Introduction

Avec la croissance exponentielle des solutions informatiques développées par des fournisseurs, un besoin est apparu pour une technologie capable de collecter et d'analyser les données de journalisation ("télémétrie") générées par une grande variété de sources. Bien que les données collectées soient diverses, elles incluent des exemples tels que l'activité des applications, l'activité des utilisateurs, les journaux réseau, et bien plus encore. Essentiellement, tout ce qui produit un journal texte pourrait être considéré comme une source de données pour un agent de point de terminaison qui le surveille.

SIEM vs MDR 

Les outils de gestion des informations et des événements de sécurité (SIEM) sont utilisés pour consolider et analyser toutes ces données de journalisation des points de terminaison. Mais pour tirer pleinement parti d'un outil SIEM, chaque source de données doit être capable de fonctionner avec votre outil SIEM, et les journaux de chaque source doivent être continuellement maintenus et stockés. Une fois que les sources de journaux sont configurées pour fonctionner avec le SIEM, les organisations doivent encore concevoir et construire des règles analytiques qui prennent en compte les préoccupations de sécurité et réagissent correctement à chaque entrée de journal générée.

D'un point de vue de la sécurité, la limitation de l'approche SIEM est qu'elle ne peut obtenir de la visibilité que sur les journaux qu'une source peut produire. C'est comme lire les gros titres des journaux, au lieu d'assister directement à l'événement. Il y a de la valeur à lire les gros titres, mais l'histoire complète peut ne pas être disponible pour le lecteur.

Bien que les SIEM remplissent une fonction importante de collecte de données de journalisation et permettent leur analyse, il peut être très difficile d'attirer et de retenir du personnel qui sait gérer efficacement les journaux et les outils SIEM. Et à mesure que l'outil SIEM mûrit au sein de l'organisation, ces défis liés à la complexité et à la maintenance augmentent également.

En l'absence d'alternatives, les SIEM sont devenus une exigence parmi les cadres réglementaires et de conformité, malgré le coût élevé et l'expérience nécessaire pour en implémenter et en gérer un avec succès. C'est une décision politique bien intentionnée visant à garantir que les opérateurs soient conscients de l'activité sur leurs réseaux et aient la capacité d'identifier les activités malveillantes.

Cependant, au fil du temps, les acteurs de la menace ont évolué au point que les SIEM ne peuvent plus suivre les tactiques émergentes. Les opérateurs ne peuvent réagir qu'aux menaces que le SIEM a enregistrées, et cette réaction est encore ralentie par la nécessité de créer des règles qui traitent des menaces identifiées - et à ce stade, il est généralement trop tard. Créer des réponses actives et automatisées aux menaces est un défi, voire une impossibilité, pour les solutions SIEM.

Dans de nombreux cas, les organisations continuent de s'appuyer sur les SIEM pour stocker et conserver leurs journaux historiques à des fins d'audit. Mais la dépendance à leur égard pour fournir des résultats en matière de cybersécurité a considérablement diminué, en particulier dans tous les environnements sauf les plus grands.

Field Effect, une solution de détection et de réponse gérées (MDR), a été conçue pour identifier les risques techniques (vulnérabilités) qui peuvent conduire à une attaque, ainsi que les attaques en cours. Notre solution est déployée sur les appareils informatiques des clients (ordinateurs de bureau et serveurs) via un agent de point de terminaison, des capteurs réseau (physiques ou virtuels), et des services cloud (tels que Microsoft365). Au-delà de la détection des menaces et des risques, Field Effect peut déclencher des réponses (isoler ou verrouiller un système compromis) aux menaces.

La télémétrie de sécurité et la couverture fournies par Field Effect sont vastes. Cette combinaison de réduction des risques et de détection sophistiquée des menaces inclut les réseaux, les appareils informatiques de point de terminaison, et les services cloud. Field Effect MDR inclut, en tant que sous-ensemble, ce que la plupart des fournisseurs appellent Managed EDR.