Dans le premier volet de notre série en trois parties intitulée « » (), David Damato, directeur de la sécurité (CSO) chez Tanium, explique pourquoi une bonne hygiène de sécurité est si essentielle et détaille la première étape à suivre pour mettre de l'ordre dans votre infrastructure informatique. ‘
Avez-vous de mauvaises habitudes en matière de sécurité ? Si tel est le cas, ne vous découragez pas. Vous n'êtes pas seul. Les équipes informatiques et de sécurité ont longtemps négligé les contrôles de sécurité de base, notamment ceux définis dans le « » , le « NIST Cybersecurity Framework » (s'ouvre dans un nouvel onglet), , ou , ainsi que les « CIS Critical Security Controls » (s'ouvre dans un nouvel onglet), , (également connus sous le nom de « SANS Top 20 ») depuis plus d'une décennie.
Mon expérience acquise lors de la gestion de plus de 100 incidents de sécurité au sein d’entreprises m’a appris que la grande majorité des incidents de sécurité résulte de défaillances dans les pratiques que l’on désigne généralement sous le terme d’« » , d’« hygiène de sécurité » (s’ouvre dans un nouvel onglet)et de « ».
Prenons par exemple la gestion des actifs : il s'agit tout simplement de recenser l'ensemble de vos appareils et de connaître leur état actuel. Tout comme une entreprise assure le suivi de ses actifs financiers, les équipes informatiques et de sécurité doivent assurer le suivi de leurs actifs, notamment les appareils, les serveurs, les systèmes d'exploitation et les applications. On ne peut pas protéger ce que l'on ne connaît pas. Pourtant, dans presque toutes les opérations de remédiation suite à une violation majeure que j’ai menées, les responsables techniques ou de la sécurité au sein de l’organisation victime n’ont pas été en mesure de fournir un inventaire précis des appareils. En réalité, la plupart ont eu du mal à atteindre une précision comprise entre 10 % et 20 % par rapport au décompte réel.
La gestion des vulnérabilités en est un autre exemple. L'année dernière, plusieurs organisations ont été touchées par l' le ransomware Samsam (s'ouvre dans un nouvel onglet). Samsam s'est appuyé sur une faille de sécurité de JBoss datant de plus d'un an. Au moment où ce ransomware a été diffusé, les chercheurs estimaient qu'il existait plus de 2,1 millions d'instances vulnérables de JBoss sur Internet. La plupart des organisations présentent des milliers de vulnérabilités non corrigées et ne disposent pas des correctifs essentiels, ce qui favorise la prolifération des ransomwares et d'autres attaques rudimentaires. Le rapport « 2015 Verizon Data Breach Investigations Report » (s'ouvre dans un nouvel onglet) met en évidence le retard considérable des organisations en matière de correction des vulnérabilités. Selon ce rapport, 99 % des vulnérabilités exploitées avaient été compromises plus d'un an après la publication du Common Vulnerabilities and Exposures (CVE).
Je ne suis pas le seul à avoir remarqué que la plupart des violations de sécurité sont dues à de mauvaises pratiques en matière de sécurité, plutôt qu'à une quelconque sophistication de la part des attaquants. L’année dernière, Rob Joyce, directeur de la division « Tailored Access Operations » (TAO) de la NSA – le groupe chargé de mener des cyberattaques sophistiquées au sein de la NSA – a déclaré (s’ouvre dans un nouvel onglet) : « Nous avons consacré du temps […] à mieux connaître [ce réseau] que ceux qui l’ont conçu et ceux qui en assurent la sécurité. » « Vous seriez surpris de constater la différence entre ce qui fonctionne réellement sur un réseau et ce que vous pensez qu’il devrait y avoir. »
Ian Levy, directeur du programme britannique de cybersécurité, a critiqué, en début d'année, les éditeurs de solutions de sécurité qui tentent de présenter les menaces persistantes avancées (APT) comme une forme d'attaques sophistiquées. Il a suggéré plutôt que l’acronyme APT signifie «adequate pernicious toe-rags (s’ouvre dans un nouvel onglet) ». M. Levy souhaite que le débat actuel sur la cybersécurité tienne compte de ce qu'il considère comme la nature relativement rudimentaire de nombreuses attaques. « Si vous qualifiez cela de menace persistante avancée, vous vous retrouvez avec un discours qui revient en substance à dire : “Vous êtes tous trop bêtes pour comprendre cela et je suis le seul à pouvoir vous aider – achetez mon amulette magique et tout ira bien.” » « C'est de la sorcellerie médiévale, c'est véritablement de la sorcellerie médiévale. »
Étant donné que la plupart des attaques ne sont pas sophistiquées, et que même les acteurs les plus expérimentés commencent par des tactiques élémentaires avant de perfectionner leurs techniques, les bonnes pratiques de sécurité devraient constituer le point de départ pour les responsables de la sécurité. C'est facile à dire pour moi. Alors, en tant que responsable de la sécurité, par où commencer ?
Je vous recommande d'aborder l'hygiène de sécurité en trois étapes :
- Évaluez votre environnement actuel et assurez-vous que les solutions existantes fonctionnent correctement et sont pleinement exploitées
- Alignez votre programme de sécurité sur un référentiel de référence dans votre secteur et rationalisez vos solutions afin d'atteindre l'état souhaité à terme
- Évaluez vos progrès par rapport à l'état futur défini et adaptez en permanence vos capacités en fonction des besoins
Nous détaillons ci-dessous les recommandations pour aborder la première étape de vos efforts en matière d'hygiène de sécurité. Dans les prochains articles, nous aborderons les étapes deux et trois.
Première étape de l'hygiène de sécurité : l'évaluation
La première étape pour améliorer votre hygiène de sécurité consiste à comprendre l'état actuel des contrôles de sécurité essentiels au sein de votre réseau. De nombreuses organisations sont convaincues qu'elles gèrent efficacement leurs bases de données d'actifs et corrigent les vulnérabilités ; mon expérience m'a toutefois appris que cette confiance est souvent mal placée. L'objectif de cette première étape est d'identifier ces lacunes et de veiller à ce que les investissements existants soient pleinement mis à profit.
Commencez par sélectionner un ensemble de mesures de sécurité classées par ordre de priorité. En vous concentrant sur les contrôles plutôt que sur l'ensemble du cadre (nous y reviendrons dans le prochain article), vous simplifierez cette étape et pourrez ainsi mettre en place un ensemble de contrôles généralement considérés comme essentiels. Les 20 mesures de sécurité essentielles du CIS ( ) constituent un excellent exemple de liste de mesures classées par ordre de priorité. Cette liste répertorie toutes les actions à mener, depuis l'inventaire des actifs jusqu'à la formation des utilisateurs. En effet, vous pouvez sélectionner un sous-ensemble de la liste afin de vous concentrer sur les domaines qui vous préoccupent le plus. Les contrôles intégrés constituent des sous-composants de cadres de référence courants, tels que l’ , le cadre de cybersécurité du NIST (s’ouvre dans un nouvel onglet)et , ce qui devrait nous permettre d’étendre cette initiative ultérieurement.
Déterminez ensuite dans quelle mesure votre organisation met en œuvre efficacement les mesures de sécurité de l'information jugées prioritaires. Dans le cadre de cette démarche, privilégiez les tests techniques plutôt que de simples entretiens. Par exemple, pour évaluer l'efficacité de votre inventaire des appareils, identifiez tous les appareils présents sur votre réseau et comparez cette liste à votre CMDB. Recueillez des informations sur les niveaux de mise à jour des systèmes d'exploitation et des principales applications tierces (par exemple, Java, Flash). Comparez les informations relatives aux correctifs avec les résultats des évaluations de vulnérabilité existantes. Les lacunes identifiées devraient permettre de déterminer rapidement si ces contrôles sont efficaces ou non.
En ce qui concerne les faiblesses identifiées, veillez à ce que les investissements existants soient exploités au maximum de leur potentiel. Par exemple, utilisez les utilitaires Windows existants, tels que BitLocker, AppLocker et EMET, pour renforcer la sécurité sans avoir à acheter de solutions ponctuelles permettant de mettre en œuvre le chiffrement complet du disque (FDE), la liste blanche des applications et les fonctionnalités anti-exploits. Il se peut que votre solution anti-malware ne soit à jour ou opérationnelle que sur 80 % de vos appareils : remédiez-y. Cette activité devrait permettre, au final, de mettre en œuvre les « mesures à effet immédiat » et d'identifier les lacunes restantes, qui seront comblées dans le cadre d'un projet de transformation de la sécurité beaucoup plus vaste.
Chez Tanium, nous avons mis au point une évaluation de l'hygiène de sécurité afin de fournir à nos clients des rapports précis et simples sur les lacunes courantes en matière d'hygiène de sécurité. Les résultats ont été très révélateurs.
- Un important client du secteur financier comptait environ 5 500 demandes enregistrées et approuvées. Tanium a permis d'identifier plus de 10 000 applications installées.
- Un grand client du secteur de la grande distribution pensait maîtriser la gestion des correctifs. Tanium a recensé environ 3 500 cas où Java n'avait pas été mis à jour depuis plus d'un an.
- Une institution financière internationale estimait que SCCM fournissait des rapports précis pour l'ensemble des appareils. Tanium a révélé que SCCM n'était pas opérationnel sur environ 15 % de l'ensemble des appareils pris en charge, ce qui a également nui à la précision des rapports concernant les niveaux de mise à jour et l'état d'autres solutions, telles que les logiciels anti-malware.
Une fois que vous maîtrisez ces contrôles de base et que vous avez tiré parti des outils disponibles dans votre environnement, vous êtes prêt à vous consacrer à un projet de transformation de plus grande envergure, en vous appuyant sur un référentiel tel que la norme ISO 27001 ou le cadre de cybersécurité du NIST.
À propos de l'auteur : En tant que directeur de la sécurité, David Damato définit l'orientation stratégique des produits en matière de développement de modules pour la plateforme Tanium et gère le programme de sécurité interne de l'entreprise. David apporte à Tanium une grande expertise en matière de sécurité, couvrant notamment la gestion des incidents et l'analyse forensic, les évaluations de vulnérabilité, l'élaboration de programmes de sécurité, les opérations de sécurité, ainsi que l'architecture réseau et de sécurité. Avant de rejoindre Tanium, David occupait plus récemment le poste de directeur général chez Mandiant, une société du groupe FireEye, où son équipe a dirigé les opérations de réponse aux incidents et de remédiation après une violation de données au sein de plus de 100 entreprises du classement Fortune 500 . Chez Mandiant, David a également joué un rôle déterminant dans le développement de nouvelles capacités en matière de services de gestion des incidents et dans la création de bureaux de conseil tant en France qu'à l'étranger. Avant de rejoindre Mandiant, David a dirigé des équipes de conseil en sécurité chez PwC au sein de son pôle « Washington Federal Practice » et a occupé divers postes dans le domaine informatique chez Raytheon, où il s'est principalement consacré à la gestion des réseaux internes et gouvernementaux. David partage régulièrement son expertise et ses réflexions lors d'événements professionnels et auprès des médias.
