Lorsque la faille de sécurité « Log4j » (s'ouvre dans un nouvel onglet) a fait son apparition — permettant aux cybercriminels de s'introduire dans des réseaux informatiques vulnérables à l'aide d'une seule ligne de code —, elle semblait constituer une menace de cybersécurité extrêmement rare, une vulnérabilité « zero-day » explosive qui devait être corrigée sans délai.
Mais alors, avant même que l’on ait eu le temps de dire « déjà-vu », la faille « zero-day » de l’ Spring4Shell (s’ouvre dans un nouvel onglet) a fait son apparition, faisant à nouveau la une des journaux, semant la panique parmi les cadres supérieurs et mettant les équipes de sécurité en état d’alerte maximale 07/12 .
Les temps ont bel et bien changé. Autrefois, les pirates informatiques exploitaient systématiquement ce type de vulnérabilités « zero-day » (failles de code dont l'existence n'est pas connue du développeur ou de l'éditeur du logiciel tant qu'elles n'ont pas été découvertes ou exploitées) tous les deux ou trois ans environ.
Aujourd'hui, alors que les entreprises et les pouvoirs publics s'appuient de plus en plus sur des logiciels tiers pour faire fonctionner leurs réseaux et leurs applications organisationnelles, ces failles « zero-day » deviennent de plus en plus fréquentes et graves.
Restez dans la course !
Mais les professionnels de la sécurité informatique — ainsi que les dirigeants et les conseils d'administration dont ils dépendent — se posent la question suivante : les failles « zero-day » sont-elles réellement en augmentation et leur gravité s'aggrave-t-elle ? Ou bien les chercheurs en sécurité et les chasseurs de primes qui dénichent ces failles ne font-ils que s'améliorer dans leur travail ?
«Toutes les failles « zero-day » ne nécessitent pas une mobilisation générale. »Melissa Bischoping, directrice de la recherche en sécurité des terminaux chez Tanium
Melissa Bischoping, directrice de la recherche en sécurité des terminaux chez Tanium, estime que c'est cette dernière hypothèse qui est la bonne. « On constate l’apparition d’un nombre croissant de failles de type « zero-day », en partie parce que de nombreuses personnes les recherchent désormais », explique M. Bischoping, qui anime également des ateliers consacrés à la recherche de menaces. « Toutes les vulnérabilités de type « zero-day » ne nécessitent pas une mobilisation générale. » La menace imminente des « grosses failles » vous empêche de dormir la nuit, mais celles-ci ne représentent qu'une infime partie des failles « zero-day » que nous constatons. « Je conseille aux gens d’évaluer la situation et de réagir en conséquence en fonction de la gravité, et non pas uniquement parce qu’il s’agit d’une faille « zero-day ». »
Cela dit, elle souligne qu’il est essentiel que les professionnels de la sécurité restent sur le qui-vive. Compte tenu de la manière dont les pirates informatiques peuvent exploiter une seule vulnérabilité pour provoquer des ravages à grande échelle (voir le piratage de SolarWinds par l’ , ainsi que ses répercussions sur les entreprises et les gouvernements), il est essentiel, pour assurer la sécurité des réseaux, de rester à l’affût des failles « zero-day ».
Les failles de type « zero-day » prennent de plus en plus d'ampleur
Steve Wilson, directeur des produits chez Contrast Security, une entreprise qui propose une plateforme unifiée destinée à aider les développeurs à coder de manière plus sécurisée, constate une augmentation du nombre et de la gravité des failles « zero-day » au niveau de la couche applicative, domaine sur lequel Contrast concentre ses activités. Selon lui, l'une des principales raisons tient au fait qu'une grande partie du code logiciel utilisé aujourd'hui par les entreprises a en réalité été écrit il y a de nombreuses années, voire plusieurs décennies. « Apache Log4j, une bibliothèque Java, existe depuis 20 ans et est en grande partie gérée par des bénévoles (s'ouvre dans un nouvel onglet) », précise M. Wilson.
« Bon nombre des hypothèses fondamentales sur lesquelles reposent ces bibliothèques ont été formulées à une époque où les développeurs en savaient moins sur la manière de créer du code sécurisé », explique M. Wilson. « Les pirates informatiques s'intéressent désormais clairement à ces écosystèmes plus anciens et très répandus, où la moindre faille peut avoir des répercussions considérables. »
Une surface d'attaque croissante
Tony Lauro, directeur des technologies et de la stratégie de sécurité chez Akamai Technologies, estime quant à lui que les menaces de type « zero-day » persisteront dans un avenir prévisible, en grande partie parce que de nombreuses entreprises se numérisent, migrent vers le cloud (s'ouvre dans un nouvel onglet), et permettent à leurs collaborateurs de travailler à distance (s'ouvre dans un nouvel onglet) à partir de divers terminaux.
« Malheureusement, ce problème va s’aggraver avant de s’améliorer, car les pirates disposeront d’un plus grand nombre de surfaces d’attaque à cibler », explique Lauro. « Et il est certain qu’avec toutes ces nouvelles générations qui se connectent à Internet, le nombre de victimes ne manquera pas d’augmenter lui aussi. »
De plus, les exploits « zero-day » pourraient se multiplier, car ils constituent désormais une source de revenus pour la cybercriminalité. Rob Joyce, directeur de la cybersécurité à la NSA, a déclaré lors d’une table ronde organisée dans le cadre de la conférence RSA de cette année que les groupes spécialisés dans les rançongiciels utilisaient de plus en plus souvent ( ) leurs profits pour acheter des exploits « zero-day » ( ), et que son agence s’inquiétait de la rapidité avec laquelle les criminels parviennent à exploiter les vulnérabilités logicielles récemment révélées.
Le ciel ne va pas nous tomber sur la tête… pour l'instant
Même si certaines failles « zero-day » peuvent sembler plus menaçantes qu'elles ne le sont réellement, les services de sécurité informatique doivent toutes les prendre au sérieux et mettre tout en œuvre pour s'en prémunir.
«Ils reçoivent 150 000 alertes différentes concernant diverses vulnérabilités, ce qui peut être presque paralysant. »Frank Dickson, vice-président du groupe IDC
Certaines équipes de sécurité seront réticentes à l'idée d'adopter cette approche. Depuis des années, ils entendent des fournisseurs, des chercheurs et des développeurs de logiciels signaler de nouvelles failles « zero-day » qui, au final, ne mènent à rien. Par ailleurs, la plupart des équipes de sécurité sont surchargées de travail, en sous-effectif et disposent de moyens financiers insuffisants. De ce fait, ils ont tendance à ignorer les alarmes non urgentes.
« C’est ce qu’on appelle la « fatigue des alertes » : (s’ouvre dans un nouvel onglet) », explique Frank Dickson, vice-président du groupe IDC. « Ils reçoivent 150 000 alertes différentes concernant diverses vulnérabilités, ce qui peut finir par devenir presque accablant. »
Selon M. Dickson, les entreprises doivent avant tout remédier à ces frustrations. Ils doivent également faire face à la menace que représentent les failles « zero-day » en apportant quelques modifications, certaines évidentes, d’autres moins, à leurs pratiques de cybersécurité cyber hygiene (s’ouvre dans un nouvel onglet), telles que :
- Fournir des correctifs efficaces dès la première fois. C'est aux éditeurs de logiciels de s'en charger. En effet, de nombreuses vulnérabilités « zero-day » de Google sont souvent des failles déjà corrigées : , (s'ouvre dans un nouvel onglet),, , , a écrit Maddie Stone, chercheuse en sécurité au sein de Project Zero : (s'ouvre dans un nouvel onglet),, . Et en matière de prévention ? Mme Stone a fait remarquer qu'au moins la moitié des failles « zero-day » qu'elle a étudiées « auraient pu être évitées grâce à des tests de correctifs et de régression plus complets ». C'est un peu comme si une équipe de pompiers éteignait un incendie mais laissait échapper des braises qui, emportées par le vent, pourraient finir par déclencher une toute nouvelle tempête de feu. « Pour appliquer correctement et de manière exhaustive les correctifs, il ne suffit pas d'appuyer sur un bouton : cela nécessite des investissements, une définition des priorités et une bonne planification. » « Cela nécessite également la mise en place d'un processus de correction qui permette de concilier à la fois la protection rapide des utilisateurs et la garantie d'une couverture exhaustive. »
- Sachez ce dont vous disposez. Vous ne pouvez pas sécuriser ni corriger ce que vous ne voyez pas, et des enquêtes ont montré que de nombreux DSI ne disposent pas d’une visibilité (s’ouvre dans un nouvel onglet) sur l’ensemble de leurs actifs sur site et dans le cloud. La première question qu’un dirigeant de haut niveau, pris de panique, posera à un RSSI ou à un DSI lorsqu’une faille « zero-day » éclatera est la suivante : « Dans quelle mesure dois-je m’en préoccuper ? » et « Est-ce la fin du monde pour nous ou pas ? » déclare M. Bischoping, de Tanium. C'est là que des plateformes performantes d'observabilité des données et de gestion des points de terminai s, telles que (s'ouvre dans un nouvel onglet),et , peuvent s'avérer cruciales. Elles peuvent aider les DSI et leurs équipes à combler les lacunes entre les silos de données, à surveiller l'activité des terminaux et à évaluer plus rapidement les niveaux d'exposition aux failles « zero-day ».
Soit dit en passant, il existe de nombreux outils de gestion des actifs « » de niveau entreprise qui peuvent vous aider dans ce domaine, mais il est tout aussi important de s’attaquer à la culture qui consiste à reléguer au second plan la cybersécurité et les bonnes pratiques de sécurité au profit de la rapidité.
- Cessez de vous rejeter la responsabilité en matière de programmation. Les failles de sécurité, ça arrive. Ce sera toujours le cas. Mais ces incidents surviennent plus souvent lorsque les chefs de produit ou les responsables marketing poussent les développeurs à écrire du code si rapidement qu’ils n’ont pas le temps de procéder à une vérification de sécurité ou à des corrections. Les calendriers de développement des produits sont établis en fonction de la mise sur le marché de ces derniers. La cybersécurité n'est souvent qu'une case à cocher vers la fin de ce processus.
«Nous allons tous devoir continuer à lutter contre les failles « zero-day ». « Le seul jour facile, c'était hier. »Tony Lauro, directeur des technologies et de la stratégie de sécurité chez Akamai Technologies
M. Dickson affirme que cela doit changer. Les organisations doivent inciter les développeurs de logiciels à atteindre des objectifs de sécurité rigoureux. « Aujourd’hui, les développeurs sont rémunérés pour leur capacité à livrer des produits dans les délais impartis et à générer du chiffre d’affaires, mais nous ne les rémunérons pas nécessairement pour la sécurité du code », explique-t-il. « Nous devrions. » « Il est extrêmement important de mettre en place un modèle de sécurité selon une approche descendante au sein des organisations. »
M. Bischoping ajoute qu'il est également essentiel d'éviter de pointer du doigt les développeurs lorsque des vulnérabilités ponctuelles apparaissent et se transforment en vulnérabilités « zero-day ». « Nous devons mettre fin à cette culture qui consiste à rejeter la faute sur quelqu’un en cas de faille de sécurité », déclare-t-elle. « Oui, vous souhaitez pouvoir revenir en arrière pour déterminer si le code a été mal écrit et vérifier si les procédures ont été respectées. » Mais adopter une approche punitive est contre-productif et ne résout en réalité aucun problème. « Vous devez plutôt vous attacher à comprendre les lacunes à l'origine de cette vulnérabilité et à déterminer comment vous améliorer en permanence grâce à chaque analyse des causes profondes. »
- Réfléchissez à la gestion de la surface d'attaque. Les DSI élargissent la surface d'attaque (s'ouvre dans un nouvel onglet) chaque fois qu'ils adoptent un nouveau service cloud ou qu'ils mettent en place davantage de terminaux pour soutenir la croissance de l'entreprise et la transformation numérique. Selon M. Dickson, d'IDC, l'une des approches les plus récentes à envisager pour lutter contre les vulnérabilités « zero-day » est la gestion de la surface d'attaque (ASM). Cela consiste à assurer en permanence la découverte, l'inventaire, la classification et la surveillance de l'infrastructure informatique d'une organisation. Elle vise à envisager ces missions de sécurité du point de vue d'un attaquant. Ces outils effectuent en permanence et automatiquement des tests de ping sur les réseaux, à l'instar d'un pirate informatique, à la recherche de vecteurs d'attaque potentiels.
- Élaborez un guide pratique évolutif sur les failles « zero-day ». De nombreuses organisations disposent aujourd’hui de plans d’action précisant les mesures à prendre en cas d’attaque par le ransomware « » (s’ouvre dans un nouvel onglet) . Elles sont souvent le fruit d'une collaboration entre les équipes commerciales, financières, juridiques, des ressources humaines et techniques. Ils ont également besoin d'un plan spécifique de gestion des incidents de type « zero-day » : (s'ouvre dans un nouvel onglet) .
Cela s'explique principalement par le caractère imprévisible des failles « zero-day », qui peuvent souvent passer du stade de vulnérabilité à celui d'exploit, puis d'attaque, en l'espace de quelques jours. De plus, comme les éditeurs ne prennent généralement connaissance des vulnérabilités que bien après leur apparition, ils ne disposent pas toujours d'un correctif efficace. Souvent, le mieux qu'ils puissent faire est de proposer des suggestions de réglages temporaires, en attendant qu'
e une mise à jour.
M. Bischoping recommande d'élaborer et de mettre à jour régulièrement un guide pratique abordant des questions telles que :
- Comment les différentes alertes « zero-day » seront-elles classées par ordre de priorité en vue d'une intervention ?
- Qui sera averti par « » et à quel moment — tant au sein de l'organisation qu'à l'extérieur ?
- Quelles mesures techniques seront mises en œuvre pour mieux cerner et résoudre chaque niveau de menace ?
- Quels systèmes informatiques d' seront traités en priorité en fonction de leur importance stratégique pour l'entreprise ?
- Quelles mesures d'audit seront mises en œuvre pour démontrer aux dirigeants de l'entreprise, aux investisseurs et aux autorités de régulation que des mesures appropriées ont été prises pour remédier au problème ?
« Si vous y mettez tout le travail nécessaire dès maintenant, lorsque l’alerte rouge retentira, vous aurez l’assurance de savoir que l’essentiel de ce que vous devrez faire figure déjà dans votre guide de procédures », explique M. Bischoping.
Les attaques « zero-day » ne sont pas une fatalité. Cela n'aura peut-être pas d'incidence sur la plupart des organisations, mais ce phénomène n'est pas près de disparaître.
« La bataille n'est pas terminée. » « Nous allons tous devoir continuer à lutter contre les failles de type « zero-day » », déclare M. Lauro, d’Akamai. « En fait, le seul jour facile, c'était hier. »
