Solutions
Renseignement et cybersécurité.
Les services de renseignement sont de la recherche et de l’analyse. La cybersécurité est la défense des systèmes en exploitation, les tests autorisés, l’investigation numérique et la réponse à incident.
Services de renseignement
Recherche et analyse.
Le travail utilise les disciplines ci-dessous. Chaque dossier conserve ensemble la source, la date et la conclusion.
OSINT
Sources ouvertes
Analyse de documents publiés et d’autres sources accessibles au public. La source, la date et le degré de confiance restent attachés à la conclusion.
HUMINT
Renseignement humain
Analyse d’entretiens et de comptes rendus déjà au dossier : qui a parlé, quand, quelle fiabilité, et ce que le propos permet de conclure.
SIGINT
Signaux
Analyse de comptes rendus de communications et de signaux électroniques déjà détenus : émetteur ou protocole, heure, et conclusion qui en est tirée.
GEOINT
Géospatial
Analyse d’imagerie et analyse géospatiale. La coordonnée, le capteur, l’heure d’acquisition et l’observation restent dans le même dossier.
MASINT
Mesure et signature
Renseignement de mesure et de signature : radar, sismique, acoustique et capteurs du même ordre, avec l’unité, la méthode et l’incertitude conservées dans le dossier.
TECHINT
Renseignement technique
Renseignement technique sur les équipements : identification, état, modifications, et comparaison avec des observations antérieures.
CYBINT
Cyber
Renseignement cyber sur des infrastructures, des comptes, des logiciels malveillants et des chronologies déjà observés. Un lien n’est écrit que si les éléments le soutiennent.
FININT
Financier
Renseignement financier : paiements, contreparties, montants et temps, présentés de façon à suivre une question de financement ou de blanchiment.
RUMINT
Information non confirmée
Information non confirmée, marquée comme telle, avec qui l’a transmise, quand, et ce qui permettrait de la confirmer ou de l’écarter.
SOCMINT
Médias sociaux
Analyse de publications publiques : le message, le compte, l’heure, et la raison de sa pertinence.
Cybersécurité
Défense, tests, investigation et réponse.
Le travail défensif porte sur des systèmes déjà en exploitation, y compris la collecte de journaux que le client autorise pour son propre environnement. Les tests sont rapportés au regard des techniques exercées. MITRE ATT&CK est une base de connaissances sur le comportement d’adversaires, non une certification et non l’ensemble d’une méthode de test. L’investigation numérique et la réponse à incident sont distinctes : l’une examine une matière préservée, l’autre contient et rétablit.
Défense
Défense
Veille et mesures sur des systèmes déjà en exploitation.
- Opérations de sécurité : surveillance, triage des alertes, escalade, et une trace écrite de chaque action.
- SIEM : collecte des journaux, corrélation, scénarios de détection, et conservation pour l’environnement du périmètre.
- EDR et XDR : détection sur les postes et détection transverse, réglées sur le parc plutôt que laissées au réglage d’un éditeur.
- Gestion des correctifs : inventaire, gravité, essai, déploiement, et exceptions écrites.
- Formation des personnes qui exploitent les systèmes, et sensibilisation pour le reste de l’organisation.
Offensif
Sécurité offensive
Tests autorisés des systèmes du périmètre, rédigés au regard des techniques réellement exercées.
- Tests externes, internes et applicatifs, et revue de configuration lorsque le périmètre la comprend. Le test applicatif suit une méthode écrite. Lorsque la pratique correspond, cette méthode utilise l’OWASP Web Security Testing Guide.
- Les constats qui décrivent un comportement d’adversaire sont cartographiés sur MITRE ATT&CK, qui est une base de connaissances, non un certificat. La cyber kill chain n’est utilisée que lorsque l’ordre des étapes compte pour le constat.
- Le rapport indique la méthode, ce qui a été tenté, ce qui a réussi, les éléments, et l’état dans lequel les systèmes ont été laissés.
- Le périmètre nomme les systèmes, la fenêtre, et le contact si un test doit être arrêté.
Investigation
Investigation numérique
Préservation et examen de matière numérique, rédigés pour qu’un second examinateur puisse suivre les étapes. Une empreinte atteste l’intégrité d’une copie. Elle ne prouve pas, à elle seule, toute l’histoire d’un fichier.
- Identification des hôtes, des comptes et des journaux qui portent sur la question.
- Préservation et acquisition, avec les empreintes, les versions d’outils et le décalage d’horloge conservés avec les éléments.
- Examen au regard de l’affaire : ce qui s’est exécuté, ce qui a changé, quel compte, et quand.
- Un rapport qu’un second examinateur peut suivre sans avoir à le reconstituer de mémoire.
Réponse
Réponse à incident
Depuis un indice fiable d’intrusion jusqu’au confinement et au rétablissement.
- Détection et analyse : ce qui est établi, ce qui reste ouvert, et jusqu’où l’activité s’étend.
- Confinement, éradication et rétablissement. Chaque décision est notée avec l’heure et la personne qui l’a prise.
- Une activité qui correspond à une technique connue est cartographiée sur MITRE ATT&CK, afin que l’écart de détection soit visible.
- Une revue écrite après le rétablissement : ce que l’environnement a montré, et ce qui doit changer dans les mesures.
Exécution
Un service dans un périmètre, ou un produit par contrat.
Services
Un périmètre écrit
Le périmètre nomme la question ou les systèmes, les personnes qui peuvent voir les informations, et le résultat à remettre.
Produits
Recherche à Riyad
InvestiGATE Pro et Synapse sont développés pour un usage en Arabie saoudite. Ils peuvent être discutés depuis la page Produits. Un contrat ne nomme un produit que lorsque la mission l’inclut.