Theodore Roosevelt a dit un jour : « Plus on en sait sur le passé, mieux on est préparé pour l'avenir. »
C'est un principe qui s'applique tout particulièrement à , le service de renseignements sur les cybermenaces. L'analyse des menaces passées permet aux professionnels de la cybersécurité d'identifier les schémas, les tactiques, les techniques et les procédures utilisés par les auteurs de menaces, et d'adapter leurs défenses en conséquence.
Pour Nicole Hoffman, analyste en sécurité chez Cisco Talos, l'amélioration des défenses et des pratiques en matière de cybersécurité va au-delà de la simple nécessité de comprendre comment les menaces passées affectent les organisations aujourd'hui. Elle se projette également très loin dans l’avenir – c’est-à-dire les générations futures de professionnels de la cybersécurité – à travers une série de livres illustrés pour enfants. Son objectif est de faire découvrir aux enfants des métiers de niche spécifiques et les types de tâches que chacun d'entre eux implique, tels que la criminalistique numérique, le piratage éthique et l'ingénierie de détection.
Son ouvrage, intitulé « » () et «The Mighty Threat Intelligence Warrior» () (), est une lecture recommandée pour accompagner sa table ronde intitulée «: Applying Past Lessons for Intel-Driven Identity Threat Detection» (), qui se tiendra lors de la conférence RSA de la semaine prochaine.
M. Hoffman se joindra à Michael Marriott, vice-président du marketing produit chez Harmonic Security, pour une discussion portant sur l' de gestion des identités et des accès (IAM) et le renseignement sur les cybermenaces. Ensemble, ils passeront en revue les principales attaques liées aux identités observées dans le cadre des interventions en cas d'incident menées par au cours des deux dernières années. (Their 50-minute session will take place on Thursday, 9 mai, at 12:40 ET / 09:40 PT at RSAC 2024, which runs May 6-9 at the Moscone Center in San Francisco.)
La protection des identités numériques n’a jamais été aussi cruciale : 90 % des professionnels interrogés ont déclaré que leur entreprise avait subi au moins une violation liée à l’identité l’année dernière, selon le rapport « 2023 Trends in Securing Digital Identities » ( ) publié par l’Identity Defined Security Alliance (IDSA).
, de Focal Point, s'est entretenue avec Mme Hoffman afin de recueillir son point de vue sur l'importance de s'appuyer sur les incidents passés dans le cadre d'une approche proactive visant à développer les capacités de renseignement et de détection des cybermenaces pour l'avenir.
(Cet entretien a été modifié pour plus de clarté et de concision.)
Les personnes qui parcourront la liste des sessions de la RSA n'en croiront sans doute pas leurs yeux lorsqu'elles verront la liste des lectures obligatoires pour votre session. Un livre pour enfants ? À propos de la cybersécurité ? Pourquoi transmettre ce message aux enfants, et pourquoi sous la forme d'un livre illustré ?
Au départ, je souhaitais inspirer la prochaine génération de professionnels du renseignement sur les cybermenaces (CTI) sans pour autant faire de compromis sur la qualité narrative. La série « The Mighty Threat Intelligence Warrior » présente les concepts liés au renseignement sur les menaces à travers un conte médiéval plein d'humour. La série recourt à de nombreuses métaphores issues du domaine de la cybersécurité afin de rendre l'histoire plus accessible à un jeune public, qui n'a peut-être pas la capacité d'attention nécessaire pour se familiariser avec des concepts tels que l' , les ransomwares ou le chiffrement.
«Tirer les leçons du passé est essentiel pour la détection des menaces, car cela nous permet d’identifier les tendances, d’améliorer nos défenses et d’anticiper les menaces futures. »
Plutôt que de me concentrer sur la formation à la cybersécurité, j’essaie de mettre en avant les types de tâches auxquelles une personne serait confrontée si elle occupait un poste dans le domaine de la CTI, comme l’analyse de menaces complexes à la manière d’un détective de « » cherchant à résoudre un mystère, ou encore le rôle d’historien spécialisé dans l’activité des menaces afin d’informer les autres et de les protéger contre des dragons rusés.
La présence de l'expression « renseignements sur les menaces » dans le titre était délibérée, dans l'espoir que les parents et les enfants puissent entreprendre ensemble un parcours d'apprentissage s'ils souhaitaient approfondir leurs connaissances sur ce sujet.
[À lire également : Qu'est-ce que la gestion des identités et des accès (IAM) ?]
Votre session RSA vous permettra de revenir sur les incidents passés et les enseignements qui en ont été tirés. Pourquoi est-il si important de tirer les leçons du passé pour la détection des menaces ?
Tirer les leçons du passé est essentiel pour la détection des menaces, car cela nous permet d'identifier les tendances, d'améliorer nos défenses et d'anticiper plus efficacement les menaces futures. La collaboration avec les équipes CTI permet aux organisations de prendre du recul, d'avoir une vision globale du paysage des menaces et de s'appuyer sur des analyses approfondies pour prendre des décisions éclairées.
Les organisations peuvent également nouer des partenariats de partage d'informations avec des acteurs du secteur et des organismes publics afin d'obtenir des analyses similaires, tout en investissant dans la formation continue de leurs équipes de sécurité internes pour renforcer leurs capacités d'analyse et garder une longueur d'avance sur l'évolution des menaces.
La gestion des identités et des accès est essentielle à la cybersécurité. Selon vous, quelles sont les principales erreurs commises par les organisations dans leur approche de la gestion des identités et des accès (IAM) ?
Les deux failles de sécurité les plus courantes que je constate sont, d'une part, l'absence d'une adéquate de l'authentification multifactorielle (MFA) sur tous les comptes, y compris ceux destinés à l'accès à distance, et, d'autre part, l'utilisation abusive de comptes privilégiés et de comptes de service pour lesquels les contrôles de sécurité mis en place sont insuffisants.
«On observe une tendance croissante aux attaques visant à épuiser les systèmes d’authentification à deux facteurs (MFA), dans lesquelles les attaquants [envoient] un flot de notifications push MFA. » L'adversaire espère accabler les victimes afin qu'elles finissent par en accepter une. »
Les comptes privilégiés et les comptes de service constituent des cibles de choix pour les attaquants en raison des accès étendus qu’ils offrent, avec des privilèges élevés, ce qui leur permet d’exécuter des activités malveillantes, d’accéder à des données sensibles, et de se déplacer latéralement à travers le réseau avec une plus grande facilité. De plus, les comptes de service disposent souvent d’un accès permanent et font l’objet d’une surveillance moins étroite, ce qui en fait des cibles de choix pour les attaquants qui cherchent à maintenir leur présence tout en évitant d’être détectés.
L'authentification multifactorielle (MFA) permet de bloquer les attaquants et de prévenir une multitude d'attaques potentielles en ajoutant un niveau supplémentaire de sécurité et de vérification. On observe toutefois une tendance croissante aux attaques visant à épuiser les codes d'authentification multifactorielle (MFA) : les pirates tentent de se connecter à des comptes à l'aide d'identifiants compromis, ce qui entraîne un afflux de notifications push MFA sur l'appareil mobile du titulaire du compte. Dans le cadre de cette attaque, l'attaquant espère submerger les victimes afin qu'elles finissent par accepter l'une des notifications push, ce qui lui permettra d'accéder à leur système.
Ainsi, à mesure que les organisations déploient l'authentification multifactorielle (MFA), il est nécessaire de former les utilisateurs afin qu'ils soient en mesure d'identifier et de signaler les notifications push MFA non autorisées.
D'après la description de votre session, vous aborderez l'importance de la collaboration entre les équipes IAM, les opérations de sécurité et le CTI. Pourriez-vous nous donner un bref aperçu des raisons pour lesquelles cette collaboration est nécessaire ?
La croissance s'épanouit grâce à la collaboration, car celle-ci favorise un environnement où l' s points de vue variés provenant de plusieurs équipes peuvent se rejoindre, offrant ainsi une compréhension plus large des problèmes et ouvrant la voie à des solutions innovantes.
La culture de la sécurité ne doit pas se limiter à l'équipe chargée des opérations de sécurité ; elle doit imprégner l'ensemble de l'organisation , afin que la sécurité soit la responsabilité de chacun.
La collaboration favorise également un environnement propice au partage des connaissances et à l'apprentissage continu. Par exemple, les professionnels de la CTI s'efforcent en permanence de se tenir informés des nouvelles menaces, de comprendre comment les attaques se déroulent et comment elles peuvent être évitées. Si un professionnel du CTI enquêtait sur des attaques par épuisement des MFA à la suite d'une récente recrudescence de ce type d'activité, il pourrait contacter l'IAM afin d'obtenir des recommandations en matière de prévention. Dans cet exemple, les deux parties apprennent et tirent des enseignements de cette collaboration.
Découvrez d'autres entretiens exclusifs avec des intervenants de la RSA Conference 2024 et des événements connexes : Comment gérer les vulnérabilités à grande échelle
