La réputation de Snowflake n'a pas tardé à s'effondrer – et ce fournisseur de stockage dans le cloud, dont la valeur s'élève à 2 milliards de dollars, ne le mérite sans doute pas entièrement.
Une intrusion survenue fin mai, que l'entreprise et Mandiant, une société spécialisée dans le renseignement sur les menaces, ont imputée à un groupe à motivation financière appelé « UNC5537 » ( ), pourrait bien s'avérer être la plus importante de l'année. Au moins 165 entreprises ont été victimes de ces agissements à ce jour, et de nouveaux noms continuent d'être ajoutés à la liste. Parmi les entreprises notables ayant révélé avoir été victimes d'une cyberattaque, on peut citer : (Advance Auto Parts),, (AT&T),, (Pure Storage),, (Santander Bank),, ainsi que (Ticketmaster). S'ensuivit une vague de poursuites judiciaires , d'enquêtes gouvernementales et , ainsi que des contrôles administratifs .
Selon Snowflake et les experts en sécurité, aucun élément ne permettait de penser que cette activité ait été causée par une vulnérabilité, une erreur de configuration ou une faille de sécurité au niveau du produit ou de l'infrastructure de Snowflake. On pense plutôt que les pirates ont ciblé les clients de Snowflake en utilisant des identifiants compromis provenant d'un ancien employé ou d'un prestataire de Snowflake (les versions divergent). Mais la principale raison pour laquelle UNC5537 a pu pirater autant de comptes tient au fait que ces clients n'avaient pas mis en place l'authentification multifactorielle (MFA) d' .
Même si la solution MFA d’ ne se montre pas toujours à la hauteur de son image, Snowflake, Mandiant et d’autres experts en sécurité ont déclaré que si les clients concernés l’avaient utilisée, ils n’auraient probablement pas été victimes d’une intrusion. L'un des principaux enseignements à tirer de cette violation est donc de mettre en place l'authentification multifactorielle à tout prix. Mais ce n'est pas le seul.
Voici cinq enseignements clés que les dirigeants et les responsables informatiques devraient tirer de cet événement :
1. Responsabilité partagée : tout ne repose pas uniquement sur Snowflake
Ce n’est pas parce que vous stockez vos données dans le cloud que vous devez vous attendre à ce que Snowflake – ou tout autre fournisseur de services de cloud « » – se charge de l’ensemble des aspects liés à la sécurité. Bien sûr, ils doivent protéger les systèmes qui hébergent vos données et veiller à ce qu'elles restent cryptées. Mais si vous ne faites pas ce qu'il faut pour contrôler qui y a accès, eh bien, c'est à vous d'en assumer la responsabilité.
Steve Zalewski, ancien responsable de la sécurité des systèmes d'information chez Levi Strauss, l'explique ainsi : « Lorsque vous achetez une maison, il y a une serrure sur la porte d'entrée. » Nous vous remettons la clé de la serrure. Mais c'est à vous de décider du nombre de copies à faire et si vous souhaitez installer un verrou en plus de cela. » En d'autres termes, Snowflake vous a vendu un espace de stockage pour vos données et a sécurisé cet espace, mais c'est à vous qu'il revient de gérer les modalités d'accès à ces données. Vous laissez la porte ouverte si vous n'activez pas l'authentification à plusieurs facteurs (MFA) ou si vous ne mettez pas en place des contrôles d'accès sécurisés.
«: Vous achetez une maison, il y a une serrure sur la porte d’entrée. » Nous vous remettons la clé de la serrure. Mais c'est à vous de décider du nombre de copies à faire et si vous souhaitez y ajouter un verrou de sécurité. »Steve Zalewski, ancien responsable de la sécurité des systèmes d'information (RSSI) chez Levi Strauss
Snowflake aurait toutefois pu faire mieux : pour reprendre l'analogie avec l'immobilier, les agents immobiliers et les prêteurs sont légalement tenus de fournir aux acheteurs de logements des brochures et des informations les avertissant des éléments présents dans leur logement ou leur quartier qui pourraient leur porter préjudice. De même, face aux pressions en matière de relations publiques, Snowflake a rapidement annoncé qu’elle élaborerait un plan visant à exiger de ses clients qu’ils « mettent en œuvre des contrôles de sécurité avancés, tels que l’authentification multifactorielle » ou des politiques réseau, en particulier pour les comptes clients Snowflake dotés de privilèges.
La leçon à retenir : N’attendez pas que Snowflake vous oblige à faire votre part. Commencez dès maintenant à mettre en œuvre l'authentification à plusieurs facteurs (MFA) et sensibilisez l'ensemble de votre équipe aux raisons commerciales et informatiques légitimes qui justifient cette mesure.
2. IAM est le nouveau meilleur allié des clients de Snowflake (et il devrait l'être pour vous aussi)
La gestion des identités et des accès (IAM) n'est pas seulement un mot à la mode : c'est votre première ligne de défense. L'une des principales causes de la violation de données chez Snowflake était la faiblesse de son système de gestion des identités et des accès (IAM). En bref, les entreprises ne contrôlaient pas suffisamment qui avait accès à quoi, et cela leur a joué des tours.
«Mettez en place des contrôles de sécurité avancés, tels que l’authentification multifactorielle. »Les conseils de Snowflake à ses clients, qu’ils ont malheureusement formulés trop tard
Johannes Ullrich, directeur de la recherche au SANS Technology Institute, déclare : « Veillez à ce que des contrôles suffisants soient mis en place autour des données… notamment l’authentification multifactorielle (MFA) ou une méthode d’authentification résistante au phishing . » En d’autres termes, ne vous fiez pas à une combinaison de nom d’utilisateur et de mot de passe aussi fragile que « » , précise-t-il. Le MFA n'est pas seulement un atout appréciable : c'est une nécessité. Les pirates informatiques sont de plus en plus rusés, mais cette couche de sécurité supplémentaire continue de les dissuader.
La leçon à retenir : Un master en beaux-arts pour tous. Aucune exception. Veillez à ce que les contrôles d'accès soient plus stricts que ceux de votre compte Netflix à la fin d'un essai gratuit.
3. Le modèle « zero trust » n'est pas de la paranoïa, c'est une question de survie
Vous avez sans doute déjà entendu parler de l'approche « zero trust » d' et vous l'avez sans doute déjà mise en œuvre. Si ce n'est pas le cas, cette approche stratégique de la cybersécurité revient en substance à dire : « Ne faites confiance à personne ni à rien tant que leur identité n'a pas été vérifiée, même après qu'ils ont obtenu un accès de premier niveau au réseau. »
Aucune personne ni aucune machine ne peut se déplacer sans autorisation. Les utilisateurs n'ont accès aux ressources du réseau que si leur fonction ou leur rôle le justifie. Cela n'est pas sans rappeler les systèmes de sécurité physique d'une grande entreprise Internet. Même le PDG ne peut pas accéder à la salle contenant des informations technologiques extrêmement sensibles ; le dirigeant n'est autorisé à accéder qu'aux salles où sa présence est réellement nécessaire.
De telles approches peuvent sembler extrêmes et difficiles à mettre en œuvre, mais sachant que les violations de données coûtent en moyenne 4,5 millions de dollars par incident aux entreprises du monde entier, selon une récente étude « » menée par IBM et le Ponemon Institute (), vous ne pouvez pas vous permettre de faire fi du principe de bon sens que représente la « confiance zéro ».
Le modèle « zero trust » ne consiste pas à verrouiller tout au point de rendre le système inutilisable ; il s'agit plutôt d'une vérification continue, visant à s'assurer à chaque étape que les utilisateurs et les appareils sont bien ceux qu'ils prétendent être.
La leçon : Mettez-vous au diapason. Mettez en œuvre les principes du « zero trust » afin que chaque demande d'accès soit examinée avec la plus grande vigilance et fasse l'objet d'une vérification rigoureuse.
4. Testez, testez, et testez encore
Personne ne lance un nouveau produit sans l'avoir testé ; alors pourquoi mettrait-on en place un système de sécurité sans le tester régulièrement ? C'est là que les tests d'intrusion (pen testing) et la surveillance de la surface d'attaque entrent en jeu.
«Même pour une grande entreprise, il peut être important de faire appel à un organisme externe pour évaluer votre niveau de sécurité sous un angle différent de celui de vos équipes internes. »Johannes Ullrich, doyen chargé de la recherche, SANS Technology Institute
Il ne s'agit pas d'arnaques destinées à vider vos budgets. Il s'agit d'outils de pointe qui trouvent leur place dans tout arsenal d'opérations de sécurité (SecOps) dédié à l' . La plupart des « pen testers » – des hackers éthiques engagés pour simuler des cyberattaques – sont tout à fait légitimes, et bon nombre d’entre eux ont exercé ce type d’activité pour l’armée et les agences de renseignement aux États-Unis, en Israël et dans d’autres pays soucieux de la cybersécurité. Ils peuvent également examiner vos contrôles d'identité et d'accès afin de s'assurer qu'ils permettent de tenir à distance les acteurs malveillants. Même si les résultats ne révèlent rien de significatif, il vaut mieux avoir l'esprit tranquille que de rester dans l'ignorance ou de ne pas se rendre compte qu'il existe une grave faille de sécurité dans le protocole qui ne demande qu'à être exploitée, ce qui pourrait vous coûter beaucoup de temps et d'argent, ainsi que votre réputation.
« Même pour une grande entreprise, il peut être important de faire appel à un organisme externe pour évaluer votre niveau de sécurité sous un angle différent de celui de vos équipes internes », explique M. Ullrich. Les entreprises ont tendance à faire un peu trop confiance à leurs équipes internes. Faire examiner votre dispositif de sécurité par un regard neuf revient à demander un deuxième avis sur un diagnostic médical. C'est ce qu'on appelle être pragmatique, pas paranoïaque.
La leçon à retenir : Les tests d'intrusion fréquents constituent votre test de résistance en matière de sécurité. Faites appel à des professionnels pour détecter les fissures avant qu'il ne soit trop tard.
5. Préparez-vous à réparer les dégâts (car la prochaine faille de sécurité du type « Snowflake » va se produire)
Même avec les meilleures mesures de sécurité en place, il est pratiquement inévitable que des failles de sécurité se produisent. Vous l'avez sans doute déjà entendu, mais on ne le répètera jamais assez : ce n'est pas si, c'est quand. Et lorsque ce jour viendra, la manière dont vous réagirez pourra faire ou défaire votre réputation.
Ullrich et Zalewski s'accordent à dire qu'il est indispensable de disposer d'un plan d'intervention en cas d'incident solide et .
« Sachez où se trouvent vos données », conseille Ullrich. « Cela semble simple », dit-il, « mais en cas de violation de la sécurité, savoir où se trouvent vos données critiques – et qui y a accès – peut vous faire gagner un temps précieux. » M. Zalewski ajoute que les entreprises doivent faire preuve d’initiative pour former leurs équipes à réagir de manière appropriée : « La sécurité est la responsabilité de chacun. »
Dans le cas de Snowflake, une réaction rapide et efficace leur a évité une catastrophe de relations publiques bien plus grave , mais cela ne signifie pas pour autant que les autres entreprises doivent baisser la garde. L' en matière de gestion des incidents vise avant tout à minimiser les dommages et à communiquer en toute transparence avec les clients.
La leçon à retenir : Mettez en place votre plan d'intervention en cas d'incident dès maintenant, et non pas lorsque les problèmes surviennent. N'oubliez pas que l' , les bonnes pratiques de cybersécurité (authentification multifactorielle (MFA), , application régulière des correctifs et formation) constituent la clé pour éviter les incidents majeurs.
En résumé : n'attendez pas qu'une catastrophe se produise
La violation de données chez Snowflake est un signal d'alarme, mais c'est aussi une opportunité. Aucun fournisseur de services cloud – quelle que soit sa taille ou son niveau de sécurité – ne peut assurer à lui seul la protection totale de vos données. En réalité, ce n'est pas entièrement de leur ressort. Il s'agit d'une responsabilité partagée, et les entreprises doivent redoubler d'efforts.
Alors, retenez bien ces cinq leçons : misez davantage sur l'IAM, adoptez le modèle « zero trust », testez régulièrement vos défenses et assurez-vous bien que votre équipe soit prête à passer à l'action en cas de problème. Car dans le domaine de la cybersécurité, il ne s'agit pas seulement de se contenter d'une attitude défensive : il faut garder une longueur d'avance.
