Le 3 novembre, l’administration Biden a publié une directive générale pour les agences fédérales afin de corriger près de 300 cyber-vulnérabilités connues que les pirates informatiques peuvent utiliser pour infiltrer et endommager les réseaux informatiques gouvernementaux. Pris ensemble, ces vulnérabilités représentent une série de cyber-catastrophes.
« Un grand nombre de ces vulnérabilités et exploits critiques peuvent être connectés pour créer un effet plus important », déclare Edward Debish, ancien commandant du groupe des opérations de cyberespace du Marine Corps et désormais directeur de l’engagement client du secteur public chez Tanium. « C’est pourquoi vous souhaitez en fermer autant que possible. »
Émise par la Cybersecurity and Infrastructure Security Agency (CISA), la nouvelle directive vise à combler environ 200 failles de sécurité, toutes connues des pirates informatiques malveillants, que les professionnels de la cybersécurité ont identifiées entre 2017 et 2020 et 90 vulnérabilités supplémentaires qu’ils ont découvertes en 2021.
La directive intervient six mois après que le président Biden a émis un décret incitant les agences à partager des informations sur la cybersécurité et à adopter de nouveaux protocoles de cybersécurité. Il plafonne une année sans précédent de cybercriminalité lorsque les organisations, des services publics aux télécommunications, sont devenues la proie des attaques de la chaîne d’approvisionnement, des rançongiciels et de l’extorsion.
« C’est une autre façon de maintenir un rythme de batterie », déclare Debish. « La cybersécurité est cruciale. Il touche tous les aspects de notre vie. Tout ce que nous faisons maintenant est basé sur la cyber. S’il est perturbé de quelque manière que ce soit, cela peut causer des problèmes importants, des problèmes de chaîne d’approvisionnement, vous le nommez. Il s’agit du président et de son équipe qui essaient de faire autant que possible pour sécuriser l’infrastructure critique de cette nation. »
La nouvelle directive établit un catalogue géré par la CISA de « vulnérabilités exploitées connues » qui comportent un « risque significatif » et établit des exigences pour que les agences résolvent les défauts. Le catalogue comprend des logiciels et des configurations fournis par des fournisseurs de logiciels tels que SolarWinds, qui a fait l’objet d’une attaque de haut niveau l’année dernière, et des grandes entreprises technologiques telles qu’Adobe, Apple, Cisco, Google, Microsoft et Oracle. Il comprend tous les logiciels et le matériel sur les systèmes d’information fédéraux, y compris ceux hébergés par des tiers, tels que les sous-traitants fédéraux.
Systèmes obsolètes
La nouvelle directive et le décret de mai de l’administration Biden reflètent la priorité que le gouvernement accorde à la sécurité numérique. Debish déclare que 95 % de la nouvelle directive consiste à corriger les vulnérabilités logicielles existantes, mais il dit qu’il est « absolument essentiel » que les agences soient conscientes des autres vecteurs d’attaque, y compris les agressions de tiers.
« On s’attend à ce que les fournisseurs soient fiables et que ce que vous obtenez d’un site fournisseur soit une capacité fiable et que vous puissiez rapidement le mettre en œuvre », déclare Debish.
Il déclare également que les agences doivent gérer en toute sécurité les systèmes obsolètes ou existants. Ces systèmes peuvent ne pas être compatibles avec les techniques modernes de cyberhygiène , telles que la découverte d’actifs et la surveillance continue, qui permettent aux organisations d’avoir une visibilité sur leurs réseaux. Sinon, ils peuvent être des canards pour les pirates informatiques. Lorsque ces systèmes ne peuvent pas être supprimés ou facilement arrêtés, Debish indique que les points d’entrée de ces réseaux doivent être surveillés pour empêcher les pirates informatiques de pénétrer.
« C’est le président et son équipe qui essaient de faire tout leur possible pour sécuriser l’infrastructure critique de ce pays. »Edward Debish, directeur de l’engagement client du secteur public, Tanium
De plus, selon Debish, les agences doivent appliquer de solides stratégies de cyberhygiène. Cela signifie gérer les privilèges d’administrateur, examiner les configurations réseau et utiliser des protocoles Zero Trust . Avant tout, dit-il, les agences doivent utiliser des outils qui peuvent surveiller pleinement les vulnérabilités du réseau et chasser de manière proactive les intrus potentiels avant qu’ils ne frappent.
« Vous avez besoin d’une visibilité et d’un contrôle en temps réel de votre réseau », déclare Debish. « L’adversaire est activement engagé pour accéder aux réseaux et infrastructures gouvernementaux. »
Le Département de la sécurité intérieure, l’agence mère de la CISA, a précédemment imposé des mandats de cybersécurité aux agences gouvernementales, souvent sous forme d’exigences d’urgence pour apporter une solution immédiate à un problème logiciel critique. Mais cette nouvelle directive est notable pour la portée pure des défauts qu’elle cherche à traiter.
Il faudra que les défauts identifiés cette année soient corrigés dans les deux semaines. Les agences auront jusqu’à six mois pour combler les failles de sécurité trouvées au cours des années précédentes. La directive s’applique à tous les services et agences de la branche exécutive, à l’exception du Département de la défense, de l’Agence centrale de renseignement et du Bureau du directeur du renseignement national. La cybersécurité pour les agences civiles est généralement gérée séparément des organismes militaires et de sécurité nationale.
« Avec une directive comme celle-ci, car elle provient du président, vous pouvez être sûr que beaucoup de personnes vont consacrer beaucoup d’énergie à résoudre le problème », déclare Debish.
