Que se passe-t-il lorsqu’un pirate informatique s’attaque au système d’information d’une banque ? Comment une intrusion peut-elle se propager dans un réseau ? Pourquoi un audit de sécurité ne suffit-il pas ? Et comment une organisation peut-elle réagir suffisamment rapidement pour limiter les dégâts ?
Ces questions ont été abordées par Oussama Lessis et Mohamed Hamdi, experts en cybersécurité, lors d’un épisode de la websérie War Room قاعة العمليات produite par THD en 2023, consacré aux crimes financiers dans le cybermonde. À travers plusieurs extraits récemment repartagés par THD, voici quelques notions et méthodologies essentielles pour mieux comprendre les mécanismes de protection et de réaction face aux cyberattaques.
1. Une cyberattaque peut commencer par un simple ordinateur
Un système bancaire peut disposer de nombreuses protections sans que le risque disparaisse pour autant. L’un des points d’entrée peut être le terminal d’un utilisateur.
Un ordinateur ou un smartphone infecté par un malware peut permettre à un attaquant de récupérer des informations sensibles. Certains logiciels malveillants peuvent notamment enregistrer les frappes au clavier, récupérer des identifiants ou exploiter différentes fonctionnalités de l’appareil.
C’est pourquoi la cybersécurité ne concerne pas uniquement les serveurs et les infrastructures centrales. Chaque équipement connecté au système constitue potentiellement un point d’entrée.
2. L’audit de sécurité : photographier l’état d’un système
Un audit de sécurité consiste à examiner un système d’information afin d’identifier ses vulnérabilités, ses risques et les mesures de protection existantes.
L’audit peut porter sur différents composants : serveurs, applications web, applications mobiles, infrastructures réseau ou encore configurations de sécurité.
L’objectif est notamment de définir un périmètre, d’identifier les failles et de formuler des recommandations permettant de renforcer la sécurité du système.
Mais un audit reste une évaluation réalisée à un moment donné. Une nouvelle vulnérabilité peut apparaître après sa réalisation, tandis qu’une modification de l’infrastructure peut créer un nouveau risque.
C’est pourquoi l’audit doit être complété par une surveillance continue.
3. Le monitoring : surveiller en permanence
Le monitoring consiste à surveiller les systèmes et les événements de sécurité afin de détecter les comportements anormaux ou les signes d’une intrusion.
Cette surveillance peut permettre d’identifier une activité inhabituelle, une tentative d’accès ou encore la présence d’un logiciel malveillant.
Dans une organisation exposée à des attaques, la surveillance doit idéalement fonctionner 24 heures sur 24 et 7 jours sur 7.
L’enjeu est notamment de réduire le temps qui sépare le début d’une attaque de sa détection.
4. Le principe du 1-10-60
En cybersécurité, la rapidité de réaction est déterminante. Une attaque qui n’est pas détectée peut laisser davantage de temps à l’attaquant pour explorer le réseau et accéder à d’autres ressources.
La règle du 1-10-60 constitue une référence souvent utilisée pour illustrer les objectifs de réaction :
- 1 minute pour détecter,
- 10 minutes pour analyser,
- 60 minutes pour contenir ou isoler l’attaque.
Il ne s’agit pas d’une règle permettant à elle seule de garantir la sécurité d’une organisation. Elle permet plutôt de fixer des objectifs opérationnels en matière de détection, d’analyse et de réponse.
5. Le mouvement latéral : quand l’attaque se propage
Une fois qu’un attaquant a compromis un premier équipement, son objectif peut être de progresser à l’intérieur du réseau.
Cette technique est appelée mouvement latéral.
L’attaquant cherche alors à utiliser les accès obtenus pour atteindre d’autres machines, serveurs ou ressources. Il peut notamment chercher à obtenir des privilèges supplémentaires ou à récupérer de nouvelles informations d’identification.
Le risque est donc qu’une compromission initialement limitée devienne progressivement une compromission beaucoup plus large du système d’information.
La segmentation du réseau, la limitation des privilèges et la surveillance des comportements constituent notamment des moyens permettant de limiter cette propagation.
6. Le cyber drill : tester la réaction avant l’attaque
Comment savoir si une organisation est réellement capable de réagir à une cyberattaque ?
En la mettant à l’épreuve.
Les cyber drills sont des exercices de simulation qui permettent de reproduire différents scénarios d’incident. L’objectif n’est pas uniquement de tester les outils techniques, mais également les procédures et les responsabilités.
Qui prend la décision ? Qui isole le système compromis ? Qui prévient la direction ? Qui contacte les équipes techniques ? Qui communique avec les clients ou les partenaires ?
Ces exercices permettent d’identifier les faiblesses avant qu’une véritable attaque ne les révèle.
7. Le bug bounty : transformer les chercheurs en alliés
Le bug bounty repose sur un principe différent : plutôt que d’attendre qu’une vulnérabilité soit découverte par un attaquant, une organisation autorise des chercheurs en sécurité à rechercher certaines failles dans ses systèmes.
Lorsqu’une vulnérabilité est découverte et signalée conformément aux règles du programme, le chercheur peut recevoir une récompense financière.
Le système permet ainsi de mobiliser une communauté de chercheurs indépendants pour identifier des failles qui pourraient autrement rester inconnues.
La clé réside dans l’existence d’un cadre clair : les systèmes concernés, les méthodes autorisées, les conditions de signalement et les éventuelles récompenses doivent être définis à l’avance.
Et la communication de crise ?
La réponse à une cyberattaque ne s’arrête pas à la technique. Lorsqu’une institution financière est touchée, la communication fait également partie de la gestion de crise. Les procédures doivent déterminer à l’avance comment informer les différentes parties prenantes et qui est habilité à communiquer.
Une organisation qui ne dispose pas d’un plan de communication peut se retrouver à gérer simultanément l’incident technique, l’inquiétude des clients, les demandes des médias et les conséquences sur sa réputation.
La préparation est donc aussi importante pour la communication que pour la réponse technique.
La cybersécurité comme processus continu
Ces différentes notions montrent une même réalité : la cybersécurité n’est pas une action ponctuelle.
L’audit permet d’identifier les vulnérabilités. Le monitoring permet de surveiller les systèmes. Les tests d’intrusion et les cyber drills permettent de vérifier les défenses. Les mécanismes de bug bounty peuvent faire appel à des chercheurs externes. Et les procédures de réponse permettent de limiter les conséquences lorsqu’un incident survient.
Ces mécanismes sont complémentaires. Aucun d’entre eux ne permet, à lui seul, de garantir qu’un système ne sera jamais compromis.
Ces sujets avaient été abordés plus en détail par Oussama Lessis et Mohamed Hamdi dans le deuxième épisode de War Room قاعة العمليات, consacré aux crimes financiers dans le cybermonde. Les différents extraits publiés récemment par THD permettent de retrouver certaines de ces explications, tandis que l’épisode complet reste disponible pour ceux qui souhaitent revoir l’intégralité de la discussion.
Walid Naffati
