Pierre-Louis Mauratille, HarfangLab: «Le workspace ne désigne plus uniquement les terminaux»

HarfangLab se positionne désormais autour du concept de «Workspace Detection and Response» (WDR). Que recouvre précisément cette approche, et en quoi va-t-elle au-delà d’un EDR traditionnel ?

Depuis sa création, HarfangLab développe des capacités de détection, d’investigation et de réponse aux cyberattaques ciblant les postes de travail et les serveurs. L’évolution des usages et des modes opératoires des attaquants impose toutefois d’étendre cette protection à l’ensemble de l’espace de travail numérique. Le «workspace» englobe désormais les identités, les messageries électroniques, les environnements cloud et SaaS, les actifs exposés sur Internet et les agents IA. L’objectif est de proposer une expérience opérationnelle unifiée, permettant aux équipes de sécurité de corréler les signaux, d’investiguer les attaques et d’engager des actions de remédiation depuis une même plateforme.

Votre plateforme WDR réunit notamment la protection des endpoints, des e-mails et des identités. Pourquoi estimez-vous nécessaire aujourd’hui de corréler ces différents périmètres plutôt que de les protéger avec des outils séparés ?

La fragmentation des outils multiplie les consoles et les mécanismes d’alerte. Elle oblige les analystes à passer d’un outil à l’autre, à reconstituer les chronologies et peut conduire à des angles morts entre plusieurs périmètres. Une plateforme unifiée permet au contraire de partager les données et le contexte nécessaires à l’investigation, de faciliter la qualification des alertes et de prioriser les actions. Elle peut également accélérer la remédiation, en associant par exemple l’isolement d’un poste à la révocation d’une session ou à la réinitialisation d’un mot de passe.

L’ITDR constitue l’une des briques de cette plateforme. Quelles attaques liées aux identités permet-il de détecter et de contrer que les dispositifs classiques de gestion des identités ou de protection des postes de travail ne détectent pas forcément?

Les dispositifs classiques de gestion des identités administrent les comptes, les droits et les authentifications, mais ne sont pas nécessairement conçus pour analyser les comportements et les signaux faibles révélant l’utilisation malveillante d’une identité légitime. La protection d’un poste de travail ne dispose pas toujours d’une vision complète des annuaires, des groupes ou des relations de privilèges. Or, les attaquants ne cherchent pas nécessairement à installer un malware. Ils cherchent d’abord à voler ou détourner une identité valide, puis à l’utiliser pour se déplacer dans le système d’information. L’ITDR complète donc les dispositifs existants en apportant une capacité de détection et de réponse centrée sur les identités. Chez HarfangLab, il s’appuie sur des connexions natives à Active Directory et Entra ID, afin de disposer d’une visibilité sur les identités humaines et non humaines, dont les agents d’intelligence artificielle.

HarfangLab met en avant une plateforme européenne pouvant être déployée dans le cloud, On-Premises ou dans des environnements isolés. Dans quels cas cette flexibilité constitue-t-elle un enjeu déterminant pour vos clients, notamment en matière de souveraineté, de protection des données ou de conformité?

Toutes les entreprises ne peuvent pas, ou ne souhaitent pas, confier leurs données de sécurité à un cloud public standard. Certaines doivent conserver leurs données dans un périmètre géographique précis, d’autres opèrent des systèmes critiques ou isolés, ou doivent continuer à fonctionner en cas de rupture de connectivité. C’est le cas notamment des administrations et des acteurs de la défense, de la santé ou de l’énergie. Le déploiement On-Premises ou dans un cloud privé permet aux organisations de conserver la plateforme dans leur environnement de confiance. Pour les environnements isolés, la capacité à déployer et à opérer une solution de détection et de réponse localement constitue une condition de faisabilité, et non un simple choix technique.