Pourrait-il y avoir une période plus « passionnante » pour occuper un poste de direction dans le domaine de la cybersécurité ? Certains pourraient choisir d'autres adjectifs : stressant, incertain, déroutant, ahurissant… pour n'en citer que quelques-uns. Au cours des deux dernières années environ, une succession d'événements sans précédent a entraîné une hausse des niveaux de menace et une prise de conscience accrue des risques cybernétiques au plus haut niveau des organisations.
Parmi les tendances qui ont contribué à mettre la cybersécurité sous les feux de l'actualité, on peut citer l'essor spectaculaire du télétravail et du travail hybride en raison de la pandémie ; la migration rapide et continue vers le cloud ; le recours accru aux appareils mobiles sur le lieu de travail ; la croissance fulgurante des plateformes et des transactions de commerce électronique ; des menaces de plus en plus sophistiquées, notamment les ransomwares ; la multiplication des réglementations en matière de protection des données ; l'aggravation de la pénurie de compétences en sécurité ; et une surface d'attaque en constante expansion.
Le nombre et les types de menaces ne cessent d'augmenter, qu'il s'agisse de logiciels malveillants, d' de hameçonnage, d'attaques « zero-day », de dénis de service distribués, de fuites de données ou d'autres menaces. Les vulnérabilités logicielles sont devenues une préoccupation majeure, comme l'illustre de manière frappante la faille récemment découverte dans Log4j, l'utilitaire de journalisation basé sur Java. Les experts ont qualifié cette vulnérabilité, qui permettait l'exécution de code arbitraire au sein du framework, de l'une des plus importantes et des plus critiques de ces dernières années.
Dans cette série d'articles de blog, je passe en revue les incidents de cybersécurité les plus marquants et je présente une stratégie qui aidera les organisations à mettre en place un programme de cybersécurité solide, conçu pour se prémunir contre les menaces les plus récentes.
Les cyberattaques font la une de l'actualité
Voici un bref aperçu de certaines des principales attaques de ces derniers mois :
- mai 2021, le réseau américain d’oléoducs Colonial Pipeline, qui prend sa source au Texas et achemine de l’essence et du kérosène principalement vers le sud-est des États-Unis, a été victime d’une attaque par ransomware qui a affecté les systèmes utilisés pour gérer l’oléoduc. Colonial Pipeline a interrompu l’ensemble de ses opérations afin de contenir l’attaque et par crainte que les pirates ne mènent d’autres attaques contre l’oléoduc. Quelques heures seulement après l'attaque, Colonial a versé la rançon exigée par les pirates. Cet incident aurait constitué la plus importante cyberattaque jamais perpétrée contre une infrastructure pétrolière dans l'histoire des États-Unis.
- Dans la mise à jour « juin 2021 », une vulnérabilité du spouleur d'impression de la version a été corrigée dans le cadre du cycle régulier de mises à jour « Patch Tuesday » de Microsoft. Quelques semaines plus tard, aux alentours du week-end de l' 4 juillet , une faille de type « proof-of-concept » a été rendue publique. Il est intéressant de noter qu’il s’agissait d’une divulgation involontaire d’une faille « zero-day », car le bug exploité était différent de celui répertorié initialement dans la base Common Vulnerabilities and Exposures (CVE). Mais ce n'est pas tout : cette vulnérabilité a également affecté toutes les versions de Windows, qu'il s'agisse de serveurs ou de postes de travail. Pendant les fêtes, les organisations se sont empressées de mettre en place des mesures d'atténuation qui se sont rapidement révélées insuffisantes. Cela a mis en évidence le fait que les organisations ont besoin de solutions évolutives et rapides pour détecter la présence d'une vulnérabilité.
- Ce qui est arrivé à Kaseya, une entreprise spécialisée dans les logiciels de gestion des réseaux et des systèmes, durant l'été 2021 , est le genre d'événement qui empêche tous les fournisseurs de dormir la nuit. Dans le cas de Kaseya, une attaque de type « » ( ) a compromis la confiance accordée à son outil de gestion des terminaux, permettant ainsi le déploiement d'un rançongiciel. Si environ 50 prestataires de services gérés différents ont été victimes d'une intrusion, l'impact global a touché plus de 1 500 entreprises qui avaient externalisé des services auprès de ces prestataires. Cette attaque, perpétrée par REvil, a entraîné des pannes généralisées des systèmes. Cela a également conduit à l'arrestation de deux personnes accusées d'avoir utilisé le ransomware REvil pour attaquer des entreprises et des organismes publics américains.
- Des chercheurs en sécurité d' décembre 2021 ont identifié une faille de sécurité de type « zero-day » permettant l'exécution de code arbitraire via une attaque de type « » dans Log4j instances d', un framework de journalisation basé sur Java qui fait partie d'Apache Logging Services. Selon des experts en sécurité, cette faille figurait parmi les plus importantes et les plus critiques découvertes ces dernières années. Ce bogue a affecté une bibliothèque utilisée dans des milliers d'applications, tant d'entreprise que libres et open source.
Ce ne sont là que quelques-uns des faits marquants en matière de cybersécurité — ou, pour être plus précis, des moments les plus sombres. Les cybercriminels ont pris conscience des énormes possibilités de gains que représente le fait de cibler les grandes entreprises ou les chaînes d'approvisionnement. Comme dans toute entreprise, les économies d'échelle constituent toujours la solution la plus rentable. Cela vaut également pour la cybercriminalité. Alors que la « chasse aux gros poissons » prend de l'ampleur, les petites entreprises sont souvent victimes d'attaques par ricochet ou de failles affectant leur chaîne d'approvisionnement.
Lorsque l'on réfléchit aux menaces les plus préoccupantes du paysage informatique, on pense souvent à la vulnérabilité la plus récente. Mais bien souvent, les attaquants se cachent à la vue de tous, s’introduisant dans l’environnement d’une organisation en utilisant les identifiants d’un ancien prestataire, les mots de passe des comptes de service qui n’ont pas été renouvelés depuis des années, ou encore en manipulant des utilisateurs légitimes par le biais de l’ingénierie sociale afin qu’ils leur facilitent l’accès.
Les organisations ont besoin d'un plan d'action pour faire face à l'ensemble des menaces. Ce plan devrait couvrir au moins cinq domaines clés : la gestion des stocks et des actifs, la suppression des cloisonnements, l'évaluation des risques, l'analyse des lacunes et la gestion des correctifs .
Gestion des stocks et des actifs
Pour détecter et neutraliser les menaces de sécurité telles que les logiciels malveillants sur les terminaux, les équipes de sécurité doivent être en mesure de les identifier. Cependant, de nombreuses organisations indiquent que le manque de visibilité constitue un défi pour leurs opérations de sécurité.
Des pratiques telles que l'« informatique parallèle », dans le cadre de laquelle les employés se procurent des appareils, des logiciels ou des services à l'insu du service informatique central et sans son accord, ne font qu'aggraver le problème. Et cela arrivera. Les utilisateurs se serviront d'appareils inconnus et les connecteront au réseau de l'entreprise. Même si l'intention n'est pas malveillante, les conséquences peuvent être catastrophiques.
Par ailleurs, les modèles de travail à distance et hybrides viennent compliquer encore davantage la gestion des actifs. De nombreux employés utilisent leurs propres appareils pour accéder aux données dont ils ont besoin dans le cadre de leur travail.
Les équipes de sécurité ne peuvent pas identifier, corriger ni configurer de manière sécurisée les terminaux « » suspects lorsqu’elles ignorent même leur existence au sein de l’environnement. Toutes les activités de recherche de menaces du monde ne suffisent pas à compenser les actifs qui leur échappent complètement.
Pour gérer efficacement leurs actifs informatiques, les entreprises ne peuvent pas se contenter d'outils obsolètes qui peuvent mettre des semaines à fournir des résultats. Ils ont besoin de résultats en temps réel et à grande échelle sur l'ensemble du réseau. Les solutions de gestion des actifs dotées de fonctionnalités intégrées de gestion des terminaux et de la sécurité peuvent fournir aux équipes de sécurité des données exploitables en temps réel sur l'ensemble des terminaux.
Les terminaux constituent le point d'entrée le plus courant dans les environnements informatiques ; il est donc essentiel de gérer efficacement leur sécurité . Cela exige de la concentration et de la vigilance.
Éliminer les cloisonnements informatiques
Une autre mesure importante consiste à éliminer les cloisonnements qui pourraient exister entre les équipes chargées de la sécurité et celles chargées des activités commerciales. Malheureusement, les relations entre les équipes de sécurité et les utilisateurs métier peuvent parfois être quelque peu conflictuelles. Les professionnels de la sécurité cherchent à garantir la protection des systèmes et des données, tandis que les utilisateurs souhaitent éviter tout outil ou processus — y compris ceux liés à la sécurité — susceptible d'entraver leur travail.
Il est important que les responsables de la cybersécurité gardent à l'esprit que, s'ils sont des experts en matière de sécurité et de technologie, les utilisateurs professionnels sont quant à eux des experts dans la manière d'utiliser cette technologie pour atteindre les objectifs de l'entreprise. Il est essentiel de travailler avec eux plutôt que contre eux, et la sécurité doit être considérée comme un service fondamental fourni à tous les secteurs de l'entreprise. Les équipes de sécurité devraient avoir pour mission de soutenir et de favoriser une meilleure expérience utilisateur grâce à une conception sécurisée.
Le recensement des actifs, l'inventaire des logiciels ainsi que celui des données au repos et en transit ne peuvent pas être réalisés uniquement par les services informatiques. Il s'agit là d'une occasion unique de nouer des alliances au sein de l'entreprise, d'identifier les lacunes, d'améliorer l'efficacité du travail et même de réaliser des économies.
Il est important, pour le service de sécurité, de nouer des relations avec les différents représentants de l'organisation, d'obtenir leur adhésion et d'établir un climat de confiance ainsi que des possibilités d'échange d'avis à mesure que l'équipe de sécurité met en œuvre et modernise l'architecture.
Les RSSI devraient envisager de créer un comité consultatif du RSSI afin de recueillir les points de vue et les retours d'expérience des utilisateurs métier.
Ils devraient nouer des relations avec les personnes susceptibles de mettre en lumière l'informatique parallèle et de tenir les responsables de la sécurité informés au fur et à mesure que les solutions sont évaluées. Ces relations précieuses favorisent la mise en œuvre de nouvelles initiatives en matière de sécurité, permettent d'alerter de manière proactive les services de sécurité en cas de problèmes et renforcent la confiance.
La collaboration avec les utilisateurs métier offre également aux services informatiques et de sécurité l'occasion de mettre au jour des situations telles que celle où trois groupes métier distincts utilisent chacun des outils logiciels distincts basés sur le cloud pour atteindre, en réalité, le même objectif. Cela offre une formidable opportunité d'identifier les doublons, les solutions obsolètes ou les possibilités de rationalisation des outils et des processus de travail au sein d'autres équipes, ce qui permet de réaliser d'importantes économies.
Dans mon prochain article, j'aborderai les trois autres volets du plan d'action en matière de cybersécurité de l' .
Découvrez comment Tanium peut aider à renforcer les mesures de sécurité de votre organisation en demandant une démonstration.
