La Cybersecurity and Infrastructure Security Agency (CISA) a envoyé une directive d’urgence 17 décembre 2021exigeant que les agences fédérales corrigent immédiatement leurs réseaux pour les vulnérabilités Log4j . Le message : si vous ne pouvez pas appliquer de correctif, supprimez le logiciel affecté de votre réseau. Et faites-le aussi rapidement que possible sur le plan humain et technologique.
Immédiatement est le clignement d’œil pour tout projet informatique, et encore moins un projet qui couvre l’immense bureaucratie du gouvernement américain et de ses innombrables fournisseurs tiers. Mais ce n’était pas la première fois que la CISA demandait aux agences de corriger le problème dès que possible. Un mois plus tôt, elle avait publié une directive opérationnelle contraignante (BOD) qui s’appliquait à environ 290 vulnérabilités critiques connues que les acteurs malveillants exploitent depuis 2017. (Pour certaines vulnérabilités, le CISA a donné aux agences 60 jours, voire six mois pour corriger, et pour d’autres vulnérabilités, seulement deux semaines.)
[Lire également : une lettre aux PDG sur la vulnérabilité Log4j ]
L’urgence et les délais serrés de la CISA sont compréhensibles. Ses directives précédentes ont mis en lumière les défis auxquels de nombreuses agences fédérales sont confrontées pour obtenir une visibilité sur leurs réseaux, en particulier sur les milliers d’endpoints utilisés par les travailleurs à distance et ceux contenus dans les applications cloud, et pour fournir des correctifs logiciels rapides et en temps réel.
En 2015, les chercheurs de la CISA ont découvert que près d’un défaut de sécurité sur trois dans les agences fédérales prenait en moyenne 200 jours ou plus à corriger. Trois ans plus tard, l’agence a essayé d’accélérer l’application des correctifs, en émettant un BOD pour corriger toutes les vulnérabilités connues en 15 jours.
Alors que seulement 4 % des failles de sécurité ciblées dans cette directive avaient été exploitées de manière sauvage, les pirates informatiques ont ciblé 42 % d’entre eux le Jour 0 (le premier jour de la divulgation où un correctif de sécurité était nécessaire), 50 % dans les deux jours suivant cette divulgation et 75 % dans les 28 jours.
Cyber-risque 101
Les directives de CISA en matière de correctifs sont « risk management 101 », déclare Suzanne Spaulding, conseillère principale pour la sécurité intérieure et directrice du projet Defending Democratic Institutions au Center for Strategic and International Studies. « Vous examinez les conséquences et la probabilité. Il s’agit de vulnérabilités qui sont toutes deux potentiellement à haute conséquence si elles sont exploitées et qui sont les plus susceptibles d’être exploitées. »
Le catalogue continu de failles de sécurité de la CISA répertorié dans son BOD comprend les logiciels et les configurations logicielles fournies par un grand nombre de fournisseurs de logiciels, notamment Adobe, Apple, Cisco, Google, Microsoft, Oracle et SolarWinds, qui sont tous déployés sur des réseaux fédéraux.
Le catalogue des risques CISA est une reconnaissance du fait que l’éventail actuel d’acteurs malveillants a « chaîné » stratégiquement plusieurs vulnérabilités dans leurs attaques récentes.
Il s’agit d’une tactique que le collectif russe de piratage informatique Nobelium a utilisée pour exploiter un ensemble de quatre failles de Microsoft Exchange Server dans plusieurs attaques plus tôt cette année, en tirant parti des failles de faible gravité pour prendre pied dans un réseau, puis en utilisant progressivement d’autres faiblesses pour faire remonter leur accès privilégié à des données et protocoles plus sensibles.
Les bosses de vitesse abondent
Il est essentiel de corriger les vulnérabilités à haut risque et de le faire rapidement. Mais ce n’est pas toujours facile. « L’installation d’un correctif donné pourrait perturber l’ensemble du réseau d’une agence », déclare Spaulding. Encore plus difficile : les agences fédérales et les entrepreneurs civils travaillent dans un paysage informatique patchwork englobant les plateformes, les micrologiciels et les logiciels existants. Alors que la pandémie a forcé un passage au travail à distance, les itinéraires d’accès VPN basés sur le cloud et les endpoints des appareils ont explosé.
« C’est une entreprise massive. Vous ne pouvez pas vous attendre à ce que les agences suppriment tout et fassent ces correctifs immédiatement. »Bud Broomhead, PDG de Viakoo
Pour que toute agence réponde de manière significative aux exigences du BOD de CISA, elle devra passer par un processus d’inventaire de tous ses actifs réseau et « identifier les systèmes qui doivent être corrigés et identifier l’impact de ce que les correctifs auront sur leur logiciel actuel », déclare Jamil Jaffer, directeur exécutif du National Security Institute.
Cela signifie mener un processus de découverte et d’inventaire approfondi de tous les logiciels, micrologiciels et endpoints des agences et des fournisseurs, y compris les serveurs sur site et cloud, les ordinateurs de bureau, les appareils mobiles et les capteurs IoT. Ensuite, les agences doivent corriger, supprimer ou remplacer tout actif vulnérable, et s’assurer que toutes les mises à jour logicielles et configurations sécurisées sont correctement installées et fonctionnent.
[Lire également : Ex-chef de la défense—« Nous sommes notre pire ennemi »]
« C’est une entreprise massive », déclare Bud Broomhead, PDG de Viakoo, qui, entre autres services, aide à sécuriser les appareils IoT. « Vous ne pouvez pas vous attendre à ce que les agences abandonnent tout et fassent ces correctifs immédiatement. »
Compte tenu de l’échelle de la tâche, Broomhead affirme que la traiter manuellement est à la fois irréaliste et irréaliste. « Il n’y a tout simplement pas assez de corps pour le lancer », note-t-il. « En réalité, vous avez besoin d’une automatisation, mais seule une très petite fraction des agences disposent d’une automatisation en place. »
Même l’automatisation des mises à jour logicielles peut ne pas suffire. Cas concret : dans l’attaque SolarWinds, les pirates russes ont utilisé une mise à jour logicielle de routine comme cheval de Troie, insérant du code malveillant dans le logiciel d’Orion, qui a ensuite été téléchargé par 18 000 utilisateurs pendant quatre mois au printemps 2020.
Où le BOD de la CISA ne fonctionne pas
L’application de correctifs peut offrir une solution à court terme aux vulnérabilités, mais une révision plus robuste sera nécessaire pour véritablement renforcer la cybersécurité gouvernementale sur le long terme.
« Chaque agence est sur un parcours de sécurité », déclare Broomhead. « L’objectif final est le Zero Trust. »
Étant donné que 61 % des violations de données signalées sont causées par des informations d’identification divulguées, l’ authentification multifacteur (AMF) est une étape essentielle pour atteindre la confiance zéro. (L’ attaque Colonial Pipeline a été liée à un seul mot de passe ayant fait l’objet d’une fuite.) Mais la CISA a été lente à pousser pour l’AMF. Elle n’a ajouté que l’authentification à usage unique à sa liste de « mauvaises pratiques » dans août 2021.
Alors que le décret de juin de l’administration Biden exigeait que toutes les agences et tous les fournisseurs mettent en œuvre l’AMF dans les 180 jours, Biden a lui-même admis lors d’une conférence de presse que la branche exécutive ne peut pas « dicter » les protocoles de sécurité aux entrepreneurs civils fédéraux.
Une autre faiblesse majeure en matière de sécurité que le BOD ne corrige pas : les VPN vulnérables, qui ne permettent pas de surveiller et d’auditer l’activité d’accès à distance. Si une attaque se produit, les VPN ne conservent pas un journal historique de l’activité réseau pour suivre la source de la violation. En octobre, la CISA a fourni des directives pour renforcer la sécurité d’accès à distance. Mais sans un cadre robuste pour surveiller et assurer la conformité, ce ne sont pas plus que des idées.
« Je pense qu’un mécanisme de conformité et d’application est très important. Je pense que nous devrions examiner les amendes. »Jen Easterly, directrice CISA
Même avec le BOD de la CISA visant à corriger les fuites de sécurité, l’application semble difficile, voire impossible. La date limite de deux semaines est passée le 17 novembre, mais l’agence n’a pas encore commenté le nombre d’agences et de fournisseurs qui se sont conformés à la directive, et encore moins la totalité.
« En fin de compte, la CISA a une capacité limitée à faire appliquer ces choses », déclare Jaffer. « En fin de compte, le président et le Congrès devront jouer un rôle dans la supervision de ces directives. C’est ce qui augmentera la pression exercée sur les chefs d’agence pour accomplir le plus rapidement possible. »
La directrice de la CISA , Jen Easterly , a admis tout autant lorsqu’elle a témoigné lors d’une audience du Comité de sécurité intérieure et des affaires gouvernementales du septembre 2021 Sénat. « Je pense qu’un mécanisme de conformité et d’application est très important », a-t-elle déclaré au comité. « Je pense que nous devrions examiner les amendes. »
« Les amendes seraient, bien sûr, un pire scénario pour une agence, car elles auraient un impact sur les fonds de résultat disponibles à la fois à des fins opérationnelles et de cybersécurité », déclare Jaffer. « Ce que vous souhaitez voir, c’est que les agences prennent de l’avance sur cela et mettent en œuvre les directives CISA, idéalement avant que le Congrès n’envisage de fournir une telle autorité. »
Le meilleur scénario ? Dans un cyberenvironnement où les acteurs malveillants recherchent des failles à exploiter toute la journée, chaque jour, les agences fédérales et leurs partenaires tiers doivent aller au-delà des correctifs à court terme vers une stratégie à long terme de « Zero Trust », et ils doivent aller rapidement.
