Étant donné le déluge récent de cyberactivité malveillante, le panel de la conférence RSA de cette année sur les cinq nouvelles techniques d’attaque les plus dangereuses pourrait facilement être une discussion toute la journée.
Katie Nickels, qui fait partie du panel et aidera à fournir un briefing faisant autorité sur le sujet, a beaucoup à dire sur ce que les organisations peuvent faire pour se préparer à ce qui va suivre. Le CV de Nickels est long et impressionnant. Elle est instructeur certifiée à l’Institut SANS. Elle est directrice de l’intelligence pour le fournisseur de solutions d’opérations de sécurité Red Canary. Elle a travaillé dans le gouvernement (au ministère de la Défense des États-Unis) et dans le secteur privé dans des endroits tels que Mitre, Raytheon et ManTech.
En tant que tel, Nickels pense que la norme absolue en matière de cyberprotection aux États-Unis réside dans la force de la collaboration public-privé. Elle est également en première ligne pour faire progresser cet objectif et l’a souligné dans son cours SANS sur les renseignements sur les cybermenaces et dans sa webémission mensuelle « STAR (SANS Threat Analysis Rundown) ».
[Lire également : Rencontrez l’homme qui pourrait aider à prévenir une cyber-catastrophe]
Nickels a pris le temps de me parler avant son panel de conférence pour partager son point de vue unique sur des problèmes cruciaux tels que les renseignements sur les cybermenaces, la défense réseau et la réponse aux incidents.
Avec autant de menaces parmi lesquelles choisir, quelles techniques ont attiré votre attention cette année ?
Ce qui m’a frappé à propos des techniques les plus dangereuses cette année, c’est leur diversité. Lorsque je pensais à toutes les menaces que nous avons traitées, de l’exploitation de Microsoft Exchange à SolarWinds, je n’arrêtais pas de revenir aux ransomwares.
« Les gens doivent être conscients des menaces d’extorsion et modifier leur calcul. »
Ce n’est pas nouveau, et le panel est censé se concentrer sur de nouvelles menaces tournées vers l’avenir. Mais ce qui est nouveau, c’est l’ajout de l’extorsion au mélange de ransomwares. Nous avons assisté à un changement majeur où des groupes cybercriminels encore plus petits ne se contentent pas de chiffrer les données, mais les exfiltrent et extorquent leurs victimes en menaçant de les rendre publiques, sauf s’ils sont payés.
Qu’est-ce que cela signifie pour les défenseurs ?
Tout le monde n’a pas pensé à l’extorsion. Mais il est essentiel d’en être conscient afin de modifier votre prévention, votre détection et votre réponse aux incidents de ransomware. Les gens doivent modifier leur calcul.
La lutte contre ces attaques dépend de la compréhension de ce que vous devez protéger. Pourquoi les organisations rencontrent-elles toujours des difficultés avec cela ?
Avoir de la visibilité et un inventaire des actifs est toujours la base d’un bon programme de sécurité. Cela devient de plus en plus difficile à mesure que les organisations s’appuient sur plus de solutions tierces pour exploiter leurs réseaux. Par exemple, comme nous l’avons vu avec la violation SolarWinds, de nombreuses organisations s’appuient sur SolarWinds Orion pour la surveillance des performances réseau.
« De nombreuses organisations ont de la visibilité... mais un défi presque plus grand consiste à trouver ce qui est mauvais dans cette visibilité. »
De nombreuses organisations ont de la visibilité et collectent des journaux sur une grande partie de leur réseau. Mais un défi presque plus grand consiste à trouver ce qui est mauvais dans cette visibilité. De nombreuses organisations utilisent un produit d’endpoint, et elles reçoivent toutes ces alertes de menaces. Mais ils ne savent pas ce qui est bon ou mauvais. De nombreux outils de sécurité ont des faux positifs écrasants. Il faut beaucoup de travail, une fois que vous avez de la visibilité, pour comprendre ce qui est mauvais.
Dans quelle mesure le cloud complique-t-il la visibilité ?
Cela est particulièrement difficile car certains produits cloud nécessitent que vous payiez pour différents niveaux de journalisation. La journalisation est cruciale pour la sécurité : être capable de voir les événements, les activités sur les réseaux et les systèmes, qui peuvent s’avérer suspects ou dangereux.
J’ai vu des organisations qui déplacent des actifs vers le cloud, mais ne parviennent pas à intégrer les niveaux de journalisation appropriés dans leurs contrats. Les organisations mettent donc en œuvre une infrastructure cloud, mais ne comprennent pas leur visibilité ou leur journalisation, puis elles sont enfermées dans un contrat qui les pousse à payer plus pour une journalisation supplémentaire.
Un autre défi consiste à vous assurer d’avoir une visibilité sur les actifs cloud et à comprendre ce qu’il faut faire si quelque chose se produit sur ces actifs. Il existe de nombreux niveaux de services cloud, de l’infrastructure en tant que service (IaaS) au logiciel en tant que service (SaaS), et chacun d’entre eux nécessite un niveau de surveillance différent des clients par rapport aux fournisseurs de cloud. Qui est responsable de répondre ? Cette responsabilité partagée est un autre défi en termes de réponse aux incidents.
Les entreprises se tournent-elles vers l’automatisation pour relever ce défi ?
L’automatisation devient un pilier de tout programme d’opérations de sécurité. Je pense que c’est positif parce que, depuis des années, les analystes des opérations de sécurité se sont épuisés en faisant la même chose encore et encore : « Je clique sur cette chose dans mon SIEM [outil de gestion des événements liés aux informations de sécurité], je clique sur cette source de journaux, j’exporte ici. »
Les programmes de sécurité intelligents vont automatiser dans la mesure du possible. Nous avons vu l’essor des outils d’orchestration de la sécurité et de réponse à l’automatisation (SOAR), mais le défi avec tous ces outils est que vous devez d’abord avoir un humain qui leur indique ce qu’ils doivent automatiser. Beaucoup de gens perdent le fil de cela.
On me demande également souvent si vous pouvez automatiser l’intelligence. La Threat Intelligence est une discipline humaine, les analystes humains prenant une décision. Bien sûr, nous pouvons utiliser des outils pour automatiser la collecte et la collecte de données. L’automatisation est quelque chose que tout programme d’opérations de sécurité doit examiner, mais elle doit automatiser de manière intelligente.
« Tout programme d’opérations de sécurité doit examiner l’automatisation, mais les organisations doivent automatiser de manière intelligente. »
Vous pourriez avoir les meilleurs outils au monde, mais vous devez avoir des humains pour les ajuster et les exploiter. Chaque environnement est différent. Ce n’est pas parce que quelque chose d’un fournisseur fonctionne dans son environnement que cela fonctionnera dans le vôtre. Un réglage important est nécessaire.
Comment les canaux informels de partage d’informations peuvent-ils être étendus à quelque chose de beaucoup plus grand ?
C’est le défi. Ce qui fonctionne actuellement est informel. Ce sont des personnes publiques et privées qui se connaissent et peuvent dire : « Je vous ai rencontré virtuellement ou en personne », ou « Nous avons établi la confiance en partageant quelque chose de petit. D’accord, construisons cette relation. » Ensuite, lorsque l’un d’entre vous voit une menace, ou si vous détectez une violation tôt, vous êtes tous les deux plus susceptibles de la partager entre vous via des canaux informels.
Les leçons tirées de ce partage informel peuvent être adoptées par les agences gouvernementales. Les informations des deux côtés peuvent être partagées, sans que le secteur privé n’ait à révéler les noms des clients ou d’autres informations sensibles.
Ce concept de « ne pas demander de tâches » sera essentiel pour partager des informations. J’ai vu beaucoup d’étapes positives dans le partage informel. Il est difficile de codifier ces leçons. Mais j’espère qu’ils seront mis en place.
