Au-delà du simple ping des domaines utilisés par Cyber Crucible pour s'assurer que votre point de terminaison peut atteindre toutes les adresses réseau correctes, le programme d'installation de l'agent Cyber Crucible inclut un argument de test qui garantit qu'une connexion TLS/SSL valide peut être établie dans les deux sens avec tous les serveurs requis.

Il suffit d'ajouter --test-connection à l'exécution du programme d'installation, en veillant à toujours inclure le ou les identifiants de groupe ainsi que les jetons OAuth nécessaires pour effectuer l'authentification. On voit ci-dessus une capture d'écran montrant la seule modification nécessaire au script .bat fourni, ainsi qu'une sortie réussie.

Bien que toute la détection comportementale et la protection de l'agent Cyber Crucible s'effectuent au niveau du point de terminaison, sans nécessiter l'envoi d'échantillons vers le cloud pour analyse, l'agent du point de terminaison nécessite tout de même une connexion à un serveur pour recevoir les informations de licence, la configuration, les mises à jour logicielles, etc.

Si votre réseau est verrouillé au point de ne pas autoriser les connexions vers les plages IP où les serveurs Cyber Crucible sont hébergés, vous devrez peut-être configurer un proxy pour permettre à l'agent (uniquement) d'atteindre son serveur pour l'installation. Consultez Comment gérer les configurations de proxy pour obtenir des informations sur la configuration de l'agent.

Quel type de proxy puis-je utiliser ?

Depuis la version 4.4.6.3 de l'agent Cyber Crucible, les configurations de proxy prennent en charge Socks5. Il n'y a aucune restriction quant à l'endroit où le serveur est hébergé (sur site ou hors site), tant que les restrictions réseau permettent aux agents de l'atteindre. Un exemple de schéma est présenté ci-dessous illustrant une configuration proxy simple où le serveur Socks5 est hébergé au sein du réseau verrouillé, et n'est autorisé qu'à se connecter à une machine externe qui achemine le trafic en tunnel.

Cette configuration permet aux agents de se connecter à leur(s) serveur(s), tout en maintenant la politique réseau. Elle ne nécessite qu'une seule règle autorisant l'hôte Socks5 à atteindre son serveur proxy externe sur un seul port (ssh). Cela garantit non seulement que tout le trafic passe par le port 443, mais aussi qu'il est doublement encapsulé en SSH avant de quitter le réseau, sans nécessiter de redirection de port entrant.

Les données collectées par l'agent Cyber Crucible passent par plusieurs couches de filtrage, afin de réduire le bruit provenant d'une télémétrie brute trop importante. Les données brutes produites par les capteurs du noyau sont réduites [Filtre n° 1] afin de diminuer à la fois l'utilisation de la mémoire du terminal et la bande passante réseau par agent. Ensuite, l'API REST associera la télémétrie brute des processus/terminaux qu'elle reçoit à des réponses automatisées, de sorte que l'analyste puisse choisir de ne visualiser que les données pertinentes [Filtre n° 2].

Comme le montre la figure ci-dessus, les terminaux de poste de travail d'un client moyen peuvent produire plusieurs gigaoctets de données brutes de capteurs sur une période de 24 heures, alors que seulement quelques mégaoctets de ces données seront pertinents pour une alerte du SOC en cas de tentative d'attaque.

Désinstaller plusieurs agents à la fois est simple.

Rendez-vous sur la page Agents.

Nous recommandons d'utiliser des filtres, tels que le nom de machine, le groupe, l'adresse IP ou les filtres de version, pour afficher à l'écran le plus grand nombre possible d'agents. Ceci est particulièrement utile pour les utilisateurs disposant de centaines, voire de milliers d'agents dans un groupe.

Ici, nous avons utilisé la touche Maj, tout en cliquant sur 3 lignes, pour sélectionner trois agents.

Le bouton Désinstaller tous les agents sélectionnés se trouve en haut à gauche, au-dessus de la grille.

Une fois les autorisations vérifiées sur le serveur, confirmant que vous disposez des droits nécessaires dans les groupes des agents, les commandes de désinstallation seront émises.

Les agents reçoivent une commande de désinstallation signée numériquement. Cette signature est utilisée par les agents pour valider que la commande provient réellement de Cyber Crucible, et non d'un criminel tentant de supprimer votre logiciel de protection.

Une fois les agents validés, ils préparent le système en vue de la désinstallation lors du redémarrage.

La colonne Attention affichera la mention « Désinstallation en cours » et présentera un bouton Annuler la désinstallation dans la cellule.

Une fois la machine redémarrée, l'agent valide que la désinstallation est en cours et supprime tous les fichiers.

Point important à noter : l'agent confirmera « un dernier bonjour » avant de se désinstaller complètement, il est donc possible que les agents soient encore présents pendant une courte période après le redémarrage. Cela est dû au fait que certains environnements réseau ne fonctionnent pas correctement pendant jusqu'à 30 secondes après l'apparition du bureau. Notez qu'une fois les désinstallations terminées, les licences sont automatiquement retirées des agents.

Accédez à la page Agents.

Repérez l'agent souhaité, puis cliquez sur l'icône de corbeille dans la colonne Nom de l'agent :

Introduction

Cyber Crucible est conçu pour fonctionner sans interrompre les utilisateurs finaux ou les employés, tout en notifiant discrètement les utilisateurs choisis du tableau de bord (généralement des membres choisis des équipes informatiques et de sécurité) des réponses automatisées.

Un grand nombre des simulateurs de rançongiciels ou de logiciels malveillants ne reproduisent pas fidèlement le comportement d’un pirate. Même si cela pose des problèmes pour des outils comme Cyber Crucible qui identifient (à juste titre) la simulation comme un faux positif, ce n’est pas nécessairement une mauvaise chose.

Certains fournisseurs conçoivent en réalité leurs moteurs de détection autour de ces simulateurs pour certaines de leurs fonctionnalités de détection, afin de s’assurer que tous les tests clients réussissent haut la main.

Les actions réelles de logiciels malveillants, comme le chiffrement par rançongiciel, présentent le risque de chiffrer ou de corrompre des données de manière irrécupérable. Chez Cyber Crucible, nous avons même constaté que certains rançongiciels activent secrètement d’autres logiciels malveillants sur le réseau, ou effectuent d’autres actions susceptibles de nuire à l’entreprise essayant de tester Cyber Crucible.

Vous ne souhaitez donc ni utiliser un logiciel malveillant, ni utiliser un simulateur si réaliste que vous risqueriez de corrompre accidentellement vos données.

Tester Cyber Crucible

Il existe un moyen simple de tester Cyber Crucible sans utiliser de logiciel malveillant ni de simulation si réaliste qu’elle mettrait en danger vos données ou celles de votre entreprise.

Cyber Crucible évalue les accès aux identités numériques à chaque milliseconde de la journée. Un grand nombre de ces identités numériques sont stockées dans les navigateurs - c’est pourquoi les attaquants placent les navigateurs web en tête de liste de leurs cibles automatisées.

L’analyse comportementale des accès aux identités par Cyber Crucible entraînera l’une des trois réponses suivantes :

1. Ne rien faire

2. Masquer les données

   1. application légitime connue qui réussit toutes les vérifications de mémoire et de noyau, mais qui n’a pas besoin d’accéder à cette donnée d’identité particulière - exemple : Windows Explorer non exploité

3. Suspendre le processus

   1. application légitime connue qui devrait avoir accès aux données d’identité mais qui est piratée, ou

   2. une application inhabituelle

Voici deux emplacements courants pour les utilisateurs Windows :

Dans ce cas, le nom d’utilisateur Windows est « denni », et ce sont les emplacements où les données de session sont stockées. Vous constaterez peut-être que la variable %LOCALAPPDATA% vous convient si vous ne souhaitez pas déterminer le nom d’utilisateur.

• C:\Users\denni\AppData\Local\Google\Chrome\User Data\Default\Sessions

  • %LOCALAPPDATA%\Google\Chrome\User Data\Default\Sessions

• C:\Users\denni\AppData\Local\Microsoft\Edge\User Data\Default\Sessions

  • %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Sessions

La vue sans Cyber Crucible installé

Voyons d’abord à quoi ressemble l’un de ces dossiers avec Explorer.exe, sans que Cyber Crucible soit installé.

Ici, nous voyons plusieurs sessions Chrome dans le profil Google Chrome « par défaut ».

Ces informations contiennent généralement des données sensibles qu’un attaquant chercherait à exploiter pour détourner des sessions liées à des programmes importants comme un portail d’administration informatique, des services bancaires, la messagerie électronique, ou des outils de stockage comme Google Drive ou Dropbox.

La vue avec Cyber Crucible installé

Après l’installation de Cyber Crucible, un test rapide peut être effectué, sans utiliser de logiciel malveillant ni aucun type de technique criminelle ou d’usage abusif du matériel informatique.

Dans ce cas, le même emplacement de stockage des sessions du navigateur est utilisé :

• C:\Users\denni\AppData\Local\Google\Chrome\User Data\Default\Sessions

  • %LOCALAPPDATA%\Google\Chrome\User Data\Default\Sessions

• C:\Users\denni\AppData\Local\Microsoft\Edge\User Data\Default\Sessions

  • %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Sessions

Cyber Crucible bloque déjà l’accès aux données de ce dossier immédiatement après l’installation.

Veuillez noter qu’il s’agit exactement du même processus Explorer qui était déjà en cours d’exécution au moment de l’installation ; le programme en cours d’exécution a donc soudainement vu son accès révoqué au niveau du « disque dur » ou du noyau. Même les programmes bénins, exploités ou malveillants déjà en cours d’exécution sont correctement évalués par Cyber Crucible.

Visualiser votre test dans le tableau de bord Cyber Crucible

Il existe un grand nombre d’accès aux données d’identité dans un système en fonctionnement, à tout moment.

Les logiciels en tant que service et les programmes basés sur le cloud ont conduit à de nombreux sites web et applications qui limitent le contenu sur le site lui-même, tandis que le navigateur (ou le navigateur intégré pour les applications) communique constamment avec des serveurs de données pour alimenter les feuilles de calcul, les tableaux, les graphiques et le contenu des réseaux sociaux.

Page Accès aux identités

Les accès aux identités jugés appropriés pour que Cyber Crucible suspende l’application incriminée sont répertoriés dans la page Accès aux identités.

Il s’agit de situations où le programme accédant aux données d’identité doit être arrêté, et pas seulement voir ses données masquées.

Dans ce cas, Explorer n’a pas été arrêté après la multitude de vérifications effectuées par Cyber Crucible. Les données ont simplement été masquées à la place.

Par conséquent, aucune violation d’accès aux identités n’est répertoriée ici.

Page Masquage des accès aux identités

Cyber Crucible dispose en option de la capacité de montrer aux clients du tableau de bord les situations dans lesquelles des données d’identité ont été masquées, mais où le programme accédant à ces données n’a pas été arrêté.

Explorer n’était ni exploité ni malveillant dans ce test ; il accédait simplement à des données d’identité hautement privilégiées pour les navigateurs Chrome et Edge.

La plupart des utilisateurs n’ont pas accès à ces informations, compte tenu de la charge supplémentaire imposée aux machines et réseaux des clients pour transmettre ces données aux serveurs de Cyber Crucible.

Merci de faire une demande si vous souhaitez obtenir cet accès, mais sachez que l’activité que vous observez n’est pas une activité malveillante, mais des comportements de confidentialité des données d’identité que Cyber Crucible met en œuvre dans une perspective de GRC, ou d’application de politiques.

Ici, dans cette courte vidéo, nous voyons qu’Explorer a été empêché de visualiser les données de session du navigateur, même si Explorer lui-même n’a pas été interrompu.

Notez que seuls les agents en version 4.4.6.3 et supérieure disposent de cette fonctionnalité

Où trouver le paramètre de configuration proxy actuel d’un groupe

Les utilisateurs peuvent consulter le paramètre de configuration proxy actuel d’un groupe pour les agents de ce groupe en accédant d’abord à la page Groupes, située sous l’onglet Administration dans la barre latérale.

Le paramètre de configuration proxy actuel d’un groupe se trouve dans la colonne « Proxy Server Config » de la grille.

Si le groupe n’a pas de configuration de serveur proxy activée, le texte « Do Not Use Proxy » sera affiché.

Si le groupe a une configuration de serveur proxy activée, l’URL de la configuration proxy actuelle sera affichée

Comment mettre à jour un groupe pour activer un serveur proxy

Les utilisateurs peuvent activer l’utilisation d’un serveur proxy pour les agents d’un groupe en cliquant d’abord sur l’icône de gestion des configurations proxy dans la colonne « Proxy Server Config » de la page Groupes. En cliquant sur cette icône, une fenêtre modale s’ouvrira, permettant aux utilisateurs de gérer les configurations de serveur proxy pour le groupe.

La fenêtre modale Manage Proxy Server Configuration qui s’affiche permet de consulter et de gérer les configurations de serveur proxy pour le groupe. Les utilisateurs peuvent enregistrer plusieurs configurations au sein d’un groupe, et toutes les configurations enregistrées sont affichées dans la grille de cette fenêtre modale. Notez que toutes les configurations de serveur proxy enregistrées pour un groupe apparaîtront également dans la fenêtre modale Download Agent.

Afin de sélectionner une configuration de serveur proxy pour le groupe, la configuration doit d’abord être soumise via le formulaire New Proxy Configuration. Ce formulaire est masqué par défaut ; cliquez sur le bouton bascule pour l’afficher.

Après avoir soumis le formulaire de nouvelle configuration, celle-ci s’affichera ci-dessous dans la grille de la fenêtre modale.

Pour sélectionner une configuration proxy que les agents de ce groupe devront utiliser, sélectionnez d’abord la configuration souhaitée, puis cliquez sur l’icône de modification au-dessus de la grille.

Après avoir cliqué sur l’icône de modification pour la configuration proxy souhaitée, la configuration proxy actuelle du groupe est désormais mise à jour et peut être consultée dans cette fenêtre modale ainsi que dans la colonne « Proxy Server Config ». Les agents de ce groupe utiliseront désormais la configuration proxy mise à jour du groupe. Notez que si un agent reçoit l’instruction de basculer vers un serveur proxy inaccessible, il ne basculera pas tant que ce serveur ne sera pas de nouveau accessible.

Comment mettre à jour un groupe pour ne pas utiliser de proxy

Si un groupe a un serveur proxy activé pour les agents de ce groupe et que les utilisateurs souhaitent mettre à jour le groupe afin que les agents de ce groupe n’utilisent plus de proxy, accédez d’abord à la page Groupes et localisez le groupe souhaité dans la grille.

Cliquez ensuite sur l’icône de gestion des configurations proxy dans la colonne « Proxy Server Config ». En cliquant sur cette icône, la fenêtre modale Manage Proxy Server Configuration s’affichera.

Dans cette fenêtre modale, cliquez sur l’icône x pour mettre à jour les agents de ce groupe afin qu’ils n’utilisent pas de serveur proxy et qu’ils appellent nos serveurs normalement. Notez que la configuration proxy actuelle ne sera pas supprimée des configurations proxy enregistrées du groupe ; il s’agit d’une étape distincte expliquée dans la section ci-dessous.

Après avoir cliqué sur l’icône x, la fenêtre modale sera mise à jour pour refléter ce changement et la colonne « Proxy Server Config » pour ce groupe affichera désormais « Do Not Use Proxy ».

Comment supprimer une configuration de proxy enregistrée dans un groupe

Pour supprimer une configuration proxy enregistrée d’un groupe, accédez d’abord à la page Groupes et localisez le groupe souhaité dans la grille.

Cliquez ensuite sur l’icône de gestion des configurations proxy dans la colonne « Proxy Server Config ». En cliquant sur cette icône, la fenêtre modale Manage Proxy Server Configuration s’affichera.

Dans cette fenêtre modale, cliquez sur la configuration proxy enregistrée que vous souhaitez supprimer pour ce groupe, puis cliquez sur l’icône de la corbeille. Après avoir cliqué sur cette icône, la configuration proxy sélectionnée n’apparaîtra plus dans la grille en tant que configuration proxy enregistrée pour le groupe.

Notez que si vous supprimez une configuration proxy enregistrée pour un groupe et que cette configuration est définie comme la configuration de serveur proxy actuelle du groupe, cela mettra également à jour la configuration de serveur proxy actuelle du groupe pour qu’il n’utilise pas de proxy.

Comment installer un agent en utilisant un proxy

Tout d’abord, accédez à la page Agents, située sous l’onglet Operations dans la barre latérale. Cliquez ensuite sur le bouton Download Agent. En cliquant sur ce bouton, la fenêtre modale Download Agent s’ouvrira.

Dans cette fenêtre modale, si vous sélectionnez un groupe disposant de configurations proxy enregistrées, l’option Select Proxy Configuration for Installer apparaîtra, avec le paramètre actuel du groupe sélectionné par défaut. Toutes les configurations proxy enregistrées du groupe apparaîtront également comme options, y compris une option Do Not Use Proxy.

Lorsque vous choisissez d’utiliser un proxy pour le programme d’installation, le seul type de programme d’installation possible est le Command Line Installer.

Si vous sélectionnez l’option Do Not Use Proxy, nos options habituelles de type de programme d’installation apparaîtront.

Notez que si vous sélectionnez pour le programme d’installation une configuration proxy qui n’est pas le paramètre actuel du groupe, le programme d’installation s’exécutera avec le paramètre sélectionné, puis basculera vers le paramètre de configuration proxy actuel du groupe après l’installation.

Où puis-je voir si un agent est capable de contourner le proxy ?

Les utilisateurs peuvent vérifier si les agents peuvent se connecter à nos serveurs sans utiliser de proxy en accédant d’abord à la page Agents, située sous l’onglet Operations dans la barre latérale. Localisez ensuite la colonne Agent is Able to Bypass Proxy dans la grille.

Notez que la colonne Agent is Able to Bypass Proxy ne sera visible que si l’utilisateur est membre d’un groupe ayant activé l’utilisation d’un proxy pour les agents du groupe.

Si l’agent appartient à un groupe ayant activé l’utilisation d’un proxy et que l’agent ne peut pas contourner le proxy pour se connecter à nos serveurs, une croix rouge s’affichera dans la colonne. Voir un exemple ci-dessous :

Si l’agent appartient à un groupe ayant activé l’utilisation d’un proxy et que l’agent est capable de contourner le proxy et de se connecter normalement à nos serveurs, une coche verte s’affichera dans la colonne. Voir un exemple ci-dessous :