Cato Networks et CrowdStrike ont intégré leurs plateformes de cybersécurité afin de combiner en un seul flux d’investigation l’activité du réseau, des utilisateurs et des dispositifs de l’entreprise. Ce partenariat relie la plateforme Cato SASE à CrowdStrike Falcon dans le but de réduire le Temps consacré par les analystes à la reconstruction des incidents à partir d’alertes dispersées entre différents outils.

Les principaux points de l’intégration entre Cato et CrowdStrike en 30 secondes

• Cato et CrowdStrike associent les détections des dispositifs avec le trafic réseau et l’activité en ligne.
• L’intégration couvre l’enquête sur les incidents, l’inventaire des actifs et la recherche de menaces.
• Cato XOps reçoit les alertes de Falcon et y ajoute du contexte concernant les utilisateurs, les sessions, le DNS et les mouvements latéraux.
• La télémétrie de Cato peut également être transmise à Falcon Next-Gen SIEM.
• Ces intégrations sont désormais accessibles à l’échelle mondiale via le CrowdStrike Marketplace.

Ce dispositif répond à un défi courant dans les centres opérationnels de sécurité : une menace laisse rarement toutes ses traces dans un seul produit. Par exemple, la protection des endpoints peut repérer un processus suspect sur un ordinateur portable, tandis que le pare-feu, le service DNS ou la plateforme d’accès à distance enregistrent les connexions que ce processus tente d’établir.

Lorsque ces sources restent isolées, l’analyste doit jongler entre différentes consoles, rechercher des correspondances et reconstituer manuellement la chronologie de l’attaque. L’intégration entre Cato et CrowdStrike vise à automatiser une partie de cette corrélation, sans pour autant remplacer les plateformes déjà en place dans chaque entreprise.

Il ne s’agit pas d’une fusion de produits ni d’une toute nouvelle console. Il s’agit plutôt de plusieurs intégrations techniques échangeant des informations entre Cato SASE, Cato XOps, Cato Asset Security, CrowdStrike Falcon Discover et Falcon Next-Gen SIEM.

Les alertes Falcon enrichies par le contexte réseau

La première intégration connecte les détections de CrowdStrike Falcon avec Cato XOps, la plateforme qui rassemble les opérations réseau et sécurité chez Cato.

Lorsqu’une activité suspecte est détectée sur un dispositif, Cato XOps peut intégrer cette alerte et la relier à des informations provenant du réseau. Parmi celles-ci figurent l’utilisateur associé, les sessions ouvertes, les requêtes DNS, les destinations contactées, les applications utilisées et d’éventuels mouvements latéraux.

Ce contexte permet de répondre à des questions qu’une alerte isolée du endpoint ne peut suffire à satisfaire. Un processus malveillant peut avoir été lancé sur un équipement, mais l’analyste doit aussi savoir si le dispositif a communiqué avec un serveur externe, s’il a atteint d’autres machines ou tenté d’accéder à des services internes.

La fiche publiée sur le CrowdStrike Marketplace indique que Cato XOps peut construire une séquence d’investigation autour de la détection, en montrant notamment le dispositif concerné, les connexions établies et l’évolution de l’incident. L’objectif est d’accélérer la confirmation de la portée de l’attaque et de guider la réponse.

Cato disposait déjà d’une intégration via l’API de CrowdStrike. Les détections sont récupérées et regroupées en histoires de sécurité accessibles depuis l’espace de travail de XOps. Selon la documentation technique, ces histoires se générèrent peu après l’apparition de l’alerte initiale dans Falcon.

Il est important de noter que cette intégration ne signifie pas que chaque alerte est automatiquement confirmée comme incident. La corrélation ajoute du contexte et peut ajuster la priorité, mais les équipes doivent toujours examiner le comportement et évaluer l’impact pour déterminer la réponse adaptée.

Un inventaire plus complet des dispositifs connectés

La seconde partie de la collaboration concerne l’inventaire et la posture de sécurité des actifs.

Cato Asset Security analyse les dispositifs visibles sur le réseau, tandis que CrowdStrike Falcon Discover fournit des informations sur les endpoints gérés via leur agent. Associés, ces outils permettent de faire correspondre ce que le réseau perçoit avec les données détenues par Falcon sur chaque système.

Une organisation peut ainsi avoir des ordinateurs de bureau, serveurs, appareils mobiles, imprimantes, objets connectés ou équipements temporaires dans une filiale. Certains disposent d’un agent de sécurité installé, d’autres sont simplement visibles par leur trafic.

En croisant ces sources, il devient plus facile d’identifier un équipement connu ou non, de repérer ceux sans protection ou de vérifier si les attributs enregistrés dans différentes plateformes concordent.

La documentation de Cato indique que le connecteur de gestion des dispositifs utilise l’API de Falcon Discover pour enrichir l’inventaire. La configuration nécessite une licence Falcon Discover et, côté Cato, des modules de sécurité compatibles avec l’IoT et la technologie OT.

Ce point est crucial, car « disponible » ne signifie pas toujours inclus dans tous les contrats. Les intégrations sont accessibles, mais leur usage dépend des licences, des permissions et des modules activés par l’entreprise.

L’inventaire enrichi peut aussi servir à appliquer des politiques d’accès différentes selon le type d’appareil détecté. Par exemple, une entreprise pourrait traiter séparément un portable professionnel bien protégé, un serveur sans agent ou un dispositif inconnu apparaissant sur le réseau.

La télémétrie de Cato envoie ses données à Falcon Next-Gen SIEM

La troisième intégration fonctionne dans l’autre sens : Cato transmet la télémétrie réseau à CrowdStrike Falcon Next-Gen SIEM, où les analystes peuvent rechercher des menaces et créer des règles de détection en complément d’autres sources de sécurité.

Un système SIEM centralise les logs issus de multiples produits. Son efficacité repose autant sur la quantité de données que sur la capacité de les normaliser, de les relier et d’en tirer des pistes d’investigation

Dans ce cas, Falcon peut recevoir des signaux provenant de l’infrastructure SASE de Cato, notamment du trafic réseau, des requêtes DNS et des contrôles de sécurité. Les analystes peuvent utiliser ces informations pour analyser ce qui s’est produit avant ou après une alerte du endpoint, détectant ainsi des comportements invisibles depuis une seule source.

Par exemple, une recherche pourrait révéler plusieurs dispositifs contactant un même domaine suspect, même si seul l’un d’eux a généré une détection initiale dans Falcon. Elle pourrait aussi montrer des tentatives d’accès à des applications d’entreprise depuis des emplacements ou des identités liés à un incident.

L’intérêt de cette intégration dépend de la gestion du volume, de la durée de stockage et du coût des données transmises au SIEM. La quantité d’événements générés par une entreprise peut être très élevée, toutes ne présentant pas un intérêt opérationnel équivalent.

Les entreprises doivent donc définir quelles signaux conserver, pendant combien de temps et avec quel niveau de détail. Transmettre toutes les données disponibles peut accroître la visibilité, mais aussi le stockage, les coûts d’ingestion et le bruit pour les équipes de sécurité.

SASE et endpoints : deux parties complémentaires de l’attaque

Cato et CrowdStrike évoluent dans des segments différents du marché de la cybersécurité.

Cato propose une plateforme SASE, une solution fournissant un accès sécurisé en périphérie. Elle combine connectivité réseau et services de sécurité issus d’une infrastructure cloud : accès distant, réseau definie par logiciel, filtrage web, pare-feu et contrôle d’accès basé sur l’identité.

CrowdStrike se concentre principalement sur la protection des endpoints, la détection et la réponse étendue, ainsi que l’analyse des menaces. Leur agent surveille les activités sur les ordinateurs et serveurs, repérant processus, fichiers, identités et comportements suspects.

Les deux approches sont complémentaires. L’endpoint montre ce qui se passe à l’intérieur du dispositif et le réseau révèle avec quels services il communique, quels flux circulent et quelles autres applications tentent d’être atteintes.

L’intégration cherche à fusionner ces deux couches sans forcer les entreprises à remplacer leurs plateformes. Cato conserve ses fonctions réseau et sécurité, tandis que CrowdStrike maintient Falcon comme environnement de protection des endpoints, de gestion des actifs et d’analyse des événements.

Ce partenariat reflète aussi la tendance du secteur vers des plateformes davantage connectées. Les éditeurs proposent de plus en plus de fonctionnalités de SIEM, XDR, automatisation et intelligence artificielle, mais les clients continuent d’utiliser des outils multiples.

Partager des signaux devient ainsi aussi précieux que d’ajouter une nouvelle plateforme. Une alerte avec un contexte riche permet une décision plus rapide ; plusieurs alertes sans lien ou en double peuvent alourdir la charge de travail.

Déployé mondialement, selon les licences

Cato Networks assure que ces intégrations techniques sont accessibles à l’échelle mondiale via le CrowdStrike Marketplace.

Elles couvrent principalement trois cas : l’intégration des alertes Falcon dans Cato XOps, l’enrichissement de l’inventaire avec Falcon Discover, et la transmission de la télémétrie de Cato vers Falcon Next-Gen SIEM.

Les organisations intéressées devront vérifier leurs besoins en connecteurs, permissions API, licences requises et configuration des accès. La gestion des données, leur partage et les actions possibles doivent également être définies en amont.

Bien que l’annonce insiste sur la rapidité de la réponse, aucune métrique indépendante n’est publiée quant à la réduction potentielle du délai d’enquête, le nombre de faux positifs évités ou la performance dans de grands environnements.

L’efficacité réelle dépendra de la qualité des règles, du taux d’adoption des plateformes, et des processus internes de chaque centre de sécurité. La connexion de plusieurs sources améliore le contexte, mais ne corrige pas à elle seule des erreurs telles que la mauvaise catégorisation des actifs ou des permissions excessives.

Questions fréquentes

Que copartagent Cato Networks et CrowdStrike ?

Ils ont relié la plateforme Cato SASE à plusieurs composants de CrowdStrike Falcon pour relier données des endpoints et du réseau dans le cadre d’investigations, inventaires et recherches de menaces.

L’intégration remplace-t-elle un SIEM ?

Pas nécessairement. Certaines fonctions transfèrent des données vers Falcon Next-Gen SIEM, d’autres permettent d’enquêter depuis Cato XOps. Chaque entreprise peut continuer à utiliser d’autres outils d’enregistrement et d’analyse.

Quels éléments Cato ajoute-t-elle à une alerte CrowdStrike ?

Elle peut fournir des informations sur l’utilisateur, l’appareil, les connexions réseau, les requêtes DNS, les sessions, les destinations contactées et d’éventuels mouvements latéraux.

Ces fonctionnalités sont-elles accessibles à tous les clients ?

Les intégrations sont disponibles mondialement, mais leur activation peut nécessiter des modules ou licences spécifiques, ainsi que la configuration de connecteurs et permissions.