L'intrusion a commencé discrètement, et le déplacement latéral passait facilement inaperçu.
Lorsque des activités suspectes ont été détectées au sein de MITRE Corp., un organisme de recherche fédéral à but non lucratif, les enquêteurs se sont inquiétés. En approfondissant leur enquête, ils ont découvert qu’un pirate informatique lié à un État avait franchi le périmètre du réseau et se déplaçait « d’est en ouest » — c’est-à-dire qu’il effectuait une « » latérale à travers l’infrastructure — avec aisance. La compromission des identifiants administratifs a permis à l'intrus d'évoluer librement, sans contrôle et de manière quasi invisible.
MITRE a maîtrisé l'intrusion et a divulgué les informations dont elle disposait. Mais cet incident « 2024 » a mis en évidence le fait que la lutte contre la cybercriminalité ne commence souvent pas au niveau du périmètre d’un réseau informatique, où les pare-feu et autres outils de sécurité traditionnels peinent depuis longtemps à repousser les attaques, mais une fois que les pirates ont déjà pénétré dans le système.
Quelques semaines plus tard, la cyberattaque contre Change Healthcare a clairement illustré ce point. Des pirates informatiques ont réussi à accéder à distance à un serveur qui ne disposait pas d'une authentification multifactorielle (MFA) de type « ». Une fois à l'intérieur, ils ont évolué latéralement au sein du réseau pendant neuf jours, provoquant des perturbations qui ont duré plusieurs mois au niveau des paiements et de la prise en charge des patients. Au moins 192,7 millions de personnes ont été touchées par cette violation de données.
C’est là que réside le problème avec ce qu’on appelle le trafic « est-ouest » ou latéral — désormais impliqué dans la majorité des intrusions réussies, ce qui en a fait un thème central de la conférence RSA de cette année, organisée par l’ . Si une organisation a consacré l'essentiel de son temps à renforcer la sécurité du trafic « nord-sud », c'est-à-dire les données entrant et sortant de ses réseaux, sans pour autant faire preuve de la même rigueur en interne, elle s'expose à un risque considérable.
Les pirates peuvent causer de graves dégâts en très peu de temps. Et ils gagnent en rapidité une fois qu’ils ont pénétré les réseaux, effectuant des mouvements latéraux en à peine 27 minutes, ou 48 minutes en moyenne, selon le 2025 e rapport annuel sur les menaces de ReliaQuest.
« Le temps est l’ennemi de la cybersécurité », a déclaré Michael McPherson, vice-président senior des opérations techniques chez ReliaQuest, dans un communiqué publié par l’ . « Les cyberattaquants agissent plus rapidement que jamais, ce qui signifie que nos défenses doivent elles aussi gagner en rapidité. »
Pourquoi les déplacements latéraux constituent toujours une menace majeure
Le déplacement latéral est un processus en plusieurs étapes comprenant la reconnaissance, le vol d'identifiants et l'exploitation.
«Les attaquants agissent plus vite que jamais, ce qui signifie que nos défenses doivent elles aussi gagner en rapidité. »Michael McPherson, vice-président senior chargé des opérations techniques chez ReliaQuest
Les cybercriminels s'introduisent dans un réseau à l'aide de techniques telles que l' , le phishing, l'exploitation de failles de sécurité connues ou l'utilisation d'identifiants volés. Ils procèdent ensuite à une analyse de la structure du réseau, répertorient les périphériques et identifient les cibles intéressantes, telles que les contrôleurs de domaine, qui authentifient les utilisateurs et appliquent les autorisations, ou encore les serveurs de bases de données. Enfin, ils passent à l'action en , en s'emparant de ou , en corrompant des données, en volant des identifiants en vue d'activités illicites futures, ou en implantant des enregistreurs de frappe et d'autres programmes de surveillance afin d'espionner les communications privées.
Ce qui rend cette situation si préjudiciable, c'est qu'elle transforme une simple intrusion en une compromission à l'échelle du réseau, permettant ainsi aux attaquants d'accéder à des systèmes et à des données plus sensibles tout en se dissimulant à la vue de tous grâce aux identifiants volés. Plus ils restent indétectés longtemps, plus ils disposent de temps pour accéder aux « joyaux de la couronne », installer des portes dérobées et lancer des campagnes de rançongiciel, d’espionnage et autres à plus grande échelle.
3 conseils essentiels pour éviter les mouvements latéraux
Ce qui rend cette forme d'attaque particulièrement insidieuse, c'est son caractère subtil et presque imperceptible. En tirant parti des mouvements latéraux, les attaquants peuvent se fondre parfaitement dans le reste du trafic réseau légitime, à l'image d'un malfaiteur se fondant parmi les piétons dans une rue bondée. Pour être efficaces, les contre-mesures doivent permettre de détecter les signes révélateurs de ces mouvements et de bloquer les voies d'accès susceptibles de rendre un réseau vulnérable.
Pour contrecarrer ce type d’activité furtive, de nombreuses entreprises se tournent vers le principe traditionnel de « défense en profondeur », en combinant des approches de sécurité modernes, telles que l’« » et le modèle « zero trust », avec des contrôles au niveau de l’infrastructure, la microsegmentation et des capacités de détection et de réponse réseau (NDR).
1. « Zero Trust » : aucune hypothèse
Étant donné que le cœur du problème réside dans le fait que les pirates informatiques se déplacent d'un endroit à l'autre sans avoir été interceptés numériquement en cours de route, l'approche « zéro confiance » apporte une solution concrète. Terme inventé par John Kindervag, ancien analyste principal chez Forrester et aujourd’hui évangéliste en chef chez Illumio, le concept de « zero trust » vise à remettre en cause une idée fausse vieille de plusieurs décennies selon laquelle un réseau comporterait à la fois des parties « de confiance » et des parties « non fiables ».
«» Traditionnellement, une fois que vous étiez authentifié pour accéder à un réseau, vous pouviez aller où bon vous semblait… C'est idiot. Le modèle « zero trust » élimine ce problème. »John Kindervag, responsable de la promotion des solutions, Illumio
« Traditionnellement, une fois que vous étiez authentifié pour accéder à un réseau, vous pouviez aller où bon vous semblait », explique-t-il à Focal Point . « Mais chaque paquet doit être associé à une politique. » Vous devriez déterminer explicitement où cela mène, au lieu de dire : « Eh bien, une fois que vous êtes du côté fiable, vous pouvez aller où vous voulez. » C'est idiot. « Le modèle « zero trust » met fin à cette présomption de confiance. »
Le modèle « Zero Trust » repose sur une approche fondée sur des règles, qui s'inspire de l'ancien principe du « besoin d'en connaître ». Chaque demande d'accès à un domaine, d'utilisation d'une application ou d'ouverture d'un fichier est examinée, et si elle ne repose sur aucune justification légitime liée aux rôles, elle est refusée. Ce modèle sans tiers de confiance gagne en popularité auprès des responsables d'entreprise et de la sécurité, à mesure que les menaces d' s de réseau liées à la désinformation se multiplient, et que les « deepfakes » ainsi que d'autres outils basés sur l'IA facilitent plus que jamais l'usurpation d'identité des employés. Selon une enquête menée par Zscaler intitulée « » (), plus de 80 % des entreprises prévoient d'adopter le modèle « zero trust » d'ici 2026.
2. Zoom sur la microsegmentation
La microsegmentation est une autre solution couramment mise en œuvre par les entreprises pour remédier au problème du trafic est-ouest. Conforme au modèle « zero trust », ce système divise les réseaux en zones plus petites afin d'empêcher les intrus de se déplacer librement une fois qu'ils ont pénétré dans le réseau. À l'inverse, la segmentation traditionnelle divise les réseaux en zones plus vastes, à l'aide de dispositifs tels que les pare-feu et les VLAN. De ce fait, il n'offre pas le niveau de granularité nécessaire pour mettre en œuvre des politiques « zero trust ».
« La microsegmentation, si elle est mise en œuvre correctement, peut constituer le fondement d’une sécurité vraiment efficace », déclare Chase Cunningham, titulaire d’un doctorat et directeur de la stratégie chez Demo Force, plus connu sous le nom de Dr ZeroTrust. « Même en cas de faille, on les empêche d’aller plus loin et d’aggraver la situation. » « La microsegmentation contribue essentiellement à éliminer les méga-fuites de données. »
Selon M. Cunningham, la microsegmentation s'avère particulièrement utile dans les domaines de la technologie opérationnelle (OT) et de l'Internet des objets (IoT) — notamment dans les secteurs industriels lourds, tels que , les soins de santé ou encore le secteur pétrolier et gazier, où les systèmes répondent à des cas d'utilisation clairs et spécifiques. Cela permet de séparer logiquement les appareils ; ainsi, par exemple, un contrôleur ne peut communiquer qu'avec la machine qu'il est censé commander.
Cela connaît également un essor en ce moment, car les outils qui le rendent possible ont enfin atteint leur maturité, explique-t-il.
« La microsegmentation, en tant que domaine technologique sur le marché, n'existait pas vraiment il y a encore trois ans environ », explique M. Cunningham. « Si j’étais responsable de la sécurité dans une entreprise, je procéderais d’abord à une microsegmentation poussée de l’ensemble du système, puis je m’attaquerais aux autres problèmes. »
Pour autant, ce n'est pas une tâche facile. Selon M. Cunningham, les organisations rencontrent souvent des difficultés lorsqu'elles se lancent dans trop de projets à la fois.
« La complexité apparaît lorsque les gens disent : “Super, nous allons mettre en place la microsegmentation” », explique-t-il. « Et là, ils vous disent : “Eh bien, microsegmenter quoi ?” » Il faut que ce soit un projet et un plan. Vous ne pouvez pas simplement appuyer sur un bouton et dire : « Microsegmentation ». « Il va y avoir un problème. »
3. NDR — votre regard sur les coulisses
Même lorsque la segmentation est correctement mise en œuvre, les intrus peuvent toujours trouver des moyens de se déplacer latéralement. C'est pourquoi de nombreuses entreprises se tournent vers les outils NDR. Si le modèle « zero trust » et la microsegmentation définissent les règles d'engagement, ces solutions font office de tour de guet. Ils n'appliquent pas la segmentation. Ils surveillent toutefois le trafic entre les zones et au sein de celles-ci, en recourant à l'analyse de données et à l'intelligence artificielle pour signaler les mouvements est-ouest suspects qui, sans cela, passeraient inaperçus malgré les pare-feu et les outils de protection des terminaux.
«Les intrus n'enfoncent pas la porte d'entrée. » Ils envahissent vos couloirs, vos portes, vos cages d’escalier… et… on dirait qu’ils sont chez eux. »Chase Cunningham, titulaire d'un doctorat, directeur de la stratégie chez Demo Force
Cette visibilité est essentielle, explique M. Cunningham, car les intrus se font souvent passer pour des utilisateurs légitimes une fois qu'ils ont pénétré dans le réseau.
« Les intrus n’enfoncent pas la porte d’entrée », dit-il. « Ils empruntent vos couloirs, vos portes, vos cages d'escalier… et à moins que vous ne disposiez des capteurs adaptés, on dirait qu'ils font partie du décor. »
Afin de renforcer la visibilité, les organisations ont également recours à des systèmes d' s de gestion des identités et des accès (IAM) pour vérifier l'identité des utilisateurs et des machines. L'IAM réduit la surface d'attaque en appliquant le principe du « privilège minimal », en supprimant les accès superflus ou obsolètes et en limitant les mouvements latéraux entre les systèmes. IAM contribue à la mise en œuvre du modèle « zero trust » en authentifiant et en autorisant les utilisateurs et les terminaux, en appliquant des politiques d'accès granulaires et en surveillant l'activité.
Les nouveaux outils de détection des menaces liées à l'identité apportent une protection supplémentaire en identifiant les cas où des identifiants volés sont utilisés de manière abusive au sein du réseau. Les plateformes d'orchestration des politiques permettent de disposer des schémas et des contrôles nécessaires pour mettre en œuvre de manière cohérente les principes du « zero trust » et de la microsegmentation. Ensemble, ces technologies permettent aux responsables de la sécurité de repérer les attaquants se déplaçant d'est en ouest et de les neutraliser avant qu'ils ne parviennent à commettre une intrusion à grande échelle.
IA et automatisation : faire passer la mobilité latérale à un niveau supérieur
Bien qu'efficaces, ces moyens de défense ne constituent pas une solution miracle. Les pirates testent déjà des méthodes permettant d'automatiser les mouvements latéraux à l'aide de l'IA, ce qui pourrait accélérer les opérations de reconnaissance et l'utilisation abusive des identifiants une fois qu'ils auront pénétré dans le système. M. Cunningham estime que les défenseurs peuvent suivre le rythme, mais seulement s’ils cessent de considérer la visibilité est-ouest comme un élément facultatif.
« Les adversaires n’attendent pas que vous ayez réglé la question de votre budget », dit-il. « Qu’ils le fassent ou non, eux, ils innovent. »
Des équipes de sécurité proactives testent d'ores et déjà les différentes façons dont l' , l'IA et l'automatisation peuvent être mises à profit pour protéger contre ce type d'attaques. Les solutions d' s basées sur l'apprentissage automatique peuvent s'avérer efficaces pour détecter les anomalies dans le comportement des utilisateurs et l'activité globale du réseau, isoler automatiquement les menaces et mettre en place des réponses rapides et précises capables de contrecarrer les attaquants en plein élan.
Kindervag recommande aux dirigeants d'entreprise de veiller à ce que toute évolution ou mise à niveau des solutions ou protocoles de sécurité s'inscrive dans une démarche stratégique, et non pas au coup par coup. Le modèle « zero trust », la microsegmentation et les outils de détection ne sont efficaces que s’ils s’appuient sur une compréhension claire de ce qui doit être protégé et des raisons pour lesquelles il faut le faire.
« Tous les incidents majeurs de cybersécurité résultent d’une règle d’ -allow- », explique-t-il. « Tout est une question de politique. » Qu'est-ce que j'accepte ? Qu'est-ce que je nie ? « C'est ainsi que l'on empêche les pirates de se déplacer une fois qu'ils ont pénétré dans le système. »
La réalité, c'est que des violations de données se produiront inévitablement. Ce qui importe, c'est de savoir si ces incidents restent circonscrits ou s'ils se transforment en incidents de l'ampleur de ceux survenus chez MITRE ou Change Healthcare. Les entreprises qui adoptent un modèle de défense en profondeur, vérifient chaque connexion et surveillent de près leurs réseaux sont celles qui ont le plus de chances d'empêcher que les mouvements est-ouest ne fassent la une des journaux.
