Cette semaine, nous avons identifié un cas d'usage intrigant impliquant l'attaque WP3[.]XYZ (lien vers notre article de blog). Cela a suscité l'intérêt de la communauté et a conduit à de meilleurs taux de détection sur des plateformes comme VirusTotal (lien VirusTotal).
Bien que la plupart aient apprécié nos efforts, d'autres nous ont critiqués pour ne pas avoir identifié la cause profonde ou recommandé des services pour nettoyer les sites web piratés. Malgré cela, nous visons à sensibiliser la communauté aux attaques potentielles et promettons de faire encore mieux à l'avenir.
Quand les faux positifs nous touchent directement
Après la publication de l'article de blog, quelque chose d'inattendu s'est produit : notre site web principal, cside.com, a été signalé comme suspect. Cet incident est significatif car il met en évidence comment un simple faux positif peut perturber non seulement les flux de travail techniques, mais aussi la réputation et les opérations d'une entreprise.
Pour les lecteurs techniques, cela souligne l'importance de règles de détection précises, tandis que pour les lecteurs non techniques, cela démontre comment de tels problèmes peuvent s'aggraver et impacter la confiance et la continuité des activités.
Naturellement, nous avons été pris au dépourvu et avons immédiatement commencé à enquêter.
Après un examen plus approfondi, il semblait que certaines règles de détection approximatives aient pu causer le problème.
J'ai travaillé dans la sécurité des terminaux pendant plus de quatre ans avant de passer à un rôle d'analyste SOC (Centre des Opérations de Sécurité). Cette expérience m'a donné un aperçu direct des défis liés à la gestion des alertes et des détections—un sujet étroitement lié au coût réel des faux positifs.
En tant que personne ayant écrit des règles de détection, je comprends la tentation de prendre des raccourcis. Au début de ma carrière, j'ai fait des erreurs similaires. Avec l'expérience, j'ai appris la différence entre les bonnes et les mauvaises règles et l'importance de tirer parti des bonnes technologies pour l'écriture de règles. C'est pourquoi la plupart des fournisseurs de sécurité emploient plusieurs moteurs pour traiter efficacement différents types d'attaques.
Dans ce cas, le problème semblait provenir de deux facteurs :
- Le sous-domaine WP3[.]XYZ : Nous utilisons un service pour générer de brèves descriptions de domaines en utilisant des données internes et l'IA (Domain Insights). Bien que les descriptions visent à fournir un contexte utile, elles ne sont pas destinées à des fins de détection.
- Mauvaise interprétation par les fournisseurs d'antivirus : Certains fournisseurs d'antivirus ont signalé le nom de domaine simplement parce qu'il apparaissait dans notre URL. Ce type de détection, basé uniquement sur la structure de l'URL, manque de contexte et peut entraîner des perturbations inutiles.
Pour aider la communauté, nous avons partagé le code complet dans notre blog pour que d'autres entreprises puissent améliorer leurs détections. Cependant, signaler un domaine servant des charges utiles malveillantes sans contexte approprié est une pratique problématique. Nous avons abordé ce problème en détail dans un autre article de blog (Les flux de menaces sont-ils toujours efficaces en 2024 ?).
Le coût réel des faux positifs
Les faux positifs peuvent sembler insignifiants à première vue, mais leur impact peut être profond :
- Perturbation opérationnelle : Même un taux de faux positifs de 1:100 000 peut avoir des conséquences graves s'il perturbe des transactions critiques. Par exemple, imaginez une passerelle de paiement signalée incorrectement pendant une saison de shopping de pointe. Cela pourrait bloquer des milliers de transactions légitimes, entraînant des clients frustrés, des pertes de revenus et des dommages potentiels à la réputation de l'entreprise.
- Fatigue des analystes SOC : Les faux positifs peuvent gaspiller des milliers d'heures alors que les analystes tentent de trier et d'enquêter sur des non-problèmes. Cette fatigue peut conduire à ce que de vrais positifs (VP) passent inaperçus.
- Impact commercial : C'est la conséquence la plus préoccupante, car elle peut mettre en péril l'ensemble des opérations d'une entreprise.
Approfondissons le point trois.
Chez cside, nous sommes une petite startup jeune, et notre parcours a été alimenté par la passion et le désir de contribuer de manière significative à la communauté de la cybersécurité. Cependant, si des produits de sécurité signalent notre site web comme malveillant, cela pourrait mettre en péril tout ce pour quoi nous avons travaillé.
Je me souviens de la panique initiale en voyant la détection—il ne s'agissait pas seulement de résoudre un problème, mais de protéger la confiance que nous avons construite avec nos clients. Le temps et l'énergie consacrés à résoudre de tels problèmes pourraient perturber considérablement les opérations, en particulier pour les petites entreprises comme la nôtre. Alors que les grandes entreprises pourraient surmonter de tels défis, pour les petites organisations, cela pourrait signifier un désastre.
Pourquoi c'est important
Le coût réel des faux positifs va au-delà des défis techniques. Il impacte les entreprises, les clients et les moyens de subsistance. Ceux qui ont vécu les répercussions de première main savent à quel point cela fait mal.
Notre engagement chez cside
Chez cside, nous croyons fermement en une politique de zéro faux positif.
Nous nous efforçons de :
- Partager tout ce que nous savons avec la communauté de manière ouverte et transparente.
- Utiliser nos propres produits pour garantir précision et fiabilité.
- Minimiser l'impact des faux positifs tout en améliorant nos capacités de détection.
Nous comprenons le coût des faux positifs et des cyberattaques, c'est pourquoi nous nous engageons à une amélioration continue et à la collaboration avec la communauté au sens large.
Si vous avez des questions ou des suggestions, n'hésitez pas à nous contacter. Nous sommes toujours ouverts aux retours pour rendre nos efforts encore meilleurs.
