Trinity Cyber arrête les cybercriminels avec l’aide de F5

Les solutions de cybersécurité brevetées de Trinity Cyber protègent ses clients en détectant les risques de sécurité et en éliminant les menaces à la volée — qu’il s’agisse de code malveillant, de rançongiciels ou d’exploitation de fichiers — tout en maintenant le nombre de faux positifs à un niveau proche de zéro. F5 BIG-IP SSL Orchestrator joue un rôle essentiel dans l’inspection complète du contenu et l’atténuation des menaces.

Défi commercial

« Arrêter les cybercriminels » : c’est ainsi que Trinity Cyber décrit la mission de l’entreprise, fondée en 2017 par d’anciens experts de la National Security Agency (NSA) américaine, sous la direction de Steve Ryan, ancien directeur adjoint du centre des opérations de lutte contre les menaces de la NSA, et de Thomas P. Bossert, ancien conseiller à la sécurité intérieure des États-Unis auprès de deux présidents américains. L’entreprise exploite un cloud privé distribué aux États-Unis, emploie environ 52 personnes et fournit à ses clients des solutions de cybersécurité sophistiquées. Parmi ses clients figurent des opérateurs d’infrastructures critiques, des entités du département de la Défense et d’autres organisations exposées à un risque élevé de pertes, notamment dans les secteurs de la finance, de l’énergie et de l’administration civile.

Si l’équipe de Trinity Cyber se présente simplement comme « les gentils », ses technologies innovantes et ses gammes de services n’ont, elles, rien de simpliste : elles assurent aux clients une protection plus proactive que la plupart des solutions, avec des taux de faux positifs proches de zéro. Rien d’étonnant donc à ce que Gartner et Dark Reading aient récemment désigné l’entreprise comme étant à suivre.

« De nombreuses entreprises s’appuient fortement sur le blocage des indicateurs de compromission (IOC) traditionnels, explique Stefan Baranoff, directeur de l’ingénierie. Cela pose deux problèmes : premièrement, les IOC sont établis après qu’une attaque a eu lieu, généralement en surveillant un port SPAN — une copie du trafic ; deuxièmement, les caractéristiques des IOC sont telles qu’un adversaire peut les modifier plus vite que vous ne pouvez créer les signatures correspondantes. Nous nous concentrons sur la manière dont les acteurs malveillants opèrent — les techniques, les comportements et les schémas présents dans les données qui les trahissent — et nous ciblons directement ces techniques afin de les arrêter net, à la volée, avant qu’ils ne parviennent à leurs fins. »

Trinity Cyber commence par une inspection du contenu suffisamment approfondie pour mettre au jour les techniques des adversaires, et suffisamment rapide pour agir contre celles-ci. Mais l’entreprise ne se contente pas de bloquer les contenus suspects. Baranoff explique : « Nous pouvons réellement remplacer, supprimer ou modifier du contenu au sein d’une session — ce que personne d’autre ne fait dans le secteur —, ce qui permet d’assurer une protection plus durable. »

Par exemple, du contenu malveillant peut être ajouté à la fin d’une image téléchargée par ailleurs inoffensive. Baranoff explique : « On dirait simplement que quelqu’un a consulté une page web. Ces données chiffrées ressemblent à une suite de caractères aléatoires, comme pour toutes les autres images sur Internet. D’autres solutions bloqueraient l’image ou le domaine depuis lequel elle a été transmise, rendant ainsi inaccessible une grande partie d’Internet. Nous supprimons les données ajoutées à la fin de l’image, puis nous la laissons poursuivre son chemin. »

Le déchiffrement et l’inspection complète sont essentiels, mais difficiles à mettre en œuvre sur les flux entrants comme sortants avec une solution unique.

Pourquoi F5

En 2021, Trinity Cyber a choisi F5 BIG-IP SSL Orchestrator pour assurer le déchiffrement nécessaire du trafic bidirectionnel des clients qui ne disposaient pas encore d’une solution suffisante de déchiffrement SSL/STARTTLS. L’entreprise a commencé par déployer une machine virtuelle pour un client spécifique, amorçant ainsi une évolution de son approche du déchiffrement.

Le fait que la solution F5 soit économique et prenne en charge les machines virtuelles a également joué en sa faveur. « La prise en charge des instances virtuelles est un atout considérable », explique Baranoff. « Cette flexibilité nous permet d’adapter nos ressources à la demande des clients. »

La mise en œuvre n’a pris que quelques jours. Depuis, l’utilisation de BIG-IP SSL Orchestrator par Trinity Cyber a évolué pour inclure davantage de clients, davantage de machines virtuelles et des cas d’usage plus complexes.

L’un de ces cas d’usage concerne la vulnérabilité Log4j, une faille grave qui a mis en danger des millions d’appareils et qui continue d’être largement exploitée par des acteurs malveillants. Fin 2021, la CISA a publié une directive d’urgence imposant à l’ensemble des ministères et organismes civils fédéraux d’évaluer leurs systèmes et d’appliquer immédiatement les correctifs nécessaires ou de mettre en œuvre des mesures d’atténuation. Alors que beaucoup se sont empressés de surveiller et de corriger leurs systèmes dans les premières heures suivant la divulgation de la faille, les clients de Trinity Cyber étaient, et sont toujours, protégés contre toute tentative d’exploitation de la vulnérabilité Log4j.

Parmi les nombreux cas d’usage complexes figure également l’action menée par Trinity Cyber pour empêcher la collecte d’identifiants sur les réseaux de plusieurs de ses clients. Des acteurs malveillants ont tenté de recueillir des identifiants Office 365 valides au moyen de liens hypertextes trompeurs, de techniques d’hameçonnage par e-mail et de la création de domaines fictifs. Les capacités de prévention uniques de la technologie de Trinity Cyber ont permis d’identifier les méthodes couramment employées par les acteurs malveillants et d’empêcher toute collecte d’identifiants chez ses clients, en éliminant de manière entièrement automatisée les techniques d’attaque du trafic réseau de ces derniers.

Bénéficiez d’une visibilité approfondie sur le trafic chiffré

Baranoff indique qu’environ 95 % du trafic sécurisé par son entreprise est chiffré et que Trinity Cyber recherchait un partenaire technologique disposant des capacités nécessaires pour protéger les clients qui, autrement, n’auraient aucune visibilité sur ce trafic.

Il déclare : « F5 est l’une des rares solutions qui ne nous oblige pas à compromettre radicalement nos opérations. »

Le PDG Steve Ryan déclare : « BIG-IP SSL Orchestrator fait partie intégrante de la prestation de nos gammes de services, en offrant une visibilité sur le trafic chiffré et en permettant à Trinity Cyber d’identifier et d’éliminer les menaces. »

Baranoff salue également la capacité de la solution à prendre en charge différents protocoles, quel que soit le mode d’activation du chiffrement, et à déchiffrer immédiatement le trafic dès la commande « STARTTLS ». « Je n’ai vu aucune autre solution capable de faire cela », affirme-t-il. « Cela a été un énorme succès avec F5. »

Prenez le contrôle et adaptez les performances avec iRules

La possibilité de personnaliser BIG-IP SSL Orchestrator constituait un autre élément distinctif.

Baranoff explique : « Lorsque nous travaillons sur notre propre système, nous pouvons modifier le code dès que nécessaire. Ce n’est généralement pas le cas avec les systèmes d’autres fournisseurs. F5 iRules nous permet de modifier le code afin de personnaliser le système et d’obtenir le comportement souhaité. Nous pouvons ainsi mieux accompagner nos clients et répondre à leurs cas d’usage. »

En fait, lorsqu’on lui a demandé de résumer les avantages de BIG-IP SSL Orchestrator, la flexibilité arrivait en tête de sa liste : « Flexibilité, stabilité, performances, visibilité riche en fonctionnalités et contrôle. F5 est très largement au-dessus du lot. »

Gagnez du temps et de l’argent

Ainsi, Baranoff déclare : « Grâce à F5, je gagne énormément de temps et je fais beaucoup d’économies. »

Actuellement, son équipe travaille avec les services professionnels de F5 sur le déploiement automatisé déclaratif et la maintenance du cycle de vie.

« Tout se passe vraiment très bien », déclare-t-il, qualifiant son équipe F5 d’« incroyablement réactive et très impliquée pour nous aider à tirer le meilleur parti du produit ».

Il espère également que F5 proposera bientôt une solution au problème mondial qui se profile : comment déchiffrer le HTTP3. « Ce serait une formidable avancée. »

En attendant, explique-t-il, « Le produit ne cesse de s’améliorer, et nous sommes impatients de voir ce que l’avenir nous réserve. »

Les acteurs malveillants feront probablement partie de cet avenir, et Trinity Cyber s’emploiera à les combattre, avec F5 à ses côtés pour lui prêter main-forte.