L'automatisation de la sécurité (s'ouvre dans un nouvel onglet) est bien plus facile à dire qu'à faire.
Prenons l'exemple du ministère américain de la Sécurité intérieure et de son programme « Continuous Diagnostics and Mitigation » (CDM). Mis en place en 2012, ce programme a pour objectif d'améliorer la sécurité des agences fédérales grâce à une évaluation et à une correction continues des systèmes face aux menaces, aux vulnérabilités, aux fuites de données et aux outils de sécurité non conformes aux politiques en vigueur.
En raison des erreurs commises par l'agence et de la complexité du projet, le programme a connu un démarrage difficile. Selon un rapport du DHS publié sur le site et émanant du Bureau de l'inspecteur général, le DHS espérait initialement mettre en place la première partie du programme d'ici 2017, mais cette date a été repoussée à 2022. En vertu de la loi « avril 2023 », les agences fédérales civiles seront toutefois tenues de réaliser des évaluations de sécurité hebdomadaires automatisées et de dresser un inventaire précis des failles de sécurité qu'elles détectent.
Il s'agit là d'une nouvelle mesure d' prise par le gouvernement fédéral afin de renforcer l'automatisation des mesures de sécurité. Mais des progrès aussi timides ne doivent pas nécessairement être la norme au sein des agences fédérales — ni, d'ailleurs, au sein des entreprises du secteur privé. En s'inspirant des meilleures pratiques clés du secteur, les organisations peuvent automatiser la sécurité de manière appropriée.
Le défi de l'automatisation
Depuis des années, l'automatisation de la sécurité est présentée comme le Saint Graal. Parmi ces initiatives, on peut citer la tentative d’IBM d’orienter le secteur vers les capacités d’auto-réparation de l’informatique « autonomique », puis les efforts déployés par le secteur des réseaux en faveur des capacités de réparation automatisée du « contrôle d’accès au réseau ». Aucun des deux n'a gagné en popularité autant que leurs partisans l'avaient espéré.
«L’automatisation contribue à réduire, voire à éliminer, la plupart des… tâches opérationnelles répétitives, ce qui permet aux équipes informatiques de consacrer davantage de temps à des initiatives stratégiques en matière de sécurité. »
La situation s'est considérablement améliorée depuis ces premières initiatives. Un grand nombre de processus de sécurité peuvent être automatisés, principalement grâce à l'adoption croissante de nouvelles normes d'automatisation de la sécurité, d'interfaces de programmation d'applications (API) reliant les programmes informatiques et de systèmes cloud de type « ». L'automatisation contribue à réduire, voire à éliminer, la plupart des tâches opérationnelles fastidieuses et souvent répétitives, ce qui permet aux équipes informatiques de consacrer davantage de temps à des initiatives stratégiques en matière de sécurité. C'est essentiel compte tenu de la pénurie persistante de compétences en sécurité de l' . En effet, face à la menace persistante que représentent les États pratiquant l' , les groupes de ransomware et d'autres acteurs malveillants , les entreprises ont besoin d'aide en matière de cybersécurité partout où elles peuvent en trouver.
Pour relever ces défis, comme l’ont confirmé les experts interrogés par le point focal de l’ , , il convient de prendre les mesures suivantes.
Adoptez le DevSecOps
L'une des stratégies les plus simples que les entreprises peuvent adopter consiste à intégrer des tests de sécurité dans le cycle de vie du développement logiciel, un processus connu sous le nom de DevSecOps. Sinon, ces failles logicielles se glissent dans les produits et services, où elles pourraient être utilisées pour attaquer d'autres systèmes. Une fois en production, ces vulnérabilités sont plus coûteuses à corriger.
Le domaine du DevSecOps présente toutefois encore de nombreuses possibilités d'amélioration. Une enquête « » menée par Venafi, fournisseur de solutions de sécurité en matière de cryptographie et de certificats numériques, a révélé que 97 % des cadres supérieurs du secteur informatique s'accordent à dire que les processus de développement logiciel ne sont pas suffisamment sécurisés. Par ailleurs, l'enquête mondiale « DevSecOps » de GitLab intitulée « 2022 » () a révélé que moins de la moitié des personnes interrogées (42 %) mettent en œuvre le DevSecOps, bien que ce chiffre représente une augmentation par rapport aux 36 % enregistrés en 2021.
« La sécurité des applications est un domaine qui devrait sans aucun doute être automatisé, notamment compte tenu de tous les outils disponibles pour effectuer des contrôles de sécurité automatisés au sein des pipelines de développement et de livraison en continu », déclare Kenneth Swick, consultant senior en sécurité chez le prestataire de services de sécurité NCC Group. « Ces domaines regorgent de possibilités d'automatisation. »
Gérer l'infrastructure sous forme de code
Avec la tendance à l'« infrastructure as code » (IaC), les systèmes informatiques, qu'ils soient physiques ou virtuels, peuvent être déployés et gérés automatiquement à l'aide de fichiers de définition prédéfinis et lisibles par machine, plutôt que par des processus physiques ou manuels. Cela permet de garantir la cohérence des paramètres système et de sécurité .
Les systèmes peuvent être automatiquement rétablis aux paramètres souhaités lorsqu'ils s'en écartent. Et cette approche présente un autre avantage : « Dans la mesure où les organisations peuvent automatiser et garantir la sécurité des charges de travail tout au long de leur cycle de vie, elles peuvent réduire considérablement leur surface d'attaque », explique M. Swick.
Le « NetOps » est une tendance connexe. Il s'agit d'une expression générique désignant l'automatisation de la sécurité, de la gestion et des performances du réseau. Tout comme pour l'IaC, les configurations réseau, les seuils de performance et la sécurité sont codifiés et appliqués automatiquement dans la mesure du possible.
« Dans le domaine des réseaux, nous commençons tout juste à assister à l’automatisation des fonctions réseau », déclare Gary Marks, président d’Opengear, une entreprise spécialisée dans les technologies réseau. Les entreprises commencent à adopter des approches telles que le « zero-touch provisioning », qui consiste à déployer un système en réseau dont la configuration et la gestion s'effectuent automatiquement.
Dans son guide pratique intitulé « : Infrastructure as Code Security Cheat Sheet » (), l’Open Web Application Security Project (OWASP) explique comment les environnements IaC permettent une journalisation exceptionnelle des événements ainsi qu’une surveillance « immuable » et continue de l’infrastructure. Vous construisez les composants de l'infrastructure en respectant scrupuleusement un cahier des charges précis, sans aucun écart ni modification. Si une modification des spécifications s'avère nécessaire, un nouvel ensemble d'infrastructures est mis en place en fonction des exigences actualisées, et l'infrastructure précédente est mise hors service.
Automatisation de la gestion des identités
La gestion des identités — qui consiste à garantir que les utilisateurs, les appareils et les systèmes n’aient accès qu’aux ressources et aux données auxquelles ils sont autorisés — consiste à vérifier que ces entités sont bien celles qu’elles prétendent être, puis à leur accorder l’accès correspondant. L'authentification et l'autorisation étant des processus très répétitifs, la gestion des identités est un domaine qui offre de nombreuses possibilités d'automatisation. Cependant, les entreprises étant confrontées à des environnements et des applications sur site et dans le cloud de plus en plus complexes, ainsi qu’à une forte pression réglementaire en matière d’ , l’attribution de ressources aux utilisateurs et la gestion de leurs niveaux d’accès sont devenues de plus en plus difficiles.
«Dans la mesure où les organisations sont en mesure d’automatiser et de sécuriser leurs charges de travail tout au long de leur cycle de vie, elles peuvent réduire considérablement leur surface d’attaque. »Kenneth Swick, consultant senior en sécurité, NCC Group
De nombreux processus liés à la gestion des identités sont cloisonnés au sein des unités opérationnelles. Par conséquent, la centralisation des systèmes d’identité, leur intégration aux systèmes de ressources humaines, ainsi que la définition des niveaux d’accès et des privilèges des utilisateurs en fonction de rôles professionnels spécifiques (ce que l’on appelle le contrôle d’accès basé sur les rôles) peuvent grandement simplifier l’automatisation de l’attribution des droits, de la gestion courante et de la suppression des droits.
« Un ensemble de flux de travail automatisés, conçus dans le respect des normes de sécurité, peut potentiellement remplacer les pratiques de gestion des comptes de la plupart des organisations et permettre à l’entreprise de gérer elle-même sa base d’utilisateurs en respectant un niveau de risque acceptable convenu au préalable », explique Jason Sieroty, architecte de solutions d’entreprise chez le fournisseur de solutions technologiques e360. « Le processus qui en résultera sera efficace et reproductible, ce qui permettra aux employés d'être productifs plus rapidement et en toute sécurité. »
Adoptez la plateforme SOAR
SOAR — acronyme de « Security Orchestration, Automation and Response » (orchestration, automatisation et réponse en matière de sécurité) — désigne un ensemble d'outils et de processus de sécurité qui permettent aux équipes de sécurité d'automatiser certains aspects des opérations de sécurité, de la réponse aux incidents et de la gestion des vulnérabilités.
«De nombreux centres d’opérations de sécurité utilisent le SOAR et élaborent des guides d’intervention automatisés ou partiellement automatisés pour répondre aux incidents. »Scott Crawford, responsable de la recherche en sécurité de l'information chez 451 Research
Par exemple, les flux d’informations sur les menaces et les alertes de sécurité peuvent déclencher automatiquement certains « scénarios » d’intervention en cas d’ , , en fonction de ce qui est détecté. SOAR utilise également l'intelligence artificielle et l'apprentissage automatique, dans la mesure du possible, pour assister les analystes de sécurité, les chasseurs de menaces et les équipes chargées des opérations de sécurité.
Certaines tâches au sein du centre des opérations de sécurité (SOC) peuvent être automatisées. Les équipes SOC ont pour mission de prévenir, surveiller, détecter et traiter les incidents de sécurité. Par exemple, lorsque les alertes de sécurité peuvent être mises en corrélation avec les données issues du renseignement sur les menaces et de la gestion des vulnérabilités, les systèmes peuvent être en mesure de déterminer automatiquement que certaines alertes présentent un faible risque, ou bien d'intensifier la réponse lorsque les circonstances semblent plus menaçantes. Ces tâches de base sont généralement effectuées par ce que l'on appelle des analystes de sécurité de « niveau 1 ».
[À lire également : Voici comment développer rapidement un centre d'opérations de sécurité]
« Une grande partie des tâches des analystes de niveau 1 peut être automatisée », explique Scott Crawford, responsable de la recherche en sécurité de l'information chez 451 Research, une filiale de S&P Global Market Intelligence. « De nombreux centres d’opérations de sécurité utilisent la technologie SOAR et élaborent des guides d’intervention automatisés ou partiellement automatisés pour répondre aux incidents. »
Surmontez les obstacles un par un
Bien sûr, l'automatisation de la sécurité n'est pas chose aisée, et toutes les organisations, ni même la plupart d'entre elles, ne sont pas suffisamment matures pour tout automatiser. Parmi les défis à relever, on peut citer une méconnaissance des politiques de sécurité interne ou une standardisation insuffisante des outils.
« De nombreuses organisations adoptent des approches très hétérogènes en matière de programme de sécurité, et le meilleur point de départ pour ces organisations sera d’abord d’harmoniser leur programme de sécurité », explique M. Swick. « Identifiez ensuite les domaines présentant une forte probabilité de réussite et décomposez ces projets en étapes gérables. »
M. Crawford ajoute qu'outre le fait que les équipes de sécurité doivent sélectionner les domaines à automatiser en privilégiant ceux qui présentent une forte probabilité de réussite, les organisations doivent bien comprendre les processus qu'elles ont mis en place avant de tenter de les automatiser. En automatisant des processus qui ne sont pas optimaux, voire médiocres, « vous risquez fort d'aggraver votre situation », affirme-t-il. On peut citer, par exemple, la création automatique d'utilisateurs dotés de rôles mal définis, ou le déploiement automatique de charges de travail dans le cloud qui ne sont pas correctement configurées.
Les dirigeants devraient également tirer parti de l'aide apportée par le gouvernement. Dans le cadre de l’initiative « juin 2021 », l’Institut national des normes et des technologies (NIST), en partenariat avec le secteur privé, a annoncé la mise au point du langage OSCAL (Open Security Controls Assessment Language) de l’ — un cadre multiformat qui facilite l’automatisation de la sécurité, les évaluations continues et les audits. Le NIST estime qu'OSCAL permettra d'améliorer l'efficacité, la précision et la cohérence des évaluations de sécurité, et facilitera l'examen et le suivi continus des capacités.
Ces efforts pourraient, à terme, aider toutes les organisations à automatiser plus facilement certaines parties de leurs mesures de sécurité. Et bien que la sécurité ne puisse pas être entièrement automatisée, un nombre croissant d'outils et d'approches permettent d'étendre le champ des possibilités d'automatisation.
Lorsque les organisations examinent attentivement leurs processus et automatisent ce qu'elles le peuvent, elles libèrent leur personnel des tâches routinières et rendent leurs opérations de sécurité bien plus efficaces. Alors que les attaques se multiplient et gagnent en sophistication, et que la pénurie de talents dans le domaine de la sécurité persiste, les professionnels de la sécurité ont besoin de toute l'efficacité possible.
