Alors que l'Ukraine est désormais assiégée et que les cyberattaques orchestrées par la Russie ne constituent plus seulement un scénario redouté ou probable, mais une menace bien réelle, la pression qui pèse sur les responsables de la cybersécurité n'a jamais été aussi forte.
La situation en Ukraine est critique : selon des informations récentes publiées par , les responsables gouvernementaux auraient commencé à faire appel à des volontaires issus de la scène clandestine des hackers du pays afin de les aider à protéger les infrastructures et à mener des missions d'espionnage contre les troupes russes. L'Ukraine se trouve en position défensive, une situation que connaissent bien de nombreux professionnels de la cybersécurité ainsi que les dirigeants d'entreprise et leurs conseils d'administration, même lorsqu'ils ne sont pas plongés dans une guerre totale.
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a publié des recommandations à l'intention des entreprises et des organisations afin de renforcer leurs défenses au cas où des cyberattaques russes viendraient menacer les infrastructures critiques et les institutions financières. C'est utile, mais cela met également en évidence une vérité dérangeante : en matière de cybersécurité des réseaux, nous jouons la carte de la défense.
Selon les experts en cybersécurité, il est temps de changer la donne.
En théorie, le changement est assez simple : cessez d'être réactif ; adoptez une approche proactive en matière de sécurité, dans la mesure du possible. Dans la pratique, c’est plus difficile — mais c’est là qu’intervient tout l’art de la recherche de menaces par « » .
Les chasseurs de menaces sont des professionnels de la cybersécurité qui analysent en profondeur les systèmes et les réseaux afin de débusquer les attaquants avant que des incidents ne se produisent. Considérez-les comme la propre équipe « Navy
SEAL » de votre organisation.
Les chasseurs de menaces savent que les auteurs de menaces — qu’il s’agisse de hackers passionnés, d’hacktivistes animés par des idéaux ou d’agents de services secrets soutenus par des États — s’attaquent aux entreprises en recourant à des tactiques, techniques et procédures bien distinctes, qui sont prévisibles et identifiables. Les chasseurs de menaces étudient l'environnement qu'ils défendent ainsi que les stratégies possibles de leurs adversaires. Et puis
, ils partent à la chasse !
Bien sûr, une recherche efficace des menaces est un travail d'équipe et nécessite de disposer des compétences adéquates. Cinq éléments fondamentaux sont nécessaires pour constituer votre équipe idéale de détection des menaces. Considérez ce qui suit comme un guide d’initiation sur la manière de déjouer les chasseurs.
1. La diversité : bien plus qu'un simple mot à la mode
A-t-on jamais eu la preuve que les grands esprits se rencontrent ? La pensée de groupe est l'ennemi des équipes efficaces de recherche de menaces. « Les équipes diversifiées obtiennent de meilleurs résultats », affirme Melissa Bischoping, spécialiste de la recherche en matière d’ s de sécurité des terminaux () chez Tanium.
«Les équipes diversifiées obtiennent de meilleurs résultats. »Melissa Bischoping, spécialiste de la recherche en sécurité des terminaux, Tanium
« Imaginez que vous ayez une équipe composée d’un trop grand nombre de personnes issues du même milieu. » Le résultat probable : un groupe de personnes qui prennent le même petit-déjeuner, achètent les mêmes marques, téléchargent les mêmes podcasts, publient les mêmes coups de gueule sur Twitter et se retrouvent entourées d'autres personnes qui mangent, achètent, téléchargent et s'indignent exactement de la même manière.
Dans les groupes homogènes, explique-t-elle, on a tendance à « oublier qu’il pourrait y avoir d’ s autres points de vue à prendre en compte ».
Les experts soulignent que lorsque les entreprises recrutent des « chasseurs de menaces » issus de parcours professionnels variés et possédant des niveaux d’expérience en matière d’ différents, les capacités de l’équipe à résoudre les problèmes s’en trouvent améliorées. Ces parcours peuvent être aussi variés que le renseignement militaire, la science des données, les technologies traditionnelles ou encore les équipes « rouges », « bleues » et « violettes » (des testeurs de sécurité spécialisés, respectivement, dans l'attaque de vos systèmes, leur défense et la combinaison des compétences des deux).
Même les personnes ayant peu ou pas de compétences techniques méritent d'être prises en considération. « Lorsque l’on rassemble des profils aussi variés, certaines personnes posent des questions dont les autres ignoraient même qu’il était possible de les poser », explique M. Bischoping.
[À lire également : Soutenir la prochaine génération de femmes dans le domaine de la cybersécurité]
Le recrutement d’experts de tous âges et de tous horizons socio-économiques est également essentiel pour « tirer parti des différentes idées et expériences en matière de menaces que chacun peut apporter », explique L. Burke Files, coauteur du « Business Security Audit & Review Toolkit » ( ) et président de Financial Examinations and Evaluations, Inc. « Trouvez des personnes prêtes à faire preuve de créativité et à repousser un peu les limites », déclare M. Files.
À retenir : Une équipe diversifiée de chasseurs de menaces est essentielle pour améliorer la résolution des problèmes et éviter la pensée de groupe.
2. Les compétences relationnelles : elles sont plus difficiles à maîtriser que vous ne le pensez
La recherche de menaces consiste à passer les réseaux au crible à la recherche d’activités connues et inconnues, ce qui demande du temps, de la détermination et une qualité souvent sous-estimée mais indispensable : la patience.
«Il faut quelqu’un qui possède les compétences et la patience nécessaires pour vouloir réellement résoudre un problème. »Michael Farnum, directeur technique, Set Solutions
« Il faut quelqu’un qui possède les compétences et la patience nécessaires pour vouloir réellement résoudre un problème », explique Michael Farnum, directeur technique chez Set Solutions. « Ce sont généralement les personnes qui aiment participer aux CTF », fait-il remarquer, en faisant référence aux différentes compétitions de type « Capture the Flag », dans lesquelles des « drapeaux » sont utilisés pour récompenser les joueurs qui réussissent des défis liés à la sécurité. « Il faut trouver quelqu’un qui aime faire ça pendant son temps libre », dit-il.
Ces défis, tout comme la recherche de menaces en général, impliquent inévitablement de se poser de nombreuses questions. « Les chasseurs de menaces qui excellent dans leur domaine sont naturellement curieux, dotés de capacités exceptionnelles en matière de résolution de problèmes et d’un don pour l’exploration », note Duncan Miller, directeur de la sécurité des terminaux chez Tanium. Ce sont des personnes dotées d’un regard perspicace et du courage de suivre leurs intuitions, où qu’elles puissent les mener.
« Les chasseurs de menaces doivent être prêts à essuyer des échecs de temps à autre », déclare M. Miller. « S’ils cherchent à détecter de véritables activités « inconnues-inconnues », il arrivera très souvent que leurs intuitions ne se vérifient pas. » « Et ce n’est pas grave. »
Selon Eric McGee, ingénieur réseau senior chez TRG Datacenters, les chasseurs de menaces doivent également posséder d’autres compétences générales, notamment le raisonnement déductif, la rapidité d’ la reconnaissance de schémas et la capacité à éviter leurs propres biais cognitifs.
« Je déteste l’expression “compétences non techniques” », ajoute M. Bischoping, en parlant des compétences non techniques. « Ce sont des compétences essentielles », déclare-t-elle.
À retenir : Une recherche efficace des menaces ne se résume pas à des compétences techniques. Cela nécessite des compétences immatérielles supplémentaires, telles que la patience et la volonté de prendre des risques.
3. La sensibilisation à l'environnement — et nous ne parlons pas ici du recyclage
Chaque secteur présente des caractéristiques propres qui attirent aussi bien des attaquants que des défenseurs de différents horizons. C'est pourquoi les exigences et les stratégies en matière de cybersécurité diffèrent selon qu'il s'agit d'une banque, d'un établissement scolaire, d'un centre médical ou d'un fournisseur d'énergie.
« Nous parlons de systèmes industriels tels que les systèmes SCADA [contrôle de supervision et acquisition de données] et des systèmes de commande industriels, par exemple dans le secteur pétrolier et gazier », explique M. Bischoping. « La chasse dans ces environnements est très différente de celle pratiquée près d’une banque ou d’un hôpital. » « Il est donc important de bien comprendre le type d’environnement dans lequel évoluent certains chasseurs de menaces. »
Un excellent moyen de renforcer cette prise de conscience environnementale consiste à favoriser la collaboration entre les chasseurs de menaces à l'échelle du secteur.
« C’est particulièrement important dans votre secteur d’activité, où la confiance et les relations peuvent avoir plus d’importance que les données brutes », explique Ron Gula, président et cofondateur de la société d’investissement spécialisée dans la cybersécurité Gula Tech Adventures. « Cela permettra à vos chasseurs d'apprendre des autres et de mettre ces enseignements au service de votre organisation. »
À retenir : Les technologies et les systèmes d'entreprise varient considérablement d'un secteur à l'autre, ce qui rend indispensable pour toute équipe de recherche de menaces de bien comprendre son secteur à tous les niveaux.
4. La formation continue : il n'est jamais trop tôt pour commencer
La technologie évolue sans cesse, et les cybercriminels ne cessent de s'adapter et de se perfectionner. Ainsi, pour qu’une équipe chargée de la recherche de menaces soit vraiment efficace, elle doit se former. Réétudiez le sujet. Et étudiez encore un peu.
«Il n’a jamais été aussi important de se concentrer sur [ce sujet], car le secteur de la cybersécurité connaît actuellement une pénurie criante de main-d’œuvre. »Scott Crawford, responsable de la recherche en sécurité de l'information chez 451 Research
« Il n’a jamais été aussi important de se concentrer sur [ce sujet], car le secteur de la cybersécurité connaît actuellement une véritable urgence en matière de recrutement », déclare Scott Crawford, responsable de la recherche en sécurité de l’information chez 451 Research.
De quel type d'éducation s'agit-il donc ? Bien sûr, l'acquisition de compétences techniques, telles que la mise en réseau, l'analyse judiciaire des données, l'analyse de données, la sécurité des applications, l'analyse des logiciels malveillants et le fonctionnement interne des systèmes d'extrémité, ainsi qu'une connaissance approfondie des systèmes qu'ils protègent. « Il existe toute une liste de facteurs dont nous savons qu’ils contribuent à l’efficacité de la recherche de menaces », explique M. Crawford.
Les responsables de la sécurité peuvent développer ces compétences chez leurs chasseurs de menaces internes, note M. McGee de TRG Datacenters, en leur donnant accès à des ateliers consacrés à la chasse aux menaces, à des formations telles que le Certified Cyber Threat Hunter (CCTH) et à des examens de certification. Outre les examens CCTH (disponibles sur ce site : et dans le cadre de ce stage intensif :), il existe d’autres certifications, notamment la certification « » (CompTIA Security+) (particulièrement adaptée aux débutants dans ce domaine), la certification « Cyber Threat Intelligence » de GIAC (délivrée par GIAC, l’un des principaux organismes de certification en cybersécurité), ainsi que le programme « Certified Information Security Manager » de l’ISACA .
À retenir : Tout évolue dans le domaine des technologies d'entreprise, ce qui signifie que, pour rester efficaces, les chasseurs de menaces doivent eux aussi évoluer.
5. Formation en conditions réelles : plus elle est réaliste, mieux c'est
L'une des raisons pour lesquelles l'armée s'entraîne avec des munitions réelles est de permettre aux recrues de se familiariser avec le maniement de leurs armes, et ce dans des conditions qui reflètent le plus fidèlement possible les situations réelles auxquelles elles devront bientôt faire face.
« L'émulation réaliste d'adversaires est un excellent moyen de vous assurer de développer les compétences nécessaires aux chasseurs de menaces », explique M. Gula. « Plus la simulation est réaliste, mieux votre équipe sera préparée et plus elle aura confiance en elle. »
Pour les chasseurs de menaces, cette préparation pourrait consister à participer à des concours CTF dans le cadre d'une formation offensive ou à prendre part à des exercices sur table. Selon Gula, ce genre d'exercices est au cœur de l'entraînement de l'équipe.
Les plateformes d'émulation d'adversaires, qui simulent des logiciels malveillants de base ainsi que les stratégies récurrentes des menaces persistantes avancées (APT), généralement celles d'États-nations agissant dans la discrétion, rendent également la formation bien plus réaliste, explique-t-il. « Les cyber-centres d'entraînement sont très bien aussi, mais travailler sur votre réseau avec vos propres outils est bien plus efficace. »
[À lire également : 5 façons de se préparer à la cyberguerre]
Des outils tels que les « Adversary Emulation Plans » de Mitre montrent comment les chasseurs de menaces et les défenseurs peuvent utiliser le cadre « » de Mitre ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge), une base de connaissances très répandue servant à modéliser le comportement des attaquants.
Ce type de formation est indispensable pour que les chasseurs de menaces restent au fait
des techniques d'attaque — les mêmes techniques que celles utilisées par ceux qu'ils tentent de
traquer.
À retenir : Veillez à ce que la formation à la recherche de menaces soit aussi réaliste que possible afin que les spécialistes disposent des compétences nécessaires pour identifier les menaces réelles.
Selon un rapport d'IBM Security intitulé « » (), les pirates informatiques peuvent, après avoir pénétré dans un réseau, passer inaperçus pendant 280 jours en moyenne. Les chasseurs de menaces peuvent y remédier de manière significative. Bien sûr, il y aura des échecs parmi les succès, mais en constituant la bonne équipe et en lui laissant la latitude nécessaire pour traquer les adversaires potentiels dans votre environnement, elle identifiera les auteurs de menaces avant qu’ils ne causent du tort.
