Qu'est-ce que la préparation à la cybersécurité ? Il s'agit d'une discipline des technologies de l'information (TI) qui repose sur une approche « » (), « Left of Bang » () et « » () en matière de gestion des terminaux, de détection des menaces en temps réel et de correction rapide des menaces. Dans le cadre d'opérations de combat, l'approche « left of bang » ( ) consiste à concevoir des opérations visant à créer un avantage avant l'attaque, le premier tir et l'explosion. Cela peut consister à mener un convoi au moment opportun, à choisir l'itinéraire approprié, à traquer les malfaiteurs ou à réagir de manière imprévisible aux événements afin de semer la confusion chez l'attaquant. L'approche « Left of bang » consiste à rechercher les menaces, puis à évaluer rapidement les risques et les conséquences afin de contrer ces menaces. En reliant ces concepts à la gestion des terminaux, à la détection des menaces en temps réel et à la correction rapide de ces dernières, la visibilité devient le dénominateur commun. La visibilité est essentielle à la chasse aux menaces ; il s'agit d'une capacité fondamentale qui permet d'assurer l'hygiène informatique, la détection des menaces et l'évaluation des mesures de lutte contre celles-ci.
Dans un article de blog précédent intitulé « » (), j’avais proposé cette équation comme moyen concis d’expliquer la préparation à la cybersécurité.
Hygiène informatique + Détection des menaces + Mesures de lutte contre les menaces = Préparation à la cybersécurité
Voici une brève explication de chacun de ces éléments :
- L'« Cyberhygiène » met l'accent sur les terminaux et les réseaux, en veillant à ce que toutes les mesures de protection aient été mises en œuvre de manière appropriée.
- La détection des menaces consiste, comme son nom l'indique, à détecter rapidement les menaces, qu'il s'agisse d'attaques par ransomware qui paralysent les appareils ou d'attaques de type « Business Email Compromise » (BEC) qui incitent les employés à transférer des fonds à des criminels. La détection rapide et précise des menaces permet aux équipes de sécurité d'empêcher celles-ci de se propager au sein de l'entreprise et de causer davantage de dégâts.
- Les mesures de lutte contre les menaces consistent à prendre des mesures pour mettre fin aux attaques et, parfois même, à compromettre les capacités des attaquants.
Si une organisation met correctement en œuvre ces pratiques, elle améliorera considérablement sa préparation face aux cybermenaces, c'est-à-dire sa capacité à prévenir et à résister aux cyberattaques.
Cyber-hygiène : préserver le bon fonctionnement de notre environnement informatique
Examinons de plus près le premier de ces éléments : l'hygiène informatique. L'hygiène, qui est avant tout un terme médical, désigne la pratique consistant à préserver la santé et à prévenir les maladies grâce à la propreté. En matière de cybersécurité, la « cyber-hygiène » permet de prévenir les attaques en éliminant les vulnérabilités, les défauts logiciels, les failles de sécurité ou les erreurs de configuration. Ces mesures s'apparentent au lavage des mains, qui permet d'éliminer les germes et d'empêcher la propagation des maladies. Mark Rober l'a démontré dans sa vidéo YouTube intitulée «: expérience montrant comment les germes se propagent », qui montrait à quel point les germes se propagent facilement.
La cyber-hygiène présente de nombreux points communs avec l'hygiène médicale, dans la mesure où l'objectif est d'éliminer les vulnérabilités ou les menaces, c'est-à-dire les moyens par lesquels un pirate pourrait s'introduire dans votre réseau. Nous devons savoir ce qui se passe sur chaque terminal (c'est-à-dire chaque ordinateur portable, ordinateur de bureau, serveur, appareil IoT, application cloud, etc.), quel que soit son emplacement et le réseau auquel il se connecte. En effet, nous avons besoin d'une collecte continue de données relatives à l'hygiène informatique pour chaque terminal que nous cherchons à sécuriser. Et nous avons besoin de mesures (comme les politiques de sécurité informatique ou les bonnes pratiques de renforcement de la sécurité des terminaux) pour repousser les attaquants et rétablir la pleine capacité opérationnelle des terminaux. D'un point de vue technique, il est indispensable que notre environnement technologique soit pleinement opérationnel et exempt de défauts. Une approche « » (à gauche du «bang») permet de maintenir nos opérations informatiques et notre environnement de sécurité dans un état optimal en permanence.
Examinons de plus près les quatre exigences en matière d'hygiène informatique.
Exigence n° 1 : une visibilité complète
Notre première exigence est une visibilité complète : une visibilité sur chaque terminal traitant les données de l'entreprise ou se connectant à ses réseaux.
La visibilité globale semble être un objectif évident qui peut être atteint à l'aide d'un outil de surveillance de base. En réalité, la visibilité sur les terminaux constitue un défi pour la plupart des services informatiques, même ceux qui ont considérablement investi dans la cybersécurité. Les organisations disposent souvent de nombreux outils permettant de recenser leurs terminaux, et les résultats fournis par ces différents outils sont systématiquement incohérents. Cette incohérence résulte à la fois d'une couverture insuffisante des terminaux et d'un BZO médiocre de l'environnement. Soit les outils sont déployés mais ne sont pas encore pleinement opérationnels, soit l'outil n'est tout simplement pas déployé du tout. Des audits approfondis des réseaux d'entreprise révèlent que la plupart des organisations négligent 10-20 % des terminaux.
Pourquoi ce manque de visibilité ? De nombreux produits de gestion des terminaux ne fonctionnent qu'avec certains systèmes d'exploitation et certains types d'appareils, ou bien leur algorithme de détection ne fonctionne qu'avec les appareils sur lesquels un logiciel de gestion des terminaux est déjà installé. En d'autres termes, ces produits peuvent confirmer ce que vous savez déjà, mais ils ne peuvent pas détecter ce que vous auriez pu négliger : les germes invisibles présentés dans la vidéo YouTube de Mark Rober. Il en résulte un écart entre l'ensemble des terminaux représentant des menaces pour la cybersécurité et l'ensemble plus restreint de terminaux que l'équipe de sécurité estime gérer.
Malheureusement, un adversaire tel qu'un groupe de pirates spécialisés dans les ransomwares n'a besoin de compromettre qu'un seul terminal pour prendre pied au sein d'une organisation. Les équipes de sécurité ne peuvent pas se permettre de négliger le moindre terminal, et encore moins 10 % ou 20 % de leur parc de terminaux.
Assurez-vous de disposer d'un moyen de recenser et de gérer tous les terminaux de votre environnement, y compris ceux situés dans les bureaux à domicile, les espaces de travail à distance et les environnements cloud. Vous aurez alors satisfait à la première exigence importante en matière de cyber-hygiène, telle que définie par l' .
Exigence n° 2 : Visibilité en temps réel
Une fois que vous aurez mis en place une visibilité complète, vous devrez vous assurer de disposer d'une visibilité continue et en temps réel sur l'état de tous vos terminaux, qu'ils soient locaux ou distants. L'approche « » (avant le « bang ») repose essentiellement sur un avantage décisionnel ; cet avantage est alimenté par les données des terminaux.
Assurez-vous de pouvoir répondre à ces questions :
- De quel type de terminal s'agit-il ?
- Quels logiciels y ont été installés ?
- Quels outils de sécurité sont installés, configurés et en bon état de fonctionnement sur le terminal ?
- Quels processus sont en cours d'exécution sur le terminal ?
- Si le terminal a été impliqué dans une activité à risque, avec quels autres terminaux communiquait-il ?
Les équipes de sécurité doivent être en mesure de répondre rapidement à ces questions en enrichissant et en contextualisant les événements ou les risques à l'aide des données issues des terminaux. Si les fonctions métier permettent de déterminer si un terminal fait partie du Key-Cyber Terrain (KCT), la visibilité en temps réel permet, grâce aux données, de contextualiser les risques et les conséquences dans le cas où un adversaire s'emparerait d'un terminal KCT. Si une attaque est en cours, la consultation d'un rapport de conformité, de changement ou de configuration datant du mois dernier n'apportera que très peu d'informations par rapport à une visibilité en temps réel. Pour réagir rapidement et efficacement, vous devez savoir quels logiciels sont actuellement installés et actifs, afin de pouvoir cerner leurs vulnérabilités et les menaces qui pèsent sur eux. Vous devez également pouvoir voir ce qui se passe sur n'importe quel terminal à tout moment. Vous devez avoir l'esprit d'un chasseur, avec une mentalité du type « left of bang » . Vous devez détecter les processus, les activités et les comportements qui n'ont pas leur place sur le terminal.
La visibilité en temps réel est un élément clé pour la planification, la prise de décision et la détection des menaces. Il s'agit donc d'un élément essentiel de la cyberhygiène.
Exigence n° 3 : Visibilité approfondie sur les logiciels – Informations détaillées sur la nomenclature logicielle (SBOM)
La faille de sécurité du logiciel « Log4Shell » (ou Log4j) (CVE-2021-44228), signalée pour la première fois sur 9 décembre 2021, a bouleversé à jamais le domaine de la cybersécurité en entreprise. Il s'agissait d'un composant logiciel open source largement utilisé, intégré à des milliers d'applications commerciales — y compris celles des grands noms les plus réputés du secteur des logiciels —, qui s'est avéré vulnérable aux attaques. Dans certains cas, cette vulnérabilité pourrait permettre aux cybercriminels de prendre le contrôle total de l'exécution des processus, ce qui leur permettrait d'exécuter tous les programmes ou toutes les commandes shell auxquels les applications auraient accès.
Dans la plupart des grandes entreprises, le composant Log4Shell était intégré non seulement dans les applications commerciales, mais également dans les applications développées en interne, ce qui a considérablement élargi le champ de recherche. Un correctif était disponible, à condition de pouvoir repérer tous les emplacements où la version Log4j avait été installée. Mais ce processus de découverte s'est avéré être un travail difficile et chronophage, en partie parce que son champ d'application était très vaste et englobait de nombreuses applications, mais aussi parce que les Log4Shell artefacts étaient regroupés dans des archives imbriquées les unes dans les autres au sein d'applications Java.
Pendant ce temps, les pirates s'activaient. Dans les 72 heures qui ont suivi l'annonce de cette faille de sécurité, les cybercriminels ont lancé plus de 800 000 attaques exploitant cette faille.
La norme Log4Shell a relevé le niveau d'exigence en matière de bonnes pratiques de cybersécurité. Avant la version Log4Shell, les équipes de sécurité pouvaient assurer une bonne gestion des correctifs en assurant le suivi des applications et des niveaux de correctifs ; après la version Log4Shell, elles ont pris conscience qu’elles avaient besoin d’une loupe ou d’une lumière infrarouge (IR) pour détecter les « germes » invisibles à l’œil nu : elles avaient besoin d’une visibilité sur l’ensemble des composants de chaque application et service fonctionnant sur leurs réseaux. Dans le jargon des chasseurs de menaces, nous souhaitons disposer d'une visibilité à toute heure de la journée ; nous avons besoin de lunettes de vision nocturne pour pouvoir examiner les logiciels en profondeur et évaluer les menaces, les vulnérabilités, la sécurité et l'état de préparation.
En d'autres termes, les équipes de sécurité ont désormais besoin d'une visibilité en temps réel sur les listes de composants logiciels (SBOM) .. Une SBOM est la liste de tous les composants qui constituent une application ou un service à un moment donné. Ce n'est qu'avec un tel niveau d'analyse détaillée que les équipes de sécurité pourront être prêtes à réagir lorsque la prochaine vulnérabilité d'un composant logiciel sera annoncée. Et compte tenu de l'utilisation généralisée des bibliothèques open source courantes, de la complexité des logiciels et du risque de défauts de conception, une nouvelle annonce similaire à la Log4j est inévitable.
Il convient de noter qu'une fonctionnalité développée dans la version 2007 n'a pas été conçue pour répondre au problème lié à la SBOM Log4j . Les capacités modernes sont extensibles, adaptables et agiles. Les capacités cybernétiques modernes s'apparentent davantage à un langage informatique qu'à une fonction monolithique au sein d'un programme. C'est là que l'opportunité et le travail se rejoignent dans l'histoire d'une réussite dans le domaine de la cybersécurité. La capacité à créer du contenu personnalisé est un facteur essentiel pour anticiper les menaces de demain. Le temps et l'espace constituent les contraintes de ce défi ; nous n'avons peut-être pas besoin de toutes les données, mais seulement de celles qui sont pertinentes pour prendre la bonne décision et mener l'action appropriée en temps opportun.
C'est pourquoi la maîtrise de la SBOM constitue désormais une exigence essentielle en matière de cyberhygiène.
Exigence n° 4 : Écarts de configuration (opérations de correction et gestion des logiciels)
Nous avons évoqué la nécessité d'identifier tous les terminaux et d'analyser leurs vulnérabilités et les risques qui y sont associés. Nous devons désormais trouver un moyen de renforcer leur sécurité en veillant à ce que chaque terminal dispose de la configuration adéquate, notamment en installant les correctifs, en mettant en œuvre une gestion active des logiciels et en configurant correctement chaque terminal. Pour rendre les terminaux résistants aux attaques, il est nécessaire de garantir une certaine prévisibilité, l'organisation devant réduire au minimum les variations de configuration. En substance, chaque terminal respecte la configuration prescrite.
Pour poursuivre notre métaphore sur l'hygiène, une mauvaise hygiène entraîne des facteurs de risque ; à l'inverse, une bonne hygiène améliore la santé et renforce la résilience en éliminant les germes susceptibles de provoquer des maladies. Nous allons désormais adopter une approche « » (à gauche du bang) afin d’améliorer l’état de préparation de notre environnement en le préservant des vulnérabilités, des erreurs de configuration et des logiciels obsolètes.
Chaque organisation dispose d'outils qu'elle utilise pour installer des correctifs et déployer des logiciels ; ces outils sont souvent des solutions ponctuelles qui demandent du temps et des efforts. Il en résulte que l'on obtient des résultats médiocres malgré le temps et les efforts consacrés. Les indicateurs de performance sont importants, mais c'est la diversité des configurations de l'ensemble des terminaux qui a le plus d'impact sur la préparation à la cybersécurité. Le rythme des correctifs et du déploiement des logiciels est important, mais la prise en charge de multiples configurations accroît la complexité et conduit à une approche réactive dictée par la conformité, des données obsolètes et des rapports historiques. Cela pourrait s'expliquer par un nombre excessif d'outils, entraînant des processus de gestion de la configuration complexes et disparates, ou bien le problème pourrait provenir d'un choix d'outils inadapté, d'un retard en matière de connaissances techniques au sein de l'organisation et d'une approche de la gestion de la configuration fondée sur le principe « travailler plus dur, et non pas plus intelligemment ».
Lorsque vous utilisez cinq ou dix outils différents pour analyser les appareils, évaluer les vulnérabilités, installer des correctifs, vérifier que ces derniers sont bien installés (avec de nombreux outils, les rapports indiquant que l'installation a réussi peuvent être largement exagérés) et générer des rapports à des fins d'audit et de conformité, le processus lui-même devient un nouveau type de risque. Certaines étapes pourraient être omises ou retardées. Les formats des données et des rapports peuvent varier. Des détails importants pourraient passer inaperçus. Ces processus pourraient se prolonger de manière dangereuse.
En revanche, une gestion efficace des correctifs permet de :
- En s'appuyant sur les informations relatives à l'état des correctifs et à la SBOM recueillies par d'autres outils de gestion des terminaux et flux de travail
- Installer les correctifs rapidement et efficacement sans compromettre les performances des terminaux ou du réseau
- Génération de rapports sur l'état en temps réel des terminaux
- Aider les équipes de sécurité à identifier et à résoudre rapidement les problèmes dès l'annonce de nouvelles attaques « zero-day »
- Intégration avec d'autres aspects de la gestion des terminaux afin d'assurer des transitions fluides entre les opérations liées aux terminaux
En centralisant les outils au sein d'une plateforme unique, les équipes techniques peuvent éliminer les retards liés à l'application des correctifs tout en garantissant l'authenticité des logiciels intégrés à leur environnement, ce qui se traduit par une source unique de données faisant autorité, précise, accessible et gérée de manière active. En réalité, les organisations informatiques numériques modernes comptent de nombreuses équipes, et chacune d'entre elles a besoin d'une vue d'ensemble commune qui élargisse la recherche selon une approche « » («avant le coup») . Les organisations satisfont à la quatrième exigence en matière de cyber-hygiène en amenant toutes leurs équipes à l'intersection entre le travail et les opportunités, là où la collaboration peut donner lieu à des actions visant à réduire au minimum les écarts de configuration et à garantir que le réseau se trouve toujours dans un état connu.
L'hygiène informatique : un élément essentiel de la préparation à la cybersécurité
Le respect de ces quatre exigences en matière d'hygiène informatique permettra aux organisations de connaître et de comprendre l'état de leur environnement. Il en résultera un niveau accru de préparation face aux cybermenaces, qui permettra de réduire les surfaces d'attaque, de renforcer la sécurité des terminaux et de garantir que l'ensemble des terminaux soit exempt de vulnérabilités. Lorsque les équipes au sein de l'organisation partagent une vision commune fondée sur l'analyse des menaces, une solution efficace de gestion des terminaux permet aux organisations d'optimiser leur environnement grâce au travail d'équipe, à une bonne hygiène informatique et à une meilleure compréhension des écarts de configuration au sein de leur parc de terminaux. Ce niveau de vigilance confère un avantage décisionnel qui favorise l'agilité, la capacité d'adaptation et la prise de conscience des menaces.
Découvrez-en davantage sur la plateforme Tanium d' et son rôle dans la gestion des terminaux, notamment en matière de correctifs et de conformité.
