L’AMTSO a mis en place un cadre d’évaluation normalisé pour les bacs à sable.
Les cybermenaces évoluent rapidement et la plupart des entreprises ne parviennent pas à suivre le rythme. Les attaquants font évoluer leurs techniques en permanence. La plupart de nos défenses actuelles ont été conçues pour un monde plus lent. Outils statiques. Une logique ancienne. Et des moyens insuffisants pour mesurer si les outils de détection des logiciels malveillants d’aujourd’hui peuvent réellement faire ce que nous attendons d’eux. Les bacs à sable constituent une ligne de défense essentielle, mais jusqu’à présent, il n’existait pas de véritable norme pour évaluer leurs performances. Cela change avec le nouveau cadre d’évaluation des bacs à sable de l’AMTSO.
L’Anti-Malware Testing Standards Organization (AMTSO) a publié une méthode normalisée pour tester et évaluer les solutions de bac à sable, les outils sur lesquels nous comptons pour isoler et inspecter les codes suspects. Le cadre définit un ensemble complet de critères permettant d’évaluer les performances d’un bac à sable dans des domaines essentiels : précision de la détection, capacité à détecter les logiciels malveillants évasifs, vitesse de traitement, conformité aux réglementations et clarté des rapports.
Ce cadre a fait l’objet d’un examen public et a été élaboré par le groupe de travail de l’AMTSO sur l’évaluation des bacs à sable, composé d’experts d’entreprises qui connaissent les logiciels malveillants de première main : OPSWAT, VMray, Venak Security et Malwation. Ces organisations travaillent en première ligne de la détection des menaces, de sorte que leurs méthodes ne sont ni vagues ni isolées. Le cadre est conçu pour être utilisé aujourd’hui, en production, dans vos environnements existants.
Si vous gérez la sécurité à grande échelle, ou même si vous vous apprêtez à le faire, il est important d’évaluer votre bac à sable en vous basant sur autre chose que des affirmations marketing. La plupart des dirigeants de haut niveau ne veulent pas se perdre dans les détails techniques. Mais ce cadre permet de combler cette lacune. Il fixe des normes claires et fournit des repères de performance sur lesquels vous pouvez réellement agir. Plus important encore, il est conçu pour vous aider à poser les bonnes questions lorsque votre équipe SOC privilégie un bac à sable plutôt qu’un autre.
Investir dans ce cadre est une décision stratégique qui permet d’économiser du temps, des risques et du capital. Si vous n’évaluez pas votre bac à sable par rapport à un paysage de menaces en mouvement, vous ne l’évaluez pas du tout.
Les acteurs de la menace perfectionnent en permanence les techniques d’évasion et d’intrusion dans les bacs à sable.
Les attaquants ont évolué. Ils l’ont conçu pour qu’il échappe aux défenses modernes. Un bac à sable ne sert pas à grand-chose s’il peut être détecté par la menace qu’il tente de contenir. Et c’est ce qui se passe de plus en plus souvent. Les auteurs de logiciels malveillants intègrent des contrôles pour détecter les environnements virtualisés, retarder l’exécution, utiliser des informations d’identification volées et même détourner des processus légitimes pour éviter tout soupçon. Résultat : les entreprises sont victimes de violations, souvent sans savoir où cela a commencé.
C’est pourquoi le cadre de l’AMTSO met fortement l’accent sur les capacités d’anti-évasion. Il s’agit de mettre à l’épreuve la capacité du bac à sable à capturer des menaces inconnues, adaptatives et plus furtives. Si la méthodologie de test ne simule pas des scénarios dans lesquels les logiciels malveillants tentent de contourner l’analyse, vous ne mesurez pas sa valeur défensive réelle.
Les cybercriminels ne suivent pas une feuille de route prévisible. Ils changent de tactique plus rapidement que la plupart des outils d’entreprise ne peuvent s’adapter. Ainsi, un bac à sable qui a passé avec succès votre examen interne il y a un an peut déjà être obsolète sur le plan fonctionnel s’il n’est pas en mesure de détecter les techniques d’évasion modernes.
Les risques sont réels et documentés. Au début du mois, Broadcom a corrigé trois vulnérabilités de type « zero-day » dans lesquelles les attaquants, après avoir obtenu un accès de niveau administrateur aux machines virtuelles, se sont échappés de la couche « sandbox » et ont compromis la couche « hyperviseur ». Ce type de faille peut entraîner une exposition totale de l’infrastructure, un vol de données et une interruption prolongée des services. Ajoutez à cela le correctif d’urgence apporté à Chrome l’année dernière pour la CVE-2024-4761, qui permettait aux attaquants d’échapper au bac à sable de Google et d’exécuter des logiciels malveillants à distance.
Vous ne pouvez pas lutter contre des menaces en constante évolution avec des hypothèses fixes. Le cadre AMTSO est l’un des rares outils qui s’attaque de front à ce changement. Si vous exploitez des systèmes critiques ou gérez de vastes environnements d’utilisateurs, la validation statique de la sécurité ne suffit plus. Vous avez besoin d’outils capables de simuler les vecteurs de menace de demain en utilisant les normes d’évaluation d’aujourd’hui. C’est ainsi que vous garderez une longueur d’avance.
Le cadre utilise des tests basés sur des cas concrets pour valider les performances du bac à sable dans divers scénarios de menaces réelles.
La cybersécurité exige des outils d’évaluation fondés sur le réalisme. Le cadre d’évaluation des bacs à sable de l’AMTSO a été conçu sur cette base. Il soutient les tests basés sur des cas concrets, où les bacs à sable ne sont pas seulement jugés sur leurs spécifications, mais sur la façon dont ils réagissent dans des scénarios pratiques à haut risque auxquels les équipes de sécurité sont confrontées tous les jours.
Le cadre évalue le comportement du bac à sable dans une série de cas d’utilisation : traitement de masse des logiciels malveillants, détection des charges utiles d’hameçonnage, triage des fichiers suspects, identification des attaques de type « zero-day » et collecte de renseignements pour la réponse aux menaces. Il s’agit là des fonctions opérationnelles qui animent les SOC modernes. Plus important encore, elles reflètent ce qui se passe activement dans le paysage des menaces.
Du point de vue de la prise de décision, cette approche change la donne. Les dirigeants n’ont pas besoin de devenir des experts en environnements virtuels ou en rétro-ingénierie de logiciels malveillants. Ce dont ils ont besoin, c’est d’outils qui alignent l’investissement sur l’exposition au risque. C’est ce que permet la notation basée sur les cas. Elle permet aux responsables de la sécurité d’avoir une vision plus claire de la valeur ajoutée mesurable d’un bac à sable sur l’ensemble des flux de travail essentiels, et pas seulement sur des environnements de laboratoire isolés.
Les outils de sécurité ont des performances différentes selon la manière dont ils sont utilisés. Un bac à sable peut exceller dans la détection des logiciels malveillants de bas niveau, mais échouer face à la complexité des fichiers d’hameçonnage modernes contenant un code évasif. Ou encore, il peut être très performant dans un environnement, mais ne pas l’être lorsqu’il est intégré à l’échelle du cloud. Le modèle axé sur les cas tient compte de cette diversité, ce qui signifie que les entreprises peuvent s’appuyer sur un cadre qui reflète les exigences opérationnelles, et pas seulement les conditions idéales.
Si vous faites évoluer la sécurité dans un environnement dynamique, cloud hybride, accès à distance, débit de données élevé, alors les outils d’audit doivent refléter la complexité que vous gérez. Le cadre AMTSO, développé en collaboration avec OPSWAT, VMray, Venak Security et Malwation, place la barre très haut. Il est conçu pour suivre les résultats réels, et non les capacités théoriques. Et c’est ce qui compte lorsque vous prenez des décisions de sécurité tournées vers l’avenir, avec un temps limité et une responsabilité totale.
Principaux faits marquants
- L’évaluation comparative normalisée des bacs à sable est désormais possible : Le nouveau cadre d’évaluation de l’AMTSO offre aux responsables de la sécurité une norme commune pour mesurer l’efficacité des bacs à sable sur la base de critères réels tels que la précision de la détection, la vitesse, la conformité et le reporting. Les dirigeants devraient considérer ce cadre comme un outil stratégique pour guider l’approvisionnement, l’intégration et les audits de performance dans l’ensemble de l’infrastructure de sécurité.
- Les menaces d’évasion exigent un renforcement de la validation des bacs à sable : Les attaquants conçoivent désormais activement des logiciels malveillants pour détecter et échapper aux environnements de bac à sable. Les dirigeants doivent s’assurer que leur pile de cybersécurité comprend des solutions testées contre les comportements modernes et évasifs, faute de quoi les lacunes risquent de rester indétectées jusqu’à ce qu’elles soient exploitées.
- Les tests en situation réelle améliorent les décisions d’investissement en matière de sécurité : Le cadre de l’AMTSO donne la priorité aux tests dans des scénarios opérationnels réels, comme le triage de l’hameçonnage ou la réponse à la menace du jour zéro, ce qui rend l’évaluation pertinente pour les demandes réelles du système. En se concentrant sur l’évaluation au cas par cas, les dirigeants peuvent aligner les outils sur les risques commerciaux et éviter de surmultiplier la protection pour des modèles de menaces peu pertinents.
