Les directeurs de l’information (CIO) d’aujourd’hui sont confrontés à un défi intimidant : équilibrer le travail innovant de la transformation numérique avec l’exigence de protéger leur organisation contre les cyberattaques sophistiquées et potentiellement préjudiciables. L’environnement actuel des menaces de cybersécurité exerce une forte pression sur les DSI pour gérer les risques en contrer les cybermenaces grâce à une combinaison de compétences en main-d’œuvre et d’un portefeuille d’outils de cybersécurité.
Chargés de superviser toutes les technologies de l’information dans une organisation, les DSI doivent fournir les conseils et les ressources informatiques dont une organisation a besoin pour soutenir sa mission et atteindre ses objectifs financiers.
De plus en plus, ce travail implique une transformation numérique. Cette expression peut signifier différentes choses pour différentes personnes, mais elle se résume à appliquer la technologie numérique de manière innovante pour lancer de nouveaux produits et services ou pour améliorer considérablement les anciens.
Presque toujours, la transformation numérique conduit à une infrastructure informatique plus grande, plus distribuée et plus variée. Pour fournir des produits et services de meilleure qualité, plus rapides et de grande valeur, il faut inévitablement plus de services cloud, une plus grande utilisation des données, de l’ intelligence artificielle (IA) et de l’ apprentissage machine (ML) opérationnalisés par de nouvelles applications qui distribuent l’empreinte numérique de l’organisation à une main-d’œuvre plus distribuée via des appareils mobiles et de nouvelles architectures d’applications, qui impliquent probablement des interfaces de programmation d’applications (API) et des microservices au lieu des applications monolithiques développées il y a dix ou deux ans.
Comprendre les surfaces d’attaque informatiques par rapport aux vecteurs d’attaque
En termes de sécurité informatique, cette infrastructure informatique plus étendue étend la surface d’attaque d’une entreprise. Comme défini par le projet de sécurité des applications Web ouvertes ou OWASP, une surface d’attaque englobe « tous les différents points où un attaquant pourrait pénétrer dans un système et où il pourrait obtenir des données ».
La protection des surfaces d’attaque complexes est difficile et nécessite souvent des cyber-outils dotés de capacités complémentaires. Une bonne cyberhygiène, une gestion efficace des configurations qui applique les politiques de cybersécurité et une surveillance continue de l’intégrité des cyber-outils constituent l’évaluation de la cyber-préparation par une organisation.
Il y a quinze ans, lorsque la plupart des systèmes informatiques étaient sur site et protégés par un pare-feu réseau, la surface d’attaque était relativement petite. Aujourd’hui, lorsque les organisations s’appuient sur des centaines de services cloud et que les employés travaillent à distance, la surface d’attaque est beaucoup plus grande. Chaque appareil employé sur un réseau domestique est un vecteur d’attaque potentiel qui pourrait entraîner la compromission des ressources informatiques critiques.
Les DSI sont responsables de la sécurité de cette infrastructure distribuée. Et ils doivent penser non seulement aux menaces externes qui traversent les pare-feux, mais également aux vulnérabilités logicielles dans les applications qui forment des menaces non linéaires comme SolarWinds et WannaCry.
Vulnérabilité Log4J et surface d’attaque actuelle
C’est la leçon tirée de la vulnérabilité Log4j récemment découverte. Les applications d’aujourd’hui comprennent des centaines ou des milliers de composants logiciels et de services. Une vulnérabilité dans l’un de ces composants et services peut compromettre la sécurité de l’ensemble de l’application et de l’organisation qui l’exécute. Disposer d’outils de gestion logicielle tiers capables de s’adapter aux menaces émergentes permet de gagner du temps, de réduire les risques et d’augmenter la cyber-préparation d’une organisation.
Par exemple, de nombreuses versions largement utilisées de l’utilitaire de journalisation open source comprennent un bug qui permet aux attaquants de soumettre une chaîne à l’interface de dénomination et de répertoire Java de l’enregistreur, permettant à l’utilisateur non autorisé d’exécuter du code dans l’application avec des privilèges élevés. Cet exploit de vulnérabilité critique peut être utilisé pour propager des rançongiciels, exfiltrer des données, arrêter des systèmes, etc.
La vulnérabilité Log4J , qui a reçu une note de 10 sur 10 pour la criticité par le NIST, est fréquemment un composant clé trouvé dans les logiciels Web et d’application, y compris environ 4 % des référentiels de composants Java les plus populaires. L’artefact logiciel Log4j se trouve dans les applications, y compris les principales applications commerciales, ainsi que dans de nombreuses applications développées en interne. Ainsi, la vulnérabilité Log4j fait désormais partie de la surface d’attaque de l’organisation. La vulnérabilité Log4j a déjà permis aux attaquants d’installer des logiciels d’extraction de pièces sur les réseaux d’entreprise, de lancer de nouvelles formes d’attaques par ransomware et d’ infiltrer le ministère de la Défense belge.
Log4j est un rappel du défi majeur auquel les DSI sont confrontés : sélectionner, déployer et gérer des architectures informatiques vastes et complexes tout en identifiant et en atténuant toutes les menaces sur la surface d’attaque de ces architectures, quelle que soit la complexité ou l’inconnue de la menace, tout en gérant la cyber préparation, en réduisant les risques et en limitant les coûts dans un budget fixe.
Quelle que soit la surface d’attaque actuelle, elle est destinée à continuer à changer. En 2015, 30 % des données d’entreprise étaient dans le cloud. En 2020, ce pourcentage était de 50 %. Les données suggèrent que les migrations d’applications, de services et de données vers le cloud se poursuivront. Ces migrations vers le cloud ainsi que d’autres efforts de transformation numérique contribueront à une surface d’attaque croissante avec une complexité croissante.
Mais si le changement dépasse la surveillance de la sécurité, les organisations en souffriront. Ils seront victimes d’attaques par rançongiciel, d’exfiltration de données, d’attaques par compromission des e-mails professionnels (BEC), etc. Les opérations peuvent être perturbées. Une entreprise pourrait finalement payer des dizaines de millions de dollars en rançon, puis des dizaines de millions de plus à la Commission fédérale du commerce des États-Unis (FTC) si l’attaque entraîne l’exposition de données confidentielles des consommateurs.
Il s’agit de l’action d’équilibrage pour les DSI : stimuler le changement tout en s’adaptant à une surface d’attaque en constante évolution pour protéger l’infrastructure informatique de l’entreprise.
Ce n’est pas facile.
Réduire la surface d’attaque informatique à l’ère de la transformation numérique
Les DSI ont besoin d’une combinaison d’outils, de processus et de personnes pour répondre à ces menaces. Ces outils et processus ont des exigences communes.
Visibilité en temps réel
Toute stratégie de sécurisation de la surface d’attaque doit tenir compte de la nature en constante évolution de la surface d’attaque. Vous ne pouvez pas protéger ce que vous ne voyez pas, par conséquent les DSI ne peuvent plus s’appuyer sur des rapports mensuels ou même hebdomadaires pour comprendre les vulnérabilités et atténuer les menaces. La gestion de la surface d’attaque nécessite l’accès aux données en temps réel et la possibilité de passer de la détection à la réponse à la vitesse des menaces. Les vulnérabilités peuvent apparaître lorsqu’un endpoint compromis se connecte au réseau, ou lorsqu’un composant logiciel obsolète est réinstallé à partir d’une sauvegarde. La cyber-préparation doit prendre en compte les logiciels actuels et approuvés.
Dans la mesure du possible, les outils de surveillance des endpoints et des réseaux doivent fournir des informations en temps réel et prendre en charge les enquêtes en temps réel. Découvrir qu’un système a été compromis il y a deux semaines donne trop de longueur d’avance aux attaquants. À ce moment-là, les rançongiciels auraient pu se propager à travers les centres de données et les emplacements, ou des données critiques auraient pu être découvertes et exfiltrées.
Facile à apprendre et à utiliser
Les DSI doivent choisir des outils qui fournissent des capacités cyber critiques tout en nécessitant une courbe d’apprentissage minimale. Si de nouvelles équipes doivent sécuriser de nouvelles applications ou de nouveaux services, donnez-leur des outils qui ne sont pas trop complexes. Laissez-les se concentrer sur le travail qu’ils font au lieu de se concentrer sur la manière de maintenir des outils complexes ou peu pratiques. Les talents et la technologie sont des catalyseurs clés de la capacité d’une organisation à accélérer les actions de réponse aux menaces émergentes. Cette agilité est essentielle à mesure que l’environnement des cybermenaces devient plus volatil, incertain, complexe ou ambigu. Comme mentionné ci-dessus, une action précise et létale qui est tardive atteint le même résultat que le fait de ne pas agir du tout. La rapidité est un composant nécessaire pour l’emploi efficace des cybercapacités.
Autre considération : les DSI doivent choisir des outils qui facilitent la collaboration des équipes chargées de la sécurité et des opérations tout en répondant aux nouvelles menaces. Log4j ne sera pas la dernière vulnérabilité grave qui apparaît dans le code source. Les équipes chargées de la sécurité et de l’exploitation ont besoin d’outils qui leur permettent de pivoter rapidement pour répondre à la menace de sécurité la plus urgente.
Couverture complète
Choisissez des outils qui offrent la couverture la plus large possible des endpoints et autres actifs informatiques. Malheureusement, la plupart des systèmes d’évaluation des vulnérabilités et de gestion des endpoints négligent un pourcentage significatif d’endpoints, jusqu’à 20 % dans de nombreux cas. Lorsque l’informatique ne peut pas voir les endpoints, elle ne peut pas surveiller et découvrir les indications de compromission, et ne peut pas les inclure dans des calendriers de correctifs automatisés. Cela contribue à une mauvaise cyberhygiène, à des écarts de configuration des endpoints et à des outils malsains qui échouent au moment où ils en ont besoin. La visibilité des endpoints devient l’enjeu d’une approche efficace de la gestion d’une surface d’attaque complexe.
La surface d’attaque comprend tous les endpoints et systèmes connectés au réseau de l’organisation. Les DSI doivent s’assurer qu’ils peuvent voir toute la surface d’attaque, et pas seulement certaines parties de celle-ci.
Centralisation et automatisation
Si possible, les DSI doivent choisir des outils qui interagissent afin que les données puissent être visibles, accessibles, compréhensibles et que les tâches puissent être automatisées dans différents domaines fonctionnels de sécurité informatique, tels que la détection des menaces et la gestion des correctifs.
L’adoption d’une approche « d’armement combiné » et l’utilisation de plusieurs outils qui fonctionnent bien ensemble facilitent le développement de processus rationalisés pour les tâches de sécurité. L’automatisation devient également plus facile. La possibilité de basculer au sein d’une plateforme commune peut être essentielle pour les analystes du Centre des opérations de sécurité (SOC), car ils ne perdront pas de temps à passer d’un ensemble d’outils à un autre pour enquêter sur les incidents et atténuer les menaces.
Équipes et talents
Les outils ne sont pas la seule partie d’une stratégie d’atténuation des menaces réussie. Les DSI ont besoin d’une main-d’œuvre réfléchie dotée des connaissances, des compétences et des capacités (KSA) pour effectuer des tâches dans des cycles serrés qui accélèrent les transitions de la détection à la réponse à la récupération. Cette approche tire parti des capacités des outils pour améliorer les processus organisationnels en synchronisant les capacités et les processus afin de protéger au mieux la surface d’attaque en constante évolution de l’organisation.
Par exemple, les organisations peuvent utiliser Red Teams et des tests de pénétration sur chaque partie de leur infrastructure informatique en évolution pour découvrir de nouvelles vulnérabilités avant que les attaquants ne le fassent. Les résultats de ces exercices peuvent ensuite renforcer les surfaces d’attaque, tout en informant les processus d’apprentissage organisationnels. Ces « groupes et représentants » sont des opportunités d’apprentissage inestimables qui augmentent la préparation de la cyber main-d’œuvre aux ASS.
Les équipes de sécurité et de développement d’applications peuvent inclure des experts en matière de sécurité dans les phases de conception et de planification des projets de transformation numérique, afin que la sécurité soit intégrée dans de nouveaux produits et services, plutôt que prise en compte après coup.
Zero Trust
Les DSI doivent adopter une stratégie Zero Trust pour réduire l’accès à la surface d’attaque et empêcher les attaquants de traverser facilement le réseau. Dans un modèle Zero Trust, aucun utilisateur, processus ou appareil n’est approuvé sans une forme d’interrogation. En d’autres termes, l’accès à un service ou à une ressource réseau n’est pas accordé sans examiner la conformité des appareils, les rôles d’un utilisateur et l’authentification réussie. En effet, tout le monde et tout le monde se voit refuser l’accès, à l’exception des utilisateurs, appareils et processus qui sont autorisés en fonction de la mission de l’organisation.
En fermant des ports, des adresses IP et des protocoles inutiles, les organisations informatiques réduisent la taille de leurs surfaces d’attaque tout en augmentant la difficulté pour les attaquants de pénétrer et de se déplacer latéralement sur un réseau, de rechercher des données précieuses ou de propager des rançongiciels.
En tirant parti des principes de sécurité Zero Trust par défaut pour les initiatives de transformation numérique, les DSI peuvent réduire les surfaces d’attaque et s’assurer que leurs nouveaux services et infrastructures informatiques sont résilients et prêts à permettre les opérations commerciales numériques.
Conclusion
La transformation numérique n’est jamais terminée. Pour survivre et prospérer, les organisations doivent continuer à innover, à lancer de nouveaux produits et services et à optimiser les anciens. Par conséquent, la surface d’attaque de chaque organisation continuera de changer et, probablement, de croître.
Les DSI ont besoin des outils, des processus et du personnel formé pour suivre ces changements et l’évolution des menaces des attaquants, afin que l’infrastructure informatique de l’organisation reste toujours sécurisée.
Dans un autre article de blog, je discuterai des avantages que les DSI adoptent un cadre d’analyse de la chaîne de destruction pour gérer les menaces sur la surface d’attaque.
En attendant, vous pouvez planifier une démo pour en savoir plus sur les solutions Tanium pour sécuriser la surface d’attaque de votre organisation.
