Le confinement ciblé peut être plus sûr qu’un arrêt complet
Lorsque des identifiants volés entraînent un usage non autorisé de l’IA, du cryptominage, des mouvements latéraux, une extraction de données ou des coûts imprévus, l’arrêt de l’environnement cloud affecté peut aussi interrompre des charges de production légitimes.
L’objectif opérationnel le plus sûr est un confinement ciblé lorsque l’activité nuisible peut être identifiée avec un niveau de confiance suffisant. Restreignez le trafic, l’identifiant, l’identité ou le chemin d’accès concernés pendant que les charges de travail légitimes continuent de s’exécuter.
Le confinement ciblé dépend de signaux observables
Le confinement ciblé repose sur des éléments probants qui distinguent une activité suspecte d’une activité de production légitime. La qualité de ces signaux détermine avec quelle précision une équipe de sécurité peut intervenir.
Cela crée une règle de décision pratique pour les dirigeants. Plus les éléments probants sont solides et spécifiques, plus l’action de confinement peut être ciblée. Lorsque les éléments probants sont faibles, l’organisation peut avoir besoin d’une réponse plus large pour maîtriser le risque immédiat.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
Les identifiants et l’identité déterminent la portée d’une attaque
Un identifiant compromis peut nécessiter une révocation des accès, une investigation des ressources et des mesures concernant l’exposition financière. Les autorisations associées à cet identifiant aident à déterminer jusqu’où l’incident peut se propager et quels systèmes nécessitent une investigation.
Les dirigeants doivent donc considérer le périmètre des identités comme un élément du confinement des incidents. La réponse doit identifier l’identifiant concerné, déterminer à quoi il pouvait accéder, révoquer ou restreindre cet accès, et examiner les ressources à sa portée.
Une alerte précise a tout de même besoin d’un responsable
Le confinement peut mobiliser plusieurs fonctions. Les équipes de sécurité peuvent devoir examiner les accès, les équipes opérationnelles peuvent devoir protéger les charges de travail, et les équipes finance peuvent devoir traiter des dépenses imprévues.
Attribuez ces responsabilités avant qu’un incident ne survienne. Définissez qui peut restreindre les identifiants, qui décide si les charges de travail doivent être suspendues, qui examine les ressources concernées et qui gère l’exposition financière. Le confinement ciblé ne fonctionne que lorsque les éléments probants peuvent rapidement déboucher sur une action autorisée.
Points clés
- Privilégiez le confinement ciblé lorsque les éléments probants le permettent : Restreignez le trafic malveillant, les identifiants, les identités ou les chemins d’accès sans interrompre inutilement les charges de production légitimes.
- Laissez les éléments probants déterminer le périmètre du confinement : Des signaux solides et spécifiques permettent des interventions plus ciblées. Des éléments probants faibles peuvent nécessiter une action plus large pour maîtriser le risque immédiat.
- Considérez le périmètre des identités comme un élément de la réponse à incident : Déterminez à quoi un identifiant compromis pouvait accéder, révoquez-le ou restreignez-le, et examinez les ressources à sa portée.
- Attribuez l’autorité de confinement avant que des incidents ne surviennent : Définissez qui peut restreindre les identifiants, suspendre les charges de travail, examiner les ressources et traiter l’exposition financière afin que les éléments probants puissent rapidement mener à l’action.
Un projet en tête ?
Planifiez un appel de 30 minutes avec nous.
Des experts senior pour vous aider à avancer plus vite : produit, tech, cloud & IA.
