Détection des menaces

La détection s’exécute de façon asynchrone et produit des constats ou des alertes. Les notifications suivent votre configuration ; une détection ne signifie pas que chaque membre reçoit un message.

Comment ca fonctionne

Chaque script tiers charge sur votre site passe par un pipeline multi-étapes. D’abord, cside desobfusque et normalise le script, puis le verifie contre des règles de détection statique et le note selon plusieurs signaux de menace. Si un script depasse le seuil de risque, cside lance une analyse approfondie par IA. Les scripts malveillants declenchent une alerte vers toutes les destinations de notification configurees.

Methodes de détection

cside utilise une approche par couches pour identifier les scripts malveillants :

Sources malveillantes connues

Les scripts sont verifies par rapport a des bases de données de sources malveillantes connues, notamment :

• Noms d’hôte : domaines connus pour diffuser du contenu malveillant
• URLs : URLs spécifiques qui ont été signalees comme malveillantes
• Adresses IP : adresses IP associées a une activité malveillante

Payloads malveillants connus

Le contenu des scripts est compare a des payloads malveillants connus en utilisant :

• Hashes de fichiers : comparaisons SHA-256 et autres comparaisons de hashes avec des bases de données de payloads de scripts malveillants connus

Normalisation des scripts

Avant l’analyse, cside desobfusque et normalise les scripts pour reveler ce qu’ils font. Cela inverse les techniques courantes d’obfuscation pour que les attaquants ne puissent pas contourner la détection en deguisant leur code.

Notation des menaces

cside calcule un score de risque pour chaque script en se basant sur des signaux comme les modifications de contenu, l’anciennete du domaine, les indicateurs comportementaux et le nombre de sites affectes. Les scripts au-dessus du seuil de risque sont escalades pour une analyse plus approfondie.

Analyse approfondie par IA

Les scripts a haut risque passent par une analyse IA qui detecte les menaces que les règles statiques ne capturent pas :

• Code malveillant obfusque - scripts qui essaient de cacher ce qu’ils font
• Menaces zero-day - schemas d’attaque absents de toute base de données
• Anomalies comportementales - scripts qui font des choses qu’ils ne devraient pas

Alertes et notifications

Lorsqu’un script malveillant est detecte, cside peut notifier votre équipe via toute destination configuree dans vos configurations de notification, y compris e-mail, Slack, Discord, Jira, Linear, S3 ou webhooks personnalises.

Pour configurer les alertes de détection des menaces, creez une configuration de notification avec le declencheur Script Threat Detected. Consultez Notifications pour les instructions de configuration.

De la détection au blocage

La détection s’exécute de façon asynchrone et produit des constats ou des alertes. Les notifications suivent votre configuration ; une détection ne signifie pas que chaque membre reçoit un message.

Pour une alerte URL, IP, nom d’hôte ou domaine, Bloquer peut arrêter les scripts correspondants sur les domaines utilisant Script Method, avec Business ou supérieur. Les alertes de hash proposent uniquement Résoudre. Consultez Résoudre les alertes avant d’agir.

Les protections existantes, comme le blocage par liste de menaces, Vendor Permissions et Approved Tags, peuvent déjà appliquer des restrictions sans action manuelle sur une alerte. Scan Method n’applique aucun blocage dans le navigateur ; utilisez votre propre CSP pour empêcher les chargements non autorisés. Consultez Configurer Scan Method.

Détection des menaces vs. détection des vulnerabilites

cside propose deux fonctionnalites de sécurité complementaires :

Ces deux fonctionnalites couvrent des angles differents : utilisez les deux pour la meilleure couverture de vos scripts tiers.