Les organisations doivent adopter une vision plus large de la sécurité pour se prémunir contre les menaces actuelles.
Dans un précédent article de blog, j’ai évoqué le défi auquel sont confrontés les DSI : protéger la surface d’attaque informatique tout en faisant progresser la transformation numérique.
J'ai également rédigé un article sur les stratégies de défense que les organisations du secteur de l' peuvent mettre en œuvre pour protéger leur surface d'attaque.
Dans ce dernier article de blog de la série, j'explique comment les équipes de sécurité peuvent utiliser les « cyber kill chains » pour renforcer la sécurité de leur réseau face aux attaques. Les résultats escomptés visent à identifier, réduire ou éliminer les points faibles du réseau en renforçant les surfaces d'attaque grâce à des données ou aux effets combinés de plusieurs capacités cybernétiques.
Cette approche vise à contrer les chaînes d'attaque cybernétiques utilisées par les adversaires. Rappelons qu'une « chaîne d'action » est une séquence d'activités interdépendantes nécessaires pour atteindre un résultat souhaité. Utiliser la chaîne d'attaque comme outil de planification défensive implique d'examiner chaque maillon de cette chaîne afin de mettre au point des stratégies de protection visant à briser ce maillon.
Les responsables de la sécurité des réseaux doivent faire preuve d'une perfection absolue à chaque instant de la journée, tandis qu'il suffit aux acteurs malveillants de trouver un seul vecteur d'attaque pour exploiter avec succès un ou plusieurs maillons de la chaîne d'attaque cybernétique et compromettre un réseau. L'utilisation défensive des chaînes de destruction cybernétiques constitue une approche permettant d'identifier les lacunes en matière de capacités ou les angles morts au sein de votre écosystème de cybersécurité.
L'objectif de cet article est d'appliquer les concepts de la « cyber kill chain » afin d'aider les DSI et les RSSI à améliorer leur niveau de cybersécurité et, à terme, à renforcer leur état de préparation en la matière. Les chaînes d'action sont utiles pour décomposer des problèmes complexes en problèmes plus petits et plus faciles à gérer.
En se concentrant sur chaque maillon de la chaîne de lutte contre les cyberattaques, les responsables de la sécurité des réseaux peuvent obtenir des résultats synergiques qui améliorent l'efficacité des outils de sécurité ainsi que les niveaux globaux de préparation et de protection de leurs réseaux. À l'inverse, le fait de rompre un maillon de la chaîne d'attaque permet de bloquer une attaque. Cette analyse portera sur les stratégies visant à bloquer chaque maillon de la chaîne d'attaque cybernétique de Lockheed Martin.
Se défendre contre la reconnaissance
La reconnaissance consiste à se faire une idée précise d'un environnement cible. D'un point de vue physique, cela consiste à repérer les éléments clés du terrain, tels que les collines qui offrent une bonne visibilité ou les vallées qui masquent les mouvements. Du point de vue des terminaux, le réseau présente des zones stratégiques sur le cyber-terrain où les adversaires peuvent prendre l'avantage. Les deux principales catégories de « cyber-terrain » seraient les suivantes :
- Services proposant des informations sur les candidatures
- Interfaces de programmation d'applications (API) permettant l'accès à distance
Windows Management Instrumentation (WMI) est un exemple de domaine clé de la cybersécurité. La défense contre les opérations de reconnaissance, dans le cadre d'une chaîne d'attaque cybernétique, impliquerait de détecter les nouveaux abonnements WMI. Un autre exemple de domaine clé de la cybersécurité serait des services tels que sendmail ou les informations MIB SNMP.
Le refus d'accès aux informations provenant de ces applications constitue une bonne pratique depuis de nombreuses années. La défense contre la reconnaissance consiste à identifier les zones clés du cyber-terrain, puis à mettre en œuvre des techniques de détection, de blocage ou de défense afin d'entraver ou de mettre fin aux activités de reconnaissance de l'adversaire. L'objectif recherché est à la fois d'empêcher la divulgation d'informations et de détecter les activités de reconnaissance.
Se prémunir contre l'utilisation à des fins malveillantes
L'étape de « militarisation » au sein de la chaîne d'attaque cybernétique s'appuie sur les informations issues de l'étape de reconnaissance et est limitée par la troisième étape de la chaîne d'attaque cybernétique (la diffusion).
L'« weaponization » peut consister à enchaîner des actions visant à exploiter une vulnérabilité, à développer des éléments logiciels destinés à corrompre une chaîne d'approvisionnement logicielle, ou encore à introduire des logiciels malveillants dans le réseau « bleu ». Bien que l'acte ou le processus de transformation en arme se déroule souvent sur des réseaux « rouges » ou « gris », cette activité est adaptée au réseau « bleu » visé.
La protection contre l'utilisation malveillante des systèmes repose sur la gestion de la surface d'attaque, et plus précisément sur la réduction et le renforcement de celle-ci au sein de l'organisation. En d'autres termes, cette étape de la chaîne d'attaque cybernétique vise à priver les adversaires de toute opportunité.
Le fait d'éliminer les vulnérabilités connues du tableau de jeu augmentera le coût pour l'adversaire tout en réduisant le risque pour le réseau bleu. Près de 60 % des violations de données qui ont abouti exploitent des vulnérabilités dans les systèmes d'exploitation et les applications dont les services informatiques avaient connaissance, mais qu'ils n'ont pas corrigées à temps.
L'un des meilleurs moyens de se prémunir contre l'étape de « weaponization » de la chaîne d'attaque cybernétique consiste à mettre en place des opérations de correction efficaces et performantes, qui permettent d'atteindre un niveau élevé de préparation face aux menaces informatiques grâce à une bonne hygiène informatique.
Se prémunir contre la livraison
La récente vulnérabilité Log4j montre comment il est possible de provoquer l'exécution de code à distance (RCE) en utilisant une interface Web pour exploiter cette vulnérabilité. Les acteurs malveillants disposent d'autres outils qu'ils peuvent utiliser pour diffuser du code malveillant ou mener des actions malveillantes.
Les pare-feu et la segmentation du réseau peuvent contribuer à canaliser les attaquants, ce qui permet aux responsables de la sécurité du réseau de concentrer leurs efforts sur les points stratégiques où ils déploient des outils pour bloquer et détecter les tentatives de transmission de données en transit. La lutte contre la diffusion de codes malveillants est une nécessité qui exige la participation active des utilisateurs finaux, des spécialistes de la sécurité informatique et des professionnels de la sécurité physique.
Qu'il s'agisse de clés USB infectées, de requêtes de navigateur mal formées ou de la consultation involontaire d'un site web compromis, la protection contre l'injection de code malveillant est un travail d'équipe qui repose à la fois sur la sensibilisation des utilisateurs, sur des pratiques de sécurité physique adaptées aux menaces, ainsi que sur la gestion des risques et de la résilience.
Se prémunir contre l'exploitation
La protection contre l'exploitation consiste principalement à identifier les logiciels malveillants, à empêcher leur exécution et/ou à corriger les vulnérabilités afin de limiter l'impact que ces logiciels peuvent avoir sur le système. Ces concepts se résument aux services de réputation, aux contrôles des applications et à l'hygiène informatique.
L' en matière de cyberhygiène (application des correctifs, mise à jour régulière des logiciels et configuration adéquate de ces derniers) constitue la meilleure approche pour prévenir les « » (failles connues) qui font partie de la panoplie de l'attaquant. Les DSI et les RSSI peuvent piloter les pratiques de cyber-hygiène au sein de leur organisation en surveillant les indicateurs pertinents, tels que le délai moyen de correction ou la durée du cycle de correction.
La visibilité et le contrôle des terminaux à grande échelle et en temps réel sont essentiels pour disposer de données opportunes, précises et fiables permettant de caractériser l'hygiène informatique. Le recours à des services de réputation et à des logiciels antivirus vient compléter une bonne hygiène informatique. Il est tout aussi important de pouvoir identifier les écarts par rapport aux comportements habituels, les événements à risque et les indicateurs de compromission.
Alors que la première (l'hygiène informatique) relève de la maturité et de l'optimisation des performances, la seconde (la recherche de hachages et la détection des indicateurs de compromission) fait appel à l'agilité et à la capacité d'adaptation.
Se prémunir contre l'installation
Les équipes de sécurité ont besoin d'une visibilité en temps réel sur les installations logicielles et les modifications de configuration sur tous les terminaux, quel que soit leur emplacement. La défense contre l'étape d'installation au sein de la chaîne d'attaque cybernétique repose principalement sur la prévention de l'exécution de code à distance (RCE).
Mettre fin à toutes les attaques de type RCE revient en quelque sorte à mettre fin à toute la criminalité. L'éventail des mesures disponibles pour prévenir ou entraver la détection des attaques par RCE couvre l'ensemble des outils antivirus et de détection des logiciels malveillants qui identifient les signatures de logiciels malveillants et signalent les anomalies indiquant un risque de compromission.
Lors de la mise en œuvre de la phase d'installation des attaques de type « kill chain », il convient de se concentrer sur les « inconnues inconnues » ( ), qui englobent les logiciels malveillants inconnus (potentiellement polymorphes), les attaques par fichiers inconnus ou les angles morts cybernétiques (ce dont nous ne réalisons pas que nous l'ignorons).
L'un des axes que les DSI et les RSSI peuvent envisager consiste à établir une liste de logiciels approuvés qui tire parti des outils natifs du système d'exploitation, tels que l'AppLocker de Microsoft. Par ailleurs, les services de réputation peuvent être utilisés pour détecter de manière proactive les logiciels malveillants.
En alliant technologie, compétences et techniques, les DSI et les RSSI peuvent tirer parti des approches de développement en spirale pour mettre en place des capacités de cybersécurité permettant de détecter, de signaler ou de contrer les anomalies indiquant des événements à risque ou caractérisant une compromission. Le recours à des sources de renseignements commerciales ou open source pour tester, personnaliser et affiner les alertes apportera également une dimension d’adaptabilité et d’agilité aux efforts déployés par l’organisation pour se défendre contre la phase d’installation de la chaîne d’attaque cybernétique.
Se prémunir contre C2 Communications
Les équipes de sécurité disposent de divers moyens pour détecter et bloquer les communications de commande et de contrôle. Les pare-feu et les outils de surveillance du réseau permettent de détecter toute activité réseau suspecte, telle que des communications avec un serveur DNS inconnu ou un hôte distant inhabituel. Les équipes de sécurité peuvent bloquer de manière proactive bon nombre de ces communications en déployant des contrôles « Zero Trust » qui bloquent par défaut toutes les communications non autorisées.
Se défendre contre les actions menées sur des objectifs
La défense contre les attaques visant ces objectifs consiste principalement à restreindre l'accès et à empêcher tout acteur malveillant d'atteindre les résultats escomptés. En termes simples, l'objectif ici est de verrouiller toutes les portes et de faire en sorte que l'acteur malveillant doive redoubler d'efforts pour chaque avancée.
On part souvent du principe que plus un acteur travaille, plus il a de chances d'être repéré. Signaler une activité anormale peut s'avérer difficile si les alertes ne sont pas fondées sur les menaces et basées sur des renseignements. Nous vous invitons à utiliser , MITRE ATT&CK ou , ainsi que l'initiative « Shields Up » de la CISA comme sources de renseignements afin d'orienter les réunions de votre équipe de sécurité consacrées à l'élaboration d'alertes pertinentes. La sécurité des terminaux constitue un dernier rempart essentiel contre la chaîne d'attaque.
Pour renforcer l'efficacité, il est recommandé de veiller à ce que tous les outils de sécurité assurant ces protections fonctionnent ensemble de manière transparente. Des outils qui se complètent peuvent jouer un rôle déterminant pour contrer un ou plusieurs maillons de la chaîne d'attaque cybernétique. Les données constituent un facteur clé pour bénéficier d'un avantage décisionnel ; une plateforme optimisée pour les données, qui complète d'autres outils tout en offrant rapidité, visibilité et contrôle à grande échelle, apportera des informations pertinentes, de l'assurance et de la confiance.
La plateforme Tanium pour la protection contre les attaques de type « kill chain »
Chez Tanium, nous proposons une plateforme de sécurité des terminaux « » qui fournit des données complètes, précises et en temps réel sur les terminaux, quelles que soient leur échelle et leur complexité. Notre plateforme, disponible sous la forme d'un service cloud rapide, flexible et évolutif, comprend des modules destinés à :
- de découverte et d'inventaire des actifs, permettant aux équipes informatiques d'identifier et de suivre les terminaux sur tous les sites
- de gestion des risques et de la conformité, notamment gestion des correctifs
- de détection des menaces, comprenant des outils permettant d'analyser et de remédier aux menaces avant qu'elles ne perturbent les opérations
- de gestion des clients, comprenant des outils permettant de gérer et de dépanner les terminaux en temps réel
- Surveillance des données sensibles, y compris l'audit et l'automatisation des contrôles d'accès
Pour découvrir comment la plateforme Tanium peut aider votre entreprise à se protéger contre les attaques de type « kill chain », rendez-vous sur ou prenez rendez-vous pour une démonstration à l'adresse.
Pour découvrir l'intégralité de cette série et en savoir plus sur la protection de la surface d'attaque informatique de votre organisation, cliquez ici :
