L'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) a publié une directive d'urgence « » 17 décembre 2021, exigeant des agences fédérales qu'elles corrigent immédiatement les vulnérabilités de leurs réseaux liées à la faille « Log4j » . Le message : si vous ne pouvez pas appliquer de correctif, supprimez le logiciel concerné de votre réseau. Et faites-le aussi vite que cela est humainement et techniquement possible.
« Immédiatement » n'est qu'un clin d'œil pour n'importe quel projet informatique, sans parler d'un projet qui doit composer avec l'énorme bureaucratie du gouvernement américain et ses innombrables prestataires tiers. Mais ce n'était pas la première fois que la CISA demandait aux agences d'appliquer les correctifs dès que possible. Un mois plus tôt, elle avait publié une directive opérationnelle contraignante (BOD) intitulée « » ( ), qui concernait environ 290 vulnérabilités critiques connues exploitées par des acteurs malveillants depuis 2017. (Pour certaines vulnérabilités, la CISA a accordé aux agences 60 jours, voire six mois, pour appliquer les correctifs, tandis que pour d'autres, ce délai n'était que de deux semaines.)
[À lire également : Une lettre adressée aux PDG concernant la vulnérabilité « Log4j »]
L'urgence, ainsi que les délais serrés imposés par la CISA, sont compréhensibles. Ses directives précédentes ont mis en lumière les défis auxquels sont confrontées de nombreuses agences fédérales pour assurer la visibilité sur l’ensemble de leurs réseaux, en particulier sur les milliers de terminaux utilisés par les télétravailleurs et ceux intégrés aux applications cloud, ainsi que pour fournir des correctifs logiciels rapides et en temps réel .
En 2015, les chercheurs de la CISA ont constaté que près d’une faille de sécurité sur trois au sein des agences fédérales nécessitait en moyenne 200 jours ou plus pour être corrigée. Trois ans plus tard, l’agence a tenté d’accélérer le processus de correction en publiant une directive (BOD) visant à corriger toutes les vulnérabilités connues en 15 jours.
Alors que seulement 4 % des failles de sécurité visées par cette directive avaient été exploitées en conditions réelles, les pirates ont ciblé 42 % d'entre elles dès le 0 e jour (premier jour de l'annonce de la nécessité d'un correctif de sécurité), 50 % dans les deux jours suivant cette annonce, et 75 % dans les 28 jours.
Cyber-risk 101
CISA’s patching directives are “risk management 101,” says Suzanne Spaulding, senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies. « Il faut tenir compte de la gravité et de la probabilité. » « Il s’agit de vulnérabilités qui, si elles sont exploitées, peuvent avoir des conséquences très graves et qui sont, par ailleurs, les plus susceptibles d’être exploitées. »
Le catalogue « » de la CISA, accessible à l'adresse , répertorie les failles de sécurité figurant dans son rapport «BOD» ; il couvre les logiciels et les configurations logicielles fournis par de nombreux grands éditeurs, notamment Adobe, Apple, Cisco, Google, Microsoft, Oracle et SolarWinds, qui sont tous déployés sur les réseaux fédéraux.
Le catalogue des risques de la CISA reflète le constat selon lequel les acteurs malveillants actuels ont, de manière stratégique, « enchaîné » plusieurs vulnérabilités lors de leurs récentes attaques.
Il s’agit d’une tactique que le collectif de pirates russes « Nobelium » a utilisée pour exploiter un ensemble d’ , composé de quatre failles , dans Microsoft Exchange Server lors de plusieurs attaques menées en début d’année. Ce collectif a tiré parti de failles de faible gravité pour s’introduire dans un réseau, puis a progressivement exploité d’autres vulnérabilités afin d’élever ses privilèges d’accès et d’accéder à des données et protocoles plus sensibles.
Les dos d'âne sont légion
Il est essentiel de corriger les failles à haut risque, et ce, dans les plus brefs délais. Mais ce n'est pas toujours facile. « L’installation d’un correctif donné pourrait perturber l’ensemble du réseau d’une administration », explique M. Spaulding. Ce qui rend la tâche encore plus difficile : les agences fédérales et les prestataires civils évoluent dans un environnement informatique hétérogène comprenant des plateformes héritées, des micrologiciels « » et des logiciels. La pandémie ayant imposé le passage au télétravail, les solutions d’accès VPN basées sur le cloud et les terminaux « » ont connu une croissance fulgurante.
«C'est une entreprise colossale. » Vous ne pouvez tout de même pas vous attendre à ce que les agences laissent tout tomber pour mettre en place ces correctifs immédiatement. »Bud Broomhead, PDG de Viakoo
Pour qu’une agence puisse répondre de manière concrète aux exigences du BOD de la CISA, elle devra procéder à un inventaire de l’ensemble de ses ressources réseau et « identifier les systèmes nécessitant l’application de correctifs, ainsi que l’impact que ces correctifs auront sur leurs logiciels actuels », explique Jamil Jaffer, directeur exécutif du National Security Institute.
Cela implique de mener un processus complet d’ , de découverte et d’inventaire de l’ensemble des logiciels, micrologiciels et terminaux de l’agence et des fournisseurs, y compris les serveurs sur site et dans le cloud, les ordinateurs de bureau, les appareils mobiles et les capteurs IoT. Par la suite, les administrations doivent corriger, supprimer ou remplacer tout élément vulnérable, ainsi que s'assurer que toutes les mises à jour logicielles et les configurations sécurisées d' sont correctement installées et fonctionnent correctement.
[À lire également : Un ancien ministre de la Défense : « Nous sommes notre pire ennemi »]
« C'est un projet d'une ampleur considérable », déclare Bud Broomhead, PDG de Viakoo, une entreprise qui, entre autres services, contribue à la sécurisation des appareils connectés. « Vous ne pouvez tout de même pas vous attendre à ce que les agences laissent tout tomber pour mettre en place ces correctifs immédiatement. »
Compte tenu de l'ampleur de la tâche, M. Broomhead estime qu'il serait à la fois peu pratique et irréaliste de s'y attaquer manuellement. « Nous n’avons tout simplement pas assez de personnel à y affecter », fait-il remarquer. « En réalité, l’automatisation est indispensable, mais seule une infime partie des agences l’a mise en place. »
Même l'automatisation des mises à jour logicielles pourrait ne pas suffire. Exemple concret : lors de l'attaque contre SolarWinds, des pirates informatiques russes ont utilisé une mise à jour logicielle de routine comme cheval de Troie de type « », en injectant un code malveillant dans le logiciel Orion, qui a ensuite été téléchargé par 18 000 utilisateurs sur une période de quatre mois au printemps 2020.
Les lacunes du conseil d'administration de la CISA
Les correctifs peuvent constituer une solution à court terme face aux vulnérabilités, mais une refonte plus en profondeur sera nécessaire pour véritablement renforcer la cybersécurité des pouvoirs publics à long terme.
« Chaque organisme suit son propre parcours en matière de sécurité », déclare M. Broomhead. « L'objectif final, c'est le modèle "zero trust". »
Étant donné que, selon certaines études , 61 % des violations de données seraient dues à la fuite d'identifiants, l'authentification multifactorielle (MFA) constitue une étape essentielle vers la mise en place d'une stratégie « zero trust ». (L'attaque contre Colonial Pipeline, rapportée par l' , a été associée à la fuite d'un seul mot de passe.) Mais la CISA a tardé à promouvoir l'authentification multifactorielle (MFA). Elle n'a fait qu'ajouter l'authentification à usage unique à sa liste des « mauvaises pratiques » de l' , disponible à l'adresse août 2021.
Alors que le décret présidentiel de juin de l’administration Biden imposait à toutes les agences et à tous les prestataires de mettre en œuvre l’authentification multifactorielle (MFA) dans un délai de 180 jours, M. Biden lui-même a admis lors d’une conférence de presse que le pouvoir exécutif ne pouvait pas « imposer » des protocoles de sécurité aux prestataires civils fédéraux.
Une autre faille de sécurité majeure que le conseil d'administration néglige de traiter : les VPN vulnérables, qui ne permettent en aucun cas de surveiller et de contrôler de manière les activités d'accès à distance. En cas d'attaque, les VPN ne conservent pas d'historique de l'activité réseau permettant de remonter à la source de la faille. En octobre, la CISA a publié des recommandations intitulées « » ( ) visant à renforcer la sécurité des accès à distance. Mais en l'absence d'un cadre solide permettant de contrôler et de garantir le respect de ces principes, celles-ci ne sont guère plus que des idées.
«Je pense en effet qu’un mécanisme de conformité et de mise en application est très important. » Je pense que nous devrions nous pencher sur la question des amendes. »Jen Easterly, directrice de la CISA
Même si le conseil d'administration de la CISA s'efforce de colmater les failles de sécurité, la mise en œuvre de ces mesures semble difficile, voire impossible. Le délai de deux semaines a expiré le 17 novembre, mais l'agence ne s'est pas encore prononcée sur le nombre d'organismes et de prestataires qui se sont conformés à la directive, et encore moins sur le degré de conformité.
« En fin de compte, la CISA dispose de moyens limités pour faire respecter ces dispositions », déclare M. Jaffer. « En fin de compte, le président et le Congrès devront jouer un rôle dans le contrôle de ces directives. » « C’est ce qui va accroître la pression sur les responsables des agences pour qu’ils accomplissent le plus de choses possible, le plus rapidement possible. »
La directrice de la CISA, Jen Easterly , a d'ailleurs reconnu ce fait lorsqu'elle a témoigné lors d'une audition de la commission sénatoriale de la sécurité intérieure et des affaires gouvernementales septembre 2021 . « Je pense en effet qu’un mécanisme de conformité et de contrôle de l’application est très important », a-t-elle déclaré devant la commission. « Je pense que nous devrions envisager des amendes. »
« Les amendes constitueraient bien sûr le pire des scénarios pour une agence, car elles auraient un impact sur les fonds disponibles, tant pour les besoins opérationnels que pour la cybersécurité », explique M. Jaffer. « Ce qu’il faudrait, c’est que les agences prennent les devants et mettent en œuvre les directives de la CISA, idéalement avant que le Congrès n’envisage de leur accorder ce pouvoir. »
Le scénario le plus favorable ? Dans un environnement cybernétique où les acteurs malveillants recherchent sans relâche des failles à exploiter, jour après jour, les agences fédérales et leurs partenaires tiers doivent aller au-delà des correctifs à court terme pour adopter une stratégie à long terme fondée sur le principe du « zéro confiance » — et elles doivent agir rapidement.
