La Surveillance Cloud : Aperçu et configuration

Introduction

En général les courriels en ligne, le stockage cloud et, la virtualisation d’une organisation sont stockés dans cloud afin de réduire le temps de configuration, les coûts et les frais généraux de gestion de l’infrastructure. Ces données cloud peuvent être sensibles et vulnérables aux menaces ou aux erreurs de configuration dont les acteurs peuvent tirer profit.

Bien que certains partenaires de services cloud offrent des alertes et une protection de base, notre service se concentre exclusivement sur la sécurité et offre des capacités de pointe intégrées à tous vos services et actifs de réseau. La Covalence utilise les données, les journaux et les API pour identifier les menaces qui affectent entres autres votre service, les composantes administrative et les comptes d’utilisateur.

La configuration est simple en quelques clics et ne nécessite aucune installation de logiciel ou de matériel. Une fois la surveillance cloud activée pour un service cloud, la Covalence utilise l’apprentissage automatique et d’autres analyses sophistiquées pour fournir une analyse personnalisée en continu des données d’utilisateur et de service de votre réseau afin d’identifier les menaces.

Si une menace est découverte, les ARO suivants sont disponibles pour la surveillance cloud :

Événements de connexions suspectes
Comportement suspect de l'utilisateur
Modifications de la liste de contrôle d'accès
Authentification via TOR
Utilisation de codes de sauvegarde MFA / échec MFA
Tentatives de forçage
Succès des tentatives de forçage
Journal des appareils utilisés par utilisateur
Détection de la perte de documents
Prévention de la perte de données
Alerte sur l'activité des utilisateurs dormants
Nombre élevé de téléchargements de fichiers
Création de règles pour les boîtes de réception nouvelles/suspicieuses
Authentification via les protocoles existants
Détection de logiciels malveillants sur Sharepoint
Correspondance entre l'adresse IP et l'identifiant de l'utilisateur
Utilisateurs se connectant simultanément à partir de plusieurs endroits
Lieux de connexion suspects (Geo/Tor/VPN)
Événements de voyage impossibles/improbables
Accès via des fournisseurs d'accès Internet non fiables
Modifications de la visibilité des documents

Notifications de clics sur des liens suspects dans Office 365

Capacités de Surveillance Cloud

Catégories d’Analyse Cloud

La Covalence recueille et traite les données télémétriques du service cloud et applique l’analyse des comportements des utilisateurs et des entités (UEBA) pour identifier les anomalies qui pourraient indiquer une atteinte à un compte. Il peut également identifier les pertes de données potentielles.

Risques liés au compte :
- Accès au compte, utilisation de l’authentification multifactorielle (ARM).
- Configuration non sécurisée :
  - Utilisation du protocole d’authentification hérité.
  - Services exposés exécutés sur des serveurs virtuels.
Détection des menaces :
- Compromission potentielle des titres de compétences.
- Accès inattendu ou suspect à un compte.
- Tendances des tentatives d’ARM échouées.
- Réputation d’origine (TOR, VPN, ISP).
- Emplacement d’accès anormal (emplacement géographique du tableau de bord, distance).
- Utilisation d’ARM ou de codes de sauvegarde.
- Attaques de force brute, surveillance par pulvérisation par mot de passe.
- Utilisation simultanée d’un compte.
Activité suspecte sur un compte :
- Ouverture de session à partir d’appareils inattendus.
- Ouvertures de session à partir d'emplacements inattendus.
- Activité d’un compte dormant.
- Authentifications inattendues utilisant les protocoles existants.
- Modifications à la liste de contrôle d’accès.
Perte de données :
- Quantités de téléchargement de fichiers anormales.
- Quantités de supprimerons de fichiers anormaux.
- Profils anormaux des transferts de données (point d’extrémité, réseau et infonuagique).
- Changement de la visibilité du partage de fichiers (accessible à l’externe).
Surveillance des activités par courriel :
- Création de règle de la boîte de réception suspecte.
- Tentatives d’hameçonnage, par l’intermédiaire des journaux des partenaires.
Configuration non sécurisée :
- Protocole d’authentification propriétaire utilisé à partir d’un emplacement anormal.
Surveillance du stockage infonuagique :
- Détection de logiciels malveillants et de fichiers malveillants.
- Changements apportés à la visibilité des documents.

Techniques de surveillance cloud

La Covalence surveille les environnements clouds au moyen de données qui peuvent être extraites par l’API du partenaire cloud. Ces données comprennent :

Vérification et analyse du journal des événements :
- Stockage
- Courriel
- Authentification
- Journaux de sécurité
Journaux de sécurité des partenaires cloud – incluant Microsoft Defender pour Cloud (Azure).
Renseignements sur l’utilisateur, le compte et le groupe.

Inscription d’un service de surveillance cloud

À partir de la page Intégrations (section Administration), cliquez sur Ajouter pour le service cloud que vous souhaitez surveiller et authentifier en fournissant Covalence avec les informations d’identification de l’administrateur.

Le processus de configuration peut différer légèrement d’un service à l’autre. Pour obtenir des instructions sur chaque intégration, consultez notre chapitre de la base de connaissances sur Surveillance et intégration cloud :, ou les articles suivants :

Supprimer d’un service de la surveillance infonuagique

Si vous souhaitez supprimer un service infonuagique ou réinscrire un service qui pourrait éprouver des problèmes, cliquez sur le bouton Supprimer de la carte de service inscrite.

On vous demandera de confirmer votre choix. Lorsque vous êtes prêt, cliquez sur Supprimer l’intégration.

Vous serez redirigé vers la page intégrations et le service sera supprimé. Si vous le désirez, vous pouvez vous réinscrire le service une fois qu’il a été retiré.

Dépannage des services infonuagiques

À l’occasion, il peut y avoir un court délai entre l’inscription du service et son activation. Dans de rares cas, une erreur peut survenir avec un compte infonuagique qui nécessite votre attention. Dans ce cas, la carte de ce compte affichera un message indiquant que l’adhésion est en attente ou l’une des options suivantes :

Problème : « L’utilisateur n’est pas un administrateur et ne peut donc pas accéder aux journaux d’audit. »
- Résolution : désinscrivez le service et réinscrivez-vous à l’aide des informations d'identification de l’administrateur.
Problème : « La journalisation de vérification n’a pas été activée sur le domaine infonuagique. »
- Résolution : Vous devrez activer la journalisation des audits dans ce service infonuagique. Pour en savoir plus, consultez Intégrations.
Problème : « Le niveau de plan de service du client avec son partenaire infonuagique ne comprend pas la journalisation des audits. »
- Résolution : Vous devrez peut-être mettre à niveau votre service infonuagique à un forfait qui permet la journalisation des audits.
Problème : « Le compte utilisé aux fins d’inscription n’a plus accès aux journaux de vérification, probablement parce qu’il a été désactivé ou supprimé. Dans le cas de l’AWS, un rôle spécial doit être ajouté au compte pour extraire les journaux d’audit, ce qui entraînera cette erreur si le rôle n'est pas présent. »
- Résolution : voir Configuration du protocole AWS pour la surveillance de la cohérence.