Ce qu'il faut rechercher dans un outil de surveillance des infostealers

Critères d'évaluation clés

• Couverture du marché : l'outil surveille-t-il les marchés criminels sur lesquels les journaux d'infostealers sont réellement échangés ? Cela inclut les forums du dark web, Telegram et Discord. Tous les outils n'ont pas accès aux mêmes sources.

• Détection des jetons de session : détecte-t-il les jetons de session et les cookies volés, ou uniquement les mots de passe ? Les jetons de session contournent la plupart des méthodes d'authentification multifacteur (MFA), ce qui en fait les données les plus risquées d'un journal d’infostealer.

• Contexte par détection : lorsqu'une détection est effectuée, disposez-vous de suffisamment de contexte pour agir ? Recherchez des informations sur le périphérique, le type de malware, la chronologie de l'infection et les sessions spécifiques compromises.

• Vitesse de détection : combien de temps après l'apparition d'un journal sur un marché êtes-vous alerté ? Quelques heures suffisent, car les sessions volées peuvent être exploitées immédiatement.

• Accès API : pouvez-vous intégrer les alertes à vos outils de sécurité existants, tels que le SIEM, le SOAR ou la gestion des tickets ? Les outils manuels uniquement accessibles via un tableau de bord génèrent une surcharge opérationnelle.

• Résidence des données : où les données sont-elles traitées et stockées ? Les organisations européennes peuvent exiger un fournisseur opérant au sein de l'UE.

Signaux d'alarme à surveiller

Méfiez-vous des outils qui prétendent surveiller les infostealers mais qui effectuent uniquement des vérifications à partir de bases de données de violations historiques. Évitez les outils qui détectent des sessions compromises mais ne fournissent pas de contexte sur l'appareil ou de détails sur l'infection, car sans cela, votre réponse se limite à une réinitialisation générale des mots de passe. Demandez également aux fournisseurs comment ils obtiennent leurs données : certains payent directement les cybercriminels pour obtenir des journaux volés, ce qui soulève des questions éthiques et juridiques. Passguard ne rémunère pas les criminels pour obtenir des données.