- MENACES : ce que chaque ingénieur devrait apprendre de Star Warsby Adam Shostack (Wiley, 352 pp., 25 USD)
Comment R2-D2 décide-t-il de montrer un hologramme de la princesse Leia, qui dispose d’informations vitales sur l’Étoile de la mort, à Obi-Wan Kenobi, mais pas à Luke Skywalker ? Pour les fans de Star Wars qui connaissent leurs cyber-informations, la réponse est l’authentification.
C’est ainsi qu’Adam Shostack (à droite) lance son nouveau livre visant à rendre le sujet complexe des chasses aux menaces et de la modélisation des menaces plus accessible.
Menaces : ce que chaque ingénieur doit apprendre de Star Wars , et ne vous laissez pas effrayer par le titre ; il est également instructif pour les responsables de la sécurité de l’information (RSSI) qui préparent le conseil à un financement plus important, explique comment les ordinateurs authentifient les personnes et comment les personnes authentifient les ordinateurs, les menaces spécifiques de chacun et ce qu’il faut faire pour y remédier.
Dans son exemple d’ouverture, Shostack s’inspire d’une scène clé du premier film Star Wars , comme R2-D2 et d’autres droids sur nos propres ordinateurs réels. Luke est peut-être notre héros effréné dans le film, mais à R2, à ce stade, il s’agit d’un utilisateur non autorisé qui pirate un système informatique qui contient des données sensibles sur une station spatiale massive. R2’s protocoles de cybersécurité fournissent un accès uniquement aux utilisateurs légitimes de ce système, comme Leia et Obi-Wan, le Chevalier Jedi devenu hermit.
“R2-D2 veut uniquement lire la vidéo pour le vrai et authentique Obi-Wan, et non pour quiconque qui se lève et le demande », écrit-il.
Ces caractères sont plus que des icônes de culture pop. Pour Shostack, ils servent d’outils utiles pour enseigner les menaces d’usurpation d’identité, les mots de passe, l’ hameçonnage, le vishing, la surveillance des données sensibles et une multitude d’autres cyberstratégies.
Focal Point a rencontré Shostack pour discuter des motivations derrière le livre, des commentaires qu’il a reçus et du rôle de Star Wars comme analogie accessible pour certains des aspects complexes de la cybersécurité.
[L’entretien suivant a été modifié pour plus de clarté et de longueur.]
PourquoiStar Wars beats Star Treken matière de cybersécurité
Point focal (FP) : commençons par les bases. Qu’est-ce qui vous a inspiré à écrire un livre qui fusionne les connaissances en ingénierie avec les
Adam Shostack (AS) : j’utilise Star Wars pour parler de sécurité depuis 15 ans. J’ai trouvé deux choses : l’une est que si vous n’avez pas de passion pour la chose, vous ne pouvez pas le faire bien ; cela semble être forcé. Et je suis fan de Star Wars , donc je peux le faire.
« Star Wars, le film original, est une violation de données. »
Mais plus important encore, je pense que Star Wars , et je ne veux pas dire cela de manière critique, mais dans Star Wars , la technologie compte. En revanche, dans la série télévisée Star Trek, les personnages disent souvent des choses telles que « Le moteur est cassé, ou « Nous ne pouvons pas le faire », et tout est vraiment axé sur les êtres humains. Alors que Star Wars, le film d’origine, concerne une violation de données où des personnes ont volé une bande de données avec certains plans et que la princesse Leia et ses alliés se déplacent pour essayer d’en tirer parti.
Et donc je l’utilise comme une chose, un moyen d’entrer. Et j’ai finalement décidé que je devais faire plus que ce qu’il fallait faire ; je devrais le transformer en livre complet.
FP : Fair. Si nous essayions d’expliquer à quelqu’un le concept d’un exploit zero-day, nous pourrions dire : « Vous savez comment Luke a pu exploser l’étoile de la mort en une seule photo dans le
C’est logique. Les rédacteurs techniques doivent expliquer des choses comme ça tout le temps, et les RSSI constatent que s’ils veulent vraiment avoir un impact et obtenir plus de financement l’année prochaine, ils doivent le faire plus en salle de conseil : utilisez des analogies pour expliquer des choses en termes de relation avec le public.
AS : L’essence de la communication est de rencontrer votre public. C’est quelque chose que je pense que nous sous-évaluons en matière de sécurité. Je pense que beaucoup de gens aiment dire des choses comme : « Le code était difficile à écrire, donc il devrait être difficile à lire » ou « Il était difficile pour moi d’apprendre cela. Je ne veux pas vous faciliter la tâche. » Je vais juste être direct : ça me brûle. Nous n’avons pas besoin de rendre ce travail plus difficile qu’il ne l’est.
Ce que les RSSI peuvent apprendre de ce livre
FP : Lorsque je pense à un livre comme celui-ci, Star Wars analogies ou non, pour beaucoup des concepts ici, vous devez être à un certain niveau technique pour comprendre.
AS : Vous avez absolument raison. Le livre est intitulé Ce que chaque ingénieur doit apprendre de Star Wars, et non ce que tout le monde doit apprendre.
FP : Mais elle a également une valeur plus large, n’est-ce pas ? Que peuvent tirer les RSSI ou les responsables de la sécurité informatique de la lecture de ce livre ?
AS : La première valeur est la largeur. De nombreuses personnes arrivent à la sécurité à partir de chemins différents, et ces chemins ne leur enseignent pas toujours les mêmes choses. Pour que le livre puisse combler les lacunes.
Le second est un langage cohérent. En sécurité, nous aimons notre jargon et nos TLA, mais franchement, personne d’autre ne le fait.
Le troisième est le chapitre sur les chaînes de destruction, qui fait progresser l’état de l’art, et montre (entre autres) comment résoudre la tension entre la pensée graphique et la pensée de chaîne.
Sur Star Warscanon et accessibilité
FP : Vous avez mentionné que votre livre se concentre principalement sur les trois principaux films de la
AS : Mon livre, très intentionnellement, ne parle presque que des trois principaux films. Elle ne s’appuie pas sur les préquels ou la trilogie la plus récente.
[Lire également : ces films ne gagneront pas d’Oscars, mais ils pourraient sauver votre entreprise]
Je me suis intentionnellement enfermé dans la trilogie d’origine parce qu’elle a un canon plus universellement compris. Il existe un vaste univers étendu avec des séries animées, des livres et d’autres films. Cependant, les trois films principaux sont ce que la plupart des gens connaissent, ce qui rend le contenu plus pertinent pour un public plus large.
FP : Donc vous dites que c’est une question d’accessibilité générale ?
AS : Exactement. Star Wars a un canon clair et bien défini avec la trilogie originale. Cela facilite la création d’analogies que la plupart des gens comprendront.
L’évolution de la modélisation des menaces et des données sensibles
FP : la surface d’attaque s’étend et le paysage des menaces évolue en permanence, mettant de plus en plus en danger les données sensibles d’une entreprise. Et pourtant, à la base, les fondamentaux sont les fondamentaux. Beaucoup n’a pas vraiment changé. Pensez-vous que la manière dont les entreprises doivent effectuer la modélisation des menaces, ou votre approche de la modélisation des menaces, a changé ? Ou les fondamentaux sont-ils juste les fondamentaux ?
AS : La façon dont j’aime y penser est comme dans la musique, nous avons des genres comme le rock ‘n’ roll et le jazz. Il y a une nouvelle chanson tous les jours, toutes les heures, n’est-ce pas ? Et une partie de la nouvelle musique est géniale, et une partie n’est pas si géniale, mais les fondamentaux n’évoluent pas aussi rapidement.
« Nous devons reconnaître que les menaces ont beaucoup de similitudes, les unes avec les autres. »
Donc, lorsque je pense à la modélisation des menaces, j’espère que mon cadre en quatre questions...
- « Sur quoi travaillons-nous ?
- « Qu’est-ce qui ne va pas ? »
- « Qu’allons-nous faire à ce sujet ? »
- « Avons-nous fait un bon travail ? »
...est intemporel. Nous pouvons et devons poser ces questions.
Bien sûr, les réponses varieront en fonction de la situation et des personnes qui le demandent. C’est la façon dont nous y répondons, et les détails des réponses : les architectures de microservices sont différentes des iPhones sont différentes des systèmes Linux traditionnels, ce qui compte. La façon dont nous réfléchissons à ce qui peut mal se passer, et je pense que c’est le point fondamental du livre, est essentielle. Nous devons reconnaître que les menaces ont beaucoup de similitudes, les unes avec les autres.
Si chaque ingénieur réfléchit à ces choses, il peut commencer à se demander : « Qu’allons-nous faire à ce sujet, dans ce système sur lequel je travaille actuellement ? » L’objectif de la partie amusante du livre, la partie Star Wars , est d’attirer les gens. Et ensuite, j’espère que vous voyez que ça passe rapidement d’un peu stupide à assez sérieux, voici ce que vous devez savoir.
PLUS DE BONNES LECTURES
Vous souhaitez savoir ce que les autres dirigeants d’entreprise, chefs d’entreprise, équipes de sécurité et passionnés de technologie lisent (et écrivent) ? En savoir plus ici :
- Meilleur nouveau (cyber) Lire : Un guide du philosophe pour déchiffrer le « Upcode » Le livre : FANCY BEAR GOES FISHING : The Dark History of the Information Age, in Five Extraordinary Hacks (Farrar, Straus & Giroux, 432 pp., 30 $)
L’auteur : Scott J. Shapiro
