Guide d'achats des solutions de sécurité endpoint

« Face aux menaces actuelles, l’antivirus seul ne suffit plus », résume en préambule Franck Mazeau, responsable de Panda Security pour la France. Pour Philippe Fourcin, responsable avant-vente chez F-Secure France, les dispositifs traditionnels à base de signature arrêteraient aujourd’hui environ 10 % des menaces. Dans ce contexte, face aux multiples attaques de type Exploit Zero-Day, comment fait-on pour les bloquer avant qu’elles puissent arriver à leurs fins en termes d’exploitation, idem pour les malwares où les signatures ne sont pas dans la base ? Par des moteurs de nouvelle génération comme le fait F-Secure avec DeepGuard par exemple et des technologies d’EDR (Endpoint Detection and Response dont le terme vient du cabinet Gartner) permettant de contrer les menaces ciblées et inconnues.

La généralisation des services EDR

En deux ans, la technologie EDR s’est d’ailleurs généralisée chez tous les éditeurs de solutions de sécurité des terminaux et d’antivirus ; ces technologies étaient auparavant surtout dominées par des pures players comme Carbon Black, Cylance ou encore SentinelOne avec des outils très évolués. Les EDR agissent sur trois éléments : la détection, l’investigation et la remédiation via des approches d’analyses comportementales. Fonctionnant en local ou dans le cloud, la technologie EDR va s’appuyer sur un certain nombre de règles comportementales et va détecter les processus anormaux, via la collecte d’informations dans un cloud provenant des postes sous Windows et/ou sous Linux (pour certains éditeurs) et en effectuant une analyse intelligente des données (machine learning ou deep learning). « L’avantage de l’EDR est de retracer le mode opératoire du pirate (le forensic) en récupérant tout ce qu’il y a sur la machine », précise Benoit Grunenwald, expert cybersécurité chez Eset France. Si dans un premier temps, les EDR séduisaient les entreprises les plus matures avec des experts de la sécurité en interne et des moyens financiers plus importants, aujourd’hui les éditeurs ciblent aussi les petites et les moyennes entreprises. Pour les entreprises qui ne peuvent pas encore investir dans ce type de solutions, certains éditeurs incluent des capacités EDR, c’est-à-dire qu’ils adossent leur solution de Enpoint Security à une sandbox pour isoler la menace. Cela dit, l’automatisation, la simplicité et le service engagés par les éditeurs dans leurs solutions apportent plus de compréhension pour les entreprises qui n’ont, de ce fait, pas besoin de disposer de spécialistes de la sécurité en interne et d’avoir un SOC à manager. Cette automatisation intervient notamment dans l’étape de remédiation, la réponse aux incidents et la résilience.

Du SIEM aux outils d’administration

En outre, les éditeurs vont encore plus loin en créant des SIEM lights dédiés qui viennent en complément des SIEM plus globaux comme ceux de Splunk ou de LogPoint, c’est par exemple le cas de Panda Security avec Panda Advanced Reporting Tool qui permet d’organiser l’ensemble des logs et d’avoir ainsi plus de visibilité, ou encore de Palo Alto avec Cortex XDR Pro dont la source de données provient non seulement des endpoints mais aussi des réseaux, de l’active directory, etc.
Enfin, la multiplicité des outils (chiffrement, contrôle web, sécurisation des données personnelles, contrôle des périphériques environnants comme les clés USB, contrôle des applications, etc.) intégrés dans les suites de Security Endpoints a, en quelque sorte, obligé les éditeurs à créer des consoles d’administration pour faciliter les déploiements des agents sur les postes de travail dans les entreprises et surtout assurer la communication entre les outils. C’est par exemple le cas de McAfee avec son offre Mvision ePO considérée comme un framework de communication qui facilite l’interopérabilité entre les différents modules.

La sensibilisation toujours d'actualité

Comme le rappelle Benoit Grunenwald, la sécurité des endpoints et la cybersécurité en général ne sont jamais finies, c’est un long chemin. De plus, tous ces outils ne protégeront jamais les entreprises à 100 %. Dans ce contexte, la sensibilisation reste primordiale, tous les éditeurs sont unanimes sur ce point à l’image de F-Secure. « Nous effectuons des campagnes de phishing avec du pentest dans les entreprises », indique d’ailleurs Philippe Fourcin, responsable avant-vente chez F-Secure France, qui reconnaît que certaines sociétés mènent deux à quatre tests par an. Pour Stéphan Roux, ingénieur avant-vente chez Sophos, la sensibilisation est un module intégré dans la console Sophos Central permettant de simuler des campagnes de faux phishing, de faux emails avec analyse de rapports par la suite : « C’est un outil que l’on vend sans effort, il est très demandé. »
Notre rédaction a d’ailleurs pu constater cette évolution sur la sensibilisation lors de nos différentes IT Tour, les DSI et les équipes IT et techniques, très engagées, sont toujours plus nombreuses à éduquer les salariés sur l’usage des outils numériques et à sans cesse rappeler les règles de base.

Chez Bitdefender, à l’instar des nombreux éditeurs, si la protection historique sur la base de signature reste incontournable sur les postes de travail, l’objectif est aussi de couvrir une surface plus large contre tout type de menace et d’examiner les techniques d’attaques avec des outils divers, de l’antivirus bien sûr au sandboxing en passant par l’EDR. D’ailleurs, l’éditeur en profite pour refondre son offre avec trois solutions : GravityZone Business Security pour une protection basique, GravityZone Elite pour une protection accrue (sandboxing, nextegen, etc.) et GravityZone Ultra qui s’enrichit, quant à elle, d’une couche EDR. « Avec notre outil, nous avons tout fait pour faciliter la vie aux administrateurs, les remontées d’informations se font sous la forme de scoring permettant de classer la pertinence des menaces. L’utilisateur peut ainsi considérer le degré de dangerosité de la menace et de l’analyser plus en profondeur. Dans certains cas, il faut une analyse plus poussée, pour cela, nous répondons grâce à notre SOC interne », résume Stéphan Brovadan, responsable du service avant-vente de Bitdefender France. Une ouverture vers des SIEM est possible, de même qu’une récupération des flux de métadonnées réseau comme le fait l’éditeur Vectra avec Cognito Stream. Tous ces outils sont gérés depuis une console unique nommée Best (Bitdefender Endpoint Security Tools), un même agent donc à la fois pour les infrastructures physiques et virtuelles. « Nous pouvons même ajouter les fonctions en temps réel comme le chiffrement, y compris le moteur d’analyse », rajoute Stéphan Brovadan. Enfin, côté mobilité, Bitdefender propose des dispositifs (antimalware, antiphishing, etc.) pour sécuriser les terminaux sous Android. Dès cet été, l’éditeur devrait aller plus loin sur ce terrain avec des solutions d’analyse comportementale en temps réel sous Android. 

« En 30 ans, nous avons collecté une telle quantité d’informations qu’elles nous sont utiles aujourd’hui. Celles-ci nous permettent de nous appuyer sur des ressources d’analyses internes grâce à l’IA et au sandboxing cloud afin de contrer la majorité des menaces », déclare Benoit Grunenwald, expert cybersécurité chez Eset France. Quant à la partie EDR (Eset Enterprise Inspector), elle se place en brique complémentaire d’Eset Endpoint Security qui s’adosse à la sandbox, elle s’appuie donc sur un certain nombre de règles comportementales afin d’identifier les successions de manœuvres du cybercriminel. « Concernant l’EDR, les grands MMSP (Managed Security Services Providers) français l’ont noté positivement et ce qui nous différencie encore une fois, ce sont bien les informations que nous détenons en termes d’attaque et de propagation », relève Benoit Grunenwald. L’éditeur slovaque s’appuie également sur le framework opensource Att&ck du Mitre dont la mission est d’aider les entreprises à prendre des décisions plus pertinentes pour lutter contre les menaces en fournissant une multitude d’informations pour l’analyse du cycle de vie complet d’une cyberattaque.
L’offre d’Eset est aujourd’hui basée sur deux agents mais pour Benoit Grunenwald, cela n’alourdit pas pour autant les opérations de déploiements. Et pour cause, des outils de déploiement à distance sont proposés dans l’offre. A ce titre, Eset ajoute plus d’automatisation dans la réponse aux incidents via des groupes dynamiques notamment. En outre, Benoit Grunenwald avance un autre élément important : la légèreté du package (environ 100 Mo), « C’est primordial surtout lorsque l’entreprise en production réalise ses mises à jour. Pour ce faire, Eset travaille beaucoup sur l’optimisation des flux et fournit même des kits d’updates personnalisés, cela fait partie de notre ADN ». Enfin, comme le rappelle le porte-parole de l’éditeur, Eset est un acteur slovaque donc européen et partage ainsi des valeurs communes.

Il est désormais loin le temps de l’antivirus F-Prot de F-Secure (Data Fellows à l’époque) reconnu comme l’un des meilleurs sur le marché dans les années 2000. Comme tous les éditeurs, F-Secure a suivi l’évolution en regroupant depuis deux ans maintenant ses différentes solutions dédiées au marché des fournisseurs d’accès Internet, du retail et des entreprises en un seul agent. « Nous disposons donc de millions de machines qui remontent des informations dans notre cloud », reconnaît Philippe Fourcin, responsable avant-vente chez F-Secure France. Baptisée F-Secure Business Security (version On Premise) ou F-Secure Protection Services for Business (version Cloud), la plateforme renferme un moteur de nouvelle génération DeepGuard car, comme le rappelle Philippe Fourcin, un dispositif sur signature arrête seulement 10 % de la menace aujourd’hui. Développé en 2003, ce moteur, qui arrête les attaques sans fichier, en est à sa 7e version aujourd’hui. Hormis DeepGuard, la plateforme renferme de nombreux autres modules comme  Application Control. « Nous interdisons l’exécution de Powershell sauf celui autorisé par l’entreprise qui est situé dans un endroit spécifique », donne en exemple Philippe Fourcin. Citons aussi les modules Data Guard pour rattacher l’extension à un exécutable, Device Control pour bloquer certains périphériques (clés USB, disques durs, etc.) ou encore Software Updater pour remédier aux failles reconnues des applications ou des OS, un module différenciateur selon Philippe Fourcin qui mentionne aussi comme élément différenciant la légèreté du package d’installation, environ 40 Mo. Enfin, la plateforme se démarque par ses fonctions d’automatisation intégrées (détection des postes non installés, déploiement, etc.) et ses fonctionnalités EDR et XDR pour contrer les attaques ciblées et intervenir intelligemment et efficacement. A noter que F-Secure sécurise aussi les smartphones sous Android notamment en vérifiant l’intégrité des fichiers APK, sans oublier le VPN Freedome. 

De la couche antimalware au chiffrement en passant par la détection comportementale, l’éditeur Kaspersky propose un outillage complet via ses offres Kaspersky Endpoint Security For Business Select (qui répond aux exigences crypto et ransomwares depuis plus de cinq ans) et Kaspersky Endpoint Security For Business Advanced, cette dernière propose entre autres, en plus de la version Select du chiffrement, une intégration avec du SIEM ou encore du patch management pour faire un audit de toutes les applications par exemple. L’ensemble étant managé par une console unique. Selon Bertrand Trastour, responsable des activités B2B de Kaspersky, sur ces deux offres, il existe deux agents dont celui de communication qui établit le dialogue entre la console et le poste de travail et l’autre agent qui permet de sécuriser les endpoints. A noter que l’agent de sécurisation renferme des capacités EDR et sandboxing, lesquelles devraient se renforcer en début d’été avec la version EDR Optimum. « C’est un add-on qui amènera plus de visibilité sur les machines, l’analyse des causes et la remontée de la chaîne d’attaque. Avec cette version, nous bénéficierons d’une centralisation des indicateurs de protection et nous pourrons intervenir à distance », résume Bertrand Trastour. De même, avec Optimum, Kaspersky va renforcer la simplicité et éviter ainsi le recrutement difficile d’experts pour les entreprises qui, pour certaines, n’en ont pas les moyens financiers. Cela passe aussi par plus d’automatisation dans la réponse aux incidents, bref à un outil plus facilement compréhensible comme le souligne Bertrand Trastour. Enfin, l’éditeur met un point d’honneur à accompagner ses clients dans les meilleures conditions grâce à un support en langue française avec une réponse sous 24h. 

Sur ce marché de la sécurité des terminaux, McAfee se positionne désormais avec deux grandes offres : McAfee Endpoint Security que l’on installe sur le poste et Mvision ePO, vue par Laurent Maréchal, Technology Architect Mvision Cloud chez McAfee pour l’Europe et le Moyen Orient, comme le référentiel de l’administration des endpoints. Concernant Endpoint Security, la version 10.7 intègre désormais la remédiation pour détecter et confiner l’exécution faite par des programmes qui n’ont pas de réputation définie. A noter qu’un seul agent est proposé pour ces trois modules (Threat Protection, Anti-DDoS et le contrôle web). « Dans cet agent, nous disposons aussi de modules externes comme Data Exchange Layer (protocole de communication DXL) permettant de communiquer avec des solutions d’éditeurs tiers », rajoute Laurent Maréchal. Quant à l’application Cloud Mvision EDR, qui vient pour l’heure en complément, elle permet de récréer l’histoire de l’attaque. Sur ce sujet, l’éditeur insiste sur la compréhension et l’intuitivité de l’offre EDR qui ne nécessite pas d’être un ingénieur pour s’en servir. De même, un service intégré séquence le déroulement de l’attaque, ainsi si des menaces similaires sont observées, le but est de trouver un dénominateur commun permettant aux SecOps de livrer une politique de gouvernance et de résilience par rapport à ce que l’on peut mettre en évidence. Pour l’éditeur, l’un des points différenciant de l’offre Endpoint est l’orchestration homogène, Mvision ePO y répond. « Tous nos modules communiquent entre eux via ce même framework de communication. C’est d’autant plus important que le nombre de modules a tendance à croître ainsi que le nombre d’infrastructure d’ailleurs », souligne Laurent Maréchal. Précisons enfin que McAfee, lors de sa conférence RSA, a annoncé le lancement d’une offre globale Managed Detection and Response (MDR) dont DXC Technology est l’un des premiers partenaires.

Racheté par WatchGuard le 9 mars dernier, Panda Security se positionne comme un pionnier de l’EDR. « Notre offre EDR est disponible depuis plusieurs années déjà et cette expérience acquise nous a permis de développer des approches contextuelles et de pouvoir ainsi analyser le comportement dans lequel évolue le virus », admet Franck Mazeau, responsable de Panda Security pour la France. Comme bon nombre d’éditeurs, Panda Security s’appuie sur l’IA mais pas seulement. « Nous avons renforcé notre lab d’experts dédiés pour répondre à des cas spécifiques qui prennent parfois pas mal de temps dans l’analyse et que seul l’humain peut faire la différence », constate Franck Mazeau. Aujourd’hui, l’éditeur propose deux versions dans la sécurité des endpoints : Adaptive Defense avec EDR intégré et Adaptive Defense 360 qui comprend en plus l’antivirus de l’éditeur. Une console unique est également proposée pour administrer l’ensemble des solutions. En effet, l’éditeur a décliné de nombreux outils additionnels autour de ces deux versions dont Panda Advanced Reporting Tool, un SIEM dédié à la sécurité qui vient en complément des grands SIEM du marché. De même, Panda Security a développé Data Control pour identifier les données personnelles (en respect avec la RGDP) mais aussi un outil pour encrypter les disques, sans oublier un dispositif de Patch Management. L’éditeur apporte aussi plus d’automatisation notamment dans le triage des informations. « Nous avons mis un étage supplémentaire dans la fusée EDR pour mieux gérer les requêtes de processus et de remédiation, cela évite donc aux entreprises de recruter des compétences humaines supplémentaires surtout pour celles qui n’en ont pas les moyens », résume  Franck Mazeau. A ce titre, l’éditeur a même créé une entité dédiée baptisée Cytomic qui gère toute cette phase d’investigation. 

C’est en 2014 que l’entreprise Palo Alto Networks, surtout reconnue dans la sécurité des réseaux avec ses firewalls de nouvelle génération, s’est engagée dans la sécurité des terminaux avec le rachat de Cyvera. A cette époque, Palo Alto avait rebaptisé l’offre de Cyvera sous le nom de Traps, une solution qui bloque les malwares, exploits et ransomwares en observant le comportement et la technique des attaques. Aujourd’hui, Traps est devenue Cortex XDR Prevent, une application connectée au cloud de Palo Alto et toujours dédiée aux endpoints. Toutefois, l’éditeur va plus loin avec son offre Cortex XDR Pro. « Cortex XDR Pro, c’est la capacité à protéger et à faire de la prévention et de la remédiation depuis des logs sur l’ensemble de la chaîne et pas seulement sur les endpoints », souligne Eric Antibi, directeur technique. En effet, avec Cortex XDR Pro, la source des données ne provient effectivement pas que des endpoints mais aussi des réseaux, de l’active directory, etc. Toutes ces informations stockées dans un cloud sont, par la suite, analysées via des algorithmes permettant de détecter les comportements et d’effectuer aussi un triage intelligent des alertes. Depuis peu, Palo Alto a regroupé ses offres Cortex sous la plateforme unique Cortex XDR 2.0 qui intègre le poste de travail, le réseau et les données Cloud. L’évolution de la plateforme s’est faite par des développements internes et des acquisitions comme celle de Secdo pour la remédiation et la détection ou celle de Demisto en 2019 pour automatiser les alertes et se concentrer ainsi sur les principales alertes. Avec ses offres, Palo Alto cible aussi bien la petite entreprise que le grand compte en passant par le secteur public, notamment via ses trois distributeurs dédiés (Westcon, Exclusive Networks et Miel).  

La protection des endpoints chez Sophos se décline en deux versions : Intercept X Advanced (antimalware, anti-exploit, etc.) et Intercept X Advanced with EDR (module complémentaire EDR accessible à tous). Le point clé de tous les modules intégrés à ces deux versions se trouve dans Sophos Central. « Notre console unique Sophos Central  regroupe l’ensemble de nos produits et tous communiquent entre eux, ceux des endpoints, des serveurs mais aussi ceux des réseaux. Nous réalisons la sécurité dite synchronisée pour faire dialoguer le réseau et le endpoint, c’est un concept ancien chez nous qui s’est généralisé depuis », explique Stéphan Roux, ingénieur avant-vente chez Sophos. Depuis Sophos Central, l’utilisateur a de nombreuses possibilités comme l’interdiction d’un mobile de se connecter à une borne wifi par exemple. A noter que les postes connectés à AWS et à Azure sont visibles par la console permettant de vérifier la conformité des postes. A l’instar de tous les éditeurs présents dans ce dossier, Sophos propose aussi un outil EDR en complément d’Intercept X et dispose, via l’acquisition d’Invincea en 2017, d’un moteur IA capable de comprendre les cas d’attaques. « Un triage des alertes est réalisé pour se concentrer sur les attaques les plus importantes », mentionne Stéphan Roux. Et pour aller plus loin dans sa stratégie, l’éditeur a racheté en 2019 deux sociétés, Rook Security et DarkBytes, spécialisées dans le MDR (Managed Detection and Response). « Ces deux entreprises nous permettent de disposer d’un mini SOC qui regroupe une soixantaine de personnes aux USA et une vingtaine en Irlande », détaille Stéphan Roux. Rebaptisé MTR (Managed Threat Response) chez Sophos, ce service est donc composé d’une équipe de traqueurs de menaces et d’experts disponibles 24h/24 et 7j/7. Enfin, pour la protection des smartphones et des tablettes, l’éditeur a intégré la sécurité intelligente (gestion des mots de passe à la volée, etc.) et propose aussi des applications de MDM et d’EMM. 

« Avec Apex One, notre objectif est de faire en sorte d’assurer une interconnexion à l’ensemble de nos outils pour protéger efficacement les endpoints », tient à rappeler Renaud Bidou, directeur technique Europe du Sud chez Trend Micro. Et d’ajouter : « Et ce, dans un agent unique désormais, au lieu de deux ou trois auparavant, ce qui simplifie les opérations de déploiement. » Ciblant de la TPE au grand compte, Apex One propose donc, via un seul agent logiciel, un large panel de fonctions de détection, de remédiation et d’investigation, donc des capacités de sandboxing, d’EDR et XDR. « Nous pouvons corréler l’ensemble des informations fournies par les réseaux, les serveurs et les endpoints dans le cloud de Trend Micro, être ainsi capable de retracer l’historique de l’incident et appliquer des règles de quarantaine en conséquence », détaille Renaud Bidou. Une version managée (MDR ou Managed Detection & Response) est également proposée, visant à supporter les équipes internes grâce à des capacités de détection des menaces et de suivi des alertes. Au final, pour le directeur technique, l’intégration des modules dans un seul agent et la conduite d’une stratégie globale de sécurité sont les deux éléments différenciants de l’offre Apex One : « S’il y a 20 ans, les solutions endpoints étaient totalement autonomes, aujourd’hui, ce n’est plus le cas, la sécurité du endpoint est un composant dans une approche globale de la sécurité. » 

« Il y a un an, nous avons remplacé notre ancienne solution antivirus par celle de F-Secure, un éditeur qui gagne à être connu », mentionne Laurent Debes, DSI du groupe Batigère. Bailleur social, le groupe Batigère qui compte six entreprises sociales pour l’habitat, gère 90000 logements en France principalement dans le Grand-Est, l’Ile-de-France mais aussi dans une moindre mesure dans les régions Auvergne-Rhône-Alpes, Pays de la Loire et plus récemment dans le Sud-Est. Côté IT, la DSI de trente personnes administre près de 1500 postes de travail sous Windows, c’est donc tous ces postes qui bénéficient aujourd’hui de la protection F-Secure Business Suite Client Security Premium ainsi que les serveurs. Plusieurs raisons ont poussé l’entreprise à migrer vers cette nouvelle solution pour sécuriser ses endpoints. Déjà, l’entreprise, soumise aux marchés publics, souhaitait remettre en concurrence ses applications dont celle qui protège les endpoints, existante depuis plus de six ans. « Lorsque que je suis arrivé dans l’entreprise en 2014, l’ancien antivirus était déjà en place », précise Laurent Debes. D’ailleurs, avec cet ancien antivirus, le Groupe Batigère rencontrait des problèmes de compatibilité avec certains postes sous Windows 10 mais aussi avec Office365. « Le déploiement d’Office365 a aussi été l’une des raisons principales de ce changement », reconnaît d’ailleurs Laurent Debes.

Lutter plus efficacement contre les ransomwares

Enfin, l’entreprise a aussi vécu des épisodes de ransomwares, même si elle a réussi à limiter les dégâts, l’objectif était de mieux filtrer les pièces jointes afin de diminuer ce type d’attaques. Avant de faire le choix de F-Secure, le Groupe Batigère a mené plusieurs tests sur diverses solutions de sécurité pour les terminaux. « Globalement, toutes les solutions se valent mais ce qui a fait la différence pour F-Secure, c’est déjà le contact commercial, nous avons ressenti une vraie volonté de nous accompagner. Par exemple, nous devions sécuriser un vieil OS, les équipes de F-Secure ont immédiatement répondu à notre demande en nous fournissant un agent. De même, la qualité du produit était aussi au rendez-vous, cette offre répondait aussi à nos besoins comme le multi-domaine et le nomadisme sans oublier la console d’administration très ergonomique et simple à utiliser. Et pour limiter nos interlocuteurs, nous avons choisi une solution unique qui protège nos postes et nos serveurs », résume Laurent Debes.

Un déploiement sans grande difficultés

Le DSI du Groupe admet que le déploiement de cette solution s’est bien passé, cela a, malgré tout, nécessité un certain temps car il fallait aussi équiper 500 à 600 loges de gardiens et tous les postes n’étaient pas forcément accessibles en même temps. «Finalement la difficulté que nous avons rencontré concerne surtout la désinstallation de l’ancien antivirus, pour certains postes, il fallait prendre directement la main. Pour le reste, pas de soucis, c’est juste un agent à descendre puis un reboot à effectuer », précise Laurent Debes. A noter que ce projet a été réalisé par JCD Groupe, le prestataire du bailleur social épaulé par l’équipe de la DSI de Batigère. Un an après son installation, le Groupe n’a pas enregistré d’incidents majeurs, la solution, mise à jour régulièrement, fait son job comme le spécifie le DSI. Précisons enfin que la composante EDR n’a pas été déployé pour ce projet.

Leader européen de l’immobilier résidentiel (administration de biens, gestion locative et transaction), le groupe Foncia (500 agences et 10 000 collaborateurs) a engagé depuis deux ans une mise à jour importante de son système de protection des postes de travail et des serveurs, pas moins de 8000 postes sont concernés et 5000 utilisateurs Terminal Server. « Lorsque je suis arrivé chez Foncia il y a deux ans, l’entreprise était déjà cliente de l’éditeur Sophos mais avec une approche on premise. Nous avons décidé de rester chez Sophos en passant dans un environnement Cloud afin de ne plus être dépendant d’un datacenter, d’un serveur et d’avoir un accès de n’importe où depuis une console centrale. De même, nous souhaitions disposer d’une meilleure protection en conservant bien sûr l’antivirus mais aussi en détectant les activités anormales via un EDR. Sophos avec Intercept X a répondu à nos attentes », résume Franck Perillier, directeur de la sécurité des systèmes d'information du groupe Foncia. Plus précisément, le groupe Foncia exploite l’indispensable antivirus, la partie Web Control pour contrôler la navigation Internet, sans oublier l’EDR et Intercept X notamment l’anti-ransomware, un point important (au lieu de vital) pour le Groupe. « Nous avons en effet constaté le blocage de ransomwares par Sophos », indique Franck Perillier.

Plus de ressources dans l’équipe de sécurité

Bien sûr, la détection d’activité anormale a nécessité pour Foncia de recruter plus d’experts de la sécurité : « Il est essentiel de comprendre les mécanismes d’attaques, de défense et de réaction ce qui réclame plus de compétences. De deux experts de la sécurité, nous allons passer à 3 en avril », précise Franck Perillier. En complément, Foncia étudie l’offre de service managé (7j/7 24h/24) proposé par Sophos suite aux rachats des sociétés Rook Security et DarkBytes. En parallèle, Le Groupe Foncia a investi dans le log management avec IBM QRadar, un SIEM qui communique avec Sophos via des API. « Nous collectons ainsi les logs depuis QRadar », souligne Franck Perillier. Et d’ajouter : « Avec ces outils et d’autres encore, nous disposons d’une véritable cartographie et d’indicateurs qui nous permettent de mesurer la dangerosité de l’attaque. » Quant au déploiement de l’offre, il s’est plutôt bien déroulé sur les postes de travail : « C’est un agent générique qui vient dialoguer avec la console », reconnaît Franck Perillier. En revanche, cela a été un peu plus compliqué sur les serveurs, les équipes du Groupe ont surtout rencontré des problèmes internes, ne dépendant pas de la solution de Sophos. Si aujourd’hui tous les postes de travail fonctionnent sous Windows, l’entreprise équipe ses nouvelles agences d’ordinateurs portables Mac, lesquels seront aussi protégés par la console de Sophos. Enfin, bien conscientes qu’une protection efficace à 100 % n’existe pas, les équipes de sécurité du groupe Foncia mènent en parallèle des actions de sensibilisation auprès de leurs collaborateurs dont du présentiel bien sûr mais aussi des campagnes (phishing, emailing, etc.).