Que voit votre pare-feu que votre EDR ne détecte pas ? Leçons tirées de cyberattaques récentes

Le groupe APT connu sous le nom de Librarian Ghouls est parvenu à infiltrer les réseaux d’universités techniques et d’entreprises industrielles en Russie, en Biélorussie et au Kazakhstan, sans éveiller le moindre soupçon. Comment ce gang a-t-il réussi ? En utilisant des identifiants légitimes et en se déplaçant latéralement dans les réseaux internes, tout en s’appuyant sur des accès valides qui ne généraient aucune alerte.

Cet incident, révélé par de récentes enquêtes, met en lumière une menace silencieuse mais redoutablement efficace. Contrairement à d’autres groupes APT, Librarian Ghouls évite les malwares sur mesure et exploite des logiciels tiers légitimes pour mener ses attaques. En combinant outils d’accès à distance, utilitaires d’archivage ou SMTP, le groupe orchestre des campagnes de phishing quasi parfaites, incluant des fichiers protégés par mot de passe, jusqu’à l’utilisation de malwares polymorphes capables de se modifier à la volée. Ces attaques furtives contournent les contrôles traditionnels et sont difficiles à détecter.

Ce n’est pas un cas isolé. Il reflète un problème de plus en plus courant : lorsque les outils de cybersécurité – EDR, pare-feu et systèmes d’authentification – fonctionnent en silos, les menaces peuvent se déplacer dans l’environnement sans être repérées. Par exemple, une solution EDR peut ignorer l’usage d’outils d’administration légitimes s’ils n’affichent pas un comportement manifestement malveillant. Un pare-feu peut signaler des connexions sortantes anormales mais manquer du contexte nécessaire pour identifier quel utilisateur ou terminal en est à l’origine. Les systèmes d’authentification, eux, peuvent enregistrer une série de connexions valides sans reconnaître un schéma de mouvement latéral.

Cela souligne un besoin critique : une visibilité intégrée entre les différentes couches de sécurité. Corréler les signaux de plusieurs outils est essentiel pour détecter des attaques complexes et multi-étapes qu’aucune solution isolée ne peut identifier seule. Sans cette vision unifiée, les organisations risquent de passer à côté d’indices clés jusqu’à ce qu’il soit trop tard.

Pour beaucoup d’entreprises, cela crée un faux sentiment de sécurité : elles déploient plusieurs solutions qui génèrent chacune des alertes, mais il manque la corrélation nécessaire pour comprendre que, combinés, ces signaux révèlent une intrusion active. Faute de cette corrélation, elles peuvent devenir la proie d’attaques sophistiquées capables de rester invisibles pendant des semaines, voire des mois, causant des dommages ou des fuites de données indétectées.

Comment se protéger contre des menaces qui échappent à la détection ?

Les entreprises ont besoin d’une vue unifiée de leur environnement et de la capacité à réagir en temps réel. C’est là qu’un service Managed Detection and Response (MDR) devient essentiel.
Le MDR est un service de cybersécurité qui combine détection avancée des menaces, analyses et expertise humaine pour surveiller, enquêter et répondre aux attaques pour le compte d’une organisation, 24 h/24 et 7 j/7.
Contrairement aux outils traditionnels qui fonctionnent de manière isolée, le MDR corrèle les signaux issus des terminaux, du réseau, des environnements cloud et des systèmes d’identité, permettant une détection plus rapide et plus précise des activités suspectes. Tout aussi important, il peut déclencher des réponses automatisées et coordonnées pour contenir et neutraliser les menaces avant qu’elles ne causent des dommages significatifs.

Un service MDR permet de :

Identifier les vraies menaces avant qu’elles n’escaladent

Lorsqu’un pare-feu bloque une connexion inhabituelle ou qu’un EDR détecte un comportement anormal, chacun génère des alertes séparées qui ne se recoupent pas toujours. Un MDR associe IA et automatisation pour relier ces signaux et détecter les menaces réelles en quelques minutes, empêchant de petits incidents de se transformer en crises majeures, surtout lorsque les attaques furtives se fondent dans l’activité normale.

Répondre rapidement et avec précision

Une fois la menace confirmée, la vitesse de réaction est cruciale. Grâce à une vision globale des événements sur les couches réseau, endpoint et identité, le MDR accélère les investigations, réduit les interruptions, assure la continuité des activités et limite l’impact sur la réputation.

Réduire le bruit et améliorer la concentration

L’IA filtre les faux positifs, hiérarchise les alertes pertinentes et apporte le contexte nécessaire pour prendre des décisions éclairées. Les équipes de sécurité peuvent ainsi se concentrer sur l’essentiel, réduire la fatigue liée aux alertes et gagner en efficacité opérationnelle — un atout précieux dans des environnements où chaque seconde compte et où aucune distraction n’est permise.

La brèche des Librarian Ghouls démontre que les attaquants peuvent contourner les défenses traditionnelles si les solutions ne sont pas coordonnées. Tandis que le pare-feu bloque les connexions externes, l’EDR détecte les activités suspectes sur le terminal et l’authentification empêche les connexions anormales, il est essentiel de relier ces trois pièces maîtresses pour avoir une vue d’ensemble.

C’est comme chercher une aiguille dans une botte de foin : en intégrant des capacités intelligentes de détection et de réponse, le MDR traite ces menaces de façon globale, combinant visibilité, analyse et action en temps réel. En corrélant des attaques disparates, en filtrant les faux positifs et en fournissant une vision unifiée de toute l’infrastructure, ce service offre le contexte nécessaire pour que l’EDR identifie les anomalies (même lorsque des outils légitimes sont utilisés par des cybercriminels), permet au pare-feu d’interpréter plus précisément les connexions et aide les solutions d’identité à signaler les accès suspects. Il renforce ainsi la valeur de chaque technologie, tout en laissant vos équipes se concentrer sur l’essentiel.

Pour en savoir plus sur l’amélioration de votre sécurité grâce à un service MDR intelligent, consultez également :

• Total MDR : une sécurité en temps réel pour l’ensemble de la surface d’attaque
• Renforcez Microsoft Defender avec WatchGuard Core MDR
• 4 défis majeurs de la cybersécurité pour les entreprises : le MDR est-il la solution ?