Module de validation
04 / 07Validation des contrôles de sécurité
Établit si vos contrôles déployés bloquent, détectent, alertent ou laissent passer de véritables actions d'attaquant dans votre environnement.
Le problème
La couverture est supposée, pas mesurée
Un catalogue de contrôles indique quelles catégories sont déployées. Il ne dit pas si une technique donnée serait arrêtée dans votre configuration. Le contenu de détection se dégrade au fil des réglages, des exclusions et des montées de version ; une règle qui déclenchait au déploiement peut cesser de déclencher sans qu'aucune alerte ne l'annonce. Les pourcentages de couverture tirés de la documentation d'un produit décrivent ce qu'il peut faire en principe, pas ce que votre instance a fait hier.
Il en résulte une posture qui paraît complète sur une présentation et comporte en pratique des trous précis et inconnus. Ces trous sont découverts soit par Veync, soit par un adversaire.
Comment Veync l'éprouve
Une mise à l'épreuve consciente de l'évasion, par catégorie de contrôle
Veync exécute de véritables actions d'attaquant face aux catégories de contrôles que vous avez déployées, avec un savoir-faire conscient de l'évasion plutôt que des cas de test complaisants, et observe ce que chaque contrôle a réellement fait. Le sujet est toujours la catégorie de contrôle — terminal, réseau, messagerie, données, applicatif, identité, télémétrie industrielle et physique — jamais un produit nommé.
Ce que ce module couvre
- Détection et réponse sur les terminaux
- Détection et réponse réseau
- Contenu de détection du SIEM
- Sécurité de la messagerie
- Prévention des fuites de données
- Pare-feu applicatifs
- Identité et authentification multifacteur
- Télémétrie des systèmes industriels
- Télémétrie physique et aérienne
Ce que vous recevez
Un verdict par contrôle, avec les délais
Vous recevez un verdict bloqué, détecté, alerté ou manqué pour chaque contrôle du périmètre, l'action exécutée qui le sous-tend, des délais de détection et de réponse mesurés, et les évolutions précises d'ingénierie de détection qui combleraient chaque écart.
Bloqué, détecté, alerté ou manqué, pour chaque contrôle
Des délais de détection et de réponse mesurés
Les évolutions d'ingénierie de détection qui comblent chaque écart
Verdicts par contrôle
- Bloqué
- Détecté
- Alerté
- Manqué
Chaque contrôle du périmètre reçoit l'un de ces quatre verdicts, accompagné de l'action exécutée qui l'a produit. Un contrôle jamais éprouvé est rapporté comme non testé, et non comme conforme.
Mesures de réponse rapportées
- Délai moyen de détection (MTTD), par technique et par contrôle
- Délai moyen de réponse (MTTR), de la détection au confinement
Référentiels
Les preuves de ce module se rattachent à
MITRE ATT&CK
MITRE
Mettez ce module à l'épreuve
Une session de validation couvre le périmètre, l'autorisation que vous signeriez et les preuves que ce module produirait pour votre environnement.
Les résultats nommant des éditeurs et les preuves de contournement de contrôles sont partagés sous accord de confidentialité, via l'annexe de preuves.