Le décembre 2020, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié un avertissement à l'intention des agences américaines, notamment les départements de la Sécurité intérieure, des Affaires étrangères et de la Justice, indiquant que des pirates informatiques avaient pénétré dans leurs systèmes informatiques. Même si l'on ignore encore quelle quantité de données gouvernementales les pirates ont pu dérober, cette faille a permis aux attaquants de voler des informations, d'exécuter des fichiers et de mettre hors service des systèmes informatiques.
Ce qui a rendu cette attaque particulièrement grave, ce n'était pas tant son origine — les experts en cybersécurité désignent les membres d'un groupe de pirates informatiques russes — que le moyen qu'ils ont utilisé pour accéder aux systèmes informatiques. Les pirates ont réussi à prendre le contrôle d'un outil très répandu de surveillance et de gestion informatique, appelé Orion, développé par l'éditeur de logiciels de sécurité SolarWinds. Ils ont trouvé un moyen d'insérer un code malveillant dans une mise à jour d'Orion, qui a ensuite été diffusée auprès des clients de SolarWinds.
Le recours à un « agent de confiance » tel qu’Orion représente une nouvelle menace importante pour les agences fédérales. Non seulement elles devront réécrire leurs guides de cybersécurité pour faire face à de nouvelles menaces, mais elles devront également renforcer leurs pratiques en matière d'hygiène de sécurité de base afin de mieux se défendre contre de nombreuses menaces classiques.
De nombreuses organisations ne perdent pas de temps pour mettre en œuvre des changements : selon une enquête de DomainTools publiée en mars, 20 % des organisations, y compris les administrations publiques, déclarent qu’elles augmentent déjà leurs budgets consacrés à la cybersécurité à la suite de la faille de sécurité chez SolarWinds, et qu’elles consacrent ces fonds supplémentaires à des outils d’analyse judiciaire, à l’ à des initiatives de type « zero trust » et au renforcement des effectifs chargés de la détection des menaces.
Combler les lacunes en matière de correctifs
La première étape pour renforcer la cyberdéfense, après l'affaire SolarWinds, consiste à mieux cerner les risques potentiels posés par les agents de confiance auxquels a été accordé un accès d' e aux systèmes informatiques d'une organisation. Cette menace est si récente que les administrations ne disposent pas d'estimations fiables quant au nombre de ces outils ou systèmes dont dispose en moyenne chacune d'entre elles. Les entreprises doivent évaluer les prestataires auxquels elles font appel afin de déterminer si la valeur qu’ils apportent justifie le risque encouru, et supprimer ou regrouper ceux qui ne répondent pas à ce critère, explique Garret Grajek, PDG de YouAttest, un prestataire spécialisé dans la conformité en matière de sécurité.
« SolarWinds nous a montré que nous installons ces agents à nos risques et périls », déclare-t-il.
Selon les experts en sécurité, il est tout aussi important que les organismes veillent à respecter les principes fondamentaux de la sécurité.
La mesure la plus élémentaire consiste sans doute à corriger les failles de sécurité dès qu'elles sont identifiées. SolarWinds a déjà publié une série de correctifs logiciels, diffusé un avis de sécurité sur et fourni aux utilisateurs un nouveau certificat de signature numérique, qui utilise le chiffrement pour garantir la fiabilité d'un logiciel. Il va presque sans dire que les correctifs doivent être installés et mis à jour. Mais les organisations doivent également s'assurer de disposer d'un programme complet de gestion des correctifs pour tous les appareils connectés à Internet.
[À lire également : Est-il temps de revoir vos pratiques en matière de gestion des logiciels ?]
Devenez un meilleur agent de la circulation
Une fois leurs systèmes mis à jour, les organismes publics — en particulier ceux qui ont été touchés par la faille Orion — devraient utiliser des outils de détection de logiciels malveillants afin de rechercher tout code malveillant. Outre l'analyse de leurs propres systèmes, les organismes devraient également effectuer des recherches à l'échelle d'Internet pour identifier leurs propres noms d'hôte, explique Bryson Bort, PDG de Scythe, un fournisseur de systèmes d'émulation d'attaquants. Cela permettrait d'identifier les fausses adresses IP qui se font passer pour le site web de l'agence.
Une autre mesure consisterait à analyser le trafic réseau sortant des systèmes afin de détecter les connexions qui ne correspondent pas au profil de trafic habituel. Comme le logiciel malveillant utilisé lors de l'attaque contre SolarWinds nécessite un accès à Internet depuis l'extérieur pour permettre aux pirates de voler des données, une connexion présentant un temps de réponse élevé pourrait indiquer qu'elle envoie des fichiers vers la Russie, explique M. Bort.
Certaines agences ont des tâches encore plus élémentaires à accomplir. Selon la CISA, certains réseaux ont été piratés parce que les pirates ont deviné leurs mots de passe, ce qui souligne la nécessité de mettre en place des politiques imposant des mots de passe plus complexes ou le recours à l'authentification multifactorielle. Étant donné que les pirates informatiques ont souvent recours à des techniques d’« ingénierie sociale » pour persuader les employés de leur communiquer leurs mots de passe ou de leur divulguer des informations sensibles, il est également indispensable d’investir dans des formations de sensibilisation à la cybersécurité.
Couvrir tous les terminaux
Une autre étape importante consiste à réévaluer tous les points d'accès où les systèmes informatiques sont vulnérables aux attaques. Cela comprend un audit de toutes les personnes disposant d'un accès administratif aux systèmes réseau, ainsi qu'une évaluation des mesures de sécurité mises en place sur tous les capteurs ou autres appareils IoT connectés à leurs réseaux, tels que les capteurs environnementaux et les capteurs de bâtiment. Il convient également de vérifier la sécurité physique des locaux abritant des systèmes critiques.
«Les agences fédérales doivent réévaluer tous les terminaux sur lesquels les systèmes informatiques sont vulnérables aux attaques. »
À plus long terme, les administrations doivent repenser la manière dont elles collectent, stockent et classent les volumes croissants de données qu'elles gèrent. Cela implique de segmenter les données afin de pouvoir appliquer des contrôles de sécurité plus stricts à l'accès aux données les plus sensibles.
L'Institut national des normes et des technologies (NIST) propose un cadre de cybersécurité « » très utile ( ) destiné à aider les organisations à identifier leurs ressources de données les plus importantes, explique Adam Nichols, responsable du pôle sécurité logicielle chez Grimm, un fournisseur de solutions de cybersécurité. (Un décret n° 2017 impose désormais aux agences fédérales d'élaborer un plan de mise en œuvre de ce cadre.)
Protéger les actifs essentiels
Les agences peuvent également recourir à des outils de modélisation des menaces pour identifier les actifs critiques et les risques potentiels et « s'assurer que les efforts sont d'abord consacrés aux priorités », explique M. Nichols.
« Protéger ces actifs ne se résume pas simplement à ajouter un niveau supplémentaire de contrôle d’accès, tel que des mots de passe, des cartes-clés ou des lecteurs d’empreintes digitales », explique Ani Chaudhuri, PDG d’ Dasera, un fournisseur de solutions de sécurité des données dans le cloud. Le problème, dit-il, est que les salariés ou les prestataires ayant accès à des données sensibles peuvent (par inadvertance ou intentionnellement) faire un usage abusif de ces informations. Pour lutter contre cette menace, les organismes doivent être en mesure de surveiller en temps réel la manière dont ces informations sont utilisées.
« De nombreuses organisations pensent pouvoir classer les données par niveaux de sensibilité, puis placer les données les plus sensibles dans un emplacement physique ou logique bénéficiant de protections supplémentaires », explique-t-il. « La seule façon pour les organisations de protéger véritablement leurs données sensibles est d’aller au-delà du simple contrôle d’accès. »
En fin de compte, le changement le plus important que devront opérer les administrations publiques consistera peut-être à changer leur état d'esprit. La meilleure défense contre la prochaine attaque est de savoir qu’elle aura lieu ; c’est pourquoi les systèmes informatiques des administrations doivent être conçus, testés et exploités en partant de ce principe. « Partez toujours du principe que l’organisation ou l’agence fera l’objet d’une intrusion », déclare M. Bort, de Scythe. « Le périmètre est hors service. »
