La surface d'attaque — c'est-à-dire l'ensemble des vecteurs d'attaque visant les ressources informatiques d'une organisation — ne cesse de s'étendre à mesure que les terminaux évoluent au rythme de l'innovation. Les DSI élargissent la surface d'attaque chaque fois qu'ils adoptent un nouveau service cloud ou qu'ils mettent en place davantage de terminaux afin de soutenir la croissance de l'entreprise et la transformation numérique. Elles doivent désormais relever le défi de protéger cette surface d'attaque tout en poursuivant leur croissance.
Dans un précédent article de blog, j'ai évoqué les défis d' s auxquels sont confrontés les DSI lorsqu'ils doivent à la fois soutenir l'innovation et l' de la sécurité informatique. J'aimerais à présent aborder plus en détail les stratégies de défense que les DSI peuvent adopter pour protéger la surface d'attaque de leurs environnements informatiques modernes, axés sur le cloud.
Kill chain 101
Plus précisément, j’aimerais m’appuyer sur un modèle d’attaque important appelé « kill chain ». L'armée américaine a initialement mis au point ce modèle il y a plusieurs décennies afin d'analyser les lacunes en matière de capacités à partir d'ensembles de données opérationnelles. Une « chaîne de destruction » désigne l'ensemble des tâches ou fonctions séquentielles nécessaires à la mise en œuvre réussie d'une arme contre une cible spécifique. Les chaînes d'action visent à obtenir des résultats en combinant des capacités distinctes afin de générer des effets synergiques. Une « chaîne de destruction » utilisée par la Marine américaine pour évaluer ses capacités en matière de guerre aérienne comprend les tâches ou fonctions suivantes : détecter, localiser, identifier, suivre, engager le combat et évaluer. L'objectif recherché est de neutraliser une menace au sein d'un espace aérien défini.
En 2009, dans un document technique publié par Lockheed Martin Corporation, plusieurs experts en cybersécurité ont appliqué le modèle de la « kill chain » au problème de la défense contre ce qui constituait alors une nouvelle forme d'attaque : la menace persistante avancée (APT). Beaucoup de choses ont changé depuis la rédaction de cet article, mais le concept de « chaînes de destruction » reste utile. Voici pourquoi.
Avant l'apparition des APT, de nombreux professionnels de l'informatique pensaient que la cyberdéfense pouvait se résumer à une simple liste de mesures à prendre. Si vous souhaitiez bloquer les virus, vous installiez un logiciel antivirus. Si vous souhaitiez empêcher des intrus de s'introduire dans le réseau par le biais de ports non surveillés, vous avez déployé un pare-feu et un système de détection d'intrusion (IDS). Et ainsi de suite. Chacune de ces solutions fonctionnait de manière indépendante, en « silos », afin de protéger une partie du réseau d'information.
Ces mesures de sécurité simples ne sont pas mauvaises. Mais prises isolément, elles sont tout simplement incomplètes. L'essor des APT l'a clairement démontré.
Lors d'une attaque de type APT, les intrus n'hésitent pas à prendre leur temps. Ils vont sonder et explorer un réseau, trouver une faille, puis y déployer un logiciel malveillant. Ensuite, ils mettront en place une connexion de commande et de contrôle qui permettra aux pirates, situés à l'autre bout du monde, de contrôler directement le logiciel malveillant qui a été installé. Ils pourront alors explorer le réseau à leur guise. Cela peut leur prendre des jours, des semaines, voire des mois pour identifier les ressources de valeur à voler ou à perturber, selon leur objectif.
Il est pour le moins difficile de mettre fin à ce type d'attaque à l'aide d'une simple liste de contrôle des mesures de sécurité, et cette approche s'avère peu évolutive, car les menaces épuisent rapidement les ressources informatiques limitées. Il faut avoir une vision d'ensemble pour comprendre comment les différents éléments de l'attaque s'articulent entre eux de manière subtile. Ce n'est qu'alors que vous pourrez détecter l'attaque et prendre les mesures nécessaires pour y mettre fin.
Les chaînes d'attaque et la surface d'attaque cybernétique moderne
Cette nécessité d'adopter une vision plus large de la sécurité revêt d'autant plus d'importance compte tenu des menaces auxquelles sont confrontées les organisations aujourd'hui.
À titre de comparaison, en 2009, les DSI et les RSSI assuraient la sécurité d'un environnement informatique relativement restreint et homogène. Presque tous les employés travaillaient sur place. La quasi-totalité de leurs ordinateurs de bureau et portables avaient été mis à disposition par le service informatique, et non achetés par les employés pour leur usage personnel.
L'adoption du cloud n'en était qu'à ses débuts. Les centres de données hébergeaient la plupart des applications sous l'œil vigilant des administrateurs locaux. Les pare-feu réseau pourraient effectivement couvrir la plupart des ressources informatiques nécessitant une protection. Le royaume d’un directeur des systèmes d’information ressemblait véritablement à un château : tout ce qui avait de la valeur était regroupé en un lieu central, entouré d’un mur sécurisé et surveillé par des sentinelles à l’affût du moindre danger.
Aujourd'hui, la surface d'attaque est bien plus vaste, plus variée et plus perméable. Une infrastructure informatique type s'étend à plusieurs fournisseurs de services cloud ainsi qu'à d'innombrables bureaux à domicile équipés d'un mélange d'ordinateurs portables, de tablettes et de smartphones.
Parmi les autres terminaux, on trouve les appareils IoT et les appareils de technologie opérationnelle (OT). Auparavant, les entreprises disposaient déjà d'équipements OT, tels que des contrôleurs, dans leurs ateliers de production, mais ceux-ci sont désormais connectés à Internet afin de tirer parti de la numérisation de pratiquement tous les domaines.
Autre différence : la vulnérabilité alarmante « Log4j » découverte l'année dernière rappelle aux DSI que les risques peuvent provenir des composants logiciels utilisés dans les applications commerciales achetées. Et ces mêmes risques liés aux logiciels dans les applications et les services numériques que l'entreprise développe elle-même.
En résumé, l'environnement informatique actuel est complexe, varié et en constante évolution. Si les mesures de sécurité rudimentaires, du type « cases à cocher », étaient déjà quelque peu insuffisantes en 2009, elles le sont désormais totalement.
C'est pourquoi je pense qu'il est si utile de revenir à l'analyse de la chaîne d'attaque. Ce document rappelle aux DSI que les menaces actuelles sont sophistiquées et complexes, et souligne l'importance de se prémunir contre chaque étape du cycle de vie d'une cyberattaque.
Comprendre la « kill chain » en cybersécurité
Qu'est-ce donc qu'une « kill chain » ? Il s'agit d'une séquence ou d'une « chaîne » d'événements qui, ensemble, renforcent l'efficacité d'une attaque menée par un cybercriminel ou un État. Comme le décrit le document de Lockheed Martin, la chaîne d'attaque cybernétique comprend les sept étapes suivantes :
- Reconnaissance
L'attaquant surveille et explore la cible, à la recherche de vulnérabilités et en recueillant des informations telles que le matériel, les logiciels, les identités, les adresses e-mail ou d'autres renseignements concernant le réseau informatique, susceptibles d'orienter ses approches ou ses méthodologies visant à tester, contourner ou exploiter une vulnérabilité connue ou inconnue. - Exploitation
L'attaquant intègre un logiciel malveillant ou un code RCE de manière à ce qu'il puisse être diffusé pour lancer l'attaque. Par exemple, le pirate pourrait intégrer un cheval de Troie d'accès à distance dans un fichier Microsoft Office ou un fichier PDF Adobe. - de livraison
L'attaquant injecte l'artefact malveillant dans le réseau de la cible. Ils pourraient vous envoyer ce fichier en pièce jointe d'un e-mail dans le cadre d'une campagne de hameçonnage de type « ». Ou bien un employé qui ne se doute de rien pourrait télécharger le fichier depuis un site web ou le copier par inadvertance à partir d'une clé USB corrompue. - Exploitation
Une action de l'utilisateur ou un autre événement déclenche l'exécution du logiciel malveillant. Ce logiciel malveillant exploite des failles de sécurité du système d'exploitation ou d'une application. D’une manière ou d’une autre, il parvient à se faufiler à travers les failles du système de défense d’un terminal. - d'installation
Le logiciel malveillant actif s'installe sur le terminal de l'utilisateur ou sur le terminal d'une application. Les attaquants ont désormais accès au réseau interne. En effet, les cambrioleurs sont dans la maison. - Commande et contrôle (C2)
Dans la plupart des attaques APT, un logiciel malveillant présent sur un terminal compromis établit une connexion vers un système distant qui sert de centre de contrôle pour l'attaque. Cette connexion de commande et de contrôle (C2) permet à des cybercriminels situés à des milliers de miles de distance de contrôler l'activité d'un logiciel malveillant sur le réseau de la victime. - Actions sur les objectifs
Les attaquants peuvent désormais mener à bien l'attaque qu'ils ont prévue. Ils pourraient extraire des données du système de l'utilisateur, ou bien se déplacer latéralement sur le réseau, en installant des ransomwares ou en explorant d'autres systèmes à la recherche d'éléments de valeur à exploiter. Une fois la connexion C2 établie, les pirates peuvent pratiquement faire tout ce qu'ils veulent : voler ou chiffrer des données, exécuter des scripts PowerShell, etc.
Cette procédure peut sembler compliquée, voire fastidieuse, mais les étapes 3 à 7 peuvent être réalisées en quelques minutes seulement. Mais bon nombre d'attaques APT ne sont pas du tout rapides. Les pirates pourraient décider de faire profil bas et de rester à l'affût sur le réseau, en explorant les systèmes, en installant d'autres logiciels malveillants ou en exfiltrant des données petit à petit pendant des mois, voire des années.
Dans mon prochain article, je vous expliquerai comment détecter et contrer les actions de la chaîne d'attaque des pirates, à l'aide d'outils de sécurité modernes.
En attendant, vous pouvez consulter notre site web ou planifier une démonstration pour en savoir plus sur les solutions Tanium destinées à sécuriser la surface d'attaque de votre organisation.
