Compte tenu de la récente vague d'activités cybermalveillantes, la table ronde de la RSA Conference de cette année consacrée aux « Cinq nouvelles techniques d'attaque les plus dangereuses » de l' pourrait facilement faire l'objet d'une discussion d'une journée entière.
Katie Nickels, qui fait partie du panel et qui contribuera à présenter un exposé faisant autorité sur le sujet, a beaucoup à dire sur ce que les organisations peuvent faire pour se préparer à l'avenir. Le parcours professionnel de Nickels est long et impressionnant. Elle est formatrice certifiée auprès du SANS Institute. Elle est directrice du renseignement chez Red Canary, un prestataire de solutions pour les opérations de sécurité. Elle a travaillé dans la fonction publique (au sein du ministère américain de la Défense) et dans le secteur privé, notamment chez Mitre, Raytheon et ManTech.
À ce titre, M. Nickels estime que la référence en matière de cyberprotection aux États-Unis réside dans la solidité de la collaboration entre les secteurs public et privé. Elle est également en première ligne pour faire avancer cet objectif et l’a souligné dans son cours SANS intitulé « » (Renseignement sur les cybermenaces) ainsi que dans sa webémission mensuelle «» (SANS Threat Analysis Rundown, STAR).
Mme Nickels a pris le temps de s'entretenir avec moi avant sa table ronde lors de la conférence afin de me faire part de son point de vue singulier sur des questions cruciales telles que le renseignement sur les cybermenaces, la défense des réseaux et la gestion des incidents.
Avec autant de menaces parmi lesquelles choisir, quelles techniques ont retenu votre attention cette année ?
Ce qui m'a frappé concernant les techniques les plus dangereuses de cette année, c'est leur grande diversité. En réfléchissant à toutes les menaces auxquelles nous avons dû faire face, allant de l'exploitation de Microsoft Exchange à l'affaire SolarWinds, je revenais sans cesse à la question des ransomwares.
«Les gens doivent prendre conscience des menaces d’extorsion et revoir leur façon de voir les choses. »
Ce n'est pas une nouveauté, et ce groupe d'experts est censé se concentrer sur les menaces nouvelles et émergentes. Mais la nouveauté réside dans l'ajout de l'extorsion à l'arsenal des ransomwares. Nous avons constaté une évolution majeure : même les groupes de cybercriminels les plus modestes ne se contentent plus de chiffrer les données, mais les exfiltrent également et font chanter leurs victimes en menaçant de les rendre publiques si elles ne paient pas.
Qu'est-ce que cela signifie pour les défenseurs ?
Tout le monde n'a pas réfléchi à la question de l'extorsion. Il est toutefois essentiel d'en être conscient afin d'adapter vos mesures de prévention, de détection et de réaction face aux incidents liés aux ransomwares. Les gens doivent revoir leur façon de voir les choses.
Pour contrer ces attaques, il est essentiel de bien comprendre ce que vous devez protéger. Pourquoi les organisations ont-elles encore tant de mal à y parvenir ?
La visibilité et l'inventaire des actifs constituent toujours le fondement d'un bon programme de sécurité. Cela devient de plus en plus difficile, car les entreprises ont de plus en plus recours à des solutions tierces pour gérer leurs réseaux. Par exemple, comme nous l'avons vu avec la faille de sécurité de SolarWinds, de nombreuses organisations utilisent SolarWinds Orion pour surveiller les performances de leur réseau.
«De nombreuses organisations disposent d’une visibilité… mais un défi presque plus important consiste à identifier ce qui ne va pas dans cette visibilité. »
De nombreuses organisations disposent d'une bonne visibilité et collectent des journaux sur une grande partie de leur réseau. Mais un défi presque plus grand encore consiste à identifier ce qui ne va pas dans cette visibilité. De nombreuses organisations utilisent un produit de protection des terminaux et reçoivent toutes ces alertes de menaces. Mais ils ne savent pas ce qui est bien ou mal. De nombreux outils de sécurité génèrent un nombre écrasant de faux positifs. Une fois que vous disposez d'une bonne visibilité, il faut beaucoup de travail pour identifier ce qui ne va pas.
Dans quelle mesure le cloud complique-t-il la visibilité ?
Cela s'avère particulièrement difficile, car certains produits cloud vous obligent à payer pour différents niveaux de journalisation. La journalisation est essentielle à la sécurité : elle permet de repérer les événements et les activités sur les réseaux et les systèmes qui pourraient s'avérer suspects ou dangereux.
J'ai constaté que certaines organisations transfèrent leurs ressources vers le cloud sans pour autant intégrer les niveaux de journalisation appropriés dans leurs contrats. Ainsi, les entreprises mettent en place une infrastructure cloud sans bien comprendre les aspects liés à la visibilité ou à la journalisation, puis se retrouvent liées par un contrat qui les oblige à payer davantage pour bénéficier de fonctionnalités de journalisation supplémentaires.
Un autre défi consiste à vous assurer d'avoir une bonne visibilité sur vos ressources cloud et à savoir comment réagir en cas d'incident affectant ces ressources. Il existe de nombreux niveaux de services cloud, allant de l'infrastructure en tant que service (IaaS) au logiciel en tant que service (SaaS), et chacun d'entre eux nécessite un niveau de surveillance différent de la part des clients par rapport aux fournisseurs de services cloud. À qui incombe-t-il d'intervenir ? Cette responsabilité partagée constitue un autre défi en matière de gestion des incidents.
Les entreprises se tournent-elles vers l'automatisation pour relever ce défi ?
L'automatisation devient un pilier incontournable de tout programme d'opérations de sécurité. Je pense que c'est une bonne chose car, depuis des années, les analystes des opérations de sécurité sont épuisés à force de faire sans cesse la même chose : « Je clique sur tel élément dans mon SIEM [outil de gestion des événements et des informations de sécurité], je clique sur telle source de journaux, puis j'exporte ici. »
Les programmes de sécurité intelligents vont automatiser l' , dans la mesure du possible. Nous avons assisté à l'essor des outils d'orchestration de la sécurité et d'automatisation des réponses (SOAR), mais le problème avec tous ces outils, c'est qu'il faut d'abord qu'un être humain leur indique ce qu'ils doivent automatiser. Beaucoup de gens perdent cela de vue.
On me demande aussi souvent s'il est possible d'automatiser l'intelligence. Le renseignement sur les menaces est une discipline humaine, dans laquelle ce sont des analystes humains qui prennent les décisions. Bien sûr, nous pouvons utiliser des outils pour automatiser la collecte et le regroupement des données. L'automatisation est un aspect que tout programme de sécurité devrait prendre en compte, mais il convient de procéder à cette automatisation de manière intelligente.
«Tout programme de sécurité devrait s’intéresser à l’automatisation, mais les entreprises doivent l’aborder de manière intelligente. »
Vous pourriez disposer des meilleurs outils au monde, mais il vous faut des personnes pour les régler et les faire fonctionner. Chaque environnement est différent. Ce n'est pas parce qu'une solution prête à l'emploi proposée par un fournisseur fonctionne dans son environnement qu'elle fonctionnera forcément dans le vôtre. Il y a beaucoup de réglages à effectuer.
Comment pourrait-on étendre à une échelle bien plus grande les canaux informels de partage d'informations ?
C'est là tout le défi. Ce qui fonctionne actuellement relève du cadre informel. Ce sont des personnes issues des secteurs public et privé qui se connaissent et peuvent dire : « Je vous ai rencontré virtuellement ou en personne », ou encore : « Nous avons établi une relation de confiance en partageant un petit détail. » « Très bien, construisons cette relation. » Ainsi, lorsqu'un de vous deux repère une menace ou détecte une faille à un stade précoce, vous êtes tous les deux plus enclins à vous en faire part par des voies informelles.
Les enseignements tirés de cet échange informel peuvent être mis à profit par les administrations publiques. Les informations provenant des deux parties peuvent être partagées, sans que le secteur privé ait à divulguer les noms de ses clients ni d'autres informations sensibles.
Ce concept consistant à « demander plutôt qu'à imposer » sera essentiel pour le partage d'informations. J'ai constaté de nombreuses avancées positives en matière de partage informel. Il est difficile de formuler ces enseignements. Mais j'espère qu'elles seront intégrées dans la politique générale.
