« Notre réseau est-il sécurisé ? » « Sommes-nous aussi bien protégés que possible contre les cybermenaces ? »
Aujourd'hui, tout responsable technologique peut s'attendre à ce qu'on lui pose ces questions, que ce soit de la part d'un dirigeant d'entreprise, d'un membre du conseil d'administration ou d'un commandant.
Pour répondre à ces questions en toute confiance, vous avez besoin d'un grand nombre de données : des données sur les terminaux, les niveaux de correctifs, l'activité réseau, les variantes de ransomware, etc. Vous devez également savoir où se trouvent ces données et comment les collecter et les analyser. Ce n'est qu'en collectant et en analysant ces données que vous pourrez procéder à une évaluation pertinente et exhaustive de la sécurité de votre réseau.
Pour la plupart des organisations, ce type d'analyse nécessite des enquêtes approfondies, s'étalant sur plusieurs semaines, voire plusieurs mois, menées auprès de spécialistes de l'informatique et de la sécurité. Même dans ce cas, l'analyse qui en résultera ne sera probablement pertinente qu'au moment où les données seront collectées, traitées et présentées. De nouvelles vulnérabilités et d'autres risques pourraient apparaître dès le lendemain, voire quelques minutes plus tard.
Une meilleure approche consiste à mettre en place des outils et des processus permettant de collecter en continu et en temps réel des données relatives à la sécurité. Grâce à des données en temps réel sur l'état des réseaux et des terminaux, vous pouvez apporter des réponses précises aux questions relatives à la sécurité globale. Vous pourrez ainsi décrire l'état de préparation de votre organisation en matière de cybersécurité un lundi matin, puis le décrire à nouveau avec précision un vendredi après-midi, même si votre entreprise a lancé un nouveau service le mercredi ou finalisé une acquisition le jeudi.
Et comme vous avez mis en place un système automatisé permettant d'obtenir à tout moment les réponses dont vous avez besoin, vous bénéficierez d'un avantage opérationnel pour vous défendre contre les attaques. En d'autres termes, vous aurez fait un pas de plus vers la préparation face aux cybermenaces.
Questions permettant d'évaluer l'état de préparation à la cybersécurité
La préparation à la cybersécurité consiste en définitive à répondre à trois questions distinctes, chacune portant sur un aspect différent de la cybersécurité. Ces questions sont les suivantes :
- Quel est l'état de mon réseau ? (Hygiène informatique)
- Quelles menaces puis-je détecter ? (Détection des menaces)
- Dans quels délais les mesures de lutte contre les menaces peuvent-elles être mises en œuvre ? (Mesures de lutte contre les menaces)
Ensemble, ces questions constituent la préparation à la cybersécurité. Si vous le souhaitez, vous pouvez aborder le problème sous un angle mathématique :
Hygiène informatique + Détection des menaces + Mesures de lutte contre les menaces = Préparation à la cybersécurité
Dans cette série d'articles, je vais aborder chacun de ces sujets en détail. Mais je vais tout d’abord commencer par vous parler de la mentalité défensive qui sous-tend cette approche de la cybersécurité. Il s'agit d'une philosophie mise au point par les Marines pendant la guerre en Irak. Cela s'appelle « Left of Bang ». Voici comment cela fonctionne.
Prévenir les attaques plutôt que d'y réagir
Au milieu de l'année 2006, le Corps des Marines des États-Unis s'est rendu compte qu'il lui fallait une nouvelle stratégie pour protéger ses troupes en Irak. L'insurrection irakienne battait son plein. Les insurgés enfouissaient des engins explosifs improvisés (EEI) sur les routes, et ces engins dissimulés faisaient des ravages. Rien qu'au mois de septembre, des engins explosifs improvisés ont blessé 776 Américains. Et ces engins, dont beaucoup étaient suffisamment puissants pour détruire un véhicule de combat Bradley de 27 tonnes, semblaient être partout. Au mois de juillet, 666 engins explosifs improvisés ont explosé. Les Marines ont découvert près d'un millier d'engins supplémentaires prêts à exploser.
(Pour un compte rendu détaillé de ces attaques et de la riposte des Marines, consultez Left of Bang : Comment le programme « Combat Hunter » du Corps des Marines peut vous sauver la vie , par Patrick Van Horne et Jason A. Riley.)
À ce stade de la guerre, les Marines étaient parfaitement entraînés à réagir efficacement en cas de problème. Mais le fait de réagir aux explosions d'engins explosifs improvisés ne permettait pas de réduire la fréquence des attaques. De même, ces mesures réactives ne contribuaient guère à réduire la puissance globale de l'insurrection. Les Marines avaient besoin d'une nouvelle stratégie.
Le général des Marines James Mattis, commandant de la Première Force expéditionnaire des Marines, souhaitait que les Marines prennent les devants et passent à l'offensive. Il souhaitait mettre en place un nouveau type d'entraînement pour les Marines — un entraînement qui leur permettrait d'adopter un « état d'esprit de chasseur », c'est-à-dire d'évaluer rapidement les situations, d'identifier les menaces potentielles et de choisir la ligne de conduite la plus efficace. C'est ainsi qu'est né le programme « Combat Hunter » des Marines.
L'idée principale de ce programme était de faire en sorte que les interventions des Marines aient lieu « avant le coup de feu ». Imaginez le déroulement d'un attentat à l'engin explosif improvisé. Au milieu de la chronologie, l'engin explosif improvisé explose. C'est ça, le clou du spectacle. À droite de la déflagration, on voit toutes les conséquences de l'explosion : un véhicule endommagé, des civils qui s'enfuient et des secouristes qui se précipitent sur les lieux.
À 2006, avant l'explosion — c'est-à-dire le moment sur la chronologie précédant l'explosion —, les insurgés s'affairaient principalement à planifier l'attaque, à fabriquer l'engin explosif improvisé et à l'enterrer dans la route. Les Marines n'avaient qu'une vague idée de ces activités. Par conséquent, très peu de leurs actions ciblées ont eu lieu avant le « bang ».
Le programme de formation « Combat Hunter » a changé la donne. Les marines ont appris à observer les comportements sociaux dans les lieux publics. Ils ont appris à repérer les anomalies, telles que les personnes dont le comportement ne cadrait pas avec l'ambiance de la rue ou du marché où elles se trouvaient. Ils ont appris à remarquer lorsque les habitants quittaient un endroit de manière inattendue, peut-être parce qu'ils savaient qu'une attaque allait avoir lieu. Et les Marines ont appris à passer à l'offensive au bon moment, en capturant les insurgés avant qu'ils n'aient pu frapper les premiers.
En tant que conseiller militaire en Irak entre 2005-2006, nous mettions en pratique les principes fondamentaux de la stratégie « Left of bang » afin de réduire les risques pour nos convois et d’améliorer la qualité de nos résultats – c’est-à-dire d’arriver à destination à l’heure et en toute sécurité. L'observabilité, l'agilité et la prévisibilité ont joué un rôle essentiel dans cette approche. Pour la plupart des Américains, Long Island, le Michigan et Tampa sont des lieux, mais pour les Marines et les soldats, ces termes désignent des itinéraires à haut risque où une approche « left of bang » a permis d'améliorer la préparation des convois. Savoir reconnaître le moment crucial, travailler en transcendant les cloisonnements et intégrer la technologie dans la planification de nos missions ont été des éléments clés pour assurer notre capacité de survie et la préparation de notre convoi.
En résumé, cette formation a permis aux Marines d'apprendre à :
- Identifier les menaces en fonction du comportement
- Évaluez les indices de menaces, qu'ils soient subtils ou manifestes, en vous appuyant sur le comportement humain, les intentions et le contexte
- Faites preuve d'esprit critique à la volée, en vous concentrant sur l'essentiel
- Prenez des décisions rapides et judicieuses en vous appuyant sur les informations dont vous disposez
La formation « Combat Hunter » a fait la différence. Du jour au lendemain, les Marines ont été capables de mieux analyser les situations. Ils ont ainsi pu détecter plus tôt les menaces, notamment celles liées aux attentats à l'engin explosif improvisé, et prendre des mesures pour éviter des pertes. Le nombre de victimes d'engins explosifs improvisés a diminué. Des insurgés ont été capturés. Les stagiaires ont salué ce programme, regrettant de ne pas avoir pu en tirer les enseignements plus tôt.
Ce programme a démontré les avantages d'une approche proactive, c'est-à-dire d'une approche « à l'avant-garde ».
Ce que les équipes de sécurité informatique peuvent apprendre des entraînements « bang » en matière de sécurité
Aujourd'hui, de nombreuses équipes chargées de la sécurité informatique se retrouvent sur la défensive. Ils mettent tout en œuvre pour se prémunir contre un large éventail d'attaques, notamment les ransomwares, le phishing et les attaques par usurpation de messagerie professionnelle.
Mais leur visibilité est limitée. La plupart d'entre eux disposent d'inventaires des terminaux incomplets ou obsolètes. Ils ne savent pas exactement quels composants logiciels sont installés ni à quel endroit, ce qui les expose à des attaques par la chaîne d'approvisionnement. Trop souvent, les équipes de sécurité informatique se retrouvent à travailler d'arrache-pied simplement pour rester à flot ou, en substance, à réagir aux menaces, aux demandes de données et aux incidents cybernétiques, en évoluant dans un environnement où l'on agit toujours après coup.
Réfléchissez à la manière dont une réflexion « left-of-bang » peut affiner les questions que j’ai évoquées précédemment, selon lesquelles la cyber-résilience :
- Quel est l'état de mon réseau ? (Hygiène informatique)
Réflexions sur « Left of Bang » :- Est-ce que je comprends vraiment l'état de mon réseau ? Puis-je voir mon réseau ?
- Est-ce que je remarque tout ce que je devrais remarquer pour détecter les menaces le plus rapidement possible ?
- Ai-je une bonne compréhension des anomalies significatives, même si elles sont subtiles ?
- Quelles menaces puis-je détecter ? (Détection des menaces)
Réflexions sur « Left of Bang » :- Puis-je détecter les anomalies subtiles qui indiquent des menaces que j'aurais pu négliger ?
- Ai-je la capacité de détecter les menaces partout, sur chaque terminal, quel que soit le site, qui se connecte à mes réseaux ou traite les données de mon organisation ?
- Dans quels délais les mesures de lutte contre les menaces peuvent-elles être mises en œuvre ? (Mesures de lutte contre les menaces)
Réflexions sur « Left of Bang » :- Puis-je réagir plus rapidement, en prenant des décisions rapides et judicieuses pour prévenir les attaques ou les maîtriser plus rapidement ?
- Puis-je comprendre plus rapidement l'ampleur et la nature des attaques ?
- Puis-je les maîtriser et prendre des mesures pour empêcher que des attaques similaires ne se reproduisent ?
Les équipes de sécurité peuvent considérablement renforcer leur cyber-résilience en adoptant une stratégie de cybersécurité « left-of-bang » et en mettant en œuvre ces recommandations.
Un examen approfondi de la préparation à la cybersécurité
Dans mes prochains articles de blog, nous examinerons de plus près les bonnes pratiques d’ s en matière d’hygiène informatique, de détection des menaces et de mesures de lutte contre ces dernières.
En attendant, découvrez comment la plateforme Tanium Converged Endpoint Management (XEM) d’ , (s’ouvre dans un nouvel onglet) , aide les équipes de sécurité à améliorer leur visibilité, leur contrôle et leurs capacités de correction afin de renforcer leur préparation face aux cybermenaces.
