Cybersécurité - Innovations digitales et numériques

« Avant, les entreprises nous voyaient comme les ayatollahs de la sécurité, pour eux nous étions presque une menace pour leurs projets informatiques », en ouverture des Assises de la Sécurité de Monaco, Guillaume Poupard, le président de l'ANSSI (Agence Nationale de la Sécurité des Systèmes d'Informations), n'a pas mâché ses mots. Mais maintenant que la phase d'évangélisation est terminée et que tous ont compris l'importance des menaces, l'organisme veut passer à l'action. « Il est possible de mettre en place une cyber-défense efficace mais il faut se montrer ambitieux et surtout adopter une démarche collective. Si tout le monde part dans des directions différentes, ce ne sera pas possible », martèle le successeur de Patrick Pailloux. C'est d'ailleurs dans cette optique que l'organisme va prendre part à la définition de nouvelles règles réglementaire dans le cadre de l'article 22 de la loi de programmation militaire (LPM) votée en décembre 2013.

En tant que dirigeant des équipe techniques réparties en Europe du sud (France, Espagne, Portugal, grèce, Italie), David Grout bénéficie, ainsi qu’il nous l’explique, « d’une double casquette à la fois d’expert technique et de chargé de relations presse afin de mener des séminaires et des formations sur les thématiques de cybercriminalité et de cyberdéfense ».

Ce pôle correspond à l’axe 4 du pacte Défense cyber présenté par le ministre de la Défense, Jean-Yves Le Drian, début février 2014. Paul-André Pincemin, chef de projet du pôle d’excellence cyber, explique : « Le pôle se structure autour de deux composantes indissociables. La première est consacrée à la formation initiale, la formation continue et l’enseignement supérieur. L’autre concerne la recherche, garante d’un enseignement supérieur de qualité, et le développement d’un tissu industriel avec une attention particulière pour les PME/PMI. Il doit également s’appuyer sur l’organisation technico-opérationnelle pour mettre en place les plates-formes nécessaires à la formation, l’entraînement à la gestion de cyberattaques et l’expérimentation de nouveaux produits de sécurité informatique. »

En bref, cela bénéficiera sans aucun doute aux entreprises d’une manière ou d’une autre… à l’avenir ! Mais dans l’immédiat il convient peut-être de rappeler que les menaces qui visent l’entreprise sont parfois (souvent) très différentes de celles qui ciblent les Etats.

L’ANSSI a mis en place différentes phases pour le déploiement et la gestion de la sécurité. Il s’agit d’un processus continu qui demande des efforts permanent de la part des entreprises mais dont le retour sur investissement se verra positif.

1. Il s’agit tout d’abord de procéder à la sensibilisation des personnels afin de les informer des différents risques liés aux règles d’ « hygiène informatique ». Une sensibilisation qui doit être régulière car les risques évoluent en permanence.

2. Par la suite il convient d’établir une cartographie des installations et une analyse des risques pour en aboutir à la définition de mesures de sécurité adéquates, dont les efforts sont « proportionnés aux enjeux et adaptés aux besoins réels ».

3. La prévention est le troisième grand principe de la SSI selon l’ANSSI qui consiste à protéger les installations en les entourant de plusieurs barrières de protection « autonomes et successives », ce qui devrait permettre de se protéger face aux menaces encore non identifiées.

4. Aussi il est pertinent d’accomplir la surveillance des installations et la détection des incidents, cela n’empêchera pas les incidents de se produire, mais cela aura comme conséquence de limiter autant que possible les effets néfastes. Ainsi plus l’incident est détecter tôt, plus il sera envisageable de mettre en place des mesures pour en réduire les effets.

5. Le traitement des incidents va de pair avec sa détection car elle va permettre notamment d’intégrer une phase d’analyse post incident qui entraînera une amélioration de l’efficacité des mesures de SSI misent en œuvre au préalable.

6.    D’autant que « la SSI est une action continue nécessitant des efforts permanents », c’est pourquoi il faut instaurer une veille sur les menaces et les vulnérabilités pour but de rester informé sur l’évolution de ces dernières.

7.    Enfin le dernier grand principe que considère l’ANSSI est la préparation face à des évènements exceptionnels qui n’auraient pas été mesurés ou prévus, ainsi des plans de reprise et de continuité d’activité (PRA/PCA/DRP) minimisent les impacts pour pouvoir redémarrer l’activité le plus rapidement possible.

La spectaculaire cyberattaque menée par des hackers russes contre 420.000 sites Internet avec, à la clef, 1,2 milliard de «login» et de mots de passe ainsi que 500 millions d'adresses e-mail volées, apporte une nouvelle preuve de la vulnérabilité de nos sociétés modernes ultraconnectées. Le phénomène est impossible à enrayer puisque les cybercriminels se cachent au cœur des réseaux, sur Internet… hors d'atteinte de la justice. Et qu'ils redoublent d'ingéniosité pour exploiter la plus petite faille dans un système de sécurité.

Le mode opératoire d'une cyber-attaque ciblée en 6 étapes

Si n'importe qui peut être victime d'une attaque sur Internet, toutes les attaques n'ont pas le même but. En première position des attaques les plus virulentes se trouvent les Advanced Persistent Threat (APT), des « menaces persistantes avancées » utilisées pour « faire du mal et récupérer les informations » dixit le Lieutenant Bardou du CALID. Ces opérations offensives se répètent afin de mieux cerner puis envahir le système visé à l'aide de malwares très performants, parfois développés par des équipes composées de plusieurs dizaines de membres. Elles fonctionnent selon un processus divisé en 6 étapes distinctes :

1. Le Ciblage
   Le choix de la cible est le point de départ de toute attaque. L'assaillant va d'abord trouver un site ou un serveur susceptible de l'intéresser. Un email contenant un malware est ensuite envoyé pour infiltrer la cible. Cette étape peut se répéter par la suite avec l'envoi de malwares plus « puissants » si l'attaquant le juge opportun.
   
   
2. L'exploitation de la vulnérabilité
   Le malware installé, l'attaquant recherche alors les potentielles failles de la machine, du serveur ou du réseau. Il s'agit de voir par exemple ce que permettent les statuts d'utilisateur et d'administrateurs, de « comprendre » le mode de fonctionnement de la cible.
   
   
3. La reconnaissance technique
   C'est là que l'attaque commence à prendre formes. Le « pirate » élève ses privilèges et obtient les droits d'administrateur qui lui permettent d'agir directement et de manière plus discrète.
   
   
4. Le déploiement
   Il s'agit d'une simple vérification : l'attaquant vérifie si sa méthode est utile pour lui permettre d'atteindre ses objectifs. Si ses codes et malwares sont opérationnels, il pourra procéder à l'étape suivante. Il peut éventuellement préparer un « écran de fumée » pour camoufler l'intention première de l'attaque.
   
   
5. Lancement de l'attaque
   La vérification effectuée, l'attaque est définitivement entamée. Les informations sensibles sont récupérées et transmises à des serveurs « amis ».
   
   
6. Préparation du sabotage
   L'opération terminée et toutes les informations récupérées, l'assaillant peut choisir de saboter le réseau attaqué et de détruire les données, voire l'outil informatique. Plus « simple » à mettre en place, la destruction de données est d'ailleurs souvent préconisée plutôt que leur exfiltration.

Pour qu'un message chiffré dans un serveur de messagerie puisse être lu par son destinataire, il est nécessaire, soit de déchiffrer pour le transmettre en clair, ce qui sera très certainement le cas. Soit de l'encoder avec la clé publique du destinataire (voir PGP ou, en plus simple mais moins sécurisé, le plugin SecureGmail pour Gmail), ce qui sera éventuellement possible et même automatisable entre e-mails échangés par les serveurs des FAI et des autres parties prenantes à l'initiative, mais impossible avec les nombreux destinataires qui ne seront pas concernés par la mesure (mise à jour : Stéphane Bortzmeyer souligne qu'il est possible de chiffrer les mails entre serveurs SMTP de façon transparente pour l'utilisateur avec le protocole TLS/SMTP, de plus en plus utilisé).

La filière SSI traditionnelle, partie intégrante de la cybersécurité, a longtemps été rejetée par les techniciens comme par les dirigeants. Elle renaît. Dans les entreprises, le Responsable de la Sécurité des Systèmes d'Information (RSSI) devient un acteur clé placé au niveau du DSI. De même les armées sont en train de monter un centre de cyberprotection. Enfin, la prévention informatique s’apprend dès le plus jeune âge. A l'instar du permis piéton de 2006, Manuel Valls a remis les premiers « permis internet » à trois élèves de CM2. Cette sensibilisation est complétée en fin de scolarité obligatoire par le « B2I ».