Il n’y a eu aucune pénurie d’histoires en 2022 pour faire frissonner les os des RSSI et leurs cheveux, y compris l’augmentation de la cyberguerre mondiale et la viciosité des gangs de ransomware s.
Voici les tendances qui devraient le plus concerner les dirigeants d’entreprise et qui pourraient propager la peur et les tremblements pour les années à venir :
Les défauts du firmware se multiplient
Le firmware fournit une interface entre le matériel et d’autres appareils qui exécutent le logiciel. Il fournit donc aux attaquants un accès convoité aux endpoints et leur permet de rester non détectés pendant de longues périodes.
« Tous les logiciels ont un ventre faible, et le firmware n’est toujours qu’un logiciel. »Roger Thompson, responsable produit technique, ReversingLabs
Les attaquants ciblent et réussissent de plus en plus à se faufiler dans le firmware de l’appareil. Un exemple récent est CosmicStrand, qui exploite l’interface de firmware extensible unifiée (UEFI) et a été publiée pour la première fois par le fournisseur russe de logiciels anti-malware Kaspersky Lab. Le piratage cible le chipset H81 , et lorsqu’il réussit, il désactive le logiciel de sécurité exécuté sur un appareil.
En 2022, le nombre de vulnérabilités graves du firmware a continué d’augmenter. En février, le fournisseur de sécurité Binarly a découvert des vulnérabilités critiques en InsydeH2O, un type de logiciel de firmware UEFI. Ces vulnérabilités ont affecté tous les fournisseurs qui utilisent du code de développeurs BIOS indépendants (IBV) dans leur logiciel pour aider les systèmes d’exploitation informatiques à fonctionner. Binarly a rapporté dans un article de blog que des vulnérabilités ont été trouvées dans des produits de fournisseurs qui comprenaient Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft et Intel.
[Lire également : les défauts du firmware mettent les ordinateurs portables en danger]
« Nous sommes dans une course constante, avec une ligne qui s’abaisse dans la pile [technologique] », déclare Roger Thompson, expert en sécurité anti-logiciels malveillants et micrologiciels, responsable produit technique chez ReversingLabs, qui propose une plateforme de sécurité de la chaîne d’approvisionnement logicielle. « Tous les logiciels ont un bas-ventre faible, et le firmware n’est encore qu’un logiciel. » Il déclare que les attaques contre les firmwares ne feront qu’augmenter à mesure que les entreprises déploient plus d’endpoints, ce qui élargit la surface d’attaque globale.
Les menaces persistantes avancées se cachent au sein des réseaux
Une hypothèse standard de l’approche de sécurité « Zero Trust » est que les environnements informatiques ont déjà été violés et que les attaquants se trouvent déjà à l’intérieur de n’importe quel nombre de serveurs et d’endpoints. Les équipes de sécurité ne savent pas encore lesquelles. Étant donné que les informations d’identification volées sont utilisées pour se déplacer latéralement après une violation initiale, il est essentiel d’arrêter les attaquants dès qu’ils pénètrent dans une organisation.
« Il existe des règles claires concernant la guerre cinétique, mais il n’existe pas de règles claires de Genève concernant la cyberguerre. C’est le Far West. »Tom Kirkham, PDG et RSSI, Kirkham IT
Zero Trust est une architecture technique qui suppose que les personnes, les systèmes et les appareils doivent être authentifiés en permanence. Les analystes s’attendent à ce que la valeur du marché mondial Zero Trust atteigne 126 milliards USD d’ici 2031, contre 24 milliards USD en 2021.
« Ce modèle est radicalement différent de l’approche « confiance mais vérification », qui a traditionnellement exposé les réseaux à des activités malveillantes par des acteurs internes », déclare Robin Berthier, PDG de Network Perception, qui fournit des solutions de vérification et de visualisation de la segmentation du réseau. Il affirme que l’intérêt fort pour cette architecture de sécurité est dû, en partie, au décret que le président Biden a émis en mai 2021 exigeant que le gouvernement fédéral adopte la fiducie zéro. Bien qu’il existe de nombreuses interprétations différentes, les normes Zero Trust émergent, telles que 800-207 du NIST, ZTX de Forrester et CARTA de Gartner.
Les rançongiciels restent un fléau
Les rançongiciels continuent d’exercer des coûts élevés. Selon Cybersecurity Ventures, le coût des attaques par ransomware devrait atteindre 265 milliards USD d’ici 2031, contre 20 milliards USD en 2021. Les coûts comprennent la perte de productivité et de ventes, le nettoyage des violations de données et les amendes réglementaires.
Le fournisseur de logiciels anti-programme malveillant Webroot a classé LockBit parmi les 2022’s groupes de ransomwares les plus prolifiques et les plus réussis. Bien que le groupe fournisse des ransomwares en tant que service depuis des années, il continue de faire progresser ses tactiques. En plus de rançonner les données, tout en menaçant de rendre les données publiques si elles ne sont pas payées, le groupe de piratage effectue également des attaques par déni de service distribué (DDOS).
« À mesure que l’automatisation devient de plus en plus accessible, il y a plus d’attaques dans l’ensemble », déclare Tom Kirkham, PDG et RSSI du cabinet de conseil Kirkham IT. « [Les groupes sont] de plus en plus sophistiqués dans leur approche. Nous avons même vu des agences entières de rançongiciel à louer. Ils cibleront une personne et déploieront une stratégie sur mesure pour attirer directement l’attention et pénétrer dans les cercles internes de la personne. »
Les chaînes d’approvisionnement sont toujours vulnérables
Obtenir une visibilité sur les chaînes d’approvisionnement logicielles est une préoccupation constante. Avec des logiciels et des services de toutes sortes, y compris des solutions open source, commerciales, cloud et tierces, il est difficile de s’assurer que le code est exempt de failles exploitables.
« Le risque tiers lié à la chaîne d’approvisionnement ou aux vulnérabilités logicielles au sein des composants logiciels tiers continue d’être un élément énorme des violations externes », a déclaré Sandy Carielli, analyste principale chez Forrester, au Forum sur la sécurité et les risques de la société de recherche. « Les organisations ont probablement plus de tiers dans leur écosystème que jamais auparavant. »
[Lire également : Qu’est-ce que la gestion des risques tiers ?]
La Cybersecurity and Infrastructure Security Agency (CISA) des États-Unis promeut activement l’utilisation des nomenclatures logicielles (SBOM), listes d’inventaire des composants logiciels dans les produits, comme moyen d’améliorer la sécurité de la chaîne d’approvisionnement logicielle. Les SBOM ajoutent de la visibilité aux composants logiciels en place dans les logiciels commerciaux et open source d’une organisation.
Risques géopolitiques boule de neige
Si une chose est devenue claire cette année, le risque géopolitique est étroitement aligné sur le cyber-risque. Chaque nouveau conflit augmente le risque de cyberattaques. Les cyberattaques contre les secteurs public, énergétique, médiatique, financier, commercial et à but non lucratif de l’Ukraine se sont intensifiées avant même l’invasion à grande échelle de la Russie en février 2022. Depuis lors, les cyberattaques russes ont sapé la distribution de médicaments, d’aliments et de fournitures de secours, selon un communiqué du Parlement européen .
« La tendance potentielle la plus dangereuse pour les RSSI aujourd’hui est l’hésitation à agir sur tout ce qui est dû à la peur des menaces juridiques de type Uber. »David Maynor, directeur principal des renseignements sur les menaces, Cybrary
« L’impact [des cyberattaques] a varié, allant de la prévention de l’accès aux services de base au vol de données et à la désinformation, y compris la technologie de contrefaçon profonde », a révélé le briefing. « Une autre cyberactivité malveillante implique l’envoi d’e- mails d’hameçonnage, des attaques par déni de service distribué et l’utilisation de logiciels malveillants de suppression de données, de portes dérobées, de logiciels de surveillance et de voleurs d’informations. » Les infrastructures critiques sont également de plus en plus ciblées en Occident.
Avec une saber-ratt accrue en Chine vers Taïwan, le gouvernement taïwanais augmente sa cyber-résilience même en renforçant ses capacités militaires conventionnelles. Les cyberattaques contre Taïwan ont augmenté avec la visite de la conférencière Nancy Pelosi de la Chambre des représentants des États-Unis. Des panneaux d’affichage électroniques ont été commandés pour afficher des messages hostiles à la visite de Pelosi.
« Il y a tellement de troubles dans le monde, tant dans les États autoritaires que démocratiques », déclare Kirkham. « Il existe des règles claires concernant la guerre cinétique, mais il n’existe pas de règles claires de Genève concernant la cyberguerre. C’est le Far West qui existe en termes de protection et de sécurité. » Kirkham est surpris que l’Occident n’ait pas vu d’attaques à plus grande échelle de la Russie ou de l’Iran.
L’incertitude juridique jette une longue ombre
Début octobre 2022, un jury fédéral de San Francisco a condamné Joe Sullivan, ancien directeur de la sécurité d’Uber, pour avoir dissimulé des faits concernant une violation de données à la Federal Trade Commission. Le gouvernement a soutenu avec succès que Sullivan a bloqué une enquête active de la FTC en payant les pirates informatiques pour qu’ils soient silencieux et ne signalent pas la violation. Sullivan n’a pas encore été condamné, mais le verdict a l’attention des RSSI.
« La tendance potentielle la plus dangereuse pour les RSSI aujourd’hui est l’hésitation à agir sur tout ce qui est dû à la peur des menaces juridiques de type Uber », déclare David Maynor, directeur principal de la veille sur les menaces chez Cybrary, une plateforme de cybersécurité et de développement de la main-d’œuvre informatique. Une fois le verdict rendu, il dit que les groupes sociaux et de réseautage privés de cybersécurité « se sont rendus fous » en discutant de ce que le verdict signifiait pour eux. Bien que la peine n’ait pas encore eu lieu, la peine d’emprisonnement réelle est sur la table.
« Il s’agit d’un énorme changement par rapport aux RSSI qui s’inquiètent des amendes », déclare Maynor. « Maintenant, ils craignent que des années plus tard, un jury puisse devoir décider si les mesures qu’ils prennent en cas d’urgence pourraient être considérées comme illégales. Cette peur entraîne l’inaction par paralysie, ou encore plus de formalités administratives que les organisations doivent surmonter lorsqu’elles répondent à une violation. »
Il est peu probable que 2023 soit moins contraignant que 2022, et les entreprises et leurs RSSI le savent. Selon une enquête menée auprès de plus de 1 400 professionnels de l’informatique de Spiceworks Ziff Davis, les budgets de sécurité dépasseront d’autres catégories d’investissements technologiques d’entreprise, comme les applications de productivité, avec des dépenses de sécurité représentant 11 % des logiciels, 7 % du matériel et 6 % des budgets de services cloud .
Les RSSI ne peuvent qu’espérer que tout cet argent est bien dépensé.
