Comment se positionne Cyber Crucible Réponses directes aux questions de comparaison et d'évaluation posées par les acheteurs - par rapport aux solutions EDR, XDR, MDR, antivirus, DLP et à la récupération basée sur les sauvegardes. Cyber Crucible est-il un EDR, un XDR, un MDR ? Ou bien quelque chose d'autre, comme une IA agentique ? Réponse courte : il présente des éléments à la fois d'EDR et de XDR, mais la question de la catégorie n'est pas la bonne. Ce qui compte, c'est où la décision est prise . La logique de réponse de Cyber Crucible s'exécute entièrement sur le poste de travail (endpoint), en utilisant uniquement les informations disponibles à cet endroit au moment de l'attaque — car les serveurs d'analyse distants introduisent deux faiblesses fatales : la latence et la fragilité. La réponse honnête à la question de l'étiquette En tant qu'EDR : si un EDR utilise la télémétrie du poste de travail pour prendre des décisions, alors la réponse automatisée de Cyber Crucible est un EDR. Elle bloque les comportements d'extorsion en quelques millisecondes, en utilisant uniquement des informations locales. En tant que XDR : la télémétrie est également envoyée vers une base de données (appliance client ou centralisée) pour la corrélation, la traque des menaces (threat hunting), le travail sur les menaces internes, et les audits informatiques. Selon la définition marketing du XDR, cela répond au critère. L'équipe est à l'aise avec l'appellation « EDR pour la défense contre l'extorsion », même si l'informatique en périphérie (edge computing) est perçue dans certains cercles comme relevant de la génération précédente. Le raisonnement ci-dessous explique pourquoi ce point de vue est erroné. Pourquoi l'analyse distante est devenue un handicap — la latence Le « X » de XDR représente le déplacement de la puissance de calcul analytique vers des serveurs distants. Cela procure de la puissance, mais coûte du temps, et les attaquants ont bâti leur savoir-faire autour de cet écart : Vitesse : les attaques ont été accélérées de sorte que les actions irréversibles se terminent avant qu'un serveur d'analyse ne puisse répondre. Ceci est particulièrement visible avec des éléments petits mais à forte valeur, comme les mots de passe. Parallélisme : de nombreux outils de protection des postes de travail inspectent un programme, attendent, puis passent au suivant. Les attaquants exécutent plusieurs programmes d'extorsion à la fois — 5 000 fichiers consultés en parallèle au lieu de 500. Distribution : l'extorsion s'exécute simultanément sur de nombreuses machines. Cyber Crucible a observé environ 75 machines à la fois. Un outil doit alors faire face à 50 programmes sur 75 machines — soit 3 750 programmes à inspecter. Processus commandants : certains attaquants exécutent un contrôleur local qui relance instantanément tout outil d'extorsion qui serait arrêté. Les stratégies de détection et de réponse attendent, par nature, que l'attaque soit déjà en cours. La meilleure analogie consiste à arrêter les braqueurs de banque à la porte plutôt qu'après qu'une certaine quantité d'argent a quitté le coffre-fort. Pourquoi l'analyse distante est devenue un handicap — la fragilité Environ 80 % des solutions EDR et XDR nécessitent un accès à des serveurs d'analyse distants pour fonctionner de manière optimale, et sont à peine fonctionnelles sans ce « cerveau » dans le cloud. Les attaquants exploitent cela directement : en obtenant un accès suffisant pour modifier les règles du pare-feu, ils empêchent l'outil du poste de travail d'atteindre ses serveurs d'analyse, et l'outil perd alors sa capacité à analyser ou à répondre. Il reste non exploité, installé, en cours d'exécution — et presque totalement inefficace. Ce que Cyber Crucible fait à la place Parce que la latence et la fragilité rendent la dépendance au cloud intenable pour la défense contre l'extorsion, Cyber Crucible a inventé une capacité de détection et de réponse dont l'analyse comportementale utilise uniquement les informations disponibles sur le poste de travail au moment de l'attaque . L'interdiction se produit localement, généralement en moins de 200 millisecondes, sans aller-retour vers le cloud dans le chemin critique. La télémétrie qui alimente bien la base de données soutient l'investigation plutôt que la protection — traque des menaces, détection des menaces internes, audits informatiques — et une API ouverte permet de l'intégrer à des plateformes XDR ouvertes, à des outils SOAR ou RPA. Ce travail a de la valeur, mais ce n'est jamais lui qui se dresse entre vous et une attaque en cours. S'agit-il d'un outil de surveillance comme mes autres tableaux de bord de sécurité ? La réponse est : cela dépend de la manière dont vous et votre organisation souhaitez utiliser l'outil, mais probablement « non ». Il est important de noter les stratégies de conception produit de Cyber Crucible : La protection doit être hyper-automatisée, et ne doit nécessiter ni soin et attention constants (traitement des alertes), ni ajustements (configuration) de la part des utilisateurs. Pour les équipes de sécurité disposant de ressources plus importantes, la télémétrie précieuse doit leur être accessible, pour des activités avancées de chasse aux menaces, ou pour soutenir les activités de criminalistique et de réponse aux incidents. L'action n° 2 ci-dessus ne doit en aucun cas dégrader la protection mise en place pour l'action n° 1. Le retour le plus fréquent que nous recevons de la part des directions informatiques est que leurs employés ignoraient que Cyber Crucible les protégeait déjà depuis des semaines. Nous avons de nombreux utilisateurs qui exploitent l'outil selon trois modalités : Installer et oublier (comme vos détecteurs de fumée) De nombreuses organisations ne disposent pas des ressources nécessaires pour avoir des chasseurs de menaces plongeant dans la télémétrie de Cyber Crucible (ou d'un autre outil), mais elles souhaitent que le risque d'extorsion de données soit « retiré de leurs préoccupations ». C'est tout à fait normal, et la Prévention de l'Extorsion de Données de Cyber Crucible est conçue précisément pour cela. Ces utilisateurs n'ont pas les ressources nécessaires pour consacrer du temps à examiner les flux de données relatifs à l'injection de processus, à la protection des identifiants et à la création de processus. Par conséquent, nous constatons qu'à moins qu'ils ne répondent à une réponse automatisée rare de Cyber Crucible, ou qu'ils n'effectuent une gestion d'inventaire, comme lorsqu'une nouvelle machine doit se voir déployer Cyber Crucible… …ils ne se connectent tout simplement pas au portail web de Cyber Crucible, et laissent l'automatisation faire son travail. C'est tout à fait normal ! Chasse aux menaces avancée + protection automatisée Les capacités d' injection de processus , de surveillance de l'utilisation des identifiants, et de création de processus fournissent un ensemble riche de données, capturées via une analyse comportementale au niveau du noyau, pour mener des activités de chasse aux menaces. La protection automatisée s'active dès que commence le vol de données, le vol d'identifiants (jetons, mots de passe), ou le chiffrement par rançongiciel. Pour tout le reste, il s'agit d'une excellente ressource. La constatation la plus fréquente jusqu'à présent concerne des outils de gestion à distance non gérés (du moins par les administrateurs informatiques actuels) installés par les utilisateurs. Oui, ils entraînent parfois une protection automatisée contre l'extorsion (c'est-à-dire lorsque l'outil RMM non géré est utilisé par un acteur malveillant), mais il est toujours préférable d'en savoir davantage sur votre environnement au préalable, quoi qu'il en soit ! Voici une courte vidéo d'un type d'attaque que nous avons observé utilisé par des attaquants, dans plusieurs environnements clients, et qui a permis de contourner avec succès les solutions EDR des clients (nous préférons ne pas citer de noms… il s'agissait de trois produits dans quatre entreprises). rr-com-dll.mp4 Analyse criminalistique post-incident et remédiation Il existe plusieurs types de cas d'usage pour les données de Cyber Crucible. Le premier permet à une personne chargée de la sécurité au sein d'une entreprise, ou à une personne informatique, d'enquêter sur la cause première de la suspension d'un programme. Pour certains clients, qui installent généralement notre logiciel puis ne se reconnectent que lorsqu'il y a de nouveaux employés à intégrer, ils n'ont jamais utilisé aucune fonctionnalité de Cyber Crucible en dehors de la page de gestion des agents. Nous sommes heureux de les aider à découvrir l' analyse de cause première - qui est simple et sans difficulté pour les utilisateurs techniques et semi-techniques. Le deuxième type de client pour l'analyse criminalistique post-incident concerne les cabinets de DFIR appelés à enquêter sur un problème chez un client, parfois à la demande de la compagnie d'assurance cyber, et Cyber Crucible est installé après la survenue d'un incident. (Nous ne pouvons pas toujours être présents avant l'attaquant, aussi souhaitable que cela soit… sinon, chaque entreprise au monde nous utiliserait, et l'extorsion appartiendrait au passé !) La meilleure façon de décrire un déploiement après une attaque par extorsion est « désordonné ». Non pas parce que nous sommes difficiles à installer ou à mettre en service pour la protection. Bien au contraire ! Dans ce cas, les attaquants se sont généralement déplacés dans le système, et sont ancrés dans les systèmes d'exploitation, les équipements réseau, l'Active Directory, et opèrent en mémoire. Plusieurs machines finissent par avoir des processus suspendus, et parfois les attaquants tentent même de reprendre le contrôle. C'est un peu comme prendre un médicament qui vous rend malade au début, mais dont vous avez besoin pour finir par aller mieux. Les clients déjà sous stress réagissent parfois émotionnellement à « davantage » de bruit, alors même que les attaquants sont enfin débusqués et vaincus. Il faut beaucoup d'explications quant aux raisons ou à la manière dont leurs dispositifs de sécurité en place n'ont pas détecté les attaquants. Au final, cependant, l'entreprise reprend le contrôle de son infrastructure informatique. Ils ne feront pas partie des 80 à 90 % d'entreprises qui sont de nouveau victimes d'extorsion un an ou deux plus tard, dans ce que nous appelons « l'économie de l'abonnement à l'extorsion ». Le troisième type de client que nous avons est un MSSP qui, souvent partenaire de Cyber Crucible, répond à une protection automatisée de Cyber Crucible. Ils doivent découvrir la manière dont l'attaquant a obtenu un point d'ancrage temporaire, et combler toute faille de sécurité. La bonne nouvelle est que les rapports de conformité HIPAA ou autres font généralement état de peu ou pas d'atteinte à la confidentialité, en raison de la rapidité de la réponse automatisée. Bien souvent, le MSSP rapporte « rien à signaler », ce qui rend toutes les parties concernées satisfaites. Enfin, sauf le criminel. Cyber Crucible cohabite-t-il avec d'autres produits de sécurité ? Oui ! Cyber Crucible est actuellement déployé et cohabite avec tous les fournisseurs de sécurité figurant dans le Magic Quadrant de Gartner. Notre logiciel se configure automatiquement et se découvre lui-même afin d'être conscient des activités des autres outils de sécurité. Dans le rare cas où un conflit potentiel surviendrait, veuillez consulter cet article de la base de connaissances. Que se passe-t-il si l’un de mes produits de sécurité entre en conflit avec Cyber Crucible ? Cyber Crucible coexiste actuellement avec tous les principaux fournisseurs de sécurité, si l’on utilise les rapports Magic Quadrant de Gartner comme mesure des acteurs historiques du secteur. Le logiciel de point de terminaison de Cyber Crucible est nettement plus résilient que les autres logiciels, y compris les autres outils de sécurité des postes de travail. De plus, les autres logiciels de sécurité n’ont généralement même pas une visibilité complète sur le logiciel de Cyber Crucible. Un autre outil de sécurité tente de désactiver Cyber Crucible Résumé : L’autre outil tente de désactiver une partie de Cyber Crucible. Il n’y arrive pas. L’outil de l’autre fournisseur n’a jamais été testé pour le cas où un autre outil (à savoir Cyber Crucible) répond « non, je ne me désactive pas ». L’autre outil plante alors ou passe en état d’erreur. Réponse de Cyber Crucible : La réponse peut se faire en deux volets. Le premier consiste à mettre le logiciel Cyber Crucible sur liste blanche auprès de l’autre fournisseur. Cela amènera l’autre outil à ignorer le logiciel Cyber Crucible, ce qui (avec un peu de chance) empêchera l’autre outil de passer en état d’erreur. Si cela ne fonctionne pas, il appartient à notre équipe de trouver une solution. Nous avons constaté que les autres fournisseurs sont beaucoup plus lents (plusieurs mois, voire jamais) à corriger un bug de leur côté. Historiquement, dans les rares cas où cela s’est produit, nous avons essentiellement créé un environnement dans lequel l’autre outil pense avoir réussi. Une analogie non technique serait de laisser un jeune membre de votre famille ou un enfant vous battre aux dames. Un autre outil de sécurité tente d’exécuter du code en se faisant passer pour Cyber Crucible Résumé : Cela se produit très rarement, mais il y a eu des cas où un outil de sécurité tente d’injecter son code dans le programme en cours d’exécution de Cyber Crucible, et d’exécuter du code en se faisant passer pour nous. Cela n’est pas différent d’un pirate se faisant passer pour un outil de sécurité, et il n’existe aucun moyen de distinguer si un pirate a pris le contrôle du programme de sécurité (ou de tout autre programme) « de confiance ». Réponse de Cyber Crucible : Il n’existe aucun scénario dans lequel Cyber Crucible permettrait à une autre entreprise (ou à un pirate) d’exécuter du code en se faisant passer pour notre produit. La seule solution à ce stade consisterait à mettre le logiciel Cyber Crucible sur liste blanche auprès de l’outil de l’autre fournisseur. Cyber Crucible ne peut fournir aucune mesure d’atténuation pour empêcher l’autre outil de tenter ce comportement. Heureusement, il s’agit d’un événement très rare. Cyber Crucible est désactivé par un autre outil Il y a eu divers cas où des outils de sécurité disposant d’accès hautement privilégiés ont tenté à plusieurs reprises de désactiver le logiciel Cyber Crucible. Cela comprenait des tentatives répétées de suppression de notre pilote, ou d’arrêt forcé de notre service, encore et encore. Bien que ces problèmes n’aient jamais affecté la défense contre l’extorsion, ils ont eu un impact négatif sur l’expérience utilisateur et les performances du système. Tout cela relève désormais du passé. Si un autre outil a la capacité, légitime ou non, de perturber Cyber Crucible, alors un pirate le pourrait également. Si vous suspectez ou observez une quelconque diminution des capacités du logiciel Cyber Crucible, quel que soit le logiciel à l’origine de cette situation, veuillez nous contacter immédiatement. Nous sommes généralement le dernier outil qui subsiste entre un extorqueur et vos données critiques. Il n’y a aucune place pour la faiblesse dans cette situation. En quoi Cyber Crucible diffère-t-il des solutions EDR, XDR et MDR ? Réponse courte : L'EDR, le XDR et le MDR sont des outils de détection et de réponse : ils observent une attaque, génèrent une alerte et s'appuient sur un humain ou un service cloud pour décider de la marche à suivre. Cyber Crucible est un outil de prévention : il décide de manière autonome au niveau du terminal et stoppe le processus malveillant en moins de 200 millisecondes, avant que des dommages ne surviennent. Les différences concrètes EDR / XDR / MDR Cyber Crucible Temps de réponse De quelques minutes à plusieurs heures Moins de 200 millisecondes Méthode de détection Signatures et données historiques Intention comportementale, sans signatures Couverture des menaces zero-day Partielle Conçu pour les menaces inconnues Dépendance humaine Élevée — analystes et SOC Aucune — entièrement autonome Où les décisions sont prises Analytique cloud Localement, dans le noyau Pourquoi cet écart est important Les outils de détection ont été conçus pour une époque où les attaques se déroulaient sur des heures, voire des jours. Les attaques automatisées se déroulent désormais en quelques secondes. Un outil qui produit une alerte précise après l'exfiltration des données a documenté la perte, il ne l'a pas empêchée. Il ne s'agit pas d'affirmer que la détection n'a aucune valeur — la criminalistique et l'investigation ont leur importance. Il s'agit de reconnaître que la détection seule ne peut pas arrêter une attaque à la vitesse d'une machine. Cyber Crucible remplace-t-il mon EDR, ou fonctionne-t-il aux côtés de celui-ci ? Réponse courte : Les deux sont possibles. Cyber Crucible est conçu pour fonctionner aux côtés des outils EDR, XDR et MDR existants sans conflit, et de nombreux clients le déploient de cette manière. Il fonctionne également comme une couche de prévention autonome si vous décidez de réduire votre pile technologique. Fonctionner aux côtés de votre pile actuelle Cyber Crucible ne vous oblige à rien supprimer. Il ajoute une prévention autonome sous la couche de détection que vous possédez déjà, et fonctionne avec ou sans EDR et MDR présents. Les clients commencent fréquemment de cette manière délibérément — en déployant Cyber Crucible pour découvrir ce que leur pile existante ne détecte pas. Dans un déploiement au sein d'un établissement de services financiers, cette réponse est arrivée en 60 jours : près de 10 000 processus malveillants interceptés que trois EDR et un SOC externalisé n'avaient jamais détectés. Réduire la pile technologique Une fois que les équipes constatent à quelle fréquence leurs outils de détection ne s'activent pas, certaines choisissent de consolider. Il n'y a aucune dépendance à un fournisseur ni d'intégrations forcées — vous pouvez remplacer entièrement votre EDR ou simplement réduire les dépenses là où elles ne se justifient pas. Cyber Crucible est-il un antivirus ? Réponse courte : Non. Un antivirus identifie les fichiers connus comme malveillants à l'aide de signatures. Cyber Crucible n'utilise aucune signature — il évalue ce qu'un programme en cours d'exécution fait réellement et arrête les comportements malveillants, y compris les menaces que personne n'a encore jamais observées. Pourquoi les signatures ne suffisent plus Une signature ne peut décrire qu'une attaque déjà analysée par quelqu'un. Ce modèle échoue dans deux situations courantes : Les attaques zero-day , pour lesquelles aucune signature n'existe encore. Les attaques sans fichier (fileless) , où il n'y a aucun fichier auquel comparer une signature. La détection basée sur les signatures nécessite également une mise à jour constante à partir de flux de renseignement sur les menaces, ce qui signifie que votre protection est toujours en retard sur l'attaquant. Ce qui la remplace Cyber Crucible modélise le comportement — l'activité mémoire, l'activité des processus et l'accès aux fichiers — et évalue l'intention en temps réel. C'est pourquoi il a arrêté des attaques zero-day sur les réseaux de clients jusqu'à 90 jours avant que tout autre éditeur ne les signale ou n'y réponde publiquement. Pourquoi la sauvegarde et la restauration ne suffisent-elles pas à contrer les rançongiciels ? Réponse courte : Les sauvegardes ne traitent que la dernière étape d'une attaque par rançongiciel — le chiffrement. Au moment où le chiffrement commence, les attaquants ont généralement déjà volé des identifiants et exfiltré vos données. La restauration à partir d'une sauvegarde permet de récupérer vos fichiers ; elle ne fait rien concernant les données déjà entre les mains de l'attaquant. Le rançongiciel est la dernière étape, pas la première Une intrusion typique se déroule en trois étapes : Vol d'identité — des identifiants sont compromis pour obtenir un accès. Vol de données — la propriété intellectuelle, les dossiers clients et d'autres données sensibles sont exfiltrés. Chiffrement — les fichiers sont verrouillés et une rançon est exigée. Les stratégies de récupération n'interviennent qu'à la troisième étape. La violation de confidentialité et la perte de contrôle opérationnel ont déjà eu lieu. Le coût réel Le risque commercial le plus important lié aux rançongiciels n'est généralement pas la rançon elle-même — c'est la perte de revenus due à une interruption prolongée et les dommages réputationnels qui en découlent. Prévenir la compromission initiale protège les deux, c'est pourquoi la prévention doit précéder la planification de la récupération plutôt que s'y substituer. Pourquoi la capture des clés de chiffrement des ransomwares n'est-elle plus une défense valable ? Réponse courte : La capture de clés a cessé d'être techniquement fiable en 2021. Les ransomwares modernes évitent les bibliothèques de chiffrement standard du système d'exploitation, de sorte qu'il n'existe aucune clé qu'un outil défensif puisse intercepter — et même lorsque des clés sont obtenues, elles ne peuvent souvent pas être appliquées. Comment les ransomwares modernes contournent la capture de clés Bibliothèques personnalisées : le code de chiffrement est compilé directement dans le logiciel malveillant au lieu d'appeler les bibliothèques du système d'exploitation, de sorte que les clés sont générées et utilisées entièrement à l'intérieur du propre processus de l'attaquant — invisibles pour les outils qui surveillent les appels standard. Implémentations uniques : certaines souches utilisent un chiffrement non standard, propre à chaque exécution. Même une clé capturée ne peut pas être appliquée, car l'algorithme lui-même est sur mesure. Chiffrements de flux (streaming ciphers) : ceux-ci reposent sur un concept fondamentalement différent de l'AES et sont tout simplement immunisés contre la capture de clés AES. Cyber Crucible a initialement développé et breveté une technologie de capture de clés, puis a présenté la cryptanalyse démontrant ses limites lors de BSides Pittsburgh en 2021. Nous sommes passés à autre chose parce que les preuves l'imposaient. Le problème de conformité également La capture de clés nécessite le stockage centralisé des clés de chiffrement — créant un point de défaillance unique et une cible de grande valeur. Un gouvernement pourrait également contraindre l'accès par le biais d'une citation à comparaître classifiée ou d'une lettre de sécurité nationale, à votre insu. Il s'agit d'un risque sérieux en matière de souveraineté des données, qui s'ajoute à une défense qui ne fonctionne plus. Pourquoi les outils de sécurité de type « collecteur cloud » peinent-ils face aux attaques modernes ? Réponse courte : un collecteur cloud est un agent léger installé sur le poste de travail qui effectue peu d'analyse locale et transmet à la place la télémétrie brute à une plateforme cloud pour traitement. Cet aller-retour ajoute un délai qu'une attaque automatisée ne vous accorde pas, et l'agent dépend précisément des composants du système d'exploitation que les attaquants compromettent désormais. Pourquoi le secteur a conçu les choses ainsi L'ingénierie au niveau du noyau est difficile et coûteuse. L'envoi de la télémétrie vers le cloud a permis aux éditeurs de développer des logiciels de sécurité pour poste de travail moins coûteux, de monétiser le stockage cloud et de commercialiser des capacités d'« IA cloud ». Ce modèle a été optimisé pour faciliter le développement, et non pour assurer la défense. Les deux modes de défaillance Trop lent. Les attaques automatisées de type « smash-and-grab » s'exécutent en quelques millisecondes. L'analyse cloud ne peut pas fournir de réponse à temps. Aveugle au moment critique. Étant donné que ces agents dépendent des bibliothèques natives du système d'exploitation pour fonctionner et collecter des données, un attaquant qui compromet ces bibliothèques peut réduire l'agent au silence. Celui-ci continue de fonctionner mais ne signale plus rien — un tableau de bord indiquant que tout va bien pendant que les données s'échappent. Cyber Crucible effectue le traitement localement, au niveau du noyau, et prend ses propres décisions, de sorte qu'il n'y a ni aller-retour vers le cloud, ni dépendance à un système d'exploitation potentiellement compromis. Cyber Crucible ralentit-il mes systèmes ? Réponse courte : Non. L'utilisation CPU typique est d'environ 1 % ou moins, et l'architecture évite délibérément la technique qui cause la plupart des ralentissements liés aux agents de sécurité des postes de travail — l'insertion de hooks dans les bibliothèques système de Windows. Pourquoi les autres agents provoquent des ralentissements Les outils de sécurité traditionnels insèrent des « hooks » dans des bibliothèques système hautement optimisées afin de surveiller les comportements malveillants. Ces bibliothèques n'ont jamais été conçues pour être modifiées à la volée. Lorsqu'un outil de sécurité et un attaquant les manipulent tous deux simultanément, le résultat est une dégradation significative du système. Le schéma qui s'ensuit est prévisible : l'utilisateur attribue le ralentissement à l'outil de sécurité et le désinstalle. L'éditeur ne parvient pas à reproduire le problème en laboratoire, sans savoir qu'un adversaire disposant d'un accès root manipule le système. Les attaquants ont appris à exploiter cela délibérément — en dégradant les performances jusqu'à ce que les victimes désactivent elles-mêmes leurs défenses. Une approche différente Cyber Crucible fonctionne via des sous-systèmes indépendants au sein du noyau plutôt qu'en accrochant des composants Windows fragiles, de sorte qu'il n'entre pas en concurrence avec le système d'exploitation — ni avec un attaquant — pour les mêmes chemins de code fragiles.