[EXCLUSIF] La récente vague d’attaques mondiales par ransomware qui a fait les gros titres dans les médias en Europe devrait servir de signal d’alerte clair aux entreprises du monde entier. Les entreprises sont aujourd’hui assiégées de toutes parts, car les cybercriminels lancent des campagnes qui se propagent rapidement et causent de vrais dégâts matériels ou financiers. Comment ces attaques peuvent-elles toucher un si grand nombre d’entreprises ?
Cyrille Badeau, Directeur Europe du Sud de ThreatQuotient
Le principe de défense en profondeur ne suffit plus face aux menaces sophistiquées actuelles
La stratégie de sécurité de la plupart des entreprises repose sur le principe de défense en profondeur, qui est défini par une évaluation des risques. Étant donné que toutes les applications ne présentent pas le même niveau de risque en cas de faille, une approche de défense en profondeur (le premier pilier de la stratégie de sécurité) consiste à évaluer le risque, puis à appliquer des contrôles et des systèmes de protection appropriés. Par exemple, une application servant d’interface avec des partenaires, dans laquelle s’échangent des informations financières, est susceptible de comporter davantage de risques qu’une page Web interne utilisée par le service des ressources humaines pour communiquer des informations générales sur l’entreprise. En fonction de l’importance stratégique de l’application, des équipes d’évaluation des risques déterminent donc les exigences de sécurité et mettent en place les strates de défense appropriées.
Si cette approche a fait ses preuves un certain temps, les entreprises ont rapidement réalisé que même le meilleur système de défense n’était pas à l’abri du piratage. Les cybercriminels se donnent pour mission de franchir le parcours d’obstacles représenté par des couches de produits spécifiques, dans le but de dérober, mettre hors service ou endommager des systèmes. Plutôt que de prendre en compte uniquement ce qui devait être protégé, les entreprises se sont alors penchées sur tout ce qui pouvait constituer une menace potentielle pour leurs ressources. C’est là qu’elles ont ajouté le deuxième pilier de leurs opérations de sécurité : la surveillance.
L’objectif de la surveillance est de détecter les menaces et d’y répondre. La stratégie de défense en profondeur s’est avérée être un véritable défi, puisqu’elle a conduit de nombreuses entreprises à se retrouver avec plus de 40 solutions de sécurité, de fournisseurs différents, réparties dans plus de 40 silos. Et comme ces produits ne sont pas intégrés, non seulement les entreprises se retrouvent partiellement protégées, mais en plus, chaque couche de l’architecture créant ses propres fichiers journaux et événements, elles font face à des difficultés majeures de gestion de ces volumes massifs de données.
Selon une récente enquête d’ESG, 42 % des professionnels de la sécurité avouent que leur entreprise fait l’impasse sur un grand nombre d’alertes de sécurité en raison du volume, et plus de 30 % admettent en ignorer plus de la moitié ! Dans la plupart des cas, le personnel du centre d’opérations de sécurité (Security Operations Center – SOC) chargé de corréler manuellement les fichiers journaux et les événements en vue d’investigations et d’autres activités se retrouve noyé sous une profusion d’informations.
Face à cette inflation de données et pour alléger la charge qui pèse sur les analystes, les systèmes SIEM sont apparus comme un moyen de stocker ces ensembles de données et d’assurer l’agrégation et la corrélation des journaux et des événements. Outil de prédilection des SOC, le SIEM leur permet d’analyser les journaux et les événements afin de déterminer s’il s’agit de bruit, de faux positifs ou de véritables menaces justifiant une remontée de l’information aux services compétents. Le CSIRT (Computer Security Incident Response Team) est une équipe chargée de mettre un terme aux menaces malveillantes et de tirer des enseignements de ces menaces pour veiller à ce que la défense de l’entreprise ne subisse pas deux fois les conséquences d’une même attaque.
Face à des attaques désormais quotidiennes, adoptons le renseignement pour connaître nos ennemis, leurs motivations, leurs moyens…
Ces deux piliers ont rempli leur mission en période de paix, lorsque les problèmes étaient l’exception plutôt que la règle. Mais lorsque des « exceptions » se produisent toutes les 10 minutes, on ne peut plus parler d’exceptions mais bien d’attaques directes. L’attitude consistant à se focaliser sur le traitement des exceptions et à réagir en conséquence ne permet plus aux équipes de sécurité et de réponse aux incidents de faire face à la situation. Ce qu’il faut mettre en place, c’est une approche proactive de traitement des menaces. Cela commence par une meilleure compréhension des activités et de l’évolution des hackers par zone géographique, par secteur d’activité et, en fin de compte, des motivations qui les conduisent à s’intéresser à telle entreprise en particulier.
Avec l’augmentation de la fréquence des attaques sur de multiples fronts, le moment est venu d’ajouter un troisième pilier pour une stratégie efficace : le renseignement. Pour aider à comprendre l’adversaire, le renseignement sur les menaces s’intéresse à l’univers extérieur au périmètre de l’entreprise. Il passe au crible une multitude de données sur les menaces mondiales pour informer sur les événements, aider à les analyser et agir. La surveillance des menaces permet de devenir bien plus proactif en établissant non seulement un profil de l’attaque, mais aussi des attaquants, qui modifient rapidement leurs outils, techniques et procédures afin d’échapper aux technologies de défense. Grâce à des processus basés sur le renseignement, les équipes de sécurité peuvent exploiter les informations dont elles disposent sur leurs adversaires et sur la manière dont ces derniers évoluent pour renforcer la surveillance interne de l’entreprise en se concentrant sur les menaces pertinentes et prioritaires et en minimisant les fausses alertes (bruit et faux positifs). Les équipes de sécurité peuvent renforcer leur périmètre de défense grâce à l’envoi automatique de renseignements pertinents sur les menaces directement à la grille de détection (pare-feu, IPS, IDS, NetFlow, etc.). Ces renseignements permettent en effet de créer, d’appliquer et de mettre à jour des stratégies et des règles afin de protéger de façon proactive l’entreprise des menaces à venir.
En temps de guerre, les chefs militaires qui réussissent font évoluer leur stratégie, et le renseignement devient primordial. Au cours de ces derniers mois, il est devenu clair que nous ne sommes plus dans une période de paix. Les adversaires évoluent rapidement et lancent des attaques à grande échelle aux conséquences dévastatrices. Or, le pouvoir change de main dès lors que vous connaissez votre ennemi. En optant pour le renseignement comme troisième pilier de sa stratégie de sécurité (et clé de voûte de sa défense), l’entreprise peut justement connaître son ennemi et ainsi passer d’une attitude de sécurité purement réactive à une démarche proactive afin de mieux se protéger.
Lire aussi sur Alliancy :