Quelques semaines seulement après la publication de la première page Web au monde, à l’automne 1991, 50 experts en cryptographie se sont réunis dans une petite salle de réunion d’hôtel en Californie pour la première conférence RSA (RSAC). Plus de trois décennies plus tard, le Web a transformé la société, et le RSAC est le lieu de rencontre central pour ceux qui se battent pour sécuriser le monde numérique en constante expansion.
Le RSAC beaucoup plus grand d’aujourd’hui est le point de départ de certaines des annonces de cybersécurité les plus importantes des gouvernements et des responsables de la sécurité des entreprises. Il s’agit également d’un forum de débat clé pour les experts qui s’efforcent de garder une longueur d’avance sur les attaquants.
La conférence 45 000-person , qui se tiendra le 6-9 mai, est si grande qu’elle a sa propre gravité, attirant de nombreux événements satellites près de son domicile au Moscone Center de San Francisco. L’un de ces événements sera animé par Melissa Bischoping, directrice de la recherche sur la sécurité des endpoints chez Tanium, qui discutera des problèmes auxquels les entreprises sont confrontées dans la gestion d’une vague croissante de vulnérabilités de cybersécurité, et de la manière dont elles peuvent relever le défi.
Les vulnérabilités passent par le toit. Selon la base de données nationale des vulnérabilités du gouvernement fédéral, environ 29 000 vulnérabilités et expositions courantes (CVE) ont été documentées dans le monde en 2023, contre seulement 15 en 1991. Cela crée un cyber-environnement complexe, et tout simplement déroutant, auquel les dirigeants d’entreprise doivent faire face.
L’astuce pour une gestion efficace des vulnérabilités, déclare Bischoping, est de voir à la fois les défis et les opportunités inattendues que ce paysage présente. Les nouvelles avancées technologiques et l’ automatisation à grande échelle vous aident à « réduire le bruit », à hiérarchiser les vulnérabilités qui représentent la plus grande menace pour votre entreprise, et à faciliter les stratégies que vous pouvez mettre en œuvre immédiatement pour réduire ce risque. (Son discours, « Aperçu pratique pour la gestion des vulnérabilités et des risques avec Tanium Guardian », se tiendra au Stinson Room à Four Seasons SF le 6 mai à 12 h PT et 8 mai à 16:15 PT.)
Focal Point a rattrapé Bischoping pour l’amener à prendre le boom des CVE, des erreurs courantes des entreprises et des meilleures pratiques.
(L’entretien suivant a été modifié pour plus de clarté et de longueur.)
Les vulnérabilités ont explosé au cours des deux dernières décennies. Pourquoi ?
La première cause est une adoption accrue de la technologie. Il y a vingt ans, tout le monde n’avait pas de téléphone portable dans sa poche, un ordinateur portable dans son sac et un serveur avec lequel se connecter à son bureau. Aujourd’hui, la technologie est partout.
« Nous avons atteint le point où les gens ne peuvent plus comprendre chaque ligne de code et si elle est sécurisée ou non. »
La deuxième raison est que de plus en plus de personnes recherchent des bugs de sécurité. Les primes de bugs et les programmes de récompense ont motivé les bons types à trouver les bugs avant les mauvais types.
Enfin, les logiciels sont de plus en plus complexes, avec des couches supplémentaires de dépendances. Nous avons atteint le point où les gens ne peuvent plus comprendre chaque ligne de code et si elle est sécurisée ou non.
Quels problèmes cela a-t-il créés pour les entreprises qui doivent suivre tout cela ?
Tout le monde essaie d’en faire plus avec moins. Ils n’ont pas de place pour plus d’effectifs et ne peuvent pas augmenter leur budget. Pendant ce temps, les outils d’alerte et les informations sur les menaces alimentent les analystes de cybersécurité des inondations avec plus de données de vulnérabilité. Ils obtiennent des rapports répertoriant des milliers de vulnérabilités dans leur environnement, chacune avec un score de gravité.
Comment les petites équipes donnent-elles la priorité aux éléments sur lesquels agir à mesure que les vulnérabilités s’accumulent ? Au début de ma carrière, j’ai supposé que vous pouviez simplement corriger les pires bugs l’un après l’autre. Cela ne fonctionne pas comme ça. Vous ne pouvez pas faire évoluer les équipes humaines pour faire face à la marée croissante des données de vulnérabilité.
Quelles approches courantes en matière de vulnérabilité voyez-vous les entreprises adopter, et comment sont-elles défaillantes ?
L’erreur la plus courante est de se concentrer aveuglément sur le numéro du système de notation des vulnérabilités courantes (CVSS) qui indique la gravité du bug. Les titres se concentrent sur les scores élevés, car ils semblent les plus effrayants. En réalité, un CVSS de 10 sur l’ordinateur portable d’un utilisateur assis dans son bureau à domicile est probablement moins préoccupant pour moi qu’un score de 7 sur mon serveur de messagerie public, mais le score seul ne fera pas apparaître cela. Il existe des scores CVSS plus faibles qui autorisent les violations chaque jour.
« Tout le monde essaie de faire plus avec moins... Pendant ce temps, les outils d’alerte et les informations sur les menaces alimentent les analystes de cybersécurité des inondations avec plus de données de vulnérabilité. »
Une autre erreur consiste à retarder l’application de correctifs de vulnérabilité dans l’infrastructure réseau. Vous ne placez généralement pas d’agents d’endpoint sur les routeurs et les pare-feux, il y a donc moins de visibilité. Le réseau est également essentiel à la mission, et cette faible tolérance aux temps d’arrêt rend les mises à jour plus risquées. Les logiciels des appareils réseau sont souvent obsolètes et soumis à des vulnérabilités vraiment dangereuses qui sont exploitées par des acteurs nationaux et des opérateurs de ransomware.
Quelles devraient être les meilleures pratiques pour la gestion des vulnérabilités ?
La première étape consiste à suivre les vulnérabilités pertinentes pour votre infrastructure. Cela signifie hiérarchiser la visibilité en utilisant un inventaire complet des actifs matériels et logiciels, ainsi qu’en collectant une bonne télémétrie.
« Si vous ne gérez pas la vulnérabilité, vous devez accepter le risque. »
Une fois que vous savez quels actifs sont vulnérables, vous avez besoin d’une stratégie de gestion des vulnérabilités qui va au-delà des simples scores de criticité pour examiner des facteurs tels que la probabilité d’exploitation.
Il existe des outils pour vous y aider. Je suis un grand fan du système de notation Exploit Prediction, qui estime la probabilité qu’une vulnérabilité soit exploitée à l’état sauvage. Le catalogue des vulnérabilités exploitées connues de la CISA, qui répertorie les vulnérabilités activement exploitées, est un autre outil utile, bien qu’il y ait souvent un délai entre le premier exploit et la publication d’une vulnérabilité sur cette liste.
Vous devez également traiter l’impact réel d’une vulnérabilité. Demandez si vous ciblez les vulnérabilités qui pourraient potentiellement entraîner le plus de dommages à votre environnement en donnant aux attaquants l’accès à vos joyaux de couronne.
Discutez avec les propriétaires d’unités commerciales pour déterminer des facteurs tels que le coût d’une exploitation d’un système particulier et le temps qu’il faudrait aux opérations pour en récupérer. C’est ainsi que vous démarrez le processus de gestion des risques. Si vous ne gérez pas la vulnérabilité, vous devez accepter le risque.
Comment la technologie peut-elle vous aider ?
Vous avez besoin d’outils qui vous aident à passer au crible les milliers de vulnérabilités annoncées chaque semaine et à comprendre où mettre votre énergie. Vos outils doivent pré-évaluer les vulnérabilités pour vous et vous indiquer automatiquement où en est l’impact. Cela signifie pondérer algorithmiquement une combinaison de prédiction d’exploit, de scores CVSS et de criticité pour trouver les vulnérabilités ayant l’impact le plus significatif sur votre environnement. Votre ensemble d’outils devrait pouvoir combiner cela avec des informations sur les menaces pour donner à ces exploits un contexte plus large.
[Lire également : Voici votre guide d’automatisation de la sécurité pour 2023, 2024, 2025…]
La technologie doit également recommander comment déployer les modifications et préparer les playbooks pour aider à supprimer certaines étapes manuelles. Cela donne à votre équipe le temps de discuter avec le propriétaire de l’entreprise de ce qui est sur le point de se passer.
La technologie n’est pas toute l’histoire. Cela vous aide également lorsque vous augmentez l’outillage avec l’intelligence humaine grâce à des partenariats qui vous donnent des informations humaines fiables sur la gestion des risques et des vulnérabilités. Cela peut vous aider à naviguer dans une marée très complexe de données et d’informations qui ne feront qu’augmenter.
Découvrez d’autres entretiens exclusifs avec des participants qui s’expriment dans et autour de la Conférence 2024 RSA : Appliquer les leçons précédentes pour la détection des menaces d’identité pilotée par Intel
