Résumé
En s'engageant de façon continue dans le renseignement sur les menaces et en « défendant en avant », les États-Unis ont réussi à déjouer plusieurs cyberattaques à travers le monde ces dernières années, du botnet soutenu par la Chine qui avait infiltré quelque 260 000 serveurs Microsoft Exchange, à l'attaque russe contre les chemins de fer ukrainiens qui — si elle n'avait pas été déjouée — aurait pu entraîner la mort de centaines de milliers d'Ukrainiens.
Ce qui s'est avéré efficace pour les États-nations peut également s'appliquer aux entreprises, affirme Richard Harknett, architecte principal de cette nouvelle approche proactive de la cybersécurité et co-auteur de Cyber Persistence Theory: Redefining National Security in Cyberspace, publié par Oxford University Press. Harknett nous présente quelques-unes de ces victoires majeures en matière de cybersécurité (du moins celles qui sont non classifiées ou déclassifiées) et suggère comment les leaders d'entreprise qui adoptent le même état d'esprit peuvent en tirer des bénéfices en termes de contrats, de chaînes d'approvisionnement et d'opportunités commerciales.
(La conversation se poursuit avec Harknett la semaine prochaine, alors que nous examinons les dernières implications en matière de cybersécurité pour TikTok, l'IA et d'autres enjeux que les leaders d'entreprise devront aborder dans l'année à venir.) HOST: Mike Curran, VP of global talent, Tanium GUEST: Richard J. Harknett, Ph.D., director of the Center for Cyber Strategy and Policy and co-director of the Ohio Cyber Range Institute, University of Cincinnati
Notes de l'épisode
Pour en savoir plus sur les politiques américaines en matière de cybersécurité et sur la façon dont la gestion autonome des endpoints peut vous permettre d'agir plutôt que de réagir, consultez nos articles dans Focal Point, le magazine en ligne primé de Tanium dédié à la cybersécurité, ainsi que ces autres ressources utiles.
- Ce que les entreprises doivent savoir sur la nouvelle stratégie américaine en matière de cybersécurité | Focal Point
- Les idées reçues sur l'Engage persistant et leur impact sur les entreprises | Focal Point
- The Feds Are Coming for CISOs – Here's How to Steer Clear | Focal Point
- Comment l'automatisation et l'IA protègent votre chaîne d'approvisionnement logicielle | Focal Point
- La prochaine évolution de la gestion des endpoints est autonome | Tanium
- Les avantages de l'Endpoint Management en continu (et en quoi il diffère des logiciels antivirus) | Tanium
- Présentation de Tanium Automate : une orchestration et une automatisation à grande échelle, simples à mettre en place | Tanium
Transcript
L'entretien suivant a été modifié pour plus de clarté.
"Nous devons véritablement changer notre façon de concevoir ce que signifie adopter une hygiène raisonnable et une sécurité adéquate. C'est pourquoi j'aime formuler les choses ainsi : il n'existe pas de bonnes pratiques en cybersécurité. Il n'existe que de meilleures pratiques."Richard J. Harknett, directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute, Université de Cincinnati
Mike Curran : En matière de cybersécurité, mieux vaut agir que réagir. C'est le principe fondamental de la politique américaine actuelle en matière de cybersécurité, connue sous le nom de stratégie « Defend Forward ». Il y a quelques années, cette approche était considérée comme assez radicale, mais le Royaume-Uni et d'autres alliés dans le domaine cyber suivent désormais notre exemple, ce qui m'amène à me demander si les entreprises américaines devraient en faire autant.
Bonjour, je suis Mike Curran, vice-président des talents mondiaux chez Tanium, et aujourd'hui dans Let's Converge, nous parlons de « défense proactive de votre entreprise » et de ce qu'elle peut apporter en termes de praticité et de rentabilité.
Pour vous donner un peu de contexte, le gouvernement fédéral a commencé à tester cette stratégie en 2018 et l'a consacrée comme plan officiel de cyberdéfense l'année dernière. Notre invité du jour a joué un rôle clé dans cette démarche.
Il s'agit de Richard Harknett, Ph.D., directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute à l'Université de Cincinnati. Il est professeur et premier chercheur en résidence au U.S. Cyber Command et à la National Security Agency. Il est également l'un des architectes de cette nouvelle théorie de la persistance et de la proactivité en matière de cyberdéfense.
Il a d'ailleurs co-écrit l'ouvrage de référence sur le sujet. Intitulé Cyber Persistence Theory: Redefining National Security in Cyberspace, il est publié par Oxford University Press.
Bienvenue dans ce podcast, Richard. Merci de nous accorder de votre temps. Vous êtes quelqu'un de très occupé, entre vos déplacements à Washington, Vienne, Londres et partout ailleurs. Merci beaucoup de nous recevoir aujourd'hui.
Richard Harknett: Avec plaisir. Mike. Je rentre justement de Londres, où j'ai passé quelque temps avec nos alliés pour tenter de cerner les défis du cyberespace.
Curran: Fantastique. Je vous en remercie. Je remarque quelque chose derrière vous, sur votre droite. Est-ce une pièce ou quelque chose de ce genre ? Cela semble assez intéressant, mais je n'arrive pas à le lire. De quoi s'agit-il ?
Harknett : Oh, merci. Bienvenue dans mon bureau, mon bureau à domicile. C'était vraiment un beau geste de la part de l'amiral Mike Rogers, commandant quatre étoiles du Cyber Command américain et directeur de la NSA. J'ai donc été détaché de l'Université de Cincinnati en 2016 pour devenir leur chercheur en résidence, le premier qu'ils aient jamais eu, et j'ai contribué – ce qui est désormais du domaine public – à l'élaboration de certains des grands tournants que nous avons opérés dans la stratégie nationale en matière de cybersécurité. L'amiral Rogers m'a alors remis une petite distinction et une pièce quatre étoiles, ce qui est vraiment appréciable.
Curran : Félicitations. Toutes mes félicitations. Merci de nous en avoir parlé. Mais nous sommes ici pour parler d'Engage, d'une approche proactive en matière de cybersécurité. Mais si l'on prend un peu de recul, vous avez un parcours d'expert en dissuasion nucléaire. Y a-t-il eu un moment ou un événement qui vous a amené à cette prise de conscience, celle du besoin d'une nouvelle approche en matière de cybersécurité ?
Harknett: Oui, cela me ramène aux alentours de 1992, ’93-ish. Je travaillais sur des questions nucléaires, en essayant de gérer l'effondrement de l'Union soviétique et la façon dont nous pouvions y faire face. J'ai effectué quelques travaux pour le DOD, qui les ont appréciés, et ils m'ont dit : « Nous avons quelque chose qui s'appelle un navigateur. Quelles sont, selon vous, les implications en matière de sécurité ? » J'ai donc réalisé une première analyse et conclu que cela ne correspondait pas à notre façon de voir la sécurité ni à notre organisation en la matière.
C'est donc assez tôt, Mike, que j'ai eu le sentiment qu'il existait un décalage entre la réalité de cet espace et notre conception de la sécurité, ce qui allait nous poser problème. J'ai maintenu cette position pendant environ 20 ans. Je savais quel était le problème, mais je ne savais pas exactement quelle en était la solution. Et au cours des 20 25 dernières années, il nous a fallu un certain temps pour y parvenir, mais je pense que nous avons trouvé la bonne approche.
Curran : Commençons par ceci : pouvez-vous définir « engagement persistant » et « Defend Forward » ?
Harknett : Oui. Il est donc important d'examiner la relation entre ces deux concepts. Ainsi, « l'engagement persistant » est officiellement considéré comme une doctrine militaire, qui contribue à structurer les opérations du Cyber Command. Mais il s'agit également d'une doctrine en cours de déploiement – sous une certaine forme – par le Département de Justice pour lutter contre la cybercriminalité.
L'engagement persistant, en résumé, stipule que le cyberespace est un environnement d'activité continue cherchant à exploiter les vulnérabilités inhérentes aux réseaux informatiques.
Lorsque nous avons construit ce que nous appelons internet, nous n'avions pas anticipé tout ce que nous allions y ajouter, des réseaux sociaux aux grands systèmes de soutien économique, en passant par les gains d'efficacité et autres éléments de ce type. À la base, il n'a pas été conçu autour de la sécurité, mais autour de l'accès.
Mais dès lors que vous avez commencé à y intégrer des informations d'identité personnelle ou des richesses économiques, ces données sont devenues des cibles pour d'autres. Il faut donc réfléchir à la manière de les sécuriser. Et le défi réside dans le fait qu'il s'agit d'un espace ouvert à l'exploitation.
Ainsi, l'engagement persistant repose sur le principe que la sécurité dépend de ma capacité à anticiper la façon dont vous allez tenter d'exploiter mes vulnérabilités avant que vous ne le fassiez. Et l'un des moyens d'y parvenir, d'un point de vue militaire et de sécurité nationale, est de figure out ce que nos adversaires envisagent de nous faire avant qu'ils ne passent à l'acte. C'est là qu'intervient le concept de « défense en avant ».
Car il est impossible de se défendre à l'intérieur de ses propres réseaux. Si vous vous défendez à la périphérie de vos réseaux, vous passerez votre temps à courir après des menaces sans jamais les neutraliser. Il faut donc défendre en avant, à la fois dans l'espace et dans le temps. Oui, cela signifie que je dois sortir de mes réseaux et pénétrer dans ceux des autres pour voir s'ils développent des Malware qu'ils pourraient ensuite utiliser contre moi. De cette façon, je pourrais peut-être corriger les vulnérabilités avant qu'ils ne les exploitent.
Mais je dois aussi prendre de l'avance, ou « défendre en avant », dans le temps. Car si je Discover leurs outils avant qu'ils ne les utilisent, je peux corriger ces vulnérabilités. Et alors tout le temps, le talent et l'énergie qu'ils ont consacrés au développement de ces outils cybernétiques destinés à m'attaquer ne servent plus à rien.
Alors… pourquoi dois-je être persistant ? Parce que l'adversaire l'est. L'adversaire est toujours à la recherche d'une occasion d'exploiter l'interconnexion de cet espace. La sécurité repose donc sur l'anticipation, Mike, et c'est pourquoi je dois persister et Engage de façon continue. C'est un changement majeur par rapport à notre façon de concevoir la sécurité pendant la Guerre froide.
Curran: Oui, un changement radical. En ce qui concerne le secteur privé, j'aimerais approfondir ce point aujourd'hui : comment s'engagent-ils et comment défendent-ils en avant ? En examinant le secteur privé et les politiques du DOD, j'ai remarqué une politique qui, je crois, s'appelait « Indications and Warnings ».
Harknett: Tout à fait.
Curran: Ils se concentraient particulièrement sur ce qu'ils appellent le DCI et le DIB, c'est-à-dire l'infrastructure critique [de défense] et la base industrielle de défense. Nous savons qui ils sont : Boeing et les autres grandes entreprises. Mais qu'en est-il du reste des entreprises américaines ? Le reste du G-2000 qui n'est peut-être pas aussi étroitement associé ? Comment défendent-ils en avant ?
Harknett: C'est une excellente question. Je vais vous proposer deux façons d'aborder ce sujet.
Du point de vue d'une entreprise, il est illégal de s'introduire dans le réseau d'une autre organisation. Cela serait considéré comme du piratage, une tentative de perturber leurs réseaux. Les gouvernements nationaux, les gouvernements chargés de la sécurité nationale, disposent en vertu du droit international de l'autorité nécessaire pour le faire. Les entreprises doivent donc, en partie, être en mesure de recevoir les informations provenant du gouvernement, à mesure que nous progressons dans la défense proactive et que nous mettons en place un engagement continu.
Ce sont de nouveaux concepts, nous développons de nouvelles forces – le Cyber Command et la National Security Agency en sont le cœur, mais d'autres agences de renseignement et forces de l'ordre prennent également les devants. Cela ne sert à rien si nous prenons les devants et annonçons : « Nous avons découvert une vulnérabilité », alors que les entreprises ne sont pas prêtes à faire preuve de souplesse pour mettre à jour leurs systèmes.
Il y a eu une vulnérabilité Microsoft Exchange particulièrement importante qui, comme nous le savons désormais, était une opération chinoise. Ainsi, plus cette faille est restée ouverte, plus le nombre d'entreprises exposées à travers le pays a augmenté, n'est-ce pas ?
Curran: Oui.
Harknett: Le Département de Justice américain a pu, grâce à un dispositif appelé Règle 41, qui est une autorité de perquisition et de saisie, intervenir et appliquer un Patch à cette vulnérabilité.
Des objets connectés [appareils] et types de serveurs ; 260 000 avaient été compromis et intégrés dans ce que nous appelons un botnet. Ils sont donc contrôlés par un serveur de commande unique. À mon avis, une opération d'une grande ingéniosité. Nous avons identifié le serveur de commande chinois qui avait compromis ces 260 000, pris le contrôle de ce serveur de commande, et lui avons ordonné de supprimer son propre Malware – de se retirer de l'ensemble de ces appareils du secteur privé.
Les Chinois sont donc présents, [alors] qu'ils ne devraient pas l'être. Le gouvernement américain n'intervient pas dans le secteur privé des entreprises américaines. Il amène les Chinois à supprimer eux-mêmes leurs propres éléments. Comment cela est-il possible ?
Cela passe par un Engage constant, en comprenant qu'ils cherchent toujours à exploiter…. [Dans cette instance], ils ont eu de la chance ; ils ont compromis 260 000.
C'est eux qui ont pris l'initiative pendant un moment. Mais grâce à un Engage continu et à une défense proactive, nous avons localisé ce serveur de commande [et], avec une tactique particulièrement ingénieuse, nous avons pu restaurer l'espace propriétaire de l'ensemble de ces équipements informatiques.
Cela vous donne un aperçu des dynamiques à l'œuvre dans ce domaine. Le secteur privé doit adopter une posture anticipative. Ainsi, lorsque nous pouvons les alerter sur des vulnérabilités, il n'est pas envisageable d'attendre cinq mois avant de décider de les Patcher. Car ce sont des périodes durant lesquelles vous êtes exposé.
Mais il y a un autre aspect à prendre en compte, Mike, en ce qui concerne les pratiques commerciales des grandes entreprises en particulier. Leur capacité à assurer une défense proactive repose sur de meilleures pratiques avec leurs chaînes d'approvisionnement et leurs fournisseurs. Donc, si vous envisagez de connecter vos réseaux à un fournisseur en aval, dans une optique de défense proactive, vous pourriez vouloir évaluer la robustesse de ce réseau.
Il y a quelques années, par exemple, Target avait été victime d'un piratage au niveau de ses points de vente. Lorsque vous vous rendiez dans un magasin Target, vous passiez votre carte, et les données de cette carte étaient volées. Ce Malware avait été déployé via le fournisseur de systèmes CVC de l'ensemble des magasins Target. Il aurait fallu savoir que ce système CVC était vulnérable, car il vous exposait en tant qu'entreprise.
Il existe donc des pratiques à envisager dans le cadre de vos contrats et de votre chaîne d'approvisionnement. Vos fournisseurs doivent atteindre un certain niveau de sécurité.
Il existe également une autre opération de défense proactive et d'engagement continu que nous menons, appelée opérations de « chasse proactive », dont le Cyber Command américain a davantage parlé. Les Canadiens l'ont fait, les Britanniques l'ont fait. Le principe est qu'un pays partenaire invite les États-Unis à accéder à ses réseaux. C'est un problème de confiance majeur au départ. Mais en étant dans leur réseau et en travaillant à leurs côtés, nous pouvons découvrir des choses qu'ils n'auraient peut-être pas découvertes, les aider avec leur propre réseau, et ramener ces types d'assets pour défendre le territoire national.
Le cas public le plus marquant dont je peux vous parler est octobre 2021, avant que les chars russes n'entrent en Ukraine, le Cyber Command américain menait une opération de « hunt forward » avec les Ukrainiens, invité par ces derniers à accéder à leurs réseaux. Ils ont découvert un malware particulièrement virulent et sophistiqué qui aurait mis hors service le réseau ferroviaire ukrainien. Et si vous connaissez un tant soit peu l'Ukraine, la majorité de la population ne se déplace pas en voiture, mais en train.
Ce que nous avons fait, c'est isoler ce malware et le laisser en place. Les Russes continuaient de croire qu'il fonctionnait et l'exploitaient. Nous avons ainsi pu recueillir du renseignement et revenir vers nos réseaux de transport en leur demandant : « Avez-vous cette vulnérabilité ? » Nous ne leur révélons pas comment nous en avons pris connaissance, mais : « Vous avez cette vulnérabilité ? Voici peut-être ce qu'il faut faire pour la patcher. »
Vous en tirez une sécurité nationale.
Puis les chars défilent en février, [les Russes] appuient sur entrée et ça ne fonctionne pas. Le Financial Times de Londres a suggéré qu'il s'agit peut-être de la première cyberopération ayant permis de sauver des vies, car 1,2 millions d'Ukrainiens ont quitté les villes en train durant la première semaine de l'invasion russe.
Curran : Incroyable. Fascinant.
Harknett : Donc… un résultat remarquable pour une seule opération. Si l'on considère tout ce que l'on peut gagner en adoptant une approche anticipatrice, les entreprises pourraient faire de même, n'est-ce pas ?
Envisagez l'environnement contractuel comme une invitation à une opération de « chasse en avant ». Votre fournisseur vous dit : « Vous pouvez accéder à mes réseaux et constater que je respecte bien les normes dont vous avez besoin. » En adoptant cette démarche, ces entreprises se rendent plus attractives en tant que fournisseurs.
D'un point de vue des pratiques commerciales, je dirais que plus votre niveau de cybersécurité est élevé, plus vous êtes un maillon attractif dans cette chaîne d'approvisionnement. [Et] nous avons besoin que cela fonctionne dans les deux sens, Mike. Nous avons besoin que les grandes entités exigent de meilleures pratiques de la part de leurs sous-traitants, et d'un point de vue incitatif économique, nous avons besoin que ces petites entreprises renforcent leur sécurité tout au long de la chaîne d'approvisionnement.
Curran: Je veux dire, si vous disposiez d'un score d'hygiène cyber émanant d'une source neutre et fiable — comme un Ernst & Young ou un Accenture — qui atteste qu'un fournisseur donné présente toutes les garanties d'hygiène nécessaires, vous pourriez vous sentir en confiance. Mais je ne suis pas sûr qu'il existe un score d'hygiène universel sur lequel les gens s'appuient pour prendre des décisions concernant leurs fournisseurs, par exemple….
Harknett: Non, je pense que c'est une excellente observation, et c'est là tout l'enjeu de la théorie de la persistance cyber, qui part du principe que nous évoluons dans un environnement en mutation constante. Nous avons tendance à envisager les normes sous l'angle de la conformité. Comme si atteindre un niveau statique X suffisait à l'appliquer à une multitude de cas. Et suis-je en conformité, n'est-ce pas ? Je vais vérifier ce tableau Excel.
Et c'est ainsi que l'on a abordé la cybersécurité — ce qui n'est pas vraiment la méthode la plus efficace.
Parce que depuis que nous avons commencé à échanger aujourd'hui, et ce n'est pas si long, il y a une application sur votre téléphone qui s'est mise à jour vers une nouvelle version. Et donc ma conformité d'hier n'a pas capturé cela.
Nous devons changer notre façon de concevoir ce que signifie être raisonnablement hygiénique, raisonnablement sécurisé. J'aime formuler cela en disant qu'il n'existe pas de bonnes pratiques en cybersécurité. Il n'existe que des meilleures pratiques.
Ce que nous devons faire d'un point de vue organisationnel, c'est que les organisations doivent s'éloigner de ce modèle purement axé sur la conformité et adopter une structure organisationnelle qui stipule <em>que quelqu'un vérifie cela de façon régulière.</em> Je dispose d'un flux organisationnel qui s'adapte et évolue. Et malheureusement, nous le faisons pour les opportunités commerciales ; nous n'avons pas tendance à le faire du côté de la sécurité.
Mais je dirais que si nous commençons à comprendre que la sécurité est une opportunité commerciale, alors ce changement de mentalité indique que cela fait partie d'une bonne conduite des affaires au 21e siècle.
Curran : Merci pour le temps que vous nous avez accordé aujourd'hui et bonne chance dans tout le travail que vous continuez à accomplir. Nous vous en sommes reconnaissants.
Harknett: Merci, et merci de m'offrir cette tribune pour m'adresser à vos auditeurs. C'est un plaisir et j'ai beaucoup apprécié notre échange.
Curran: Je me suis entretenu avec Richard Harknett, directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute à l'Université de Cincinnati.
Si vous souhaitez en savoir plus sur les stratégies de cybersécurité proactive, consultez Focal Point, le magazine en ligne primé de Tanium dédié à l'actualité cyber ; vous trouverez des liens vers des articles dans les notes de l'émission. Ou rendez-vous sur tanium.com/p pour les publications.
Pour découvrir d'autres conversations avec les grands leaders du monde des affaires et les experts en sécurité, abonnez-vous à Let's Converge sur votre application de podcast préférée. Si cet épisode vous a plu, n'hésitez pas à nous attribuer une note de cinq étoiles.
Merci de votre écoute. Nous avons hâte de partager d'autres perspectives sur la cybersécurité lors du prochain épisode de Let's Converge.
