En décembre 2020, l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a émis un avertissement aux agences américaines, y compris les ministères de la sécurité intérieure, de l’État et de la justice, indiquant que les pirates avaient violé leurs systèmes informatiques. Bien qu’on ne sache pas avec quelle quantité les pirates informatiques gouvernementaux ont réussi à dérober des informations, à exécuter des fichiers et à désactiver les systèmes informatiques.
Ce qui a rendu l’attaque particulièrement grave était moins la source, les experts en cybersécurité pointent vers les membres d’un groupe de piratage russe, et plus le véhicule qu’ils utilisaient pour accéder aux systèmes informatiques. Les pirates informatiques ont réussi à pirater un outil populaire de surveillance et de gestion informatique, appelé Orion, du fournisseur de logiciels de sécurité SolarWinds. Ils ont trouvé un moyen d’insérer un code malveillant dans une mise à jour Orion, qui a ensuite été distribuée aux clients SolarWinds.
L’utilisation d’un « agent de confiance » comme Orion constitue une nouvelle menace importante pour les agences fédérales. Non seulement ils devront réécrire leurs manuels de cybersécurité pour faire face aux nouvelles menaces, mais ils devront également renforcer leur pratique de l’hygiène de sécurité de base pour jouer une meilleure défense contre de nombreuses menaces conventionnelles.
De nombreuses organisations ne perdent pas de temps à effectuer des changements : selon une enquête DomainTools publiée en mars, 20 % des organisations, y compris les agences gouvernementales, déclarent qu’elles stimulent déjà leurs budgets de cybersécurité à la suite de la violation de SolarWinds, et dépensent le financement supplémentaire sur les outils d’informatique légale, les initiatives Zero Trust et l’augmentation du personnel pour la détection des menaces.
Combler l’écart entre les correctifs
La première étape pour renforcer la cyberdéfense, post-SolarWinds, consiste à mieux gérer les risques potentiels posés par les agents de confiance qui ont reçu l’ accès aux systèmes informatiques d’une organisation. La menace est si nouvelle que les agences ne disposent pas d’estimations fiables du nombre de ces outils ou systèmes dont dispose l’agence moyenne. Les agences doivent évaluer celles qu’elles utilisent pour voir si la valeur qu’elles fournissent vaut le risque et éliminer ou consolider celles qui ne le font pas, déclare Garret Grajek, PDG de YouAttest, un fournisseur de conformité en matière de sécurité.
« SolarWinds nous a montré que nous ajoutons ces agents à nos propres risques », déclare-t-il.
Tout aussi important, les experts en sécurité disent que les agences doivent s’assurer qu’elles prêtent attention aux fondamentaux de la sécurité.
Peut-être que le plus basique est de corriger les vulnérabilités une fois qu’elles sont identifiées. SolarWinds a déjà publié un ensemble de correctifs logiciels, émis un avis de sécurité et fourni aux utilisateurs un nouveau certificat de signature de code numérique, qui utilise le chiffrement pour garantir la fiabilité d’un logiciel. Il va presque sans dire que les correctifs doivent être installés et mis à jour. Mais les organisations doivent également s’assurer qu’elles disposent d’un programme complet de gestion des correctifs pour tous les appareils qui touchent Internet.
[Lire également : Est-il temps de revoir vos pratiques de gestion des logiciels ?]
Être un meilleur agent de police du trafic
Une fois leurs systèmes corrigés, les organisations gouvernementales, en particulier celles touchées par la violation Orion, doivent exécuter des outils de détection des logiciels malveillants pour rechercher des codes malveillants. En plus d’analyser leurs propres systèmes, les agences doivent également effectuer des recherches à l’échelle d’Internet pour leurs propres noms d’hôtes, déclare Bryson Bort, PDG de Scythe, un fournisseur de systèmes d’émulation antagoniste. Cela identifierait les fausses adresses IP qui se font passer pour le site Web de l’agence.
Une autre étape consisterait à vérifier le trafic réseau sortant des systèmes pour les connexions qui ne correspondent pas au profil de trafic standard. Étant donné que le logiciel malveillant dans l’attaque SolarWinds nécessite un accès Internet externe pour que les pirates informatiques volent des données, une connexion qui a un temps de réponse long pourrait indiquer qu’elle envoie des fichiers en Russie, déclare Bort.
Certaines agences ont encore plus de travail à faire. La CISA affirme que certains réseaux ont été compromis parce que les pirates informatiques ont deviné leurs mots de passe, suggérant la nécessité de politiques qui nécessitent des mots de passe plus complexes ou l’utilisation d’une authentification multifacteur. Étant donné que les pirates informatiques utilisent fréquemment des techniques d’« ingénierie sociale » pour persuader les employés de retourner les mots de passe ou de partager des informations sensibles, investir dans une formation de sensibilisation à la cybersécurité est également indispensable.
Couvrir tous les endpoints
Une autre étape importante consiste à réévaluer tous les endpoints où les systèmes informatiques sont vulnérables aux attaques. Cela inclut un audit de toutes les personnes qui ont un accès administratif aux systèmes réseau, et une évaluation des protections de sécurité sur tous les sensors ou autres appareils IoT liés à leurs réseaux, tels que les capteurs environnementaux et de bâtiment. Même la sécurité physique des salles avec des systèmes critiques doit être vérifiée.
« Les agences fédérales doivent réévaluer tous les endpoints où les systèmes informatiques sont vulnérables aux attaques. »
À plus long terme, les agences doivent repenser la manière dont elles collectent, stockent et catégoriser les quantités croissantes de données qu’elles gèrent. Cela signifie segmenter les données afin que des contrôles de sécurité plus stricts puissent être placés sur l’accès aux données les plus sensibles.
Le National Institute of Standards and Technology fournit un cadre de cybersécurité utile pour aider les organisations à identifier leurs actifs de données les plus importants, déclare Adam Nichols, directeur de la pratique de sécurité logicielle chez le fournisseur de cybersécurité Grimm. (Un décret 2017 exige désormais que les agences fédérales élaborent un plan pour mettre en œuvre le cadre.)
Protégez les actifs critiques
Les agences peuvent également utiliser des outils de modélisation des menaces pour identifier les actifs critiques et les risques potentiels et « s’assurer que les efforts sont d’abord consacrés aux choses les plus importantes », déclare Nichols.
La protection de ces actifs n’est pas une simple question d’ajout d’une autre couche de contrôle d’accès, comme les mots de passe, les cartes-clés ou les lecteurs d’empreintes digitales, déclare Ani Chaudhuri, PDG de Dasera, un fournisseur de sécurité des données cloud. Le problème, dit-il, est que les employés ou les sous-traitants qui ont accès à des données sensibles peuvent (par inadvertance ou intentionnellement) abuser de ces informations. Pour lutter contre cette menace, les agences doivent être en mesure de surveiller la manière dont ces informations sont utilisées en temps réel.
« De nombreuses organisations pensent qu’elles peuvent catégoriser les données en tranches de sensibilité, puis placer les données les plus sensibles dans un emplacement physique ou logique qui dispose de protections supplémentaires », déclare-t-il. « La seule façon pour les organisations de protéger réellement les données sensibles est d’aller au-delà du contrôle d’accès. »
En fin de compte, le plus grand changement requis des agences gouvernementales peut changer leur état d’esprit. La meilleure défense contre la prochaine attaque est la connaissance qu’elle se produira, de sorte que les systèmes informatiques des agences doivent être conçus, testés et exécutés selon cette hypothèse. « Supposez toujours que l’organisation ou l’agence sera violée », déclare Scythe’s Bort. « Le périmètre est mort. »
