Alors que les événements entourant l’ invasion de l’Ukraine par la Russie changent à la minute près, les dirigeants gouvernementaux et d’entreprises du monde entier se sont concentrés sur la mise en place d’une défense vigoureuse contre les cyberattaques nationales.
Les attaques potentielles pourraient entraîner des représailles contre la Russie en provenance des États-Unis, du Royaume-Uni, de l’UE et d’autres pays. La crainte est que les adversaires puissent agir sur une échelle qui ferait que les vulnérabilités de la chaîne d’approvisionnement de Log4j, SolarWinds et Microsoft Exchange Server ressemblent à des vulnérabilités de jeu d’enfant.
La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis a publié des directives pour les entreprises et organisations, grandes et petites, et a catalogué les outils et services gratuits disponibles pour renforcer les défenses au cas où les cyberattaques russes menaceraient les infrastructures critiques et les institutions financières. « Chaque organisation aux États-Unis est exposée aux cybermenaces qui peuvent perturber les services essentiels et potentiellement avoir des impacts sur la sécurité publique », a averti la CISA dans un communiqué.
Cependant, les dirigeants seraient sage de ne pas paniquer. Avec la cybersécurité, Keep Calm and Carry On est toujours un mantra judicieux à garder à l’esprit. Le chemin de la cyberguerre impliquera probablement d’abord des agences gouvernementales et des ONG actives dans les questions ukrainiennes et de défense, puis des institutions financières qui mettent en œuvre des sanctions contre les intérêts russes, déclare Chris Hallenbeck, RSSI pour les Amériques chez Tanium. Cyberwar pourrait s’étendre à d’autres entreprises et secteurs à partir de là, en fonction de la nature de la réponse russe.
Pour aider les dirigeants à s’attaquer aux éclosions, Endpoint a rassemblé les meilleurs conseils de nos experts au cours de l’année passée pour couvrir le paysage de la sécurité. La mise à jour : le moment était venu d’agir hier. « Si vous attendez un événement comme l’invasion de l’Ukraine pour décider que vous allez faire quelque chose sur la cybersécurité, vous êtes déjà derrière le huit ballon », déclare Hallenbeck.
Éliminez les manuels de cyber-résilience
La CISA a exhorté toutes les entreprises privées à examiner ses manuels récemment publiés, qui ont catalogué les pratiques en évolution du gouvernement américain en réponse au décret du président Biden visant à améliorer la cybersécurité. Bien que les playbooks s’adressent aux agences civiles fédérales de la branche exécutive, le CISA « encourage fortement » le secteur privé à utiliser à la fois leurs stratégies et leurs normes.
« Il est préférable d’avoir un plan de toutes sortes que de ne pas avoir de plan », déclare Hallenbeck. « Avoir un plan adapté à vos opérations et à votre approche culturelle est encore meilleur. » Mais le simple fait d’avoir un plan assis sur une étagère recueillant de la poussière ne fait rien de bon, ajoute-t-il. Les entreprises doivent effectuer des exercices de table ciblés pour s’assurer que les gens comprennent le plan et leur rôle dans celui-ci, puis tester différents scénarios pour s’assurer qu’il fonctionne réellement.
[Veuillez lire : ce que les manuels de réponse aux incidents de la CISA signifient pour les RSSI]
Se concentrer sur l’atténuation des risques liés à la chaîne d’approvisionnement
Plutôt que de cibler directement les organisations, les cybercriminels et les pirates informatiques nationaux utilisent des attaques de la chaîne d ’approvisionnement logicielle comme SolarWinds pour voler des données et, dans certains cas, arrêter l’infrastructure et les services critiques aux États-Unis.
Ils injectent du code d’attaque dans les logiciels que les organisations utilisent pour alimenter leurs organisations, ciblant spécifiquement les pipelines de développement logiciel vulnérables et les configurations cloud non sécurisées, ou exploitant les processus de mise à jour logicielle. Les attaques de la chaîne d’approvisionnement ont été multipliées par quatre en 2021 par rapport à 2020, selon l’Agence de l’Union européenne pour la cybersécurité (ENISA).
« Les risques liés à la chaîne d’approvisionnement, qu’ils impliquent une vulnérabilité ou une attaque active, ne font qu’augmenter en fréquence et en gravité », déclare M. Hallenbeck. « Et maintenant, vous avez un événement comme le conflit en Ukraine qui augmente la probabilité qu’un autre cycle de piratage de la chaîne d’approvisionnement puisse se produire. » Pour être prêtes, les organisations doivent analyser l’environnement pour savoir quels actifs elles possèdent, où elles sont situées et ce qui est installé sur ces actifs, dit-il. Ils doivent savoir si les endpoints ont été compromis et remédier immédiatement aux vulnérabilités.
[Veuillez lire : maçonner les risques de la chaîne d’approvisionnement à la suite du Log4j]
Renforcer les activités de recherche des menaces
Dans la plupart des cas, la recherche de menaces implique de rechercher des « inconnues inconnues », des anomalies auparavant non détectées, une activité inhabituelle ou un code malveillant qui pourrait ouvrir la porte à une cyberattaque. Tout comme le fonctionnement du système immunitaire de l’organisme, les chasseurs de menaces recherchent continuellement les menaces de cybersécurité sur les réseaux et les endpoints d’une organisation, y compris les ordinateurs portables, les PC, les tablettes et les machines virtuelles dans le cloud. L’approche détecte, supprime et corrige de manière proactive les menaces avant que les pirates informatiques ne puissent s’infiltrer dans votre réseau.
« Supposez toujours qu’un adversaire s’est introduit dans votre environnement », déclare Hallenbeck. « Et soyez toujours à l’affût des signes de compromission grâce à une recherche proactive des menaces. » Les équipes de recherche des menaces examinent les comportements et les méthodes que les attaquants utiliseraient pour accéder à votre environnement et se déplacer, puis recherchent les valeurs aberrantes qui indiquent une violation. Une ou deux fois par an, même une organisation de taille moyenne peut faire appel à une entreprise extérieure pour partir à la recherche.
[Veuillez lire : Qu’est-ce que la chasse aux menaces et pourquoi est-ce important ?]
Mettre à niveau les processus de gestion des correctifs
Alors que la surface d’attaque ne cesse de se développer, la gestion des correctifs est devenue beaucoup plus complexe. « La pandémie a accéléré le passage d’un réseau paramétré d’un ordre de grandeur significatif », déclare Phil Reitinger, président et PDG de la Global Cyber Alliance, ancien RSSI chez Sony, et haut responsable de la cybersécurité dans l’administration Obama.
La situation s’est encore aggravée avec l’émergence du piratage Log4j de logiciels open source largement utilisés, qui a permis aux entreprises et aux gouvernements de corriger furieusement leurs systèmes.
L’application de correctifs est souvent considérée comme l’une des armes les plus simples et les plus efficaces pour lutter contre la cybercriminalité. Cependant, cela peut être difficile dans la pratique. Les pirates informatiques tirent pleinement parti des systèmes de gestion lente des correctifs. Mais au lieu de déployer les techniques de piratage les plus sophistiquées, ils se concentrent souvent sur les vulnérabilités à faible coût et à faible effort qui existent depuis des années. C’est pourquoi la défense préférée consiste à automatiser la plupart des aspects des correctifs mensuels tout en effectuant des tests suffisants avant le déploiement de nouveaux correctifs.
[Veuillez lire : les RSSI sont confrontés à 2022 en mode crise]
Renforcer les pratiques de cyberhygiène
La cyberhygiène est un ensemble de pratiques habituelles pour assurer la manipulation sécurisée des données critiques et pour sécuriser les réseaux. C’est comme l’hygiène personnelle, où vous développez une routine fréquente d’activités petites et distinctes pour prévenir ou atténuer les problèmes de santé. Les pratiques de cyberhygiène comprennent l’ inventaire de tous les endpoints connectés à un réseau, la gestion des vulnérabilités et l’application de correctifs aux logiciels et aux applications (voir ci-dessus).
La cyberhygiène permet d’empêcher les criminels d’enfreindre le réseau d’une organisation, ou au moins d’augmenter le « coût d’opportunité », ce qui rend si difficile que le pirate informatique abandonne et recherche une autre victime.
En fin de compte, une bonne hygiène réduit la surface d’attaque. « Les organisations consacrent beaucoup de temps, d’efforts et d’argent à corriger les choses, et cela doit être applaudi », déclare Hallenbeck de Tanium. « Mais si vous corrigez quelque chose que personne n’utilise, pourquoi faites-vous l’effort ? Chaque fois que vous maintenez un élément opérationnel qui n’est pas utilisé ou qui est sous-utilisé, vous présentez plus de moyens que vous devez surveiller et entretenir. »
[Veuillez lire : Qu’est-ce que la cyberhygiène et pourquoi est-ce important ?]
Contrairement à l’adage courant : la meilleure infraction est en fait une bonne défense. Grâce à ces stratégies et à d’autres, les dirigeants peuvent garder une longueur d’avance lorsqu’ils se préparent et répondent à tout ce que la prochaine cyberattaque leur réserve.
