Le 3 novembre, l'administration Biden a publié une directive de grande envergure enjoignant les agences fédérales à corriger près de 300 vulnérabilités informatiques connues que des pirates pourraient exploiter pour s'infiltrer dans les réseaux informatiques du gouvernement et y causer des dommages. Prises dans leur ensemble, ces vulnérabilités constituent une succession de cybercatastrophes.
« Bon nombre de ces vulnérabilités critiques et de ces exploits peuvent être combinés pour produire un effet d’une plus grande ampleur », explique Edward Debish, ancien commandant du Groupe des opérations cybernétiques du Corps des Marines et désormais directeur des relations avec la clientèle du secteur public chez Tanium. « C’est pour cela qu’il faut en fermer le plus possible. »
Publiée par l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA), cette nouvelle directive vise à combler environ 200 failles de sécurité — toutes bien connues des pirates informatiques — que les professionnels de la cybersécurité ont identifiées entre 2017 et 2020 , ainsi que 90 vulnérabilités supplémentaires qu'ils ont découvertes en 2021.
Cette directive intervient six mois après que le président Biden a publié un décret intitulé « » ( ), obligeant les agences à partager des informations en matière de cybersécurité et à adopter de nouveaux protocoles dans ce domaine. Cela vient couronner une année sans précédent en matière de cybercriminalité, au cours de laquelle des organisations allant des services publics aux opérateurs télécoms ont été victimes d’attaques de la chaîne d’approvisionnement, de ransomware, et d’extorsion.
« C'est une autre façon de maintenir le rythme », explique Debish. « La cybersécurité est essentielle. » Cela touche tous les aspects de notre vie. Tout ce que nous faisons aujourd'hui repose sur le cyber. Si ce processus venait à être perturbé de quelque manière que ce soit, cela pourrait entraîner des problèmes importants, notamment des difficultés au niveau de la chaîne d'approvisionnement, etc. « Le président et son équipe s'efforcent de faire tout ce qui est en leur pouvoir pour assurer la sécurité des infrastructures essentielles de ce pays. »
La nouvelle directive met en place un répertoire, géré par la CISA, des « vulnérabilités connues ayant fait l'objet d'exploitations » qui présentent un « risque important », et définit les obligations incombant aux agences pour corriger ces failles. Ce catalogue comprend des logiciels et des configurations fournis par des éditeurs de logiciels tels que SolarWinds, qui a fait l'objet d'une attaque très médiatisée l'année dernière, ainsi que par de grandes entreprises technologiques telles qu'Adobe, Apple, Cisco, Google, Microsoft et Oracle. Cela englobe l'ensemble des logiciels et du matériel informatique des systèmes d'information fédéraux, y compris ceux hébergés par des tiers, tels que les prestataires fédéraux.
Systèmes obsolètes
La nouvelle directive et le décret présidentiel publié en mai par l'administration Biden témoignent de la priorité accordée par le gouvernement à la sécurité numérique. M. Debish affirme que cette nouvelle directive porte à 95 % sur la correction des vulnérabilités logicielles existantes, mais il précise qu’il est « absolument essentiel » que les agences soient conscientes de l’existence d’autres vecteurs d’attaque, notamment les attaques provenant de tiers.
« On s’attend à ce que les fournisseurs inspirent confiance et à ce que ce que l’on trouve sur leur site soit une solution fiable, que l’on puisse mettre en œuvre rapidement », explique M. Debish.
Il ajoute que les administrations doivent gérer de manière sécurisée les systèmes obsolètes ou hérités . Ces systèmes peuvent ne pas être compatibles avec les techniques modernes de « cyber-hygiène » ( ) ( ), telles que la découverte des ressources () ( ) et la surveillance continue () (), qui permettent aux organisations de bénéficier d’une visibilité globale sur l’ensemble de leurs réseaux. Sinon, ils risquent de devenir des proies faciles pour les pirates informatiques. Lorsque ces systèmes ne peuvent être ni retirés ni facilement mis hors service, M. Debish précise qu’il est nécessaire de surveiller les points d’accès à ces réseaux afin d’empêcher les pirates informatiques d’y pénétrer.
«Le président et son équipe s’efforcent de faire tout ce qui est en leur pouvoir pour protéger les infrastructures essentielles de ce pays. »Edward Debish, directeur de la relation client dans le secteur public chez Tanium
Par ailleurs, selon M. Debish, les agences devraient mettre en œuvre des stratégies rigoureuses en matière de cyberhygiène. Cela implique notamment la gestion des privilèges d'administrateur, l'analyse des configurations réseau et l'utilisation de protocoles « zero-trust » . Selon lui, les agences devraient avant tout utiliser des outils capables de surveiller de manière exhaustive les vulnérabilités du réseau et de traquer de manière proactive les intrus potentiels avant qu'ils ne passent à l'action.
« Vous avez besoin d’une visibilité et d’un contrôle en temps réel sur votre réseau », explique M. Debish. « L'adversaire s'efforce activement d'accéder aux réseaux et aux infrastructures gouvernementaux. »
Le ministère de la Sécurité intérieure, dont dépend la CISA, a déjà imposé des obligations en matière de cybersécurité aux administrations publiques, souvent sous la forme d'exigences d'urgence visant à remédier immédiatement à un problème logiciel critique. Mais cette nouvelle directive se distingue par l'ampleur même des lacunes qu'elle vise à combler.
Cette mesure exigera que les failles identifiées cette année soient corrigées dans un délai de deux semaines. Les agences disposeront d'un délai maximal de six mois pour remédier aux failles de sécurité détectées au cours des années précédentes. Cette directive s'applique à tous les ministères et agences du pouvoir exécutif, à l'exception du ministère de la Défense, de l'Agence centrale de renseignement et du Bureau du directeur du renseignement national. La cybersécurité des organismes civils est généralement gérée séparément de celle des organismes militaires et de sécurité nationale.
« Avec une directive comme celle-ci, qui émane du président, vous pouvez être sûr que beaucoup de gens vont consacrer beaucoup d’énergie à résoudre ce problème », déclare M. Debish.
