l’espace de travail XOps, générées peu après l’alerte initiale dans Falcon. Cela ne signifie pas qu’une alerte devient automatiquement un incident confirmé : la corrélation ajoute du contexte et ajuste la priorité, mais les équipes doivent toujours examiner le comportement pour décider de la réponse.
La seconde intégration porte sur l’inventaire des actifs. Cato Asset Security analyse les dispositifs visibles sur le réseau, tandis que CrowdStrike Falcon Discover fournit des informations sur les endpoints gérés par leur agent. En croisant les deux, il devient plus facile de repérer un équipement connu ou non, sans protection, ou de vérifier la cohérence des attributs entre plateformes, pour des postes, serveurs, mobiles, imprimantes ou objets connectés. Le connecteur utilise l’API de Falcon Discover pour enrichir l’inventaire ; la configuration exige une licence Falcon Discover et, côté Cato, des modules compatibles IoT et OT. « Disponible » ne signifie pas toujours inclus dans tous les contrats, l’usage dépend des licences et des modules activés.
La troisième fonctionne dans l’autre sens : Cato transmet sa télémétrie réseau à Falcon Next-Gen SIEM, où les analystes recherchent des menaces et créent des règles de détection en complément d’autres sources. Falcon peut ainsi recevoir du trafic réseau, des requêtes DNS et des contrôles de sécurité issus de l’infrastructure SASE de Cato, ce qui permet de repérer par exemple plusieurs dispositifs contactant un même domaine suspect, même si un seul a déclenché l’alerte initiale dans Falcon. L’intérêt de cette intégration dépend surtout de la gestion du volume : transmettre toutes les données disponibles améliore la visibilité, mais alourdit aussi le stockage, les coûts d’ingestion et le bruit pour les équipes de sécurité.
Analyse et implications : SASE et endpoint, deux couches complémentaires
Cato et CrowdStrike évoluent sur des segments différents du marché. Cato propose une plateforme SASE qui combine connectivité réseau et sécurité depuis le cloud : accès distant, réseau défini par logiciel, filtrage web, pare-feu et contrôle d’accès basé sur l’identité. CrowdStrike se concentre sur la protection des endpoints, la détection et la réponse étendue, avec un agent qui surveille processus, fichiers, identités et comportements suspects sur postes et serveurs, une approche que l’on retrouve chez d’autres éditeurs comme SentinelOne avec son intégration à AWS Security Hub. L’endpoint montre ce qui se passe à l’intérieur du dispositif, le réseau révèle avec quels services il communique. L’intégration cherche à fusionner ces deux couches sans forcer les entreprises à changer de plateforme, une tendance de fond du secteur alors même que Kaspersky pointait récemment les limites de l’EDR seul pour détecter les brèches les plus graves. Partager des signaux devient aussi précieux qu’ajouter une nouvelle plateforme : une alerte riche en contexte permet une décision plus rapide, plusieurs alertes sans lien ou en double alourdissent la charge de travail.
Perspectives
Les organisations intéressées devront vérifier leurs besoins en connecteurs, permissions API, licences requises et configuration des accès, et définir en amont la gestion des données et leur partage. L’annonce insiste sur la rapidité de la réponse, mais aucune métrique indépendante n’est publiée sur la réduction du délai d’enquête, le nombre de faux positifs évités ou la performance dans de grands environnements. L’efficacité réelle dépendra de la qualité des règles, du taux d’adoption et des processus internes de chaque centre de sécurité : croiser les sources améliore le contexte, mais ne corrige pas à elle seule une mauvaise catégorisation des actifs ou des permissions excessives.
Questions fréquentes
Que partagent Cato Networks et CrowdStrike ?
Ils relient la plateforme Cato SASE à plusieurs composants de CrowdStrike Falcon pour croiser les données des endpoints et du réseau dans les investigations, l’inventaire et la recherche de menaces.
L’intégration remplace-t-elle un SIEM ?
Pas nécessairement. Certaines fonctions transfèrent des données vers Falcon Next-Gen SIEM, d’autres permettent d’enquêter depuis Cato XOps. Chaque entreprise peut continuer à utiliser d’autres outils d’enregistrement et d’analyse.
Quels éléments Cato ajoute-t-elle à une alerte CrowdStrike ?
Des informations sur l’utilisateur, l’appareil, les connexions réseau, les requêtes DNS, les sessions, les destinations contactées et d’éventuels mouvements latéraux.
Ces fonctionnalités sont-elles accessibles à tous les clients ?
Les intégrations sont disponibles mondialement, mais leur activation peut nécessiter des modules ou licences spécifiques, ainsi que la configuration de connecteurs et permissions.