Lorsque le défaut de sécurité Log4j a soulevé sa mauvaise tête, permettant aux cybercriminels de pénétrer les réseaux informatiques vulnérables avec une seule ligne de code, il semblait s’agir d’une menace de cybersécurité unique, une vulnérabilité nucléaire zero-day qui devait être corrigée immédiatement.
Mais avant de pouvoir dire déjà vu, le Spring4Shell zero-day est arrivé, capturant plus de titres, paniquant les cadres supérieurs et envoyant des équipes de sécurité dans 07/12 overdrive.
Les temps ont certainement changé. Auparavant, les pirates informatiques exploitaient de manière fiable ces zero-days (défauts de code qu’un créateur de logiciel ou un fournisseur ne sait pas exister jusqu’à ce qu’ils soient trouvés ou exploités) tous les quelques années environ.
Aujourd’hui, alors que les entreprises et les gouvernements s’appuient de plus en plus sur des logiciels tiers pour exécuter des réseaux et des applications organisationnelles, ces zero-days deviennent de plus en plus fréquents et graves.
Restez à la chasse !
Mais les professionnels de la sécurité informatique, ainsi que les cadres dirigeants et les conseils auxquels ils répondent, se demandent : les zero-days augmentent-ils et s’aggravent-ils vraiment ? Ou les chercheurs en sécurité et les chasseurs de primes de bogues qui éliminent ces failles ne font-ils que s’améliorer dans leur travail ?
« Chaque jour zéro n’est pas un scénario critique de toutes les mains. »Melissa Bischoping, directrice de la recherche sur la sécurité des endpoints, Tanium
Melissa Bischoping, directrice de la recherche sur la sécurité des endpoints chez Tanium, pense que c’est cette dernière. « De plus en plus de zero-days apparaissent, en partie parce que tant de personnes les recherchent maintenant », déclare Bischoping, qui dirige également des ateliers de recherche de menaces. « Chaque jour zéro n’est pas un scénario critique de toutes les mains. La menace imminente des « grands » vous empêche de dormir, mais ce ne sont qu’une fraction des jours zéro que nous voyons. Je conseille aux gens d’évaluer et de réagir en conséquence en fonction de la gravité, pas uniquement du fait que c’est un jour zéro. »
Cela dit, elle avertit qu’il est crucial que les professionnels de la sécurité restent à la chasse. Étant donné la manière dont les pirates informatiques criminels peuvent armer une seule vulnérabilité pour créer des ravages généralisés (voir le piratage SolarWinds et son impact sur les entreprises et les gouvernements), rester à jour zéro est essentiel à la sécurité du réseau.
Les exploits zero-day deviennent plus graves
Steve Wilson, directeur des produits chez Contrast Security, qui fournit une plateforme unifiée pour aider les développeurs à coder de manière plus sécurisée, constate une augmentation du nombre et de la gravité des exploits zero-day sur la couche applicative, où Contrast concentre son travail. Une raison clé, dit-il, est qu’une grande partie du code logiciel que les entreprises utilisent aujourd’hui a été écrit il y a de nombreuses années, voire des décennies. Apache Log4j, une bibliothèque Java, a une histoire de 20 ans et est largement entretenue par des bénévoles, note Wilson.
« De nombreuses hypothèses fondamentales dans ces bibliothèques ont été faites à une époque où les développeurs savaient moins comment créer un code sécurisé », déclare Wilson. « Les pirates informatiques examinent désormais clairement ces écosystèmes plus anciens et hautement déployés, où les craquements dans l’armure peuvent avoir des répercussions massives. »
Une surface d’attaque croissante
Tony Lauro, directeur des technologies et de la stratégie de sécurité chez Akamai Technologies, convient que les menaces zero-day persisteront dans un avenir prévisible, en grande partie parce que tant d’entreprises numérisent, passent au cloud et laissent les employés travailler à distance à partir de divers appareils d’endpoint.
« Malheureusement, nous allons voir ce problème s’aggraver avant qu’il ne s’améliore, car il y aura plus de surfaces d’attaque disponibles que les attaquants pourront cibler », déclare Lauro. « Et certainement, avec toutes les nouvelles générations qui arrivent en ligne, il y aura certainement plus de groupes de victimes également. »
[Lire également : ce que vous ne savez pas sur la révolution du travail à distance peut vous nuire]
De plus, les exploitations zero-day pourraient augmenter parce qu’elles deviennent des bailleurs de fonds pour les cyber-enfers. Rob Joyce, directeur de la cybersécurité de la NSA, a déclaré à un panel lors de la conférence RSA de cette année que les gangs de rançongiciels utilisent leurs bénéfices pour acheter des exploits zero-day, et que son agence s’inquiète de la rapidité avec laquelle les criminels peuvent tirer parti des vulnérabilités logicielles nouvellement divulguées.
Le ciel ne tombe pas tant qu’il n’est pas
Bien que certains exploits zero-day puissent sembler plus menaçants qu’ils ne le sont réellement, les services de sécurité informatique doivent tous les prendre au sérieux et faire tout leur possible pour se défendre contre eux.
« Ils reçoivent 150 000 avertissements différents sur diverses vulnérabilités, et cela peut être presque anesthésiant. »Frank Dickson, vice-président du groupe, IDC
Certaines équipes de sécurité adopteront cette approche. Ils ont passé des années à entendre des fournisseurs, des chercheurs et des développeurs de logiciels signaler de nouveaux zero-days qui finissent par être des hamburgers de grande taille. De plus, la plupart des équipes de sécurité sont surchargées, sous-chargées et sous-financées. Ainsi, ils ont tendance à ignorer les alarmes non urgentes.
« Il s’agit d’une « fatigue d’alerte », déclare Frank Dickson, vice-président du groupe chez IDC. « Ils reçoivent 150 000 avertissements différents sur diverses vulnérabilités, et cela peut être presque anesthésiant. »
Dickson déclare que les entreprises doivent d’abord résoudre ces frustrations. Ils doivent également répondre à la menace posée par les zero-days en apportant quelques changements évidents et moins évidents à leur cyberhygiène, tels que :
- Fournir des correctifs efficaces, la première fois. Cela est sur les fournisseurs de logiciels. En fait, de nombreux zero-days Google sont souvent des vulnérabilités précédemment corrigées , a écrit Maddie Stone, chercheuse en sécurité chez Project Zero. Quant à la prévention ? Stone a observé qu’au moins la moitié des jours zéro qu’elle a étudiés « aurait pu être évitée grâce à des tests de correction et de régression plus complets ». C’est un peu comme une équipe de pompiers qui éteint un coup de feu, mais des braises manquantes qui pourraient finalement attraper le vent et se transformer en une toute nouvelle tempête de feu. « Être capable de corriger correctement et de manière exhaustive ne se limite pas à déclencher un changement : cela nécessite un investissement, une hiérarchisation et une planification. Cela nécessite également de développer un processus d’application de correctifs qui équilibre à la fois la protection rapide des utilisateurs et la garantie qu’il est complet. »
- Sachez ce que vous avez. Vous ne pouvez pas protéger ou corriger ce que vous ne voyez pas, et les enquêtes ont montré que de nombreux DSI manquent de visibilité sur tous leurs actifs sur site et dans le cloud. La première chose qu’un cadre dirigeant à volants demandera à un RSSI ou à un DSI lorsqu’une éruption zero-day se produit, c’est : « Dans quelle mesure dois-je m’intéresser à celle-ci ? » et « Est-ce la fin du monde pour nous ou non ? » déclare Bischoping de Tanium. C’est là qu’une forte observabilité des données et des plateformes de gestion des endpoints peuvent être cruciales. Ils peuvent aider les DSI et leurs équipes à combler les lacunes entre les silos de données, voir ce qui se passe avec les endpoints et déterminer plus rapidement les niveaux d’exposition zero-day.
Au demeurant, il existe de nombreux outils de gestion des actifs dignes d’une entreprise qui peuvent aider à y parvenir, mais tout aussi important est de traiter la culture autour de la hiérarchisation de la cybersécurité et de l’hygiène dans un souci de rapidité.
- Arrêtez le jeu de blâme de codage. Les vulnérabilités se produisent. Ils le feront toujours. Mais ils se produisent plus souvent lorsque les chefs de produit ou les spécialistes du marketing poussent les développeurs à écrire du code si rapidement qu’il n’y a pas de temps pour l’examen ou la remédiation de la sécurité. Les calendriers des produits sont construits autour de la livraison d’un produit sur le marché. La cybersécurité est souvent une case à cocher vers la fin de ce processus.
« Nous devrons tous continuer à lutter contre les jours zéro. La seule journée facile était hier. »Tony Lauro, directeur de la stratégie et des technologies de sécurité chez Akamai Technologies
Dickson dit que cela doit changer. Les organisations doivent encourager les développeurs de logiciels à atteindre des objectifs de sécurité stricts. « Les développeurs d’aujourd’hui sont rémunérés pour leur capacité à livrer des produits dans un délai imparti et à générer des revenus, mais nous ne les compensons pas nécessairement pour le codage sécurisé », dit-il. « Nous devrions. Il est extrêmement important de mener un paradigme de sécurité de haut en bas dans les organisations. »
Le bischoping ajoute qu’il est également crucial d’éviter de frapper les développeurs avec un stick lorsque des vulnérabilités occasionnelles apparaissent et deviennent zero-days. « Nous devons mettre fin à cette culture consistant à blâmer en cas de violation », dit-elle. « Oui, vous souhaitez pouvoir revenir en arrière et déterminer si le code a été mal écrit et voir si les processus ont été suivis. Mais adopter une approche punitive est contre-productif et ne résout rien vraiment. Vous devez plutôt vous concentrer sur la compréhension des lacunes qui ont introduit la vulnérabilité et sur la manière de vous améliorer continuellement avec chaque analyse des causes profondes. »
- Envisagez la gestion de la surface d’attaque. Les DSI augmentent la surface d’attaque chaque fois qu’ils adoptent un nouveau service cloud ou fournissent plus d’endpoints pour soutenir la croissance de l’entreprise et la transformation numérique. Dickson d’IDC déclare que l’une des approches les plus récentes à envisager pour traiter les zero-days est la gestion de la surface d’attaque (ASM). Cela est défini comme la découverte, l’inventaire, la classification et la surveillance continus de l’infrastructure informatique d’une organisation. Il cherche à envisager ces tâches de sécurité du point de vue d’un attaquant. Ces outils envoient constamment et automatiquement des ping aux réseaux, comme un pirate informatique pourrait le faire, à la recherche de vecteurs d’attaque potentiels.
- Créez un playbook zero-day vivant. De nombreuses organisations disposent aujourd’hui de playbooks sur ce qu’elles feront si elles sont victimes d’une attaque par rançongiciel . Il s’agit souvent d’un effort collaboratif de la part du personnel commercial, financier, juridique, des ressources humaines et technique. Ils ont également besoin d’un plan de réponse aux incidents spécifique pour les jours zéro.
Cela est principalement dû à la nature imprévue des zero-days, qui peuvent souvent passer des vulnérabilités aux exploits et attaques en quelques jours. De plus, comme les fournisseurs apprennent généralement les vulnérabilités longtemps après leur création, ils n’ont pas toujours de correctif efficace prêt. Souvent, le meilleur qu’ils puissent faire est d’offrir des suggestions temporaires d’affaiblissement de la configuration, en attendant
une mise à jour.
Bischoping recommande de créer et de mettre constamment à jour un playbook pour couvrir des questions telles que :
- Comment diverses alertes zero-day seront priorisées pour l’action
- Qui sera alerté et quand, à la fois à l’intérieur et à l’extérieur de l’organisation
- Quelles mesures techniques seront prises pour en savoir plus et résoudre chaque niveau de menace
- Quels systèmes informatiques seront traités en premier en fonction de leur criticité pour l’entreprise
- Quelles mesures d’audit seront prises pour montrer aux dirigeants, investisseurs et régulateurs de l’entreprise que des mesures appropriées ont été prises pour gérer le problème
« Si vous faites tout le travail maintenant, lorsque les cloches de feu à cinq alarmes retentissent, vous aurez la confiance de savoir que la plupart de ce que vous devrez faire se trouve là-bas dans votre manuel », déclare M. Bischoping.
Les attaques zero-day ne sont pas une conclusion abandonnée. Elles peuvent ne pas affecter la plupart des organisations, mais elles ne disparaissent pas.
« La bataille n’est pas terminée. Nous devrons tous continuer à lutter contre les jours zéro », déclare Lauro d’Akamai. « La seule journée facile était hier, essentiellement. »
