Kaspersky a actualisé son service Managed Detection and Response (MDR) en intégrant des informations sur les identifiants compromis directement dans l’analyse des incidents de sécurité. La nouvelle version incorpore des données provenant de Digital Footprint Intelligence (DFI), améliore la surveillance des actifs protégés et étend la couverture à certains systèmes Linux embarqués. L’objectif est de détecter plus rapidement les attaques utilisant des comptes légitimes compromis, qui, en raison de l’utilisation d’accès valides, peuvent initialement être confondus avec une activité normale d’un utilisateur.

Les points clés du nouveau Kaspersky MDR en 30 secondes

• Kaspersky intègre Digital Footprint Intelligence dans MDR pour croiser les crédentiels filtrés avec des événements de sécurité en temps réel.
• La société affirme que les comptes valides participent à 25 % des vecteurs initiaux d’attaque analysés dans son rapport mondial.
• Les nouvelles notifications alertent lorsque qu’un actif protégé rencontre des problèmes de télémétrie ou de connectivité.
• Les fournisseurs de services peuvent définir des limites de hôtes par client.
• MDR étend sa couverture à Kaspersky Embedded Systems Security for Linux 4.0.

Cette mise à jour se concentre sur un problème de plus en plus délicat pour les équipes de sécurité : un attaquant n’a pas toujours besoin de découvrir une vulnérabilité inconnue ou de développer un malware avancé. Il lui suffit d’obtenir des crédentiels valides pour tenter d’accéder via la même porte qu’utilise quotidiennement un employé.

Selon le rapport Anatomy of a Cyber World : Global Report by Kaspersky Security Services, les attaques exploitant des comptes valides représentent 25 % des vecteurs initiaux observés par la société. Il s’agit d’un chiffre provenant directement de la télémétrie et des services de Kaspersky. Bien qu’il ne doive pas être automatiquement extrapolé à l’ensemble des incidents mondiaux de cybersécurité, il souligne un problème largement reconnu dans la gestion des identités.

Croiser une fuite de crédentiels avec les événements internes à l’entreprise

La principale nouveauté consiste à connecter deux sources d’informations qui étaient souvent analysées séparément auparavant.

Digital Footprint Intelligence recueille et examine des données relatives à l’exposition externe d’une organisation, y compris les crédentiels compromis détectés lors de fuites ou en provenant d’autres sources investiguées par les services de renseignement en menace de Kaspersky.

Avec l’intégration dans MDR, ces données peuvent être automatiquement croisées avec les événements enregistrés dans l’environnement protégé.

Cette corrélation peut s’avérer précieuse lors d’une enquête. Un login effectué normalement n’est pas en soi une activité malveillante. Mais si les crédentiels de ce compte apparaissent parmi ceux identifiés comme compromis par Kaspersky, l’événement prend un contexte différent.

Le système peut utiliser cette relation pour aider les analystes à identifier d’éventuels comptes compromis, prioriser les incidents et orienter les recherches de menace vers des utilisateurs ou systèmes plus à risque.

Cela ne signifie pas qu’une crédentiel filtrée confirme automatiquement une intrusion. Un mot de passe exposé peut avoir été modifié précédemment ou concerner un compte désactivé. La corrélation fournit une indication supplémentaire qui doit être analysée en conjonction avec d’autres indicateurs.

Kaspersky propose également d’utiliser cette information pour threat hunting, la recherche proactive d’indices d’activité malveillante qui n’ont pas encore généré d’alerte suffisamment claire.

La société explique que cette intégration permettra à ses analystes de rechercher des signaux d’abus de comptes avant qu’un accès non autorisé n’évolue vers des phases plus avancées d’un attaque.

Plus de visibilité sur les actifs qui arrêtent d’envoyer des données

La deuxième partie de la mise à jour, bien que moins spectaculaire que l’intégration de l’intelligence sur les crédentiels, influence directement l’efficacité de toute plateforme de détection.

Un service MDR dépend de la réception de télémétrie des équipements surveillés. Si un dispositif cesse de communiquer en raison d’un problème de connectivité, de configuration ou de fonctionnement de l’agent, cela crée une zone d’ombre.

Kaspersky intègre désormais Asset Status Notifications, un système qui alerte les administrateurs lorsqu’un actif protégé nécessite une intervention.

Ces notifications facilitent l’identification des problèmes liés à la collecte de télémétrie ou à la connectivité, avant qu’ils n’affectent la couverture de surveillance.

C’est particulièrement important dans les grandes infrastructures ou réparties. Avoir un serveur enregistré dans une plateforme de sécurité ne garantit pas qu’il transmet continuellement toutes les informations nécessaires pour détecter une activité anormale.

La nouvelle version permet également de définir le nombre attendu d’hôtes pour chaque tenant. Cette fonction est particulièrement destinée aux fournisseurs de services gérant plusieurs clients sur une même plateforme, afin de mieux contrôler la distribution des licences et des systèmes protégés.

Kaspersky n’a pas annoncé de changement dans le modèle général du service. MDR continue d’opérer comme une solution managée avec une surveillance 24/7, où des analystes spécialisés participent à la détection, l’enquête et la réponse aux incidents.

Kaspersky étend MDR à de nouveaux systèmes Linux embarqués

La mise à jour ajoute également la compatibilité avec Kaspersky Embedded Systems Security for Linux 4.0.

Cela permet d’étendre la couverture MDR aux environnements embarqués basés sur Linux utilisant cette solution de sécurité. Les systèmes embarqués se retrouvent dans de nombreux appareils et infrastructures spécialisées, pouvant avoir des cycles de vie et exigences opérationnelles différents de ceux d’un ordinateur classique.

L’intégration augmente le type d’appareils pouvant fournir des informations et faire l’objet de supervision, même si la compatibilité annoncée est spécifique au produit Embedded Systems Security for Linux 4.0 de Kaspersky.

La société indique également avoir effectué d’autres modifications mineures liées à la plateforme et à sa facilité d’utilisation, sans donner tous les détails de ces changements.

Cette mise à jour intervient alors que la gestion des identités est devenue un enjeu central de la défense des entreprises. Le vol de mots de passe via le phishing, les malwares spécialisés pour extraire des informations, les fuites de bases de données ou la réutilisation de crédentiels permettent d’accéder à des ressources sans attaquer directement une application.

Pour les systèmes de détection, cela soulève alors une dimension supplémentaire : différencier le propriétaire légitime d’un compte de quelqu’un qui en possède les crédentiels.

Les logs d’authentification, la localisation, l’appareil utilisé, le comportement post-authentification et d’autres indicateurs aident à repérer les anomalies. L’ajout d’informations externes indiquant qu’une identité donnée a été victime d’une fuite apporte une pièce supplémentaire à cette analyse.

Renat Turianov, responsable produit de Kaspersky MDR, souligne que l’intégration permet de faire correspondre les crédentiels compromis avec des événements de sécurité et de rechercher de manière proactive des signes de compromission de comptes.

L’utilité concrète dépendra de la qualité et de l’actualité de ces renseignements, de la télémétrie disponible et de la façon dont seront combinés les différents signaux lors d’une enquête. Quoi qu’il en soit, cette mise à jour marque une évolution claire dans les services de détection : il ne suffit plus de veiller à ce qui se passe à l’intérieur de l’infrastructure lorsque les crédentiels d’accès peuvent circuler hors de l’organisation.

Questions fréquemment posées

Quelles nouveautés prévoit Kaspersky MDR ?

La mise à jour intègre Digital Footprint Intelligence pour relier les informations sur les crédentiels filtrés avec les événements de sécurité. Elle ajoute également des alertes sur l’état des actifs, la gestion des limites d’hôtes et la compatibilité avec Kaspersky Embedded Systems Security for Linux 4.0.

Qu’est-ce que Digital Footprint Intelligence ?

C’est le service d’intelligence de Kaspersky visant à analyser l’exposition digitale externe d’une organisation. Il permet notamment d’identifier des informations compromises telles que des crédentiels apparaissant lors de fuites.

Une crédentiel filtrée signifie-t-elle que l’entreprise a été attaquée ?

Pas nécessairement. La présence de crédentiels dans une fuite indique un risque potentiel, mais il faut vérifier leur validité et analyser l’activité du compte ainsi que d’autres événements de sécurité.

Que signifie MDR en cybersécurité ?

MDR correspond à Managed Detection and Response, ou détection et réponse gérées. Il combine des technologies de surveillance avec des analystes spécialisés pour détecter, investiguer et répondre aux menaces de manière continue.