Fonctionnalités
Ce que RoamSwitch détecte, comment il bloque les menaces et ce qu'il contrôle, classé par élément protégé.
Rançongiciels 4
Repère l'activité de chiffrement, l'arrête et offre un moyen de revenir à l'état d'avant les dégâts.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Détection du chiffrement de masse T1486 | Surveille les écritures et, quand des fichiers au contenu chiffré s'accumulent en peu de temps, coupe le réseau pour empêcher les dégâts de s'étendre. | ActionDétecter Isoler | Par défautActivé avec Pro Réponse automatique | ProduitsMac Linux |
| Détection par fichiers leurres T1486 | Place des fichiers leurres dans les dossiers importants et signale leur modification, leur suppression ou leur chiffrement. Sur Mac, le réseau est en plus coupé automatiquement. | ActionDétecter Isoler | Par défautActivé avec Pro Notification seule | ProduitsMac Linux Linux Server |
| Restauration des fichiers d'avant les dégâts | Récupère un par un les fichiers d'avant les dégâts à partir d'instantanés pris régulièrement. | ActionContrôler Enregistrer | Par défautActivé Réponse manuelle | ProduitsMac Linux |
| Vérification de la fraîcheur des sauvegardes | Vérifie que la dernière sauvegarde est récente et signale quand elle est trop ancienne. | ActionAuditer | Par défautActivé Notification seule | ProduitsMac Linux Linux Server |
Vol d'identifiants 5
Repère les tentatives de vol de mots de passe, de clés et de jetons dès leur lecture.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Identifiants leurres T1552.001 | Place des identifiants leurres (AWS, clés SSH, Docker, etc.) dans le dossier personnel et signale leur lecture à l'instant même. La notification indique le programme, la commande et le processus parent. Les vrais fichiers ne sont jamais écrasés. | ActionDétecter | Par défautActivé avec Pro Notification seule | ProduitsMac Linux Linux Server |
| Surveillance de la lecture des fichiers d'identifiants T1552.001 | Signale l'ouverture, par un programme inattendu, des clés privées SSH, des identifiants AWS ou gcloud, des mots de passe enregistrés dans les navigateurs, des identifiants de connexion des agents IA et de fichiers similaires. | ActionDétecter | Par défautActivé Notification seule | ProduitsLinux |
| Surveillance des données enregistrées par les navigateurs T1555.003 | Signale l'ouverture, par autre chose que le navigateur, des fichiers contenant les mots de passe et cookies enregistrés de Chrome, Firefox et d'autres. | ActionDétecter | Par défautSur option Notification seule | ProduitsMac |
| Détection des clés d'API et des clés privées T1204.004 | Trouve les clés d'API et les clés privées dans le texte, les fichiers, les dossiers et le presse-papiers. Les résultats sont affichés masqués. | ActionAuditer | Par défautActivé Réponse manuelle | ProduitsMac Linux Linux Server |
| Vérification des identifiants de connexion des agents IA T1552.001 | Vérifie les permissions et le propriétaire des fichiers où Claude Code, Codex et d'autres stockent leurs identifiants de connexion, et s'ils se trouvent dans un dossier synchronisé ou sous git. Le contenu n'est pas lu. | ActionAuditer | Par défautActivé Notification seule | ProduitsMac |
Exécution suspecte et logiciels malveillants 10
Suit les programmes et les enchaînements de commandes qu'un attaquant exécute, et analyse les fichiers téléchargés.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Enregistrement des exécutions de processus et détection des techniques d'attaque T1059.004 T1027 T1105 T1553.001 | Enregistre les programmes exécutés, leurs arguments et les relations parent-enfant, avec détection de falsification. Signale des enchaînements tels qu'un shell lancé depuis un navigateur, un téléchargement suivi d'une exécution, une exécution obfusquée ou une exécution juste après le retrait de l'attribut de quarantaine. Les secrets sont masqués. | ActionDétecter Enregistrer | Par défautSur option Notification seule | ProduitsMac Linux Linux Server |
| Import de règles Sigma | Déposez vos propres règles Sigma (création de processus) : elles sont appliquées à l'enregistrement des exécutions et enrichissent la détection. Les règles qui ne peuvent pas être chargées sont listées avec la raison. | ActionDétecter | Par défautSur option Notification seule | ProduitsMac Linux Linux Server |
| Détection des reverse shells T1059.004 | Détecte les shells et interpréteurs dont l'entrée et la sortie sont reliées à une connexion vers l'extérieur, et vous prévient. Les formes de commandes elles-mêmes sont aussi détectées. | ActionDétecter | Par défautActivé avec Pro Notification seule | ProduitsMac Linux Linux Server |
| Analyse antimalware dès le téléchargement T1204.002 T1027 | Analyse automatiquement les fichiers téléchargés et met en quarantaine ce qu'elle trouve. Les fichiers en quarantaine peuvent être restaurés ou supprimés définitivement. | ActionDétecter Bloquer | Par défautActivé Réponse automatique | ProduitsMac Linux |
| Correspondance de motifs dans le contenu des fichiers | Compare le contenu des fichiers téléchargés à des motifs connus. Sous Linux, la comparaison a aussi lieu au moment où un fichier est écrit. | ActionDétecter | Par défautActivé Notification seule | ProduitsMac Linux Linux Server |
| Couplage avec la détection de logiciels malveillants d'Apple | Coupe le réseau à l'instant où XProtect détecte réellement un logiciel malveillant. | ActionIsoler | Par défautActivé avec Pro Réponse automatique | ProduitsMac |
| Détection de ClickFix T1204.004 | Repère les attaques qui poussent l'utilisateur à coller lui-même une commande via un faux écran de vérification, à partir de l'historique du shell et du presse-papiers. | ActionDétecter Bloquer | Par défautSur option Réponse automatique | ProduitsMac Linux |
| Blocage préalable des exécutions dangereuses | Évalue la menace au moment de l'exécution et refuse d'exécuter les menaces avérées. | ActionBloquer | Par défautActivé Réponse automatique | ProduitsLinux |
| Détection d'intrusion au niveau du noyau et isolation autonome T1562.006 | Capte les reverse shells, les élévations de privilèges et l'exécution de binaires non autorisés à partir des événements du noyau. Gèle ou termine les processus et isole l'hôte en quelques millisecondes. | ActionDétecter Isoler | Par défautActivé Réponse automatique | ProduitsLinux Server |
| Détection des plantages des workers du serveur web | Repère, dans le journal d'erreurs, les arrêts anormaux répétés de workers nginx et Apache sur une courte période et vous prévient. | ActionDétecter | Par défautActivé avec Pro Notification seule | ProduitsMac Linux Server |
Persistance et altération 7
Repère les moyens qu'utilisent les attaquants pour survivre à un redémarrage, ainsi que les modifications de fichiers critiques.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Surveillance des enregistrements de démarrage automatique T1543.001 T1543.002 T1053.003 T1546.004 | Signale les enregistrements de démarrage automatique nouveaux ou modifiés, ainsi que les lignes suspectes apparues dans les fichiers de démarrage du shell et autres emplacements. Repère les reverse shells et les schémas de téléchargement suivi d'exécution. | ActionDétecter | Par défautActivé Notification seule | ProduitsMac Linux |
| Surveillance de l'altération des fichiers système critiques T1098.004 T1548.003 | Enregistre l'empreinte des fichiers que seul root peut modifier, comme sudoers, PAM, la configuration de sshd et le authorized_keys de root, et signale les modifications, ajouts et suppressions. Sur Server, le processus à l'origine du changement et les informations de connexion associées sont ajoutés. | ActionDétecter Enregistrer | Par défautActivé avec Pro Notification seule | ProduitsMac Linux Server |
| Surveillance de l'altération des fichiers de verrouillage T1195.001 | Enregistre package-lock.json et les fichiers similaires des projets enregistrés, et continue de signaler les changements tant qu'une personne ne les a pas validés. | ActionDétecter | Par défautActivé avec Pro Notification seule | ProduitsMac |
| Surveillance des changements SUID/SGID T1548.001 | Signale les fichiers setuid et setgid ajoutés ou modifiés. | ActionDétecter | Par défautActivé Notification seule | ProduitsLinux Server |
| Surveillance de l'effacement des journaux T1070.002 | Signale le vidage ou la troncature des journaux d'authentification et d'autres fichiers similaires. | ActionDétecter | Par défautActivé Notification seule | ProduitsLinux Server |
| Durcissement du noyau T1055 | Réduit les points d'appui pour l'élévation de privilèges et l'exécution grâce à des restrictions de ptrace, à noexec sur /tmp et /dev/shm, à des limites sur les espaces de noms utilisateur non privilégiés, etc. | ActionBloquer | Par défautActivé | ProduitsLinux Linux Server |
| Vérification des modules du noyau qui ouvrent des voies d'élévation de privilèges | Vérifie si les modules qui ont servi de voies d'élévation locale de privilèges, comme Copy Fail et Dirty Frag, peuvent être chargés. Les modules inutilisés peuvent être interdits de chargement. | ActionAuditer Contrôler | Par défautLancement manuel Réponse manuelle | ProduitsLinux Linux Server |
Défense du réseau 18
Adapte la protection au réseau auquel vous êtes connecté et bloque les connexions et expositions suspectes.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Changement du niveau de protection selon le réseau | Reconnaît automatiquement les Wi-Fi domestique, professionnel et public, et adapte le pare-feu et les services de partage. Vous pouvez aussi forcer le choix manuellement. | ActionContrôler Bloquer | Par défautActivé Réponse automatique | ProduitsMac Linux |
| Arrêt et rétablissement automatiques des services de partage | Arrête SSH, le partage d'écran, le partage de fichiers et services similaires sur les réseaux non fiables, et les rétablit au retour sur un réseau sûr. | ActionContrôler Bloquer | Par défautActivé Réponse automatique | ProduitsMac Linux |
| Audit des ports exposés à l'extérieur | Repère les ports ouverts vers l'extérieur et évalue les services dangereux et les serveurs d'inférence d'IA locaux. | ActionAuditer | Par défautActivé Notification seule | ProduitsMac Linux Linux Server |
| Blocage automatique des expositions de ports inconnues T1562.004 | Bloque à l'instant où un programme jamais vu auparavant ouvre un port vers l'extérieur. Efficace contre les nouvelles portes dérobées, même sans signature. | ActionDétecter Bloquer | Par défautActivé avec Pro Réponse automatique | ProduitsMac Linux |
| Blocage de l'exposition externe des serveurs de développement | Coupe l'accès du LAN externe aux serveurs de développement et serveurs d'IA locaux qui écoutent sur toutes les interfaces. Ils restent utilisables depuis localhost. | ActionBloquer | Par défautActivé avec Pro Réponse automatique | ProduitsMac Linux |
| Détection et blocage des scans de ports entrants T1046 | Repère les sources qui se connectent à de nombreux ports en peu de temps et les bloque pendant une durée donnée. La passerelle, le DNS et vos propres adresses ne sont jamais bloqués. | ActionDétecter Bloquer | Par défautActivé avec Pro Réponse automatique | ProduitsMac Linux Linux Server |
| Détection de l'usurpation ARP et blocage automatique T1557.002 | Repère les changements suspects de l'adresse MAC de la passerelle et coupe les communications en urgence. Sur un Wi-Fi non fiable, l'entrée ARP de la passerelle est figée. | ActionDétecter Isoler | Par défautActivé avec Pro Réponse automatique | ProduitsMac Linux |
| Vérification de la sécurité du Wi-Fi | Avertit en cas de connexion à un Wi-Fi non chiffré ou faiblement chiffré. Un nom vu pour la première fois et ressemblant à un nom de réseau déjà connu est signalé comme faux point d'accès. | ActionDétecter Auditer | Par défautActivé Notification seule | ProduitsMac Linux |
| Surveillance des changements de paramètres réseau T1557.003 | Compare les serveurs DNS, routeurs et la configuration automatique de proxy (PAC/WPAD) distribués par le réseau avec l'état précédent et signale toute valeur inédite. Un indice de serveur DHCP pirate. | ActionDétecter | Par défautActivé avec Pro Notification seule | ProduitsMac Linux |
| Protection contre les menaces DNS | Bloque au niveau du DNS la résolution des noms de serveurs C2 et de sites d'hameçonnage. Le réglage d'origine revient au retour sur un réseau fiable. | ActionBloquer | Par défautActivé Réponse automatique | ProduitsMac Linux |
| Protection des liens T1566.002 T1071.004 | Repère les connexions vers des sites d'hameçonnage et d'arnaque d'après la destination du trafic, puis bloque ou avertit. Fonctionne aussi avec les navigateurs qui utilisent DoH. | ActionDétecter Bloquer | Par défautActivé Réponse automatique | ProduitsMac Linux |
| Vérification de la sécurité des URL | Développe les URL raccourcies, suit les redirections et évalue les caractères trompeurs, les domaines imitant une marque et les domaines dangereux, le tout sur l'appareil. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux |
| VPN et kill switch sur les réseaux non fiables | Connecte automatiquement un VPN sur les réseaux non fiables et bloque les fuites hors du tunnel. WireGuard ou Tailscale au choix. | ActionContrôler Bloquer | Par défautSur option Réponse automatique | ProduitsMac Linux |
| Air-Gap (coupure totale d'urgence) | Coupe immédiatement toute communication externe et met au premier plan les étapes de levée. Sert aussi aux coupures automatiques déclenchées par une détection. | ActionIsoler | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux |
| Arrêt du Wi-Fi pendant l'Air-Gap | Quand l'Air-Gap coupe les communications, il éteint aussi la radio Wi-Fi. | ActionIsoler | Par défautActivé Réponse automatique | ProduitsMac |
| Refus par défaut du trafic entrant sans verrouillage SSH | Refuse par défaut le trafic entrant et ne coupe jamais la session SSH d'administration en cours. | ActionBloquer | Par défautActivé Réponse automatique | ProduitsLinux Server |
| Blocage du trafic sortant vers les IP malveillantes | Bloque le trafic sortant vers les IP malveillantes et C2 connues. Une option redirige aussi le DNS vers un fournisseur avec filtrage. | ActionBloquer | Par défautActivé Réponse automatique | ProduitsLinux Server |
| Détection du tunneling DNS T1071.004 | Repère les signes d'exfiltration de données et de C2 via le DNS et vous prévient. | ActionDétecter | Par défautActivé Notification seule | ProduitsLinux Server |
Web et messagerie 4
Repère le code malveillant déposé sur les sites web et les attaques contre les serveurs web.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Détection des web shells et du code malveillant T1505.003 | Repère les web shells et le code injecté obfusqué dans les fichiers écrits dans les dossiers publics. Les cas graves sont mis en quarantaine par défaut. Les dossiers publics sont trouvés automatiquement à partir des configurations Apache, nginx et Caddy et des montages Docker. | ActionDétecter Bloquer | Par défautActivé avec Pro Réponse automatique | ProduitsMac Linux Server |
| Détection de l'énumération d'identifiants (garde d'accès web) | Repère dans les journaux d'accès les requêtes qui font défiler des numéros de reçu ou de commande, y compris lorsque l'attaque est répartie sur de nombreuses IP. Une fois configuré, il peut bloquer les sources concernées. | ActionDétecter Bloquer | Par défautSur option Notification seule | ProduitsLinux Server |
| Passerelle web | Fonctionne avec nginx pour ne protéger que les points qui reçoivent des numéros, avec un budget de requêtes par point. Freine les attaques qui changent sans cesse d'IP. | ActionBloquer | Par défautSur option Réponse automatique | ProduitsLinux Server |
| Garde d'analyse de fichiers | Analyse avec YARA et ClamAV les fichiers déposés dans les relais de messagerie, dossiers partagés et emplacements similaires, et les met en quarantaine. | ActionDétecter Bloquer | Par défautSur option Réponse automatique | ProduitsLinux Server |
SSH et accès à distance 2
Repère et bloque les attaques par force brute sur les connexions, et vérifie les réglages faibles.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Détection et blocage de la force brute SSH T1110.001 | Repère et signale les sources aux échecs de connexion répétés en peu de temps, et bloque les nouvelles connexions vers le port SSH. Les sessions établies ne sont pas coupées, et la passerelle ainsi que vos propres adresses ne sont pas bloquées. | ActionDétecter Bloquer | Par défautActivé avec Pro Réponse automatique | ProduitsMac Linux Linux Server |
| Vérification des réglages SSH et sudo T1548.003 | Vérifie les réglages de connexion SSH à distance et le sudo sans mot de passe, et indique comment les corriger. | ActionAuditer | Par défautActivé Notification seule | ProduitsMac Linux Linux Server |
Conteneurs et serveurs 6
Repère les lancements dangereux de conteneurs et les signes propres aux serveurs.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Détection des lancements dangereux de conteneurs T1610 | Signale le lancement d'un conteneur privilégié ou montant docker.sock. Les exécutions à l'intérieur des conteneurs sont aussi surveillées. | ActionDétecter | Par défautSur option Notification seule | ProduitsMac Linux Server |
| Prévention du contournement du pare-feu par Docker | Empêche Docker de contourner les règles de refus par défaut et d'ouvrir des ports que vous ne vouliez pas exposer. | ActionBloquer | Par défautActivé Réponse automatique | ProduitsLinux Server |
| Détection de l'épuisement des ressources et des plantages | Repère et signale la croissance continue de la mémoire (fuite ou DoS) des services exposés au réseau, ainsi que les plantages répétés. | ActionDétecter | Par défautActivé Notification seule | ProduitsLinux Server |
| Surveillance des connexions aux métadonnées cloud T1552.005 | Signale la connexion d'un programme ou d'un conteneur non root à une API de métadonnées comme 169.254.169.254. Surveille la dernière étape d'une attaque SSRF. | ActionDétecter | Par défautActivé Notification seule | ProduitsLinux Server |
| Protection des comptes dédiés aux agents IA | Lorsque les agents s'exécutent sous un compte dédié, limite le trafic sortant à une liste d'autorisation, place des identifiants leurres et compare les modifications des fichiers d'instructions à une référence appartenant à root. | ActionContrôler Détecter | Par défautSur option Notification seule | ProduitsLinux Server |
| Processus que le confinement n'arrête jamais | Vous pouvez ajouter, en plus de la liste intégrée, des processus que le confinement automatique ne doit pas arrêter. Seuls les exécutables situés dans des emplacements système sont acceptés. | ActionContrôler | Par défaut— | ProduitsLinux Server |
Chaîne d'approvisionnement 7
Repère les intrusions via les bibliothèques et les environnements de développement, avant et après leur intégration.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Rapprochement des paquets avec les vulnérabilités connues | Rapproche les paquets installés et les fichiers de verrouillage des projets des données de vulnérabilités présentes sur l'appareil. Aucune connexion réseau n'est établie. Les CVE dotées d'une probabilité d'exploitation (EPSS) sont triées de la plus haute à la plus basse. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux Linux Server |
| Acceptation des vulnérabilités | Une CVE qui ne vous concerne pas peut être acceptée avec un motif et une date d'expiration. À l'expiration, elle redevient une détection normale. | ActionContrôler Enregistrer | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux |
| Contrôle du code exécuté à l'installation T1195.001 | Liste les scripts qui s'exécutent à l'installation. Signale les scripts ajoutés ou modifiés et le code compilé ajouté par rapport à l'état validé. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux |
| Vérification des sources des dépendances | Signale les réglages qui ouvrent la voie aux attaques par confusion de dépendances, comme extra-index-url de pip ou les scopes npm sans registre fixé. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsMac |
| Détection des paquets aux noms trompeurs | Évalue par la distance d'édition si le nom d'une dépendance est trop proche de celui d'un paquet connu. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux |
| Vérification des signatures des paquets npm | Vérifie les signatures et la provenance des paquets installés auprès du registre npm. | ActionAuditer | Par défautSur option Réponse manuelle | ProduitsMac Linux Server |
| Rapprochement des vulnérabilités du noyau | Rapproche la version du noyau en cours d'exécution des vulnérabilités connues et affiche le résultat dans le diagnostic. | ActionAuditer | Par défautActivé Notification seule | ProduitsLinux Linux Server |
Agents IA et MCP 6
Protège la configuration des agents IA et la sûreté des informations transmises à l'IA.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Audit de la configuration des agents IA | Examine les fichiers d'instructions, les skills et les fichiers de configuration. Signale les caractères invisibles, les écrasements d'instructions, les lignes de téléchargement suivi d'exécution, l'envoi de fichiers secrets vers l'extérieur, etc. Prévient en cas de changement par rapport à l'état approuvé ; les résultats peuvent aussi être produits au format SARIF. | ActionAuditer Détecter | Par défautLancement manuel Notification seule | ProduitsMac Linux Linux Server |
| Vérification de la configuration MCP | Signale les entrées risquées dans la configuration MCP de Claude Desktop, Claude Code, Cursor et d'autres : approbation automatique, http en clair, lancement en une ligne, conteneurs privilégiés, etc. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux |
| Avertissement sur les instructions glissées à l'attention de l'IA | Lorsque des chaînes venues de l'extérieur, comme des scripts de paquets, des journaux, des noms de Wi-Fi ou des lignes de commande, contiennent des instructions destinées à l'IA, un avertissement est ajouté à la fin du résultat. Il n'indique que les types trouvés et leur nombre. | ActionDétecter | Par défautActivé Notification seule | ProduitsMac Linux Linux Server |
| Serveur MCP pour interroger l'état depuis des assistants IA | Claude et d'autres peuvent lire l'état des diagnostics et des détections. Aucun outil ne modifie les réglages, et aucune communication réseau n'a lieu. | ActionSignaler | Par défautActivé | ProduitsMac Linux Linux Server |
| Auto-vérification de la couverture de détection | Liste, pour chaque technique ATT&CK, si elle peut être détectée, ce qui reste hors de vue et si la fonction responsable est en cours d'exécution. Disponible aussi sous forme de calque ATT&CK Navigator. | ActionSignaler Auditer | Par défautActivé | ProduitsMac Linux Linux Server |
| Identification des environnements d'exécution d'IA locaux | Détermine, avec un niveau de confiance, si un port exposé appartient à un environnement d'exécution d'IA local comme Ollama, vLLM ou LiteLLM. | ActionAuditer | Par défautActivé Notification seule | ProduitsMac Linux |
Périphériques 3
Bloque les intrusions par USB et Bluetooth dès la connexion.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Contrôle des périphériques de stockage USB T1091 | Les périphériques de stockage USB non autorisés sont connectés en lecture seule ou mis en attente de votre confirmation. Même les périphériques autorisés restent en lecture seule juste après la connexion, et les droits sont rétablis après l'analyse. | ActionBloquer Contrôler | Par défautSur option Réponse manuelle | ProduitsMac Linux |
| Prévention des BadUSB T1200 | Bloque la saisie des claviers non approuvés et des câbles USB modifiés jusqu'à votre approbation. Un rythme de frappe anormal sert d'indice complémentaire. | ActionBloquer | Par défautSur option Réponse manuelle | ProduitsMac Linux |
| Contrôle et vérification du Bluetooth | Rend l'appareil introuvable en Bluetooth sur les réseaux non fiables. Vérifie aussi les réglages qui laissent passer des appareils non appairés. | ActionContrôler Auditer | Par défautSur option Réponse automatique | ProduitsMac Linux |
Diagnostic et vulnérabilités 5
Repère les réglages faibles et les vulnérabilités réellement atteignables.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Diagnostic de sécurité global | Contrôle de nombreux points, dont le chiffrement du disque, le pare-feu, les mises à jour du système, SSH, les ports ouverts et la protection du navigateur, puis indique un score et la manière de corriger. Vous pouvez revérifier si un point diagnostiqué subsiste. | ActionAuditer Signaler | Par défautActivé Notification seule | ProduitsMac Linux Linux Server |
| Analyse de vulnérabilités avec preuve | Limitée à 127.0.0.1 sur cet appareil, elle vérifie sans rien détruire l'exposition sans authentification, les erreurs de configuration CORS, le path traversal, etc. Chaque vérification indique ce qu'elle laisse derrière elle et la solidité de la preuve. | ActionAuditer | Par défautSur option Réponse manuelle | ProduitsMac Linux |
| Vérification des réponses LLMNR et NBNS T1557.001 | Vérifie si cet appareil participe à une résolution de noms à laquelle n'importe qui sur le même réseau peut répondre. | ActionAuditer | Par défautActivé Notification seule | ProduitsLinux Linux Server |
| Analyse des chemins d'élévation de privilèges | Montre, sous forme de graphe et de liste, les chemins menant à root ou aux données sensibles par le groupe docker, SUID, les exécutables de services modifiables, sudo sans mot de passe, cron, les autorisations de confidentialité de macOS, etc. Vous pouvez aussi simuler les chemins restants après une correction. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsPathScope |
| Audit de vulnérabilités depuis l'extérieur de l'hôte sur le LAN | Un nœud dédié sur le LAN vérifie, sans rien détruire, les ports exposés et les services vulnérables des appareils appairés. Il montre comment l'appareil apparaît depuis une autre machine du même LAN, ce que le diagnostic de l'hôte lui-même ne voit pas. | ActionAuditer | Par défautLancement manuel Réponse manuelle | ProduitsSensor |
Analyse des journaux et investigation 22
Repère les tentatives d'attaque, preuves à l'appui, à partir des journaux et des informations du LAN.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Audit des journaux de sécurité | Totalise à partir des journaux les échecs sudo, SSH, les blocages de Gatekeeper, l'authentification, etc. Les types de journaux vus pour la première fois et les hausses soudaines de fréquence sont signalés comme anomalies. Les secrets sont masqués. | ActionDétecter Auditer | Par défautActivé avec Pro Notification seule | ProduitsMac Linux Linux Server |
| Diagnostic des journaux d'accès (AccessScope) | Repère les tentatives d'attaque dans les journaux du serveur web et de SSH, avec les lignes qui les prouvent. Trouve les journaux automatiquement et montre aussi les enchaînements sur plusieurs journaux et les écarts par rapport à l'habituel. Ce qui n'a pas pu être lu figure dans le rapport. | ActionDétecter Signaler | Par défautLancement manuel | ProduitsAccessScope |
| Point de situation en un clic (PersonalSOC) | Examine, en lecture seule, l'authentification SSH, auditd, le web, le DNS et le journal unifié de macOS, ainsi que les réglages MCP et l'historique de détection de RoamSwitch. Résume le tout dans un tableau de bord et un rapport avec IOC. | ActionSignaler Auditer | Par défautLancement manuel | ProduitsPersonalSOC |
| Investigation autonome par un LLM (PersonalSOC, optionnel) | Une fois activé, un LLM enquête avec les seuls outils en lecture seule autorisés et rédige un rapport. Ni shell ni fichiers ne lui sont remis. Les valeurs écrites par le LLM qui ne figurent pas dans les éléments collectés sont signalées comme une possible invention. | ActionSignaler | Par défautSur option | ProduitsPersonalSOC |
| Exécution planifiée (PersonalSOC, optionnel) | Enregistre une exécution planifiée avec les droits de l'utilisateur et ne notifie le nombre que s'il y a des détections absentes la fois précédente. | ActionSignaler | Par défautSur option Notification seule | ProduitsPersonalSOC |
| Points de correction et propositions (PathScope) | Indique, par ordre de priorité, les points dont la correction apporte le plus, avec des exemples de commandes et les techniques ATT&CK correspondantes. Les commandes ne sont jamais exécutées automatiquement. | ActionSignaler | Par défautLancement manuel | ProduitsPathScope |
| Rapprochement des logiciels installés avec les vulnérabilités connues (PathScope) | Rapproche les versions des logiciels installés des données intégrées sur les vulnérabilités connues (CISA KEV, etc.). Les entrées disposant d'un module d'exploitation public sont signalées comme telles. | ActionAuditer | Par défautLancement manuel | ProduitsPathScope |
| Comparaison avec l'historique et contrôle continu (PathScope) | Conserve les résultats d'analyse en historique sur l'appareil et les compare à l'exécution précédente. Signale les nouveaux chemins par le code de sortie 1, ce qui convient aussi aux exécutions planifiées. | ActionEnregistrer Signaler | Par défautLancement manuel | ProduitsPathScope |
| Explications par LLM et lecture des réglages (PathScope, optionnel) | Vous pouvez confier à un LLM l'explication des résultats et l'interprétation de réglages difficiles à lire comme sudoers et cron. Les clés privées et les valeurs de clés d'API ne sont jamais envoyées. Les valeurs d'une explication absentes des éléments fournis sont signalées comme une possible invention. | ActionSignaler | Par défautSur option | ProduitsPathScope |
| Réduction du nombre de cas à examiner (AccessScope) | Vos propres IP et éléments similaires peuvent être exclus avec un motif ; la comparaison avec le diagnostic précédent ne signale que les nouvelles détections. | ActionContrôler | Par défautLancement manuel | ProduitsAccessScope |
| Export des résultats (AccessScope) | Exporte le rapport en Markdown, JSON, SARIF ou CSV. Peut aussi exporter une liste de blocage des IP détectées. Il s'agit uniquement d'un export : aucun blocage n'est effectué. | ActionSignaler | Par défautLancement manuel | ProduitsAccessScope |
| Analyse par un LLM (AccessScope, optionnel) | Une fois activé, transmet le résumé et les lignes de preuve à un LLM qui rédige le rapport. Les secrets sont masqués. Les valeurs écrites par le LLM qui ne figurent pas dans les éléments transmis sont signalées comme une possible invention. | ActionSignaler | Par défautSur option | ProduitsAccessScope |
| Détection du trafic suspect sur le LAN (Sensor, capture passive) | Grâce à une capture passive, par exemple sur un port miroir, il présente à titre indicatif les connexions vers des IP malveillantes connues et des ports d'administration, les signes d'activité de botnet et le tunneling DNS. Il ne bloque pas le trafic. | ActionDétecter | Par défautSur option Notification seule | ProduitsSensor |
| Audits planifiés et différences avec la fois précédente (Sensor) | Audite régulièrement les appareils appairés et présente les nouvelles détections, celles qui sont résolues et les ports nouvellement ouverts. | ActionAuditer Signaler | Par défautSur option Notification seule | ProduitsSensor |
| Rapports d'audit et notifications (Sensor) | Les résultats d'audit, l'inventaire des appareils et le journal des opérations peuvent être exportés en CSV, JSON ou HTML. Les nouveaux appareils, l'usurpation ARP, etc. peuvent être notifiés à un webhook et à syslog. Le journal des opérations est protégé contre la falsification. | ActionSignaler Enregistrer | Par défautSur option Notification seule | ProduitsSensor |
| Inventaire des appareils du LAN et surveillance ARP | Découvre les appareils du LAN, tient un inventaire et signale les nouveaux appareils ainsi que les changements de MAC pour une IP connue (usurpation ARP). | ActionDétecter Enregistrer | Par défautActivé Notification seule | ProduitsSensor |
| Détection des serveurs DHCP et routeurs IPv6 pirates | Envoie un seul paquet de découverte depuis une adresse MAC aléatoire et compte les serveurs DHCP et routeurs IPv6 qui répondent. Signale les serveurs apparus ensuite et ceux qui distribuent une passerelle différente de la légitime. | ActionDétecter | Par défautActivé Notification seule | ProduitsSensor |
| Apprentissage du comportement habituel de chaque appareil | Apprend les habitudes de communication de chaque appareil et signale tout comportement inhabituel. | ActionDétecter | Par défautActivé Notification seule | ProduitsSensor |
| Audit léger des appareils non gérés | Vérifie les appareils non appairés, comme les imprimantes et les caméras, uniquement dans le périmètre autorisé, par de simples tests de connexion et la lecture des bannières de service. | ActionAuditer | Par défautSur option Réponse manuelle | ProduitsSensor |
| Chronologie des incidents | Réunit les enregistrements de confinement et de détection en une seule chronologie, avec la filiation des processus et les étiquettes ATT&CK. | ActionSignaler Enregistrer | Par défautActivé | ProduitsMac Linux |
| Liste des périphériques USB connectés | Liste les périphériques USB externes actuellement connectés. | ActionAuditer | Par défautActivé | ProduitsMac |
| Protection dès le démarrage (expérimental) | Dès une étape précoce du démarrage et jusqu'à ce que le système soit prêt, bloque tout le trafic sauf ARP et les clients DHCP. | ActionBloquer | Par défautSur option Réponse automatique | ProduitsLinux Linux Server |
Preuves, notifications et exploitation 14
Conserve les preuves des détections, prévient les personnes concernées et s'intègre à l'exploitation.
| Fonctionnalité | Ce qu'elle fait | Action | Par défaut | Produits |
|---|---|---|---|---|
| Auto-surveillance et redémarrage automatique T1562.001 | Si RoamSwitch s'arrête anormalement, il redémarre et vous le signale. | ActionContrôler Détecter | Par défautActivé Réponse automatique | ProduitsMac Linux |
| Mise à jour automatique des données de menaces signées | Reçoit les flux de menaces, les données de vulnérabilités et les règles après vérification de leur signature. Aucune information sur l'appareil n'est envoyée. | ActionContrôler | Par défautActivé | ProduitsMac Linux Linux Server |
| Désinstallation qui rétablit l'état initial | Avant la suppression, rétablit les réglages réseau et retire les fichiers leurres et les réglages ajoutés. | ActionContrôler | Par défautLancement manuel Réponse manuelle | ProduitsMac Linux Linux Server |
| Gestion centralisée par une organisation (Fleet) | Inscrit les appareils auprès d'une organisation, reçoit et applique des politiques signées. Sur l'appareil, vous pouvez consulter l'état de l'inscription et des politiques. | ActionContrôler Signaler | Par défautSur option | ProduitsLinux Linux Server |
| Ronde autonome périodique | Exécute régulièrement le diagnostic global en arrière-plan. | ActionAuditer | Par défautActivé Notification seule | ProduitsMac |
| Collecte automatique de preuves lors du confinement | Dès que le confinement démarre, collecte automatiquement les preuves de cet instant. L'intégrité peut être vérifiée grâce au SHA-256 de chaque fichier. | ActionEnregistrer | Par défautActivé Réponse automatique | ProduitsMac Linux |
| Historique des notifications | Affiche les notifications récentes avec le programme, la commande et le chemin en cause. Quand la cause ne peut pas être identifiée, c'est indiqué. | ActionEnregistrer Signaler | Par défautActivé | ProduitsMac Linux Linux Server |
| Notifications d'urgence (Telegram, LINE, Webhook) | Envoie les détections graves vers Telegram, LINE et des webhooks. Slack, Discord et Teams fonctionnent via une URL de webhook entrant. | ActionSignaler | Par défautSur option Notification seule | ProduitsLinux Server |
| Transfert des événements (SIEM, syslog, Webhook) | Transfère les détections et notifications vers le syslog, le fichier JSON Lines ou le webhook signé que vous indiquez. Ce qui n'a pas pu être envoyé est renvoyé. | ActionSignaler | Par défautSur option | ProduitsMac Linux Server |
| Enregistrements avec détection de falsification | Chaîne l'enregistrement des exécutions par des empreintes pour pouvoir le vérifier ensuite. Des points de contrôle sont aussi placés à intervalles réguliers dans le segment en cours d'écriture. | ActionEnregistrer | Par défautActivé | ProduitsMac Linux Linux Server |
| Toutes les fonctions depuis le terminal | Toutes les fonctions de la Server Edition se pilotent au clavier seul, sur un écran 80x24 via SSH. Les réglages affichent leurs différences avant l'enregistrement, et une sauvegarde est faite. | ActionContrôler | Par défautActivé | ProduitsLinux Server |
| Réception des audits de Sensor | Appairez la Server Edition à un Sensor pour recevoir des audits depuis l'extérieur de l'hôte sur le LAN. | ActionContrôler Auditer | Par défautSur option Réponse manuelle | ProduitsLinux Server |
| Appairage et révocation | Grâce à un code à usage unique, l'appareil et le Sensor se font mutuellement confiance. En cas de perte ou de vol, révoquez-le depuis le collecteur : ce Sensor s'arrête de lui-même. | ActionContrôler | Par défaut— Réponse manuelle | ProduitsSensor |
| Agrégation de plusieurs sites (collecteur) | Collecte, avec signature, les synthèses de plusieurs Sensors. Consultez l'état de chaque site sur un tableau de bord et exportez-le en CSV. | ActionSignaler | Par défautSur option | ProduitsSensor |
Aucune fonctionnalité correspondante
Ce qui bloque automatiquement et ce qui notifie seulement
Les fonctionnalités qui agissent seules après une détection, et celles qui se limitent à notifier.
Blocage ou isolement automatique 27
| Fonctionnalité | Action | Par défaut | Produits |
|---|---|---|---|
| Détection du chiffrement de masse | ActionDétecter Isoler | Par défautActivé avec Pro | ProduitsMac Linux |
| Analyse antimalware dès le téléchargement | ActionDétecter Bloquer | Par défautActivé | ProduitsMac Linux |
| Couplage avec la détection de logiciels malveillants d'Apple | ActionIsoler | Par défautActivé avec Pro | ProduitsMac |
| Détection de ClickFix | ActionDétecter Bloquer | Par défautSur option | ProduitsMac Linux |
| Blocage préalable des exécutions dangereuses | ActionBloquer | Par défautActivé | ProduitsLinux |
| Détection d'intrusion au niveau du noyau et isolation autonome | ActionDétecter Isoler | Par défautActivé | ProduitsLinux Server |
| Changement du niveau de protection selon le réseau | ActionContrôler Bloquer | Par défautActivé | ProduitsMac Linux |
| Arrêt et rétablissement automatiques des services de partage | ActionContrôler Bloquer | Par défautActivé | ProduitsMac Linux |
| Blocage automatique des expositions de ports inconnues | ActionDétecter Bloquer | Par défautActivé avec Pro | ProduitsMac Linux |
| Blocage de l'exposition externe des serveurs de développement | ActionBloquer | Par défautActivé avec Pro | ProduitsMac Linux |
| Détection et blocage des scans de ports entrants | ActionDétecter Bloquer | Par défautActivé avec Pro | ProduitsMac Linux Linux Server |
| Détection de l'usurpation ARP et blocage automatique | ActionDétecter Isoler | Par défautActivé avec Pro | ProduitsMac Linux |
| Protection contre les menaces DNS | ActionBloquer | Par défautActivé | ProduitsMac Linux |
| Protection des liens | ActionDétecter Bloquer | Par défautActivé | ProduitsMac Linux |
| VPN et kill switch sur les réseaux non fiables | ActionContrôler Bloquer | Par défautSur option | ProduitsMac Linux |
| Arrêt du Wi-Fi pendant l'Air-Gap | ActionIsoler | Par défautActivé | ProduitsMac |
| Refus par défaut du trafic entrant sans verrouillage SSH | ActionBloquer | Par défautActivé | ProduitsLinux Server |
| Blocage du trafic sortant vers les IP malveillantes | ActionBloquer | Par défautActivé | ProduitsLinux Server |
| Détection des web shells et du code malveillant | ActionDétecter Bloquer | Par défautActivé avec Pro | ProduitsMac Linux Server |
| Passerelle web | ActionBloquer | Par défautSur option | ProduitsLinux Server |
| Garde d'analyse de fichiers | ActionDétecter Bloquer | Par défautSur option | ProduitsLinux Server |
| Détection et blocage de la force brute SSH | ActionDétecter Bloquer | Par défautActivé avec Pro | ProduitsMac Linux Linux Server |
| Prévention du contournement du pare-feu par Docker | ActionBloquer | Par défautActivé | ProduitsLinux Server |
| Contrôle et vérification du Bluetooth | ActionContrôler Auditer | Par défautSur option | ProduitsMac Linux |
| Protection dès le démarrage (expérimental) | ActionBloquer | Par défautSur option | ProduitsLinux Linux Server |
| Auto-surveillance et redémarrage automatique | ActionContrôler Détecter | Par défautActivé | ProduitsMac Linux |
| Collecte automatique de preuves lors du confinement | ActionEnregistrer | Par défautActivé | ProduitsMac Linux |
Notification seule 42
| Fonctionnalité | Action | Par défaut | Produits |
|---|---|---|---|
| Détection par fichiers leurres | ActionDétecter Isoler | Par défautActivé avec Pro | ProduitsMac Linux Linux Server |
| Vérification de la fraîcheur des sauvegardes | ActionAuditer | Par défautActivé | ProduitsMac Linux Linux Server |
| Identifiants leurres | ActionDétecter | Par défautActivé avec Pro | ProduitsMac Linux Linux Server |
| Surveillance de la lecture des fichiers d'identifiants | ActionDétecter | Par défautActivé | ProduitsLinux |
| Surveillance des données enregistrées par les navigateurs | ActionDétecter | Par défautSur option | ProduitsMac |
| Vérification des identifiants de connexion des agents IA | ActionAuditer | Par défautActivé | ProduitsMac |
| Enregistrement des exécutions de processus et détection des techniques d'attaque | ActionDétecter Enregistrer | Par défautSur option | ProduitsMac Linux Linux Server |
| Import de règles Sigma | ActionDétecter | Par défautSur option | ProduitsMac Linux Linux Server |
| Détection des reverse shells | ActionDétecter | Par défautActivé avec Pro | ProduitsMac Linux Linux Server |
| Correspondance de motifs dans le contenu des fichiers | ActionDétecter | Par défautActivé | ProduitsMac Linux Linux Server |
| Détection des plantages des workers du serveur web | ActionDétecter | Par défautActivé avec Pro | ProduitsMac Linux Server |
| Surveillance des enregistrements de démarrage automatique | ActionDétecter | Par défautActivé | ProduitsMac Linux |
| Surveillance de l'altération des fichiers système critiques | ActionDétecter Enregistrer | Par défautActivé avec Pro | ProduitsMac Linux Server |
| Surveillance de l'altération des fichiers de verrouillage | ActionDétecter | Par défautActivé avec Pro | ProduitsMac |
| Surveillance des changements SUID/SGID | ActionDétecter | Par défautActivé | ProduitsLinux Server |
| Surveillance de l'effacement des journaux | ActionDétecter | Par défautActivé | ProduitsLinux Server |
| Audit des ports exposés à l'extérieur | ActionAuditer | Par défautActivé | ProduitsMac Linux Linux Server |
| Vérification de la sécurité du Wi-Fi | ActionDétecter Auditer | Par défautActivé | ProduitsMac Linux |
| Surveillance des changements de paramètres réseau | ActionDétecter | Par défautActivé avec Pro | ProduitsMac Linux |
| Détection du tunneling DNS | ActionDétecter | Par défautActivé | ProduitsLinux Server |
| Détection de l'énumération d'identifiants (garde d'accès web) | ActionDétecter Bloquer | Par défautSur option | ProduitsLinux Server |
| Vérification des réglages SSH et sudo | ActionAuditer | Par défautActivé | ProduitsMac Linux Linux Server |
| Détection des lancements dangereux de conteneurs | ActionDétecter | Par défautSur option | ProduitsMac Linux Server |
| Détection de l'épuisement des ressources et des plantages | ActionDétecter | Par défautActivé | ProduitsLinux Server |
| Surveillance des connexions aux métadonnées cloud | ActionDétecter | Par défautActivé | ProduitsLinux Server |
| Protection des comptes dédiés aux agents IA | ActionContrôler Détecter | Par défautSur option | ProduitsLinux Server |
| Rapprochement des vulnérabilités du noyau | ActionAuditer | Par défautActivé | ProduitsLinux Linux Server |
| Audit de la configuration des agents IA | ActionAuditer Détecter | Par défautLancement manuel | ProduitsMac Linux Linux Server |
| Avertissement sur les instructions glissées à l'attention de l'IA | ActionDétecter | Par défautActivé | ProduitsMac Linux Linux Server |
| Identification des environnements d'exécution d'IA locaux | ActionAuditer | Par défautActivé | ProduitsMac Linux |
| Diagnostic de sécurité global | ActionAuditer Signaler | Par défautActivé | ProduitsMac Linux Linux Server |
| Vérification des réponses LLMNR et NBNS | ActionAuditer | Par défautActivé | ProduitsLinux Linux Server |
| Audit des journaux de sécurité | ActionDétecter Auditer | Par défautActivé avec Pro | ProduitsMac Linux Linux Server |
| Exécution planifiée (PersonalSOC, optionnel) | ActionSignaler | Par défautSur option | ProduitsPersonalSOC |
| Détection du trafic suspect sur le LAN (Sensor, capture passive) | ActionDétecter | Par défautSur option | ProduitsSensor |
| Audits planifiés et différences avec la fois précédente (Sensor) | ActionAuditer Signaler | Par défautSur option | ProduitsSensor |
| Rapports d'audit et notifications (Sensor) | ActionSignaler Enregistrer | Par défautSur option | ProduitsSensor |
| Inventaire des appareils du LAN et surveillance ARP | ActionDétecter Enregistrer | Par défautActivé | ProduitsSensor |
| Détection des serveurs DHCP et routeurs IPv6 pirates | ActionDétecter | Par défautActivé | ProduitsSensor |
| Apprentissage du comportement habituel de chaque appareil | ActionDétecter | Par défautActivé | ProduitsSensor |
| Ronde autonome périodique | ActionAuditer | Par défautActivé | ProduitsMac |
| Notifications d'urgence (Telegram, LINE, Webhook) | ActionSignaler | Par défautSur option | ProduitsLinux Server |
Réponse manuelle 21
| Fonctionnalité | Action | Par défaut | Produits |
|---|---|---|---|
| Restauration des fichiers d'avant les dégâts | ActionContrôler Enregistrer | Par défautActivé | ProduitsMac Linux |
| Détection des clés d'API et des clés privées | ActionAuditer | Par défautActivé | ProduitsMac Linux Linux Server |
| Vérification des modules du noyau qui ouvrent des voies d'élévation de privilèges | ActionAuditer Contrôler | Par défautLancement manuel | ProduitsLinux Linux Server |
| Vérification de la sécurité des URL | ActionAuditer | Par défautLancement manuel | ProduitsMac Linux |
| Air-Gap (coupure totale d'urgence) | ActionIsoler | Par défautLancement manuel | ProduitsMac Linux |
| Rapprochement des paquets avec les vulnérabilités connues | ActionAuditer | Par défautLancement manuel | ProduitsMac Linux Linux Server |
| Acceptation des vulnérabilités | ActionContrôler Enregistrer | Par défautLancement manuel | ProduitsMac Linux |
| Contrôle du code exécuté à l'installation | ActionAuditer | Par défautLancement manuel | ProduitsMac Linux |
| Vérification des sources des dépendances | ActionAuditer | Par défautLancement manuel | ProduitsMac |
| Détection des paquets aux noms trompeurs | ActionAuditer | Par défautLancement manuel | ProduitsMac Linux |
| Vérification des signatures des paquets npm | ActionAuditer | Par défautSur option | ProduitsMac Linux Server |
| Vérification de la configuration MCP | ActionAuditer | Par défautLancement manuel | ProduitsMac Linux |
| Contrôle des périphériques de stockage USB | ActionBloquer Contrôler | Par défautSur option | ProduitsMac Linux |
| Prévention des BadUSB | ActionBloquer | Par défautSur option | ProduitsMac Linux |
| Analyse de vulnérabilités avec preuve | ActionAuditer | Par défautSur option | ProduitsMac Linux |
| Analyse des chemins d'élévation de privilèges | ActionAuditer | Par défautLancement manuel | ProduitsPathScope |
| Audit de vulnérabilités depuis l'extérieur de l'hôte sur le LAN | ActionAuditer | Par défautLancement manuel | ProduitsSensor |
| Audit léger des appareils non gérés | ActionAuditer | Par défautSur option | ProduitsSensor |
| Désinstallation qui rétablit l'état initial | ActionContrôler | Par défautLancement manuel | ProduitsMac Linux Linux Server |
| Réception des audits de Sensor | ActionContrôler Auditer | Par défautSur option | ProduitsLinux Server |
| Appairage et révocation | ActionContrôler | Par défaut— | ProduitsSensor |
Ce qui est couvert et ce qui ne l'est pas 52
Pour chaque technique d'attaque (MITRE ATT&CK) : détectée, partiellement détectée ou non couverte.
| Technique | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | MacPartielle | Linux— | Linux Server— |
| T1036 Masquerading | MacNon couverte | LinuxNon couverte | Linux ServerNon couverte |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | LinuxPartielle | Linux ServerNon couverte |
| T1046 Network Service Discovery | MacPartielle | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1055 Process Injection | MacNon couverte | LinuxPartielle | Linux ServerPartielle |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1059.002 Command and Scripting Interpreter: AppleScript | MacPartielle | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1068 Exploitation for Privilege Escalation | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | MacNon couverte | LinuxNon couverte | Linux ServerPartielle |
| T1070.003 Indicator Removal: Clear Command History | MacNon couverte | LinuxNon couverte | Linux ServerNon couverte |
| T1070.004 Indicator Removal: File Deletion | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1071.004 Application Layer Protocol: DNS | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1091 Replication Through Removable Media | MacPartielle | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1105 Ingress Tool Transfer | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1110.001 Brute Force: Password Guessing | MacDétectée | LinuxPartielle | Linux ServerPartielle |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | MacPartielle | Linux— | Linux Server— |
| T1200 Hardware Additions | MacPartielle | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | MacPartielle | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | MacPartielle | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1490 Inhibit System Recovery | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1505.003 Server Software Component: Web Shell | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1543.001 Create or Modify System Process: Launch Agent | MacDétectée | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | LinuxPartielle | Linux ServerPartielle |
| T1543.004 Create or Modify System Process: Launch Daemon | MacDétectée | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | LinuxPartielle | Linux ServerNon couverte |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | LinuxPartielle | Linux ServerNon couverte |
| T1547.015 Boot or Logon Autostart Execution: Login Items | MacNon couverte | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | LinuxNon couverte | Linux ServerPartielle |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | MacPartielle | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | LinuxNon couverte | Linux ServerPartielle |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | MacPartielle | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | MacPartielle | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | MacPartielle | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | MacNon couverte | LinuxPartielle | Linux ServerNon couverte |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | MacPartielle | LinuxPartielle | Linux ServerNon couverte |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | MacPartielle | LinuxPartielle | Linux ServerNon couverte |
| T1562.001 Impair Defenses: Disable or Modify Tools | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | MacNon couverte | LinuxPartielle | Linux ServerNon couverte |
| T1562.006 Impair Defenses: Indicator Blocking | MacNon couverte | LinuxNon couverte | Linux ServerPartielle |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | LinuxNon couverte | Linux ServerNon couverte |
| T1566.002 Phishing: Spearphishing Link | MacPartielle | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | MacNon couverte | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | MacPartielle | LinuxPartielle | Linux ServerPartielle |
| T1610 Deploy Container | MacPartielle | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | LinuxPartielle | Linux ServerPartielle |
« Non couverte » signifie qu'aucun mécanisme ne détecte cette technique.