Alors que la situation liée à l'invasion de l'Ukraine par la Russie évolue de minute en minute, les responsables gouvernementaux et les dirigeants d'entreprises du monde entier se sont attachés à mettre en place une défense solide contre les cyberattaques menées par des États.
Des attaques potentielles pourraient constituer une riposte aux sanctions imposées à la Russie par les États-Unis, le Royaume-Uni, l'Union européenne et d'autres pays. On craint que des adversaires n'agissent à une échelle telle que les vulnérabilités « Log4j », « SolarWinds » et celles de la chaîne d'approvisionnement de Microsoft Exchange Server paraissent alors comme un jeu d'enfant.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié des recommandations à l'intention des entreprises et des organisations — qu'elles soient grandes ou petites — et a répertorié les outils et services gratuits disponibles afin de renforcer les défenses au cas où des cyberattaques russes menaceraient les infrastructures critiques et les institutions financières. « Toutes les organisations aux États-Unis sont exposées à des cybermenaces susceptibles de perturber les services essentiels et d’avoir des répercussions sur la sécurité publique », a averti la CISA dans un communiqué.
Il n'en reste pas moins que les dirigeants auraient tout intérêt à ne pas céder à la panique. En matière de cybersécurité, « Keep Calm and Carry On » est toujours une devise judicieuse à garder à l'esprit. Selon Chris Hallenbeck, responsable de la sécurité des systèmes d’information (RSSI) pour les Amériques chez Tanium, la cyberguerre touchera probablement dans un premier temps les organismes gouvernementaux et les ONG actifs dans les domaines de l’Ukraine et de la défense, puis les institutions financières qui appliquent des sanctions à l’encontre des intérêts russes. La cyberguerre pourrait ensuite s'étendre à d'autres entreprises et secteurs d'activité, selon la nature de la riposte russe.
Afin d'aider les dirigeants à se préparer à affronter la tempête, Endpoint a rassemblé les meilleurs conseils prodigués par nos experts au cours de l'année écoulée, durant laquelle nous avons suivi de près l'évolution du paysage de la sécurité. En résumé : c'est hier qu'il fallait agir. « Si vous attendez un événement tel que l’invasion de l’Ukraine pour décider de prendre des mesures en matière de cybersécurité, vous êtes déjà en mauvaise posture », déclare M. Hallenbeck.
Dépoussiérez vos guides de cyber-résilience
La CISA a exhorté toutes les entreprises privées à consulter les guides pratiques récemment publiés par son service « » (), qui répertorient les pratiques en constante évolution du gouvernement américain en réponse au décret présidentiel du président Biden visant à renforcer la cybersécurité. Bien que ces guides s'adressent aux agences civiles fédérales relevant du pouvoir exécutif, la CISA « encourage vivement » le secteur privé à s'appuyer à la fois sur leurs stratégies et sur leurs normes.
« Avoir un plan, quel qu’il soit, vaut mieux que de ne pas en avoir du tout », déclare Hallenbeck. « Disposer d’un plan adapté à vos activités et à votre approche culturelle est encore mieux. » Mais le simple fait d'avoir un plan qui prend la poussière sur une étagère ne sert à rien, ajoute-t-il. Les entreprises doivent organiser des exercices de simulation ciblés afin de s'assurer que chacun comprenne le plan et le rôle qui lui revient, puis tester différents scénarios pour vérifier que celui-ci fonctionne réellement.
[À lire : Ce que les guides d'intervention en cas d'incident de la CISA impliquent pour les RSSI]
Mettre l'accent sur la réduction des risques liés à la chaîne d'approvisionnement
Plutôt que de cibler directement les organisations, les cybercriminels et les pirates informatiques agissant pour le compte d'États recourent à des logiciels et à des attaques de la chaîne d'approvisionnement , comme celles visant SolarWinds , pour voler des données et, dans certains cas, paralyser des infrastructures et des services essentiels aux États-Unis.
Ils injectent du code malveillant dans les logiciels utilisés par les organisations pour assurer leur fonctionnement, en ciblant spécifiquement les pipelines de développement logiciel vulnérables et les configurations cloud non sécurisées, ou en exploitant les processus de mise à jour logicielle. Selon l'Agence de l'Union européenne chargée de la cybersécurité (ENISA), les attaques visant la chaîne d'approvisionnement ont quadruplé entre 2021 et 2020.
« Les risques liés à la chaîne d'approvisionnement, qu'il s'agisse d'une vulnérabilité ou d'une attaque en cours, ne cessent de gagner en fréquence et en gravité », déclare M. Hallenbeck. « Et aujourd’hui, un événement tel que le conflit en Ukraine renforce le risque qu’une nouvelle vague de piratages visant les chaînes d’approvisionnement se produise. » Pour se préparer, les organisations doivent analyser leur environnement afin de savoir de quels actifs elles disposent, où ceux-ci se trouvent et ce qui y est installé, explique-t-il. Ils doivent déterminer si les terminaux ont été compromis et corriger immédiatement les vulnérabilités.
Renforcer les activités de détection des menaces
Dans la plupart des cas, la recherche de menaces consiste à repérer des « inconnues inconnues » : des anomalies non détectées auparavant, des activités inhabituelles ou des codes malveillants susceptibles d'ouvrir la voie à une cyberattaque. À l’instar du fonctionnement du système immunitaire de l’organisme, les chasseurs de menaces recherchent en permanence les menaces de cybersécurité sur l’ensemble des réseaux et des terminaux d’une organisation, notamment les ordinateurs portables, les PC, les tablettes et les machines virtuelles dans le cloud. L'approche « » permet de détecter, de supprimer et de corriger de manière proactive les menaces avant que les pirates informatiques ne parviennent à s'infiltrer dans votre réseau.
« Partez toujours du principe qu’un adversaire s’est introduit dans votre environnement », déclare Hallenbeck. « Et restez toujours à l’affût des signes d’une éventuelle compromission grâce à une recherche proactive des menaces. » Les équipes chargées de la recherche de menaces analysent les comportements et les méthodes que les attaquants pourraient utiliser pour accéder à votre environnement et s'y déplacer, puis recherchent les anomalies susceptibles d'indiquer une intrusion. Une ou deux fois par an, il est intéressant, même pour une entreprise de taille moyenne, de faire appel à un cabinet externe pour mener une campagne de recrutement.
[À lire : Qu'est-ce que la recherche de menaces et pourquoi est-ce important ?]
Améliorer les processus de gestion des correctifs
À mesure que la surface d'attaque ne cesse de s'étendre, la gestion des correctifs est devenue nettement plus complexe. « La pandémie a accéléré l’abandon des réseaux paramétrés d’un ordre de grandeur significatif », déclare Phil Reitinger, président-directeur général de la Global Cyber Alliance, ancien responsable de la sécurité des systèmes d’information chez Sony et haut responsable de la cybersécurité au sein de l’administration Obama.
La situation s'est encore aggravée avec l'apparition de la faille « Log4j » touchant un logiciel libre très répandu, ce qui a contraint les entreprises et les pouvoirs publics à multiplier frénétiquement les correctifs sur leurs systèmes.
L'application de correctifs est souvent considérée comme l'un des moyens les plus simples et les plus efficaces de lutter contre la cybercriminalité. Cependant, cela peut s'avérer délicat dans la pratique. Les pirates informatiques tirent pleinement parti de la lenteur des systèmes de gestion des correctifs. Mais au lieu de recourir aux techniques de piratage les plus sophistiquées, ils se concentrent souvent sur des failles peu coûteuses et faciles à exploiter, qui existent depuis des années. C'est pourquoi la stratégie recommandée consiste à automatiser la plupart des étapes de l'application mensuelle des correctifs, tout en veillant à effectuer des tests suffisants avant le déploiement des nouveaux correctifs.
[Please read: CISOs face 2022 in crisis mode]
Renforcer les pratiques en matière d'hygiène informatique
La « cyber-hygiène » désigne un ensemble de pratiques courantes visant à garantir une gestion sécurisée des données critiques et à assurer la sécurité des réseaux. C'est comme l'hygiène personnelle : on met en place une routine régulière composée de petits gestes précis visant à prévenir ou à atténuer les problèmes de santé. Les pratiques de cyber-hygiène comprennent l' l'inventaire de tous les terminaux connectés à un réseau, la gestion des vulnérabilités, ainsi que l'application des correctifs aux logiciels et applications (voir ci-dessus).
La cyber-hygiène permet d'empêcher les cybercriminels de s'introduire dans le réseau d'une organisation — ou, à tout le moins, d'augmenter le « coût d'opportunité », rendant la tâche si difficile que le pirate informatique finit par abandonner et part à la recherche d'une autre victime.
En fin de compte, une bonne hygiène réduit la surface d'attaque. « Les entreprises consacrent beaucoup de temps, d’efforts et d’argent à l’application de correctifs, et cela mérite d’être salué », déclare M. Hallenbeck, de Tanium. « Mais si vous corrigez un bug sur un élément que personne n'utilise, pourquoi vous donneriez-vous cette peine ? » « Chaque fois que vous maintenez en service un élément qui n'est pas utilisé ou qui est sous-utilisé, vous vous créez davantage de points à surveiller et à entretenir. »
[À lire : Qu'est-ce que la cyber-hygiène et pourquoi est-elle importante ?]
Contrairement à ce que dit le dicton courant : la meilleure attaque est en réalité une bonne défense. Grâce à ces stratégies et à d'autres encore, les dirigeants peuvent garder leur sang-froid lorsqu'ils se préparent à faire face à la prochaine crise informatique, quelle qu'elle soit, et y réagir.
