Tanium Forensics

Définition

Tanium est une plateforme de gestion et de sécurité des endpoints à grande échelle, utilisée en investigation numérique pour interroger en temps quasi réel des dizaines de milliers de postes et serveurs répartis sur un système d'information, grâce à son architecture réseau en chaîne linéaire qui relaie les requêtes de machine en machine plutôt que via un modèle client-serveur centralisé classique. Cette architecture permet d'obtenir en quelques secondes un état de l'ensemble du parc, par exemple la présence d'un indicateur de compromission, d'un processus suspect ou d'une clé de registre spécifique, ce qui accélère considérablement le triage lors d'une réponse à incident de grande ampleur touchant potentiellement un nombre élevé de machines. Le module Tanium Threat Response permet la collecte d'artefacts forensiques à distance, l'isolation réseau ciblée d'un poste compromis, et la recherche rétrospective d'indicateurs à travers l'historique des événements collectés. En défense, l'intégration de Tanium dans le processus de réponse à incident réduit fortement le délai de détection et de confinement d'une compromission latérale, à condition de maintenir un déploiement d'agents exhaustif sur le parc, de segmenter les droits d'administration de la console, et de journaliser les requêtes exécutées afin de garantir la traçabilité des actions menées lors d'une investigation.