Lorsqu'une situation ne fonctionne pas, il est utile de prendre un peu de recul et d'examiner votre situation sous un angle nouveau. C'est là le message simple mais percutant qu'Andy Ellis, spécialiste chevronné de la cybersécurité, fera passer lors de la RSA Conference 2022.
M. Ellis a travaillé dans le domaine de la sécurité de l'information au sein d'organisations aussi diverses que l'armée de l'air américaine ; il a contribué à faire d'Akamai Technologies un géant de l'Internet ; il est actuellement associé opérationnel chez YL Ventures, qui finance et soutient des start-ups spécialisées dans la cybersécurité, et a été intronisé au CSO Hall of Fame.
À ce titre, c'est un expert dans l'art d'avoir une vision d'ensemble. Il mettra à profit cette expertise lors d’une table ronde organisée dans le cadre de la conférence RSA 2022, intitulée «: Les quatre dimensions de la mise en place d’un programme de sécurité », afin d’inciter les RSSI et autres responsables de la sécurité à ne plus se concentrer exclusivement sur les nouvelles technologies à la mode, mais à se pencher sérieusement sur les principes fondamentaux d’une bonne cyberhygiène .
M. Ellis a donné à Endpoint un aperçu des thèmes qu'il abordera lors de sa table ronde (mercredi, de 8 juin, à 8:30 à 09:20 PT, au Moscone Center de San Francisco).
Allons donc directement au vif du sujet avec le titre de cette table ronde. Pourquoi quatre dimensions ?
Lesquelles ?
Tout à fait. Mais prenons un peu de recul. Trop souvent, notre approche de la sécurité repose sur des listes de contrôle. L'ISO [Organisation internationale de normalisation] fournit aux professionnels de la sécurité une liste de 900 mesures que nous devrions mettre en œuvre. Au final, nous nous contentons de choisir des tâches dans la liste et nous nous attelons à les réaliser.
«Ce sont les deux seuls critères qui comptent pour vous : ce que vous possédez et la difficulté à le déterminer. »
Cette intervention nous invite à prendre un peu de recul par rapport à cela et à réfléchir à certaines choses. La première question est la suivante : savez-vous seulement ce qui, dans votre environnement informatique, doit être sécurisé ? Tout le monde répond toujours : « Bien sûr, nous protégeons d'abord nos actifs les plus importants. » Cependant, la réalité est que votre actif le plus risqué est rarement votre actif le plus important. L'actif le plus risqué est celui qui se trouve à proximité de votre actif le plus précieux — et qui y a accès.
Mais personne ne prête attention à cet atout. Personne ne sait même que cela existe. C'est pourquoi il est essentiel de commencer par réfléchir à la visibilité , à la visibilité et à la couverture de vos actifs ; cela ne concerne pas seulement le nombre et les types d'actifs dont vous disposez, mais également le processus qui vous permet de connaître votre inventaire d'actifs . Et vous allez devoir apprendre à accepter ce que vous ignorez au sujet de vos actifs. Savez-vous combien de ressources cloud vous possédez ? Allez chercher ce numéro. Remarquez à quel point il est difficile d'obtenir ce chiffre. Ce sont les deux seuls critères qui comptent pour vous : ce que vous possédez et la difficulté à le déterminer.
Pourtant, vous pouvez effectuer un autre inventaire des actifs en 15 minutes, et le résultat sera différent.
Mais ce n'est pas grave ; le chiffre exact n'a pas d'importance. Ce qui compte, c'est la difficulté à atteindre ce chiffre. Car si le nombre de clouds change toutes les 15 minutes, mais qu'il vous faut six semaines pour le déterminer, c'est que vous ne connaissez manifestement pas vos systèmes ni ce qu'ils contiennent. Après tout, si c'est vrai, vous ne pouvez même pas obtenir régulièrement une estimation globale de vos actifs.
Ensuite, une fois que vous disposez d'un moyen de recenser vos actifs, vous devriez être en mesure de hiérarchiser les systèmes en fonction des risques. Savez-vous quels sont vos systèmes phares ? Qui a accès à vos joyaux de la couronne ? Nous reviendrons sur cet aspect dans un instant. Je décris cela en termes de dimensions. Nous avons abordé la première dimension, à savoir l'étendue de la couverture en matière de sécurité.
C'est tout à fait logique : commencez par déterminer ce que vous devez gérer et sécuriser, puis évaluez votre surface d'attaque. Quelle est la prochaine étape ?
La deuxième dimension concerne l'exhaustivité de vos contrôles. Pour moi, la deuxième dimension correspond à la hauteur et à ce que la plupart des gens appelaient autrefois la profondeur.
«La Ligne Maginot ne fonctionne pas lorsque l'adversaire agit rapidement. » Et, dans le domaine du cyberespace, les adversaires agissent à une vitesse fulgurante. »
Je trouve que la manière dont la plupart des gens utilisent l'expression « défense en profondeur » est déplorable. J'ai en effet commencé mon intervention en évoquant la ligne Maginot , ces ouvrages défensifs que les Français ont construits le long de la frontière allemande dans les années 1930s, en tant qu'exemple classique de défense en profondeur. Mais la ligne Maginot ne fonctionne pas lorsque l'adversaire agit rapidement. Et, dans le cyberespace, les adversaires agissent à une vitesse fulgurante.
La deuxième dimension évalue la façon dont vos éléments de commande s'empilent. Prenons l'exemple de l'authentification multifactorielle d' [MFA]. On dit souvent qu'on dispose de deux facteurs et que ces deux facteurs constituent un atout double. Eh bien, si ces deux étapes impliquent de saisir un mot de passe sur , puis que le système envoie un SMS et que vous saisissez le numéro figurant dans ce SMS dans un champ, il existe de nombreuses façons dont ce processus peut être compromis. Tout d'abord, le pirate s'empare du mot de passe, puis il met en place une manœuvre d'ingénierie sociale pour pirater le SMS. Cela s'est produit à de nombreuses reprises.
Nous sommes toujours exposés à des risques tels que les attaques de type « homme du milieu » et l'ingénierie sociale. Cette forme de MFA serait-elle donc peut-être 25 % meilleure ?
C'est peut-être 25 % mieux, mais l'adversaire a tout le temps du monde. En revanche, si je dispose d’une authentification multifactorielle (MFA) basée sur la norme FIDO [Fast Identity Online] de et d’un certificat X.509 qui la déclenche, il est beaucoup plus difficile pour un attaquant de dissocier et d’attaquer ces contrôles. Donc, ces effets se cumulent, et peut-être qu'ils sont effectivement 100 % plus efficaces.
[À lire également : 5 graphiques qui expliquent la crise de visibilité du secteur informatique]
Dans cette optique, commencez à passer en revue tous les domaines de contrôle de votre système. Savez-vous ce qui se trouve dans le système ? Du point de vue de la gestion des vulnérabilités, savez-vous dans quelle mesure le système est correctement entretenu ? Savez-vous dans quelle mesure le système est bien configuré ? Protégez-vous vos identités sur le système ? Limitez-vous le nombre de personnes ayant accès au système ? Tout cela relève en grande partie des principes fondamentaux. Mais si vous ne savez pas que cette approche globale est mise en œuvre, vous avez un problème.
J'évoque également brièvement la difficulté liée à la mesure. Prenons l'exemple de la gestion des vulnérabilités proposée par . En fin de compte, vous souhaitez évaluer un élément tel que le SLA d' [accord de niveau de service], qui mesure l'efficacité de votre processus, plutôt qu'un indicateur qui se contente de montrer à quel point ce processus est sollicité. Je pense que nous nous trompons complètement sur les indicateurs de gestion des vulnérabilités.
Recommandez-vous de ne plus s'appuyer sur des indicateurs tels que le « temps moyen », c'est-à-dire le temps moyen nécessaire pour corriger les vulnérabilités critiques, et d'autres indicateurs clés de performance [KPI] courants ?
Eh bien, j'aime bien utiliser un SLA. « Meantime » est un jeu tactique. Et la valeur « entre-temps » correspond en gros à la question suivante : quelle serait ma médiane si j'atteignais cet objectif 50 % du temps ? Cela pourrait donc s'avérer utile, mais ce qu'il vous faut faire, c'est choisir un SLA et mesurer le pourcentage de temps pendant lequel vous restez en dessous de ce seuil.
Si vous utilisez le temps moyen et que vous avez un élément que vous n'avez jamais patch, cela continue d'alourdir le temps moyen. Ou bien cela pourrait ne jamais s'ajouter au temps moyen, selon la manière dont vous le calculez. Il s'agit de l'unité métrique la plus couramment utilisée. Et c'est une situation déplorable, car elle engendre des externalités étranges. Si vous avez des vulnérabilités corrigées et d'autres non corrigées, les évaluez-vous différemment ? Vous disposez désormais de deux indicateurs différents pour ces éléments, et à un moment donné, vous pouvez contourner le système en refusant de les déplacer d'une colonne à l'autre.
C'est fascinant. Alors, quelle est la troisième dimension de la mise en place d'un programme de sécurité ?
La troisième dimension concerne la profondeur, c'est-à-dire la compréhension de la stratégie d'attaque de l'adversaire. Et vous pouvez le faire en racontant comment vos défenses les neutralisent.
Pour réussir, vous devez respecter quelques points. La première consiste à élaborer des scénarios décrivant en détail les voies d'attaque. Un scénario tactique pourrait se présenter comme suit : l'un de vos systèmes connectés à Internet comporte des logiciels vulnérables et des clés non sécurisées qui permettent d'accéder à un système plus sensible. Et voilà, voici une faille d'exploitation ; vous devriez peut-être corriger ce problème plus rapidement ou remédier au problème de clé non sécurisée.
Examinons le récit concernant le ransomware « ». Tout le monde panique à propos des rançongiciels. Personne n'explique ce qu'est un ransomware avec autant de clarté. Un ransomware est un logiciel malveillant qui infecte un ordinateur, puis se propage latéralement, le plus souvent en exploitant des identifiants d'administrateur ou des failles de sécurité à distance largement répandues et bien connues dans les systèmes d'exploitation courants.
[À lire également : Comment empêcher les mouvements latéraux lors de cyberattaques]
Voilà, c'est tout ; voilà comment fonctionne un rançongiciel. Vous venez de présenter l'ensemble du processus en détail ; vous pouvez donc aborder les mécanismes de défense qui permettent de briser cette chaîne. Cela vous permet de réévaluer le niveau de vos défenses et de vous demander si vous disposez d'un moyen d'empêcher les déplacements latéraux des administrateurs. Avez-vous mis en place une administration d'Active Directory à trois niveaux ? Sinon, vous devriez peut-être simplement vous débarrasser de [Microsoft] Active Directory. C'est parce que vous n'êtes pas aussi brillant que vous le pensez.
J'ai vu des enquêtes selon lesquelles environ 80 % des personnes interrogées victimes d'un rançongiciel ont déclaré que les pirates avaient ciblé Active Directory, qui permet au service informatique de gérer les utilisateurs, les applications, les données, etc. Ces mêmes enquêtes ont montré qu'environ 90 % des organisations n'étaient pas en mesure de gérer efficacement Active Directory.
D'accord. Dix pour cent des entreprises qui déploient Active Directory disposent des compétences nécessaires pour le gérer en toute sécurité. Et je sors ce chiffre de nulle part. Je pense que c'est en réalité inférieur à cela.
«» Utilisez ces deux solutions : les MFA et les services anti-hameçonnage. Vous venez de compliquer considérablement la tâche de la plupart des auteurs de menaces persistantes avancées. »
De nos jours, en raison de la manière dont Active Directory gère l'administration du domaine par défaut, des identifiants d'administration sont temporairement stockés sur les machines périphériques. Pourtant, le logiciel malveillant sait les lire. C'est ce que fait [l'outil de piratage] Mimikatz . Il analyse et identifie les identifiants d'administrateur. Lorsqu'il en trouve un, tant mieux : il contrôle désormais l'ensemble de votre réseau.
Si vous souhaitez vous débarrasser des ransomwares, résolvez le problème lié aux droits d'administrateur et mettez en place l'authentification multifactorielle (MFA) sur tous vos systèmes d'administration. C'est un peu comme si, pour résoudre le problème de hameçonnage lié à , il ne suffisait pas d'acheter davantage de services anti-hameçonnage. Ce qu’il vous faut, c’est mettre en place une authentification multifactorielle (MFA) efficace.
Et, au fait, adoptez ces deux mesures : les MFA et les services anti-hameçonnage. Vous venez de compliquer considérablement la tâche de la plupart des auteurs de menaces persistantes avancées. Et vous avez même, d'une certaine manière, facilité la vie de vos utilisateurs. C'est votre troisième dimension.
Et puis, la quatrième dimension est le temps. Les mesures de sécurité, c'est comme les entreprises. Si une entreprise ne se développe pas, c'est qu'elle est en train de péricliter. Si une mesure de sécurité ne gagne pas en efficacité, c'est qu'elle perd de son efficacité. Comment décririez-vous votre parcours de progression ? Si vous évaluez le respect du SLA en matière de gestion des vulnérabilités, ce taux augmente-t-il ou diminue-t-il au fil du temps ? Cela nécessite-t-il ou non l'implication de la direction pour être maintenu ? Est-ce que vous améliorez votre «
» ou êtes-vous en train de péricliter ?
Selon vous, où les entreprises commettent-elles les plus grosses erreurs lorsqu'elles mettent en place un programme de sécurité ? Et pourquoi cette conférence que vous donnez est-elle importante aujourd’hui ?
Nous venons tous au salon RSA, et qu'est-ce que nous achetons ? Nous achetons tout ce qui est en promotion chez RSA. C'est généralement ce qui se passe.
Mais nous devons prendre du recul et nous poser la question suivante : de quoi avons-nous besoin pour assurer la sécurité de nos entreprises ? Quelle est la prochaine étape à suivre ? Et ensuite, construisez cela à partir des principes fondamentaux. Je ne veux pas dire pour autant que les gens doivent rester les bras croisés et ne rien faire tant qu’ils n’ont pas élaboré un plan parfait.
Examinons la question de l'identification des actifs. Le moyen le plus simple de gérer l'identification des actifs consiste à utiliser un tableur. Il vous suffit d'en ouvrir un et d'y saisir vos serveurs dans le cloud public, en indiquant dans un champ le nombre dont vous disposez. Supposons que vous ne le sachiez pas pour l'instant. Ce n'est pas grave, très bien. Qu'avez-vous d'autre ? Disposez-vous d'ordinateurs de bureau d'entreprise ? Mettez ça là-dedans. Services aux entreprises ? Commencez simplement à les énumérer, et au fur et à mesure que vous obtenez des réponses, ajoutez-les à la liste. Réfléchissez à la manière dont vous allez organiser cela.
Je pense qu’un des principaux défis réside dans le fait que notre profession est encore en pleine évolution, mais que cette évolution s’opère avant tout à travers une mentalité de « culte du cargo ». Et je ne dis pas cela dans un sens entièrement négatif. Nous disposons d'un grand nombre de professionnels de la sécurité extrêmement talentueux. Mais nous, en tant que secteur, devons nous détacher des tendances du moment et nous concentrer sur ce qui permettra de réduire les risques.
