Les directeurs des systèmes d'information (DSI) d'aujourd'hui sont confrontés à un défi de taille : concilier le travail d'innovation lié à la transformation numérique avec la nécessité de protéger leur organisation contre des cyberattaques sophistiquées et potentiellement destructrices. Le contexte actuel en matière de menaces de cybersécurité exerce une forte pression sur les DSI pour qu'ils gèrent les risques en luttant contre ces menaces grâce à une combinaison de compétences du personnel et d'un ensemble d'outils de cybersécurité.
Chargés de superviser l'ensemble des technologies de l'information au sein d'une organisation, les DSI doivent fournir les conseils et les ressources informatiques dont celle-ci a besoin pour mener à bien sa mission et atteindre ses objectifs financiers.
De plus en plus, ce travail s'inscrit dans le cadre de la transformation numérique. Cette expression peut revêtir différentes significations selon les personnes, mais elle revient en substance à utiliser les technologies numériques de manière innovante pour lancer de nouveaux produits et services ou pour améliorer considérablement ceux qui existent déjà.
La transformation numérique se traduit presque toujours par une infrastructure informatique plus vaste, plus décentralisée et plus diversifiée. Pour proposer des produits et services de meilleure qualité, plus rapides et à forte valeur ajoutée, il est inévitable de recourir davantage aux services cloud, d’exploiter davantage les données, à l’intelligence artificielle (IA) et à l’apprentissage automatique (ML) , mis en œuvre par de nouvelles applications qui répartissent l’empreinte numérique de l’organisation parmi un personnel plus dispersé grâce à des appareils mobiles et à de nouvelles architectures applicatives, lesquelles impliquent probablement des interfaces de programmation d’applications (API) et des microservices plutôt que les applications monolithiques développées il y a une ou deux décennies.
Comprendre la différence entre les surfaces d'attaque informatiques et les vecteurs d'attaque
En matière de sécurité informatique, cette infrastructure informatique plus étendue augmente la surface d'attaque d'une entreprise. Selon la définition de l’Open Web Application Security Project (OWASP), une surface d’attaque d’une application web ( ) (s’ouvre dans un nouvel onglet) englobe « l’ensemble des différents points par lesquels un attaquant pourrait s’introduire dans un système et extraire des données ».
La protection des surfaces d'attaque complexes est difficile et nécessite souvent des outils de cybersécurité dotés de capacités complémentaires. Une bonne « hygiène informatique », une gestion efficace des configurations garantissant le respect des politiques de cybersécurité, ainsi qu’une surveillance continue de l’état des outils informatiques constituent les éléments sur lesquels repose l’évaluation de la préparation d’une organisation en matière de cybersécurité.
Il y a quinze ans, alors que la plupart des systèmes informatiques étaient hébergés sur site et protégés par un pare-feu réseau, la surface d'attaque était relativement restreinte. Aujourd'hui, alors que les entreprises s'appuient sur des centaines de services cloud et que les collaborateurs travaillent à distance, la surface d'attaque est nettement plus étendue. Chaque appareil d'un employé connecté à un réseau domestique constitue un vecteur d'attaque potentiel susceptible de compromettre des ressources informatiques essentielles à la mission.
Les DSI sont chargés d'assurer la sécurité de cette infrastructure décentralisée. Et ils doivent prendre en compte non seulement les menaces externes qui parviennent à franchir les pare-feu, mais aussi les vulnérabilités logicielles de type « » dans les applications , qui constituent des menaces non linéaires telles que SolarWinds et WannaCry.
La vulnérabilité Log4J et la surface d'attaque actuelle
C'est la leçon à tirer de la faille de sécurité récemment découverte dans « Log4j » :. Les applications actuelles comprennent des centaines, voire des milliers de composants logiciels et de services. Une vulnérabilité dans l'un de ces composants ou services peut compromettre la sécurité de l'ensemble de l'application et de l'organisation qui l'exploite. Disposer d’outils tiers de gestion des logiciels capables de s’adapter aux menaces émergentes permet de gagner du temps, de réduire les risques et d’améliorer la préparation d’une organisation face aux cybermenaces.
Par exemple, de nombreuses versions largement utilisées d’un utilitaire de journalisation open source comportent un bogue qui permet à des attaquants d’envoyer une chaîne de caractères à l’interface Java Naming and Directory Interface (JNDI) de l’utilitaire de journalisation, ce qui permet à un utilisateur non autorisé d’exécuter du code au sein de l’application avec des privilèges élevés. Cette faille de sécurité critique peut être exploitée pour propager des logiciels de rançon, exfiltrer des données, mettre des systèmes hors service, etc.
La vulnérabilité Log4J , à laquelle le NIST a attribué une note de 10 sur 10 selon l'échelle de gravité «», est souvent un composant clé présent dans les logiciels web et applicatifs, notamment dans environ 4 % des référentiels de composants Java les plus populaires. L'artefact logiciel Log4j est présent dans des applications, notamment des applications commerciales de premier plan, ainsi que dans de nombreuses applications développées en interne. Ainsi, la vulnérabilité n° Log4j fait désormais partie de la surface d'attaque de l'organisation. La faille Log4j a déjà permis à des pirates d'installer des logiciels de minage de cryptomonnaies sur des réseaux d'entreprise, de lancer de nouvelles formes d'attaques par ransomware et d'infiltrer le site du ministère belge de la Défense.
Le Log4j met en évidence le défi majeur auquel sont confrontés les DSI : sélectionner, déployer et gérer des architectures informatiques vastes et complexes, tout en identifiant et en atténuant l'ensemble des menaces présentes sur la surface d'attaque de ces architectures, quelle que soit la complexité ou le caractère inhabituel de ces menaces, tout en assurant la préparation face aux cybermenaces, en réduisant les risques et en maîtrisant les coûts dans le cadre d'un budget fixe.
Quelle que soit la nature actuelle de la surface d'attaque, elle est vouée à évoluer sans cesse. En 2015, 30 % des données d'entreprise se trouvaient dans le cloud. En 2020, ce pourcentage s'élevait à 50 %. Les données indiquent que la migration des applications, des services et des données vers le cloud va se poursuivre. Ces migrations vers le cloud, ainsi que d'autres initiatives de transformation numérique, contribueront à élargir la surface d'attaque et à accroître sa complexité.
Mais si le rythme du changement dépasse celui de la surveillance en matière de sécurité, les organisations en pâtiront. Elles seront victimes d'attaques par ransomware, d'exfiltration de données, d'attaques de type « Business Email Compromise » (BEC), et bien d'autres encore. Les opérations pourraient être perturbées. Une entreprise pourrait se retrouver à devoir verser des dizaines de millions de dollars de rançon, puis des dizaines de millions supplémentaires à la Commission fédérale du commerce (FTC) des États-Unis si l'attaque entraînait la divulgation de données confidentielles relatives aux consommateurs.
C'est là tout le défi des DSI : mener à bien la transformation tout en s'adaptant à une surface d'attaque en constante évolution afin de protéger l'infrastructure informatique de l'entreprise.
Ce n'est pas facile.
Réduire la surface d'attaque informatique à l'ère de la transformation numérique
Les DSI ont besoin d'une combinaison d'outils, de processus et de ressources humaines pour faire face à ces menaces. Ces outils et ces processus présentent certaines exigences communes.
Visibilité en temps réel
Toute stratégie visant à sécuriser la surface d'attaque doit tenir compte de la nature en constante évolution de celle-ci. On ne peut pas protéger ce que l'on ne voit pas ; c'est pourquoi les DSI ne peuvent plus se contenter de rapports mensuels, voire hebdomadaires, pour cerner les vulnérabilités et atténuer les menaces. La gestion de la surface d'attaque nécessite l'accès à des données en temps réel et la capacité de passer de la détection à la réaction à la vitesse même des menaces. Des vulnérabilités peuvent apparaître dès qu'un terminal compromis se connecte au réseau ou qu'un composant logiciel obsolète est réinstallé à partir d'une sauvegarde. La préparation à la cybersécurité doit tenir compte des logiciels actuels et approuvés.
Dans la mesure du possible, les outils de surveillance des terminaux et des réseaux devraient fournir des informations en temps réel et permettre de mener des enquêtes en temps réel. Le fait de découvrir qu'un système a été compromis il y a deux semaines donne aux pirates une avance bien trop importante. D'ici là, le ransomware pourrait s'être propagé dans les centres de données et les différents sites, ou des données critiques pourraient avoir été identifiées et exfiltrées.
Facile à apprendre et à utiliser
Les DSI devraient choisir des outils qui offrent des capacités essentielles en matière de cybersécurité tout en ne nécessitant qu'un temps d'apprentissage minimal. Si de nouvelles équipes doivent mettre en place de nouvelles applications ou de nouveaux services, mettez à leur disposition des outils qui ne soient pas trop complexes. Laissez-les se concentrer sur leur travail plutôt que de se préoccuper de la gestion d'outils complexes ou peu maniables. Les compétences et la technologie sont des facteurs clés qui permettent à une organisation d'accélérer ses mesures de réponse face aux menaces émergentes. Cette agilité est essentielle, car l'environnement des cybermenaces devient de plus en plus volatile, incertain, complexe ou ambigu. Comme indiqué plus haut, une action précise et meurtrière qui intervient trop tard aboutit au même résultat que l'inaction. La rapidité est un élément indispensable à l'utilisation efficace des capacités cybernétiques.
Autre élément à prendre en compte : les DSI devraient choisir des outils qui facilitent la collaboration entre les équipes de sécurité et d'exploitation lorsqu'elles doivent faire face à de nouvelles menaces. La faille « Log4j » ne sera pas la dernière vulnérabilité grave à apparaître dans le code source. Les équipes chargées de la sécurité et des opérations ont besoin d'outils leur permettant de s'adapter rapidement afin de faire face à la menace de sécurité la plus urgente.
Couverture complète
Choisissez des outils qui assurent la couverture la plus large possible des terminaux et des autres actifs informatiques. Malheureusement, la plupart des systèmes d'évaluation des vulnérabilités et de gestion des terminaux négligent un pourcentage important de terminaux — pouvant atteindre 20 % dans de nombreux cas. Lorsque le service informatique ne parvient pas à identifier les terminaux, il ne peut ni les surveiller ni détecter les signes d'une intrusion, ni les inclure dans les calendriers de mise à jour automatisés. Cela contribue à une mauvaise hygiène informatique, à des divergences dans la configuration des terminaux et à des outils défaillants qui ne fonctionnent pas au moment où l'on en a besoin. La visibilité sur les terminaux devient une condition sine qua non pour une approche efficace de la gestion d'une surface d'attaque complexe.
La surface d'attaque comprend l'ensemble des terminaux et des systèmes connectés au réseau de l'organisation. Les DSI doivent s'assurer qu'ils ont une vue d'ensemble de la surface d'attaque, et non pas seulement de certaines parties de celle-ci.
Centralisation et automatisation
Dans la mesure du possible, les DSI devraient opter pour des outils interopérables afin que les données soient visibles, accessibles et compréhensibles, et que les tâches puissent être automatisées dans les différents domaines fonctionnels de la sécurité informatique, tels que la détection des menaces et la gestion des correctifs.
L'adoption d'une approche « interarmées » et l'utilisation de plusieurs outils qui fonctionnent bien ensemble facilitent la mise en place de processus rationalisés pour les tâches de sécurité. L'automatisation devient également plus simple. La possibilité de passer d'une fonctionnalité à l'autre au sein d'une même plateforme peut s'avérer déterminante pour les analystes des centres d'opérations de sécurité (SOC), car cela leur évite de perdre du temps à basculer d'un ensemble d'outils à un autre pour enquêter sur les incidents et atténuer les menaces.
Équipes et talents
Les outils ne constituent pas le seul élément d'une stratégie efficace de réduction des menaces. Les DSI ont besoin d'un personnel capable de réfléchir, doté des connaissances, des compétences et des aptitudes (KSA) nécessaires pour mener à bien des tâches dans des délais serrés, ce qui permet d'accélérer le processus allant de la détection à la réaction, puis à la reprise. Cette approche tire parti des capacités des outils pour améliorer les processus organisationnels en synchronisant ces capacités et ces processus afin de protéger au mieux la surface d'attaque en constante évolution de l'organisation.
Par exemple, les organisations peuvent recourir aux « Red Teams » d’ et à des tests d’intrusion sur l’ensemble de leur infrastructure informatique en constante évolution afin de détecter de nouvelles vulnérabilités avant que les attaquants ne le fassent. Les résultats de ces exercices permettent ensuite de renforcer la protection des surfaces d'attaque, tout en alimentant les processus d'apprentissage au sein de l'organisation. Ces « séries et répétitions » constituent des occasions d'apprentissage inestimables qui renforcent les compétences, les connaissances et les aptitudes (KSA) du personnel spécialisé dans la cybersécurité.
Les équipes chargées de la sécurité et du développement d'applications peuvent associer des experts en sécurité dès les phases de conception et de planification des projets de transformation numérique, afin que la sécurité soit intégrée dès le départ dans les nouveaux produits et services, plutôt que d'y être ajoutée après coup.
Zero Trust
Les DSI devraient adopter une stratégie « Zero Trust » de type « » afin de réduire la surface d'attaque et d'empêcher les pirates de se déplacer facilement au sein du réseau. Dans un modèle « Zero Trust », aucun utilisateur, processus ou appareil n'est considéré comme fiable sans avoir été soumis à une forme quelconque de vérification. En d'autres termes, l'accès à un service ou à une ressource réseau n'est pas accordé sans vérification de la conformité de l'appareil, des rôles de l'utilisateur et de la réussite de l'authentification. En effet, l'accès est refusé à tout le monde et à tout, à l'exception des utilisateurs, des appareils et des processus autorisés conformément à la mission de l'organisation.
En fermant les ports, les adresses IP et les protocoles inutiles, les services informatiques réduisent la taille de leur surface d'attaque tout en compliquant la tâche des pirates qui tentent de s'introduire dans un réseau et de s'y déplacer latéralement, à la recherche de données sensibles ou dans le but de propager des ransomwares.
En s'appuyant par défaut sur les principes de sécurité « Zero Trust » dans le cadre de leurs initiatives de transformation numérique, les DSI peuvent réduire les surfaces d'attaque et s'assurer que leurs nouveaux services et infrastructures informatiques sont résilients et prêts à soutenir les opérations commerciales numériques.
Conclusion
La transformation numérique est un processus sans fin. Pour survivre et prospérer, les organisations doivent continuer à innover, à lancer de nouveaux produits et services et à optimiser ceux qui existent déjà. En conséquence, la surface d'attaque de chaque organisation continuera d'évoluer et, très probablement, de s'étendre.
Les DSI ont besoin d'outils, de processus et d'un personnel qualifié pour s'adapter à ces changements et aux menaces en constante évolution des pirates, afin que l'infrastructure informatique de l'entreprise reste toujours sécurisée.
Dans un autre article de blog, j'aborderai les avantages pour les DSI d'adopter un cadre d'analyse de la « kill chain » pour gérer les menaces pesant sur la surface d'attaque.
En attendant, vous pouvez programmer une démonstration (s'ouvre dans un nouvel onglet) pour en savoir plus sur les solutions Tanium destinées à sécuriser la surface d'attaque de votre organisation.
