La surface d’attaque, la somme de tous les vecteurs d’attaque pour les actifs informatiques d’une organisation, continue de s’étendre à mesure que les endpoints évoluent à la vitesse de l’innovation. Les DSI augmentent la surface d’attaque chaque fois qu’ils adoptent un nouveau service cloud ou fournissent plus d’endpoints pour soutenir la croissance de l’entreprise et la transformation numérique. Ils sont confrontés au défi actuel de défendre cette surface d’attaque même lorsqu’ils grandissent.
Dans un article de blog précédent, j’ai écrit sur les défis auxquels les DSI sont confrontés pour soutenir l’innovation et la sécurité informatique en même temps. J’aimerais maintenant en savoir plus sur les stratégies de défense que les DSI peuvent adopter pour protéger la surface d’attaque de leurs environnements informatiques modernes, axés sur le cloud.
Tuer la chaîne 101
Plus précisément, j’aimerais m’appuyer sur un modèle d’attaque important appelé la chaîne de destruction. L’armée américaine a initialement développé ce modèle il y a des décennies pour analyser les lacunes en matière de capacités à l’aide d’ensembles de données opérationnelles. Une chaîne de destruction est un ensemble de tâches ou de fonctions de mission séquentielles nécessaires pour utiliser avec succès une arme contre une cible spécifique. Les chaînes de destruction se concentrent sur les résultats en combinant des capacités discrètes pour obtenir des effets synergiques. Une chaîne de destruction utilisée par la Marine américaine pour évaluer les capacités de guerre aérienne comprend les tâches ou fonctions de mission suivantes : trouver, réparer, identifier, suivre, engager et évaluer. Le résultat souhaité est de détruire une menace dans un espace aérien défini.
En 2009, dans un article technique de Lockheed Martin Corporation, plusieurs experts en cybersécurité ont appliqué le modèle de la chaîne de destruction au problème de la défense contre ce qui était alors une nouvelle forme d’attaque : la menace persistante avancée (APT). Beaucoup de choses ont changé depuis que ce document a été écrit, mais l’idée de chaînes de destruction est toujours utile. Voici pourquoi.
Avant l’apparition des menaces persistantes avancées, de nombreuses personnes du service informatique pensaient que la cyberdéfense pouvait se résumer à une simple liste de contrôle des tactiques. Si vous souhaitez bloquer les virus, vous avez déployé un logiciel AV. Si vous souhaitez bloquer les intrus qui pénètrent dans le réseau via des ports non surveillés, vous avez déployé un pare-feu et un système de détection des intrusions (IDS). Et ainsi de suite. Chacune de ces solutions fonctionnait indépendamment en silos pour protéger une zone du réseau d’informations.
Ces mesures de sécurité simples ne sont pas erronées. Ils sont tout simplement incomplets par eux-mêmes. L’augmentation des menaces persistantes avancées a rendu cela évident.
Dans une attaque par APT, les intrus sont prêts à prendre leur temps. Ils plaisent et propulsent un réseau, trouvent une ouverture et déploient des logiciels malveillants. Ensuite, ils configureront une connexion de commande et de contrôle qui donne aux attaquants du monde entier un contrôle direct du logiciel malveillant qui a été installé. Ensuite, ils exploreront le réseau à leur guise. Ils peuvent prendre des jours, des semaines, voire des mois pour trouver les actifs précieux à voler ou à perturber, en fonction de leur objectif.
Arrêter ce type d’attaque avec une simple liste de contrôle des étapes de sécurité est difficile au mieux et évolue mal, car les menaces consomment rapidement des ressources informatiques limitées. Vous devez avoir une vue d’ensemble pour comprendre comment les différentes parties mobiles de l’attaque fonctionnent ensemble de manière subtile. Ce n’est qu’alors que vous pouvez détecter l’attaque et prendre des mesures pour l’arrêter.
Éliminez les chaînes et la surface moderne des cyberattaques
Ce besoin d’une vision plus large de la sécurité est encore plus important compte tenu des menaces auxquelles les organisations sont confrontées aujourd’hui.
En comparaison, en 2009, les DSI et les RSSI sécurisaient un environnement informatique relativement restreint et homogène. Presque tous les employés ont travaillé sur site. Presque tous leurs ordinateurs de bureau et portables avaient été fournis par le service informatique, plutôt que d’être achetés par les employés pour leur usage personnel.
L’adoption du cloud en était à ses balbutiements. Les centres de données ont hébergé la plupart des applications sous l’œil attentif des administrateurs locaux. Les pare-feux réseau pourraient vraiment englober la plupart des actifs informatiques qui avaient besoin d’être protégés. Le royaume d’un DSI était vraiment comme un château : tout ce qui a de la valeur dans un endroit central entouré d’un mur sécurisé avec des sentries qui surveillent les ennuis.
Aujourd’hui, la surface d’attaque est beaucoup plus grande, plus variée et plus poreuse. L’infrastructure informatique typique couvre plusieurs fournisseurs de cloud ainsi que d’innombrables bureaux à domicile avec un mélange d’ordinateurs portables, de tablettes et de smartphones.
Les autres endpoints comprennent les appareils IoT et les appareils de technologie opérationnelle (OT). Les organisations disposaient auparavant d’appareils OT tels que des contrôleurs dans les ateliers de fabrication, mais elles sont désormais connectées à Internet pour tirer parti de la numérisation de presque tout.
Une autre différence : la vulnérabilité alarmante Log4j de l’année dernière rappelle aux DSI que les risques peuvent provenir des composants logiciels utilisés dans les applications commerciales achetées. Et ces mêmes risques logiciels dans les applications et les services numériques que l’entreprise se construit elle-même.
En bref, l’environnement informatique d’aujourd’hui est complexe, varié et en constante évolution. Si elles sont simples, les mesures de sécurité des cases à cocher étaient quelque peu inadéquates en 2009, elles sont totalement inadéquates maintenant.
C’est pourquoi je pense que l’analyse de la chaîne de destruction est si utile. Il rappelle aux DSI que les menaces actuelles sont sophistiquées et complexes et souligne l’importance de se défendre contre chaque étape du cycle de vie d’une cyberattaque.
Comprendre la chaîne de destruction dans la cybersécurité
Qu’est-ce qu’une chaîne de destruction ? Il s’agit d’une séquence ou « chaîne » d’événements qui, ensemble, rendent une attaque par un cybercriminel ou un État-nation plus efficace. Comme décrit dans l’article de Lockheed Martin, une chaîne de destruction de cyberattaques comprend les sept étapes suivantes :
- Reconnaissance
L’attaquant enquête et explore la cible, en recherchant des vulnérabilités et en collectant des informations telles que le matériel, les logiciels, les identités, les adresses e-mail ou d’autres informations sur le réseau d’informations qui pourraient éclairer les approches ou méthodologies pour sonder, violer ou exploiter une vulnérabilité connue ou inconnue. - Armement
L’attaquant regroupe les logiciels malveillants ou le code RCE d’une manière qui peut être fournie pour initier l’attaque. Par exemple, l’attaquant peut intégrer un cheval de Troie d’accès à distance dans un fichier Microsoft Office ou un fichier Adobe PDF. - Livraison
L’attaquant transmet l’artefact armé au réseau de la cible. Ils peuvent fournir le fichier en pièce jointe d’e-mail dans une campagne d’hameçonnage. Ou un employé peu méfiant peut télécharger le fichier à partir d’un site Web ou le copier par inadvertance à partir d’une clé USB corrompue. - Exploitation
Une action utilisateur ou un autre événement déclenche l’exécution du logiciel malveillant. Le logiciel malveillant tire parti des vulnérabilités du système d’exploitation ou d’une application. D’une manière ou d’une autre, il traverse les lacunes dans les défenses d’un endpoint. - Installation
Le logiciel malveillant actif s’installe lui-même sur le endpoint de l’utilisateur ou sur un endpoint de l’application. Les pirates informatiques sont désormais présents sur le réseau interne. En fait, les voleurs sont dans la maison. - Commande et contrôle (C2)
Dans la plupart des attaques APT, les logiciels malveillants sur un endpoint compromis établissent une connexion à un système distant qui sert de contrôleur pour l’attaque. Cette connexion de commande et de contrôle (C2) permet aux criminels distants, qui peuvent se trouver à des milliers de kilomètres, de contrôler l’activité des logiciels malveillants sur le réseau de la victime. - Actions sur les objectifs
Désormais, les attaquants peuvent poursuivre n’importe quelle attaque qu’ils ont à l’esprit. Ils peuvent exfiltrer des données du système de l’utilisateur, ou ils peuvent se déplacer latéralement sur le réseau, installer des rançongiciels ou explorer d’autres systèmes pour exploiter des actifs précieux. Avec la connexion C2 en place, les attaquants peuvent essentiellement faire ce qu’ils veulent, voler ou chiffrer des données, exécuter des scripts PowerShell, etc.
Cette séquence peut sembler compliquée, voire laborieuse, mais les étapes 3 à 7 peuvent se produire en quelques minutes seulement. Mais beaucoup d’attaques APT ne sont pas du tout rapides. Les attaquants peuvent décider de s’attarder sur le réseau, d’explorer les systèmes, d’installer plus de logiciels malveillants ou d’exfiltrer des données pendant des mois, voire des années.
Dans ma prochaine publication, je vous expliquerai comment détecter et atténuer les actions de chaîne de destruction des attaquants, à l’aide d’outils de sécurité modernes.
En attendant, vous pouvez visiter notre site Web ou planifier une démo pour en savoir plus sur les solutions Tanium pour sécuriser la surface d’attaque de votre organisation.
