Résumé
En s'engageant de manière persistante dans le renseignement sur les menaces puis en « défendant en avant », les États-Unis ont pu déjouer un certain nombre de cyberattaques dans le monde ces dernières années, du botnet soutenu par la Chine qui a infiltré certains 260 000 serveurs Microsoft Exchange, à l'attaque russe contre les chemins de fer ukrainiens qui – si elle n'avait pas été déjouée – aurait pu entraîner la mort de centaines de milliers d'Ukrainiens.
Ce qui s'est avéré efficace pour les États-nations peut également s'appliquer de manière surprenante aux entreprises, affirme Richard Harknett, architecte clé de cette nouvelle approche proactive de la cybersécurité, et co-auteur de Cyber Persistence Theory: Redefining National Security in Cyberspace, publié par Oxford University Press. Harknett nous présente certaines de ces victoires cyber clés (du moins celles qui sont non classifiées ou déclassifiées), et suggère comment les dirigeants d'entreprise qui adoptent le même état d'esprit peuvent en tirer des bénéfices en matière de contrats, de chaînes d'approvisionnement et d'opportunités commerciales globales.
(La conversation se poursuit avec Harknett la semaine prochaine, alors que nous passons en revue les dernières implications en matière de cybersécurité pour TikTok, l'IA et d'autres questions que les dirigeants d'entreprise devront aborder dans l'année à venir.) ANIMATEUR : Mike Curran, VP des talents mondiaux, Tanium INVITÉ : Richard J. Harknett, Ph.D., directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute, Université de Cincinnati
Notes de l'émission
Pour plus d'informations sur les politiques américaines en matière de cybersécurité et sur la façon dont la gestion autonome des points de terminaison peut vous maintenir actif, et non réactif, consultez nos articles dans Focal Point, le magazine en ligne primé de Tanium sur l'actualité cyber, ainsi que ces autres ressources utiles.
- Ce que les entreprises doivent savoir sur la nouvelle stratégie américaine de cybersécurité | Focal Point
- Ce que beaucoup comprennent mal à propos de l'engagement persistant et pourquoi cela est important pour les entreprises | Focal Point
- Les autorités fédérales s'en prennent aux RSSI – Voici comment l'éviter | Focal Point
- Comment l'automatisation et l'IA défendent votre chaîne d'approvisionnement logicielle | Focal Point
- La prochaine évolution de la gestion des terminaux est autonome | Tanium
- Les avantages de la gestion continue des terminaux (et en quoi elle diffère des logiciels antivirus) | Tanium
- Présentation de Tanium Automate : une orchestration et une automatisation faciles à créer à grande échelle | Tanium
Transcription
L'entretien suivant a été édité pour plus de clarté.
"Nous devons réellement changer notre façon de penser sur ce que signifie être raisonnablement hygiénique, raisonnablement sécurisé. J'aime donc formuler cela en disant qu'il n'existe pas de meilleures pratiques en cybersécurité. Il n'existe que de meilleures pratiques."Richard J. Harknett, directeur du Centre pour la stratégie et la politique cyber et co-directeur de l'Ohio Cyber Range Institute, Université de Cincinnati
Mike Curran : En matière de cybersécurité, il vaut mieux être actif que réactif. C'est le principe fondamental de la politique cyber américaine actuelle, ce qu'on appelle la stratégie « Défense proactive ». C'était considéré comme assez radical il y a quelques années, mais le Royaume-Uni et d'autres alliés cybernétiques suivent maintenant notre exemple, et cela m'amène à me demander si c'est quelque chose que les entreprises américaines devraient également faire.
Bonjour, je suis Mike Curran, vice-président des talents mondiaux ici chez Tanium, et aujourd'hui dans Let's Converge, nous parlons de « défendre votre entreprise vers l'avenir », et de la façon dont cela pourrait être pratique et rentable.
Pour un peu de contexte, le gouvernement fédéral a commencé à tester cette stratégie en 2018 et l'a consacrée comme notre plan officiel de cyberdéfense l'année dernière. Notre invité d'aujourd'hui a joué un rôle clé dans la réalisation de cela.
Il s'agit de Richard Harknett, Ph.D., directeur du Centre pour la stratégie et la politique cybernétiques et co-directeur de l'Ohio Cyber Range Institute à l'Université de Cincinnati. Il est professeur et le premier chercheur en résidence au Commandement cybernétique américain et à l'Agence de sécurité nationale. Et il est l'un des architectes de cette nouvelle théorie de la persistance et de la proactivité en matière de cyberdéfense.
En fait, il a co-écrit le livre sur le sujet. Il s'intitule Cyber Persistence Theory: Redefining National Security in Cyberspace, publié par Oxford University Press.
Bienvenue dans le podcast, Richard. Je vous remercie d'avoir pris le temps. Vous êtes quelqu'un de très occupé, vous voyagez à Washington, Vienne, Londres, partout. Merci beaucoup d'avoir pris le temps aujourd'hui.
Richard Harknett: Merci beaucoup. Mike. Je viens justement de rentrer de Londres, j'ai passé un peu de temps avec nos alliés pour essayer de comprendre les défis du cyberespace.
Curran : Fantastique. J'apprécie cela. Je remarque quelque chose par-dessus votre épaule droite. Est-ce une pièce ou quelque chose comme ça ? Ça a l'air assez intéressant, mais je n'arrive pas à le lire. De quoi s'agit-il ?
Harknett: Oh, merci. Bienvenue dans mon bureau, mon bureau à domicile. Oui, c'était vraiment un beau geste de la part de l'amiral Mike Rogers, qui était le commandant quatre étoiles du Cyber Command américain et directeur de la NSA. Alors j'ai été détaché de l'Université de Cincinnati en 2016 pour devenir leur chercheur en résidence, le premier qu'ils aient jamais eu, et j'ai contribué – ce qui est maintenant de notoriété publique – à développer certains des grands pivots que nous avons effectués dans la stratégie nationale en matière de cybersécurité. Et donc l'amiral Rogers m'a remis une petite commendation et une pièce quatre étoiles, c'est donc quelque chose de cool.
Curran: Bravo pour vous. Félicitations pour cela. Merci de nous en avoir parlé. Mais bon, nous sommes ici pour parler d'engagement persistant, d'une approche proactive de la cybersécurité. Mais si nous prenons un peu de recul, vous avez une formation d'expert en dissuasion nucléaire. Y a-t-il eu un moment ou quelque chose qui s'est produit où vous avez eu cette révélation, où nous avions besoin d'une nouvelle approche en matière de cybersécurité ?
Harknett : Oui, cela me ramène aux alentours de 1992, ’93-ish. Je travaillais sur des questions nucléaires, en essayant de gérer l'effondrement de l'Union soviétique et la façon dont nous gérions tout cela. J'ai effectué quelques travaux pour le DOD, ils les ont plutôt appréciés et ils ont dit : « Hé, nous avons ce truc qu'on appelle un navigateur. Selon vous, quelles vont être les implications en matière de sécurité ? » J'ai donc effectué quelques analyses préliminaires et j'ai dit que cela ne correspondait tout simplement pas à la façon dont nous pensons à la sécurité et à la façon dont nous nous organisons pour la sécurité.
Donc c'était vraiment assez tôt, Mike, que j'ai senti qu'il y avait quelque chose entre la réalité de l'espace et la façon dont nous pensions à la sécurité qui allait nous poser problème. J'ai donc été assez constant là-dessus pendant environ 20 ans. Je savais quel était le problème, mais je ne savais pas exactement quelle était la solution. Et au cours des dernières 20, 25 années, il nous a fallu un peu de temps pour y parvenir, mais je pense que nous avons trouvé la solution.
Curran: Commençons par définir un peu « l'engagement persistant » et aussi « Défendre en avant ».
Harknett: Oui. Il est donc important de [regarder] comment ils sont liés l'un à l'autre. Ainsi, « l'engagement persistant » est officiellement considéré comme une doctrine militaire, qui aide à organiser les opérations du Cyber Command. Mais c'est aussi une doctrine qui est désormais déployée – sous une certaine forme – par le Département de Justice pour lutter contre la cybercriminalité.
L'engagement persistant, en résumé, stipule que le cyberespace est un environnement d'activité continue cherchant à exploiter les vulnérabilités inhérentes à l'informatique en réseau.
Ainsi, lorsque nous avons construit ce que nous appelons l'internet, nous n'avions pas anticipé tout ce que nous allions y superposer, des médias sociaux au soutien économique massif, en passant par les gains d'efficacité et ce genre de choses. À sa base, il n'a pas été conçu autour de la sécurité, mais autour de l'accès.
Mais dès que vous avez commencé à y superposer des informations d'identité personnelle [ou] des richesses économiques, ce sont des choses que d'autres personnes convoitent. Il faut donc réfléchir à la manière de le sécuriser. Et le défi, c'est que c'est un espace ouvert à l'exploitation.
Ainsi, l'engagement persistant signifie essentiellement que la sécurité repose sur le fait que j'anticipe la manière dont vous allez tenter d'exploiter mes vulnérabilités avant que vous ne le fassiez. Et la seule façon d'y parvenir, d'un point de vue militaire et de sécurité nationale, est de déterminer ce que nos adversaires envisagent de nous faire avant qu'ils ne le fassent. C'est là qu'intervient la notion de « défense avancée ».
Parce qu'on ne peut pas se défendre à l'intérieur de ses propres réseaux. Si vous vous défendez à la périphérie de vos réseaux, vous ne ferez que courir après des lapins dans leurs terriers. Il faut donc se défendre en avant, tant dans l'espace que dans le temps. Donc oui, cela signifie que je dois sortir de mes réseaux et pénétrer dans les réseaux d'autres personnes pour voir s'ils développent des logiciels malveillants qu'ils pourraient ensuite utiliser contre moi. De cette façon, je pourrais peut-être corriger les vulnérabilités avant qu'ils ne les exploitent.
Mais je dois aussi prendre de l'avance, ou « défendre en avant », dans le temps. Parce que si je découvre réellement leurs outils avant qu'ils les utilisent, je peux corriger ces vulnérabilités. Et alors tout le temps, le talent et l'énergie qu'ils ont consacrés au développement de ces outils cybernétiques qu'ils allaient utiliser pour m'attaquer ne sont désormais plus utiles.
Alors… pourquoi dois-je être persistant ? Parce que l'autre camp l'est. L'autre camp cherche toujours cette opportunité d'exploiter l'interconnexion de cet espace. Ainsi, la sécurité repose sur l'anticipation, Mike, et c'est pourquoi je dois persister et je dois m'engager constamment. C'est un changement majeur, vraiment majeur, par rapport à la façon dont nous pensions autrefois à la sécurité pendant la Guerre froide.
Curran : Oui, un changement radical. Eh bien, lorsque vous regardez spécifiquement les entreprises privées, j'aimerais m'y attarder un peu aujourd'hui et voir comment elles s'engagent et comment elles défendent en avant ? Quand je me penche sur l'entreprise privée et que j'ai examiné les politiques du DOD, il y avait une politique qu'ils ont et que je pense était des alertes… « Indications et avertissements », je crois que c'est ainsi qu'on l'appelait.
Harknett: Exact.
Curran: Et ils étaient particulièrement concentrés sur ce qu'ils appellent le DCI et le DIB, c'est-à-dire l'infrastructure critique [de défense] et la base industrielle de défense. Nous savons qui ils sont, les Boeing et les autres grandes entreprises. Mais qu'en est-il du reste de l'Amérique des entreprises ? Le reste du G-2000 qui n'est peut-être pas aussi étroitement associé ? Comment défendent-ils en avant ?
Harknett: Oui, c'est une excellente question. Je vais donc suggérer deux façons d'aborder la question.
Du point de vue d'une entreprise, il est illégal pour vous de sortir et de pénétrer dans le réseau de quelqu'un d'autre. Cela serait considéré comme du piratage, d'essayer de s'immiscer dans leurs réseaux. Les gouvernements nationaux, les gouvernements de sécurité nationale en vertu du droit international, ont l'autorité pour le faire. Donc, en partie, ce que les entreprises doivent être en mesure de faire, c'est d'être réceptives aux informations provenant du gouvernement alors que nous commençons à défendre en avant et que nous mettons en place un engagement persistant.
Ce sont de nouvelles structures, nous développons de nouvelles forces – le Cyber Command et l'Agence nationale de sécurité en sont en quelque sorte le cœur, mais nous avons d'autres agences de renseignement, d'autres agences d'application de la loi qui passent à l'offensive. Mais cela ne sert à rien si nous passons à l'offensive et que nous nous retournons pour dire : « Hé, nous avons découvert une vulnérabilité », et que les entreprises ne sont pas prêtes à s'adapter et à faire preuve de flexibilité pour mettre à jour leurs systèmes.
Il y avait une vulnérabilité assez importante dans Microsoft Exchange qui, comme on le sait, s'est avérée être une opération chinoise. Donc plus cette faille restait ouverte, plus les entreprises du pays étaient vulnérables, n'est-ce pas ?
Curran : Oui.
Harknett : Ainsi, le ministère américain de la Justice a pu, grâce à un dispositif appelé Règle 41, qui est une autorisation de perquisition et de saisie, intervenir et corriger cette vulnérabilité.
Nous avions des appareils de l'Internet des objets et des types de serveurs ; 260 000 avaient été compromis et intégrés dans ce que nous appelons un botnet. Ils sont donc contrôlés par un seul serveur de commande. Une opération vraiment, vraiment ingénieuse, à mon avis. Nous avons découvert où se trouvait le serveur de commande chinois qui avait compromis ces 260 000, nous avons pris le contrôle de ce serveur de commande et lui avons ordonné d'aller supprimer son propre logiciel malveillant – de se retirer de tous ces appareils du secteur privé.
Donc les Chinois sont là, [et] ils ne devraient pas y être. Le gouvernement américain n'intervient pas dans le secteur privé des entreprises américaines. Il parvient en réalité à amener les Chinois à supprimer leurs propres données. Comment cela se produit-il ?
Cela se produit grâce à un engagement persistant, en déterminant qu'ils essaient constamment d'exploiter…. [Dans ce cas], ils ont eu une bonne journée ; ils ont compromis 260 000.
C'est eux qui prennent l'initiative pendant un moment. Mais en s'engageant de manière persistante et en défendant en avant, nous avons découvert où se trouvait ce serveur de commande [était], et grâce à une tactique vraiment ingénieuse, nous avons pu restaurer l'espace propriétaire que tous ces appareils informatiques possédaient.
Cela vous donne donc un petit aperçu de la dynamique qui se produit dans cet espace. Le secteur privé doit adopter cette approche anticipatrice. Donc, quand nous pouvons les avertir des vulnérabilités, vous ne pouvez pas prendre cinq mois pour décider de les corriger. Car ce sont des périodes durant lesquelles vous êtes vulnérable.
Mais il y a un autre aspect à cela, Mike, en termes de pratiques commerciales pour les grandes entreprises en particulier. Si vous voulez, leur capacité à se défendre en amont passe par de meilleures pratiques avec leurs chaînes d'approvisionnement et leurs fournisseurs. Donc, si vous allez connecter vos réseaux à un fournisseur en aval, dans une optique de défense proactive, vous voudrez peut-être savoir dans quel état est ce réseau.
Il y a quelques années, par exemple, Target avait été piraté au niveau des points de vente. Lorsque vous entriez dans un magasin Target, vous passiez votre carte, et les données de cette carte étaient volées. Ce logiciel malveillant avait été déployé via le fournisseur de systèmes de climatisation de tous les magasins Target. Vous auriez dû savoir que ce système de climatisation était en réalité vulnérable, car il vous rendait vulnérable en tant qu'entreprise.
Il existe donc des pratiques auxquelles vous pouvez commencer à réfléchir dans vos contrats et dans votre approvisionnement. Vous avez besoin que vos fournisseurs atteignent un certain niveau de sécurité.
Et il y a une autre opération de défense proactive et d'engagement persistant que nous menons et que nous appelons les opérations de « chasse en avant », dont le Cyber Command américain a commencé à parler un peu plus. Les Canadiens l'ont fait, les Britanniques l'ont fait. Ce dont il s'agit, c'est qu'un pays, un partenaire, invite les États-Unis dans leurs réseaux. C'est déjà une grande question de confiance. Mais en étant dans leur réseau et en travaillant à leurs côtés, nous pouvons découvrir des choses qu'ils n'auraient peut-être pas découvertes, les aider avec leur propre réseau, mais aussi ramener ce type d'éléments pour défendre le territoire national.
Le cas public le plus important dont je peux vous parler est octobre 2021, avant que les chars russes n'entrent en Ukraine, le Cyber Command américain menait en réalité une opération de « chasse en avant » avec les Ukrainiens, invité par les Ukrainiens à être dans leurs réseaux. Ils découvrent un logiciel malveillant assez virulent et sophistiqué qui aurait mis hors service le système ferroviaire en Ukraine. Et si vous connaissez un tant soit peu l'Ukraine, la population ne se déplace pas en voiture, elle prend le train, pour la plupart.
Alors ce que nous avons fait, c'est que nous l'avons isolé et laissé là. Les Russes continuaient de penser que ça fonctionnait et qu'ils faisaient des choses avec. Donc [nous] obtenons des renseignements, [nous sommes] capables de revenir vers nos réseaux de transport et de dire : « Hé, est-ce que vous avez cette vulnérabilité ? » On ne leur dit pas comment on l'a appris, mais « vous avez cette vulnérabilité ? C'est peut-être ce que vous devez faire pour la corriger. »
Vous obtenez la sécurité intérieure grâce à ça.
Et puis les chars défilent en février, [les Russes] appuient sur la touche entrée et ça ne fonctionne pas. Le Financial Times de Londres a suggéré que c'est peut-être la première opération cybernétique qui a sauvé des vies, parce que 1,2 millions d'Ukrainiens quittent les villes en train durant la première semaine de l'invasion russe.
Curran : Wow. Fascinant.
Harknett : Donc… c'est assez important pour une seule opération. Donc si vous pensez à tout ce que vous pouvez gagner en étant anticipatif, les entreprises pourraient faire la même chose, n'est-ce pas ?
Pensez à l'environnement contractuel comme à une invitation à une « chasse en avant ». Votre fournisseur dit : « Hé, vous pouvez entrer dans mes réseaux et constater que, en fait, je respecte les normes dont vous avez besoin. » Ces entreprises, en faisant cela, se rendent plus attractives en tant que fournisseurs.
Je dirais, d'un point de vue des pratiques commerciales, plus vous êtes cyber-sécurisé, plus vous êtes attractif dans cette chaîne d'approvisionnement. [Et] nous avons besoin que cela fonctionne dans les deux sens, Mike. Nous avons besoin que les grandes entités exigent de meilleures pratiques de la part de leurs sous-traitants, et d'un point de vue des incitations économiques, nous avons besoin que ces petites entreprises deviennent plus sécurisées tout au long de la chaîne d'approvisionnement.
Curran : Je veux dire, si vous aviez un score d'hygiène cybernétique provenant d'une source neutre et fiable, comme un Ernst & Young ou un Accenture, qui indique essentiellement que ce fournisseur particulier possède toute l'hygiène nécessaire et que vous devriez vous sentir à l'aise avec lui. Mais je ne sais pas s'il existe un score d'hygiène universel avec lequel les gens sont à l'aise pour prendre des décisions concernant les fournisseurs, disons….
Harknett : Non, je pense que c'est une excellente observation, et c'est une partie du défi de la théorie de la persistance cyber et de la compréhension du fait qu'il s'agit d'un environnement continuellement fluide. Nous avons tendance à penser aux normes selon un modèle de conformité. C'est comme si vous atteigniez un niveau statique de X et que je puisse l'opérationnaliser sur toute une série de boîtes. Et suis-je conforme, n'est-ce pas ? Je vais vérifier cette feuille Excel.
Et cela a été appliqué à la cybersécurité – et ce n'est pas vraiment une façon efficace de procéder.
Parce que depuis que vous et moi avons commencé à parler aujourd'hui, et ce n'est pas très long, il y a une application sur votre téléphone qui s'est mise à jour vers une nouvelle version. Et donc ma conformité d'hier n'a pas capturé cela.
Nous devons réellement changer notre façon de penser sur ce que signifie être raisonnablement hygiénique, raisonnablement sécurisé. J'aime le formuler en disant qu'il n'existe pas de meilleures pratiques en cybersécurité. Il n'y a que des meilleures pratiques en constante évolution.
Ce que nous devons faire d'un point de vue organisationnel, c'est que les organisations doivent s'éloigner de ce modèle purement axé sur la conformité et commencer à adopter une forme organisationnelle qui dit <em>quelqu'un vérifie cela régulièrement.</em> J'ai un flux organisationnel qui s'adapte et adopte. Et malheureusement, nous le faisons pour des opportunités commerciales ; nous n'avons pas tendance à le faire du côté de la sécurité.
Mais je dirais que si nous commençons à comprendre qu'être sécurisé est une opportunité commerciale, alors ce changement de mentalité indique que cela fait partie de bien faire des affaires au 21e siècle.
Curran : Merci pour votre temps aujourd'hui et bonne chance dans tout le bon travail que vous continuez à accomplir. Nous vous en sommes reconnaissants.
Harknett : Eh bien, merci, et merci pour la plateforme qui me permet de m'adresser à vos auditeurs. Je l'apprécie vraiment et j'ai vraiment apprécié la conversation.
Curran: Je me suis entretenu avec Richard Harknett, directeur du Centre de stratégie et de politique cyber et co-directeur de l'Ohio Cyber Range Institute à l'Université de Cincinnati.
Si vous souhaitez en savoir plus sur les stratégies proactives de cybersécurité, consultez Focal Point, le magazine en ligne primé de Tanium sur l'actualité cyber ; nous avons des liens vers des articles dans les notes de l'émission. Ou visitez tanium.com/p pour les publications.
Pour entendre d'autres conversations avec les meilleurs dirigeants d'entreprise et experts en sécurité d'aujourd'hui, assurez-vous de vous abonner à Let's Converge sur votre application de podcast préférée. Et si vous avez aimé cet épisode, veuillez nous donner une note de cinq étoiles.
Merci de nous avoir écoutés. Nous avons hâte de partager davantage d'informations sur la cybersécurité lors du prochain épisode de Let's Converge.
