Bâtir son centres des opérations de sécurité en 2016 Le passage de la vigie à l’intelligence de sécurité Pascal Fortin, MBA, CISA, CRISC, CRMA PDG 9/26/2016

A propos de GoSecure Fondée en 2002 à Montréal avec pour objection de réaliser des services de pointe en sécurité de l’information exclusivement 63 employés à temps plein, quatre bureaux principaux : Montréal, Halifax, Québec et Londres (R-U). Bureaux satellites à Toronto, Boston (US), Casablanca (Ma), Présente dans toutes les verticales industrielles et paliers gouvernementaux Deux centres des opérations de sécurité (SOC): Montréal et Halifax Membre à part entière et contributrice de contenus scientifique et pratique de qualité envers les organisations suivantes:

Bloc 1 Le modèle de menace 2016

+ de 12 ans de statistiques sur les cyberattaques En 2016… 2 260 ORGANIZATIONS MONDIALES ON CONTRIBUÉES 3 141 BRÈCHES CONFIRMÉES 64 199 INCIDENTS DE SÉCURITÉ CONFIRMÉS 82 PAYS REPRÉSENTÉS Source : Verizon 2016 Data Breach Investigations Report

+ de 12 ans de statistiques sur les cyberattaques Source : Verizon 2016 Data Breach Investigations Report

+ de 12 ans de statistiques sur les cyberattaques Source : Verizon 2016 Data Breach Investigations Report

+ de 12 ans de statistiques sur les cyberattaques Source : Verizon 2016 Data Breach Investigations Report

La prise de conscience d’une brèche tarde… Source : Mandiant M-Trends 2016 Report

Bloc 2 Construire son SOC aujourd’hui

Définir ses attentes pour réussir Portée des services Période de couverture Portée de gestion, priorité d’action Ressources humaines Ressources externes Contraintes juridiques ou normatives Structure dans la structure

Qu’est-ce que le SOC surveille en 2016? Indicateurs d’une cyber attaque

Enjeux Critique - Gestion des talents Analyste de sécurité (24/7) Analyste de logiciels malveillants (24/7) Chef d’équipe (24/7) Analyste Sénior Enquêteur spécialisé Web/Phish/Net/FS/etc. Bagage fort en télécom et Web Diplômés universitaires > Collégial Intérêt et engagements continus envers les labos SANS ENTERPRISE DEFENDER OSCP LOCKHEED CYBER KILL CHAIN Notions d’enquête et de gestion de la preuve (Portions CFE) Et bien plus…

Points de désillusion La tâche no.1 du SOC est de réduire le temps entre un incident de sécurité, sa découverte, et son traitement efficace SOC n’est pas un NOC avec des alertes sur des journaux d’équipement de sécurité SOC ne peut être une île Les « métriques » traditionnelles (IPS block, ACL deny, etc.) ne sont pas de indicateurs de compromission (IOC) Le SOC moderne a des capacités sur tous les fronts (Réseaux, serveurs, équipements mobiles, courriels, stockage)

Leçon apprises Utilisation d’un méthodologie multifactorielle et multidimensionnelle comme Cyber Kill Chain (Lockheed) pour éviter la myopie de sécurité. Développer des scenarios de réponse aux incidents spécifiques à des profils d’attaques … au lieu d’un processus trop monolithique. Un SOC doit être testé (Red Team, Chaos Team) régulièrement et vigoureusement

Leçon apprises Maintenir une infrastructure de gestion des “évidences” distincte de l’infrastructure de l’entreprise Les partenariats sont essentiels. Au minimum, s’engager auprès des CERT/CIRC nationaux pertinents.

Notre modèle d’intégration

Pour plus d’information www.gosecure.net