Quelques semaines seulement après la publication de la première page Web au monde, à l'automne 1991, 50 experts en cryptographie se sont réunis dans la salle de réunion d'un petit hôtel californien à l'occasion de la première conférence RSA (RSAC). Plus de trois décennies plus tard, Internet a transformé la société, et la RSAC est le lieu de rencontre incontournable pour tous ceux qui luttent pour sécuriser un monde numérique en constante expansion.
Le RSAC, dont l'ampleur s'est considérablement accrue aujourd'hui, est le théâtre de certaines des annonces les plus importantes en matière de cybersécurité, faites par les gouvernements et les responsables de la sécurité des entreprises. Il s'agit également d'un lieu d'échange essentiel pour les experts, qui s'efforcent de garder une longueur d'avance sur les pirates.
The 45 000-person conference, to be held May 6-9, is so large that it has its own gravity, attracting numerous satellite events near its home at San Francisco's Moscone Center. L'un de ces événements mettra à l'honneur Melissa Bischoping, directrice de la recherche en sécurité des terminaux chez Tanium, qui abordera les difficultés rencontrées par les entreprises pour gérer la multiplication des failles de cybersécurité, ainsi que les moyens dont elles disposent pour relever ce défi.
Les vulnérabilités ont atteint des sommets. Selon la base de données nationale sur les vulnérabilités (National Vulnerability Database) de l' du gouvernement fédéral, environ 29 000 vulnérabilités et expositions courantes (CVE) ont été recensées dans le monde entier en 2023, contre seulement 15 en 1991. Il en résulte un environnement cybernétique complexe – et tout simplement déroutant – auquel les dirigeants d'entreprise doivent faire face.
Selon M. Bischoping, le secret d'une gestion efficace des vulnérabilités dans le cadre de l' réside dans la capacité à percevoir à la fois les défis et les opportunités inattendues que présente ce contexte. Les nouvelles avancées technologiques et l'automatisation à grande échelle de l' vous aident à « faire le tri », en donnant la priorité aux vulnérabilités qui représentent la plus grande menace pour votre entreprise, et en vous proposant des stratégies que vous pouvez mettre en œuvre immédiatement pour réduire ce risque. (Sa présentation, intitulée « Des informations exploitables pour la gestion des vulnérabilités et des risques avec Tanium Guardian », aura lieu dans la salle Stinson du Four Seasons SF le 6 mai à 12 h (heure du Pacifique) et le 8 mai à 16:15 (heure du Pacifique).)
, de Focal Point, s'est entretenue avec Mme Bischoping afin de recueillir son point de vue sur l'essor des CVE, les erreurs courantes commises par les entreprises et les bonnes pratiques à adopter.
(L'entretien ci-dessous a été remanié pour des raisons de clarté et de concision.)
Les vulnérabilités ont explosé au cours des deux dernières décennies. Pourquoi ?
La première cause est l'adoption croissante des technologies. Il y a vingt ans, tout le monde n'avait pas encore de téléphone portable dans sa poche, d'ordinateur portable dans son sac et de serveur auquel se connecter au bureau. Aujourd'hui, la technologie est omniprésente.
«Nous en sommes arrivés à un point où les gens ne peuvent plus comprendre chaque ligne de code ni déterminer si celui-ci est sécurisé ou non. »
La deuxième raison est que de plus en plus de personnes recherchent des failles de sécurité. Les programmes de prime aux bogues et les programmes de récompense ont incité les « gentils » à détecter les bogues avant les « méchants ».
Enfin, les logiciels sont de plus en plus complexes et comportent des couches supplémentaires de dépendances. Nous en sommes arrivés à un stade où il n'est plus possible de comprendre chaque ligne de code ni de déterminer si elle est sécurisée ou non.
Quels problèmes cela a-t-il posés aux entreprises qui doivent assurer le suivi de tout cela ?
Tout le monde s'efforce de faire plus avec moins. Ils n'ont pas la place d'embaucher davantage de personnel et ne peuvent pas augmenter leur budget. Parallèlement, les outils d'alerte et les flux d'informations sur les menaces inondent les analystes en cybersécurité d'un volume croissant de données relatives aux vulnérabilités. Ils reçoivent des rapports répertoriant des milliers de vulnérabilités dans leur environnement, chacune étant associée à un niveau de gravité.
Comment les petites équipes établissent-elles leurs priorités parmi les mesures à prendre alors que les vulnérabilités s'accumulent ? Au début de ma carrière, je pensais qu'il suffisait de corriger les bugs les plus graves les uns après les autres. Ça ne fonctionne pas comme ça. Il n'est pas possible d'augmenter les effectifs pour faire face au flux croissant de données relatives aux vulnérabilités.
Selon vous, quelles sont les approches courantes adoptées par les entreprises en matière de vulnérabilités, et en quoi présentent-elles des lacunes ?
L'erreur la plus courante consiste à se focaliser aveuglément sur le score CVSS (Common Vulnerability Scoring System) qui indique la gravité du bug. Les gros titres mettent l'accent sur les scores élevés, car ce sont eux qui semblent les plus effrayants. En réalité, un score CVSS de 10 sur l'ordinateur portable d'un utilisateur installé dans son bureau à domicile m'inquiète probablement moins qu'un score de 7 sur mon serveur de messagerie accessible au public, mais ce score à lui seul ne permet pas de mettre cela en évidence. Il existe des scores CVSS inférieurs qui permettent pourtant des violations de sécurité tous les jours.
«Tout le monde essaie d’en faire plus avec moins… » Par ailleurs, les outils d’alerte et les flux d’informations sur les menaces inondent les analystes en cybersécurité de données supplémentaires sur les vulnérabilités. »
Une autre erreur consiste à retarder l'application des correctifs de sécurité dans l'infrastructure réseau. En règle générale, on n'installe pas d'agents de sécurité sur les routeurs et les pare-feu, ce qui réduit la visibilité. Le réseau est également essentiel à la mission, et cette faible tolérance aux temps d'arrêt rend les mises à jour plus risquées. Les logiciels des équipements réseau sont souvent obsolètes depuis des années et présentent des failles de sécurité extrêmement dangereuses, qui sont exploitées par des acteurs étatiques et des auteurs de ransomware.
Quelles devraient être les meilleures pratiques en matière de gestion des vulnérabilités ?
La première étape consiste à recenser les vulnérabilités qui concernent votre infrastructure. Cela implique de privilégier la visibilité en s'appuyant sur un inventaire complet des équipements matériels et logiciels, ainsi que sur la collecte de données télémétriques de qualité.
«Si vous ne gérez pas la vulnérabilité, vous devez alors accepter le risque. »
Une fois que vous savez quels actifs sont vulnérables, vous devez mettre en place une stratégie de gestion des vulnérabilités qui aille au-delà des simples scores de criticité afin de prendre en compte des facteurs tels que la probabilité d'exploitation.
Il existe des outils pour vous aider dans cette démarche. Je suis un grand admirateur du système de notation des risques d'exploitation « » (), qui évalue la probabilité qu'une vulnérabilité soit exploitée dans la nature. Le catalogue des vulnérabilités connues exploitées de la CISA ( ), qui répertorie les vulnérabilités activement exploitées, constitue un autre outil utile, même s'il existe souvent un décalage entre la première exploitation et la publication de la vulnérabilité sur cette liste.
Vous devez également tenir compte de l'impact concret d'une vulnérabilité. Demandez-vous si vous ciblez bien les vulnérabilités susceptibles de causer le plus de dommages à votre environnement en permettant aux attaquants d'accéder aux « joyaux de la couronne » de votre .
Discutez avec les responsables des unités opérationnelles afin de déterminer des éléments tels que le coût d'une exploitation de vulnérabilité d'un système donné et le temps nécessaire aux équipes opérationnelles pour se remettre de cet incident. C'est ainsi que vous lancez le processus de gestion des risques. Si vous ne gérez pas cette vulnérabilité, vous devez alors accepter le risque.
Comment la technologie peut-elle vous aider ?
Vous avez besoin d'outils qui vous aident à passer au crible les milliers de vulnérabilités signalées chaque semaine et à déterminer où concentrer vos efforts. Vos outils devraient identifier au préalable les vulnérabilités pour vous et vous indiquer automatiquement où se situe l'impact. Cela implique de pondérer, à l'aide d'un algorithme, une combinaison de prévisions d'exploitation, de scores CVSS et de niveau de gravité afin d'identifier les vulnérabilités ayant l'impact le plus important sur votre environnement. Votre ensemble d'outils devrait pouvoir associer ces informations à des renseignements sur les menaces afin de replacer ces failles d'exploitation dans un contexte plus large.
La technologie devrait également vous conseiller sur la manière de déployer ces changements et pré-élaborer des guides opérationnels afin de vous aider à supprimer certaines étapes manuelles. Cela laisse à votre équipe le temps de discuter avec le chef d'entreprise de ce qui va se passer.
La technologie n'est pas tout. Cela s'avère également utile lorsque vous complétez les outils par l'intelligence humaine grâce à des partenariats qui vous apportent des analyses humaines fiables en matière de gestion des risques et des vulnérabilités. Cela peut vous aider à vous y retrouver dans un flot extrêmement complexe de données et d'informations qui ne cessera de croître.
Découvrez d'autres entretiens exclusifs avec des intervenants de la RSA Conference 2024 et des événements connexes : Mettre à profit les enseignements du passé pour la détection des menaces liées à l'identité basée sur le renseignement
