Dans le premier volet de notresérie en trois parties, David Damato, directeur de la sécurité chez Tanium, explore pourquoi une bonne hygiène de sécurité est essentielle, et détaille la première étape pour que votre organisation informatique soit en ordre. ‘
Êtes-vous coupable d’une mauvaise hygiène de sécurité ? Si oui, prenez le cœur. Vous n’êtes pas seul. Les équipes informatiques et de sécurité ont longtemps négligé les contrôles de sécurité de base, y compris les contrôles définis dans leCadre de cybersécurité duNIST oules contrôles de sécurité critiques deCIS (alias SANS Top 20) il y a plus de dix ans.
Mon expérience dans la réponse à plus de 100 violations d’entreprise m’a appris que la grande majorité des incidents de sécurité sont le résultat de défaillances dans la pratique que nous définissons largement comme l’ hygiène de sécurité.
Prenons par exemple la gestion des actifs, l’acte de base consistant à suivre tous vos appareils et à comprendre leur état actuel. Tout comme une entreprise suit les actifs financiers, les équipes informatiques et de sécurité doivent suivre leurs actifs, y compris les appareils, serveurs, systèmes d’exploitation et applications. Vous ne pouvez pas protéger ce que vous ne savez pas. Pourtant, dans presque tous les efforts majeurs de remédiation aux violations que j’ai menés, les responsables de la technologie ou de la sécurité au sein de l’organisation victime n’ont pas pu fournir un inventaire précis des appareils. En fait, la plupart ont eu du mal à obtenir une précision de 10 à 20 % du nombre réel.
Un autre exemple est la gestion des vulnérabilités. L’année dernière, un certain nombre d’organisations ont été affectées par lerançongiciel Samsam. Samsam s’est appuyé sur une exploitation JBoss de plus d’un an. Au moment de la publication du ransomware, les chercheurs ont estimé que plus de 2,1 millions d’instances vulnérables de JBo existaient sur Internet. La plupart des organisations ont des milliers de vulnérabilités en suspens et manquent de correctifs critiques, ce qui entraîne la prolifération des rançongiciels et d’autres attaques non sophistiquées. Le rapport 2015 Verizon Data Breach Investigations Report souligne jusqu’où les organisations sont à la traîne en matière de correction des vulnérabilités. Selon le rapport, 99 % des vulnérabilités exploitées avaient été compromises plus d’un an après la publication du CVE (Common Vulnerabilities and Exposures).
Je ne suis pas le seul à remarquer que la plupart des violations sont causées par une mauvaise hygiène de sécurité, plutôt que par une sophistication particulière de la part des attaquants. L’année dernière, Rob Joyce, directeur de la division Tailored Access Operations (TAO) de la NSA, le groupe responsable du lancement de cyberattaques sophistiquées à la NSA, a déclaré : « Nous avons pris le temps... de connaître [ce réseau] mieux que les personnes qui l’ont conçu et celles qui l’ont sécurisé. Vous seriez surpris des choses qui s’exécutent sur un réseau par rapport aux choses qui, selon vous, sont censées être là. »
Ian Levy, directeur du programme de cybersécurité au Royaume-Uni, a posé problème plus tôt cette année avec les fournisseurs de sécurité essayant de présenter les menaces persistantes avancées (APT) comme une forme d’attaque sophistiquée. Il a suggéré plutôt que les initiales APT représentent « des toe-rags pernicieux adéquats ». Levy souhaite que la conversation continue sur la cybersécurité reflète ce qu’il considère être la nature relativement peu sophistiquée de nombreuses attaques. « Si vous l’appelez une menace persistante avancée, vous finissez par avoir un récit qui dit « vous êtes trop stupide pour comprendre cela et seul je peux peut-être vous aider : achetez mon amulette magique et vous allez bien. » C’est une sorcellerie médiévale, c’est une véritable sorcellerie médiévale. »
Comprenant que la plupart des attaques ne sont pas sophistiquées, et même les acteurs sophistiqués commencent par des tactiques de base avant de faire remonter leur métier, l’hygiène de la sécurité doit être le point de départ des leaders de la sécurité. Facile à dire pour moi. Alors, en tant que leader de la sécurité, par où commencez-vous ?
Je recommande d’aborder l’hygiène de sécurité en trois étapes :
- Évaluez votre environnement existant et assurez-vous que les solutions existantes fonctionnent correctement et sont pleinement utilisées
- Alignez votre programme de sécurité sur un cadre de pointe et rationalisez les solutions pour atteindre l’état futur souhaité
- Mesurez vos progrès par rapport à l’état futur défini et adaptez continuellement les capacités si nécessaire
Nous détaillons ci-dessous les directives pour s’attaquer à la première étape de vos efforts d’hygiène de sécurité. Dans les publications à venir, nous explorerons les étapes deux et trois.
Première étape de l’hygiène de sécurité : évaluation
La première étape pour améliorer l’hygiène de la sécurité consiste à comprendre l’état actuel des contrôles de sécurité importants au sein de votre réseau. De nombreuses organisations sont convaincues qu’elles gèrent efficacement les bases de données d’actifs et corrigent les vulnérabilités. Mon expérience m’a appris que cette confiance est souvent égarée. L’objectif de cette première étape est d’identifier ces lacunes et de s’assurer que les investissements existants sont pleinement utilisés.
Commencez par sélectionner un ensemble de contrôles de sécurité prioritaires. Se concentrer sur les contrôles plutôt que sur un cadre complet (nous y arriverons dans la prochaine publication) rendra cette étape facile et aidera à traiter un ensemble de contrôles généralement convenus comme étant critiques. Les contrôles de sécurité critiques CIS20 sont un excellent exemple de liste de contrôles prioritaires. La liste contient des actions pour tout, de l’inventaire des actifs à la formation des utilisateurs. En fait, vous pouvez sélectionner un sous-ensemble de la liste pour vous concentrer sur les domaines les plus préoccupants. Les contrôles confinés sont des sous-composants de cadres populaires, tels que leCadre de cybersécurité duNIST, qui devrait nous permettre d’étendre cet effort plus tard.
Ensuite, déterminez l’efficacité avec laquelle votre organisation traite les contrôles de sécurité de l’information prioritaires. Au cours de cet effort, reposez-vous sur des tests techniques plutôt que sur de simples entretiens. Par exemple, pour déterminer l’efficacité de votre inventaire d’appareils, identifiez tous les appareils sur votre réseau et comparez la liste à votre CMDB. Recueillir des informations sur les niveaux de correctifs pour les systèmes d’exploitation et les principales applications tierces (par ex. Java, Flash). Comparez les informations du correctif aux résultats existants de l’évaluation des vulnérabilités. Les lacunes identifiées doivent rapidement révéler si ces contrôles sont efficaces ou inefficaces.
Pour les faiblesses identifiées, assurez-vous que les investissements existants sont utilisés à leur plein potentiel. Par exemple, utilisez les utilitaires Windows existants tels que Bit Locker, App Locker et EMET pour améliorer la sécurité sans acheter de solutions ponctuelles pour traiter les capacités de chiffrement complet du disque (FDE), de liste blanche des applications et d’anti-exploit. Votre solution anti-programme malveillant n’est peut-être actuelle ou fonctionnelle que sur 80 % de vos appareils. Corrigez-la. Le résultat final de cette activité doit être de traiter toutes les « victoires rapides » et de saisir toutes les lacunes restantes, qui seront traitées au cours d’un projet de transformation de la sécurité beaucoup plus large.
Chez Tanium, nous avons développé une évaluation de l’hygiène pour fournir aux clients des rapports précis et faciles sur les lacunes courantes en matière d’hygiène de sécurité. Les résultats ont été l’ouverture des yeux.
- Un grand client financier disposait d’environ 5 500 demandes documentées et approuvées. Tanium a aidé à identifier plus de 10 000 applications installées.
- Un grand client de détail pensait que la gestion des correctifs était sous contrôle. Tanium a identifié environ 3 500 instances de Java qui n’avaient pas été mises à jour depuis plus d’un an.
- Une institution financière internationale pensait que SCCM rendait compte avec précision sur tous les appareils. Tanium a révélé que SCCM n’était pas opérationnel sur environ 15 % de tous les appareils pris en charge, ce qui a également affecté la précision des rapports pour les niveaux de correctifs et le statut d’autres solutions, telles que la lutte contre les logiciels malveillants.
Une fois que vous avez compris ces contrôles de base et que vous avez tiré parti des outils qui existent dans votre environnement, vous êtes prêt à vous concentrer sur un projet de transformation plus vaste, en utilisant un cadre comme ISO 27001 ou NIST Cyber Security Framework.
À propos de l’auteur : en tant que directeur de la sécurité, David Damato fournit une orientation stratégique des produits sur le développement de modules pour la Tanium Platform et gère le programme de sécurité interne de l’entreprise. David apporte une expertise approfondie en matière de sécurité à Tanium, couvrant la réponse aux incidents et l’informatique légale, les évaluations des vulnérabilités, le développement de programmes de sécurité, les opérations de sécurité et l’architecture réseau et sécurité. Avant Tanium, David a récemment occupé le poste de directeur général chez Mandiant, une société FireEye, où son équipe a dirigé les efforts de réponse aux incidents et de remédiation post-violation dans plus de 100 entreprises du Fortune 500 . Chez Mandiant, David a également joué un rôle essentiel dans le développement de nouvelles capacités de services de réponse aux incidents et dans l’établissement de bureaux de conseil à la fois au niveau national et international. Avant Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC dans le cadre de son cabinet fédéral de Washington et a occupé des postes informatiques chez Raytheon axés sur la gestion des réseaux internes et gouvernementaux. David partage fréquemment son expertise et ses connaissances lors d’événements du secteur et avec les médias.
