Citizens Financial Group accélère sa réponse aux menaces et économise plus de 10 heures par semaine.

En tant que grande société holding bancaire américaine, la réputation de Citizens Financial Group repose sur une évaluation rigoureuse des risques et une sécurité performante. L'équipe de Lea Cure s'appuyait fortement sur des renseignements provenant de sources ouvertes renseignement sur les menaces mais avait besoin renseignement sur les menaces plus fiables et plus matures pour améliorer les opérations de sécurité et fournir des rapports finalisés aux parties prenantes.

La recherche a nécessité beaucoup de temps, la surveillance des risques par des tiers était limitée et les analystes n'avaient pas accès à des sources fermées comme Telegram et les forums du dark web où se trouvaient des informations critiques sur les menaces. Les citoyens avaient besoin de renseignements de haute qualité capables de rationaliser les flux de travail, d'approfondir la compréhension des menaces et de permettre une défense proactive. Recorded Future est devenu cette mise à niveau stratégique.

But

Réduisez le temps et les efforts consacrés à la recherche des menaces, améliorez les capacités d'évaluation des risques et fournissez des rapports de renseignement exploitables aux parties prenantes de toute l'organisation.

Défi

L'équipe de renseignement sur les menaces de Citizens Financial Group s'appuyait fortement sur des renseignements provenant de sources ouvertes, ce qui nécessitait un temps de recherche considérable et manquait de la fiabilité nécessaire pour améliorer les opérations de sécurité. Ils avaient besoin d'accéder à sources fermées comme les forums dark web et les chaînes Telegram, ainsi qu'à des renseignements fiables qui pourraient les aider à fournir des rapports finaux de haute qualité aux parties prenantes tout en permettant des pratiques de sécurité plus proactives.

Résultat

Le passage de Citizens Financial Group à Recorded Future a permis de réduire le temps de recherche hebdomadaire d'au moins 10 heures, permettant ainsi aux analystes de cibler les informations pertinentes au lieu de passer au crible un flot d'informations provenant de sources ouvertes. L'accès à sourcesfermées — places de marché du dark web, forums et chaînes Telegram — a permis de débloquer des renseignements auparavant inaccessibles à l'équipe.

Les règles Sigma issues de Insikt Group opérations de chasse de la menace de carburant, aidant les analystes à développer des hypothèses et à valider si les outils de détection existants pourraient détecter des attaques similaires dans leur environnement. L’équipe rouge intègre désormais de véritables TTPs d’attaquant lors des phases de reconnaissance des engagements, testant les défenses contre les comportements authentiques de Adversaire documentés sur la plateforme. Lorsque des fournisseurs de niveau un ou des fournisseurs critiques apparaissent sur dark web sites ou listes d’extorsion de ransomware, l’équipe reçoit des alertes permettant une communication proactive des risques avant que l’incident ne s’intensifie.

reporting trimestriels et annuels des cadres dirigeants sont devenus plus efficaces grâce à l'exploitation par les analystes des recherches publiées par Insikt Group, ce qui libère du temps pour des évaluations internes plus approfondies. Les analystes juniors développent leur expertise grâce aux données complètes sur les menaces fournies par la plateforme, tandis que les membres expérimentés de l'équipe fournissent aux équipes de cyberdéfense des explications techniques et détaillées des chaînes d'attaque, allant au-delà des résumés généraux pour proposer des conseils défensifs concrets.

Citizens Financial Group transforme ses opérations de lutte contre les menaces, passant d'une recherche réactive à une défense proactive

La société bancaire américaine Citizens Financial Group intègre Recorded Future pour évaluer les risques, accélérer la réponse, traquer les menaces et fournir des renseignements finalisés.

Les sociétés de services financiers de confiance protègent leur réputation en évaluant les risques à chaque étape. Les organisations avancées comme Citizens Financial Group s’appuient sur un renseignement de premier plan pour analyser les menaces, accélérer la réponse aux incidents, favoriser la collaboration et développer des pratiques de sécurité proactives.

« Nous dépendions fortement du renseignement open source et voulions aller plus loin », explique Lea Cure, responsable de l’équipe Threat Intelligence de Citizens. « Nous souhaitions acquérir un renseignement sur les menaces plus fiable et plus mature afin d’améliorer nos opérations de sécurité et de fournir des rapports finalisés de haute qualité à nos parties prenantes. »

Pour aller plus loin, Lea Cure a sollicité Recorded Future afin de profiter de ses capacités approfondies d’évaluation, de contexte et d’analyse, dont l’équipe ne pouvait pas tirer parti uniquement à partir des sources de renseignement publiques et des réseaux de partage entre pairs.

Le renseignement dynamise les opérations

L’équipe de Citizens Financial Group a rapidement commencé à intégrer le renseignement sur les menaces dans les initiatives stratégiques en matière de cybersécurité ainsi que dans les opérations quotidiennes. « L’adoption du Recorded Future Intelligence Cloud a représenté une avancée majeure par rapport au renseignement open source, permettant à l’équipe d’économiser un temps précieux lors de l’identification, de l’investigation et de l’atténuation des risques.

« Recorded Future nous fait gagner beaucoup de temps en nous alertant sur des menaces ciblées », explique Lea Cure. « La possibilité d’accéder à des sources fermées et d’en extraire davantage de données est extrêmement précieuse, en particulier pour les applications telles que Telegram et les sources du dark web. Le fait que nos analystes puissent être alertés en temps opportun des renseignements pertinents améliore considérablement nos workflows. »

Cure explique que l'équipe utilise les capacités d'interrogation avancées de Recorded Future pour trouver rapidement des informations exploitables. "Auparavant, nous passions beaucoup de temps à rechercher des sources ouvertes pour ajouter des informations contextuelles à notre évaluation. Avec Recorded Future, nous pouvons spécifier exactement ce que nous recherchons et exclure les informations qui ne sont pas pertinentes, ce qui nous permet d'économiser au moins 10 heures par semaine", explique M. Cure.

« Tout le bruit est filtré, ce qui nous permet de consacrer notre temps et nos ressources à analyser ce qui est réellement pertinent pour nous. Recorded Future fait le travail pour nous, et nous pouvons nous concentrer sur les mesures à prendre. »

Une compréhension approfondie des menaces, des acteurs malveillants et de leurs tactiques, techniques et procédures (TTP) aide l’équipe de sécurité à identifier et combler les lacunes dans les capacités de surveillance et de détection. Lea Cure précise que l’équipe explore l’historique des attaquants et examine les possibilités impliquant plusieurs campagnes et acteurs malveillants.

« Les règles Sigma de Recorded Future offrent des informations techniques précieuses à nos chasseurs de menaces. En comprenant le fonctionnement d’un malware spécifique, nous pouvons développer des hypothèses de chasse pour identifier des comportements similaires dans notre environnement », explique-t-elle. « Nous pouvons ensuite nous demander : avons-nous les bons outils, et le bon niveau de journalisation et de surveillance pour ces menaces ? Serions-nous capables de repérer et d’identifier ces signatures dans notre environnement ? »

De l’évaluation à la prévention des risques

Au-delà de la recherche des menaces connues, l’équipe de sécurité de Citizens Bank utilise le renseignement sur les menaces en temps réel pour améliorer les opérations de sécurité tactiques et stratégiques tout au long du cycle de vie de la gestion des risques.

Aider les défenseurs à passer à l’offensive

Citizens intègre le renseignement sur les menaces dans des exercices proactifs conçus pour évaluer et renforcer les défenses. « Nous travaillons en étroite collaboration avec notre Red Team pendant sa phase de "reconnaissance" en lui indiquant les types de techniques utilisées par les acteurs malveillants, les dernières utilisations de techniques connues, et les détails techniques sur les TTP employées », explique le responsable de l’équipe Threat Intelligence. « Nous utilisons Recorded Future pour analyser les campagnes et attaques précédentes et déterminer les méthodes employées par les acteurs malveillants, ce qui permet à notre équipe de reproduire ces activités lorsqu’elle tente de contourner nos défenses réseau. »

chasse aux menaces « dans la nature »

L’entreprise s’appuie également sur la threat intelligence pour renforcer sa pratique de chasse aux menaces. Les chasseurs de menaces utilisent les détections créées par l’Insikt Group de Recorded Future pour rechercher des traces d’activité d’acteurs malveillants dans leur environnement. « Recorded Future est un excellent outil pour mener des recherches lorsque nous élaborons et testons des hypothèses sur les menaces de notre environnement », explique Lea Cure. « Nos chasseurs de menaces peuvent utiliser les règles Sigma fournies par l’Insikt Group de Recorded Future et les informations historiques sur les attaques lancées et les TTP utilisées précédemment pour interroger nos outils et déterminer si nous serions capables d’identifier une attaque. »

Risque lié aux tiers

Comme la plupart des organisations de services financiers, Citizens accorde une grande importance à la surveillance des risques liés aux tiers. Le module Recorded Future Threat Intelligence permet de surveiller et de communiquer les risques aux prestataires de premier niveau et aux fournisseurs de technologies critiques. Lea Cure explique : « En utilisant la plateforme pour trouver des mentions de nos partenaires de la chaîne d’approvisionnement sur le dark web et les sites d’extorsion par ransomware, nous pouvons communiquer les risques dont les partenaires pourraient ne pas être conscients avant qu’un problème ne survienne. »

Tenir les parties prenantes de haut niveau informées

L’équipe Threat Intelligence de Citizens Bank produit et fournit régulièrement des rapports trimestriels, semestriels et de fin d’année aux parties prenantes de haut niveau. Outre l’utilisation de la plateforme pour mener des analyses approfondies, l’exploitation des informations de l’Insikt Group de Recorded Future simplifie la production d’un renseignement finalisé.

« Nos analystes peuvent exploiter énormément d’informations sur les menaces issues des rapports de fin d’année publiés par l’Insikt Group », poursuit Mme Cure. « Nous pouvons réutiliser les informations contenues dans ces rapports, ce qui nous permet de consacrer notre temps et nos ressources à élaborer des analyses pertinentes pour nos parties prenantes internes. L’accès à ce renseignement leur simplifie vraiment la tâche. »

En outre, la plateforme permet aux analystes d’expliquer « ce qui se passe dans la nature » à leurs équipes de cyberdéfense. « Plutôt que de produire seulement un rapport général pour les cadres dirigeants, nous pouvons entrer dans les détails techniques, expliquer les outils ou techniques légitimes utilisés par un acteur malveillant particulier, et examiner en profondeur la chaîne d’attaque. »

Avec les bonnes informations, les équipes prospèrent

En modernisant de nombreuses facettes des opérations de sécurité, l’exploitation du renseignement sur les menaces permet aux professionnels de la sécurité de se former et favorise des interactions stratégiques entre les équipes. « Renforcer la collaboration entre nos départements est une priorité pour nous cette année », explique le responsable de l’équipe Threat Intelligence. « Recorded Future nous offre un guichet unique pour toutes les recherches nécessaires lorsqu’on nous adresse une demande d’information (RFI). Nous pouvons accéder à des données, notamment sur les marketplaces et forums du dark web, auxquelles l’analyste moyen n’aurait jamais accès. Et ces informations sont extrêmement précieuses pour les autres équipes. »

Une compréhension approfondie pour les analystes

La rationalisation des opérations quotidiennes permet à l’entreprise de faire monter ses professionnels de la cybersécurité en compétences, tout en les déchargeant. « Recorded Future est une ressource très complète qui permet aux analystes plus jeunes ou moins expérimentés d’améliorer leurs compétences, de se former et d’en apprendre énormément sur tout ce qu’ils trouvent dans la plateforme », explique Lea Cure. « Quant à nos analystes expérimentés, ils peuvent aller beaucoup plus loin dans leurs évaluations. Au lieu de simplement dire "il y a une menace dont on devrait se préoccuper", ils peuvent comprendre et expliquer ces menaces à un niveau beaucoup plus profond. »

Que se passe-t-il ensuite ?

Ayant bénéficié de Recorded Future sur de nombreux plans, Citizens Bank prévoit d’étendre son utilisation du renseignement sur les menaces afin de renforcer encore sa posture de sécurité. « Nous nous attendons à découvrir de nouveaux cas d’utilisation intéressants lorsque nous commencerons à explorer les offres de Recorded Future en matière de fraude aux paiements et de renseignements sur l’identité », explique Lea Cure, qui ajoute : « Je recommanderais à toute entreprise dans un secteur fortement ciblé d’investir dans une threat intelligence enrichie. Recorded Future nous permet d’être plus stratégiques, plus proactifs, et d’agir plus vite que si nous nous reposions uniquement sur le renseignement open source. »