Discussions d'experts : Gestion des surfaces d'attaque pour débutants

En regardant de plus près le cadre ATT&CK[1] de MITRE, on se rend compte que la cybersécurité comporte de nombreux aspects très variés, toute une liste de défis qu'il est impossible pour une seule organisation de relever sans aide. Secutec propose une assistance spécialisée qui s'inspire des différentes étapes d'une attaque telles qu'elles sont décrites par MITRE. 

L'une de ces étapes est la "reconnaissance". Un pirate informatique cherche tous les moyens possibles de pénétrer dans le réseau d'une organisation, sans avoir accès à des informations d'identification ou à des données d'utilisateur divulguées. C'est ce qu'on appelle la "gestion des surfaces d'attaque" (ASM), sujet sur lequel Thomas Jannes, SOC Manager de Secutec, nous éclaire aujourd'hui. Il explique comment Secutec travaille dans ce domaine, quels sont les avantages pour les clients et comment cela s'inscrit dans le cadre plus large de Secutec SecureSIGHT. 

Qu'est-ce que la gestion des surfaces d'attaque ? 

Jannes : Chez Secutec, nous sommes spécialisés dans l'ASM externe. Cela signifie que nous cherchons tous les moyens possibles de pirater les systèmes de l'extérieur, comme le ferait un pirate informatique. Nous nous mettons à la place d'un cybercriminel et essayons tout ce qu'il ferait pour pénétrer dans un réseau. Nous nous concentrons plus particulièrement sur les systèmes de nos clients qui sont orientés vers l'internet. 

Nous proposons une ASM interne, ou "analyse complète des vulnérabilités", en plus de SecureSIGHT. Cependant, ce balayage interne fournit un très grand nombre de vulnérabilités, alors que SecureSIGHT se concentre clairement sur des actions concrètes à court terme qui devraient empêcher les pirates informatiques de pénétrer dans l'entreprise de la manière la plus efficace et efficiente possible. 

Enfin, nous nous intéressons également aux fuites d'informations d'identification (identifiants et mots de passe). Si un pirate informatique les a en sa possession, la partie est déjà (en grande partie) jouée. Un pirate informatique qui se trouve à l'intérieur sera en mesure d'atteindre son objectif très rapidement. Après tout, pourquoi un voleur de voiture briserait-il la vitre s'il a la clé ? 

Comment fonctionne l'ASM ? 

Jannes : Lorsque nous commençons à travailler pour un client, nous lançons plusieurs outils. Nous commençons à rechercher tous les systèmes de l'organisation qui sont accessibles depuis l'internet : serveurs (web), pare-feu, services infonuagiques, ... Tout ce que nous pouvons détecter, nous le rassemblons dans une liste et nous commençons à tester les vulnérabilités. 

Pour faire simple : nous commençons ce test par un simple "bonjour". Il s'agit de la première étape de l'établissement d'une connexion et nous examinons ensuite ce que nous recevons en retour. Souvent, c'est plus que vous ne le pensez. Les serveurs web, par exemple, sont généralement très bavards. En arrière-plan, ils fournissent immédiatement un grand nombre d'informations qui ne sont pas visibles pour l'utilisateur, mais qui contiennent une mine d'informations pour le pirate informatique. Pour faire une analogie, il semblerait que les serveurs web jugent nécessaire d'indiquer aux visiteurs où accrocher leur manteau ou où aller aux toilettes dès qu'ils disent "bonjour". 

Comment fonctionne la solution ASM de Secutec ? 

Jannes : ASM est un module qui fait partie de notre solution interne SecureSIGHT. Il s'agit d'un service de cyberespionnage pour lequel nous travaillons avec une combinaison de plates-formes commerciales et de renseignements provenant de sources ouvertes (OSINT). Pensez à des outils tels que Shodan, un service connu de beaucoup parce qu'il permet de trouver des caméras domestiques non sécurisées, par exemple. Nous utilisons des sources multiples pour obtenir la vision la plus large possible et informer nos clients le plus efficacement possible. Nous appliquons deux principes généraux avec SecureSIGHT : nous rendons tout visible, et ce de manière continue. 

Nous recherchons l'efficacité, ce qui signifie automatiser nos services autant que possible. Cela signifie que nous proposons ASM en tant que service géré, en recherchant en permanence les portes ouvertes par lesquelles un pirate informatique pourrait potentiellement entrer. Si vous ne le faites qu'une fois, avec un instantané unique, vous obtenez une représentation d'un moment très spécifique dans le temps qui pourrait être complètement obsolète quelques semaines ou même quelques heures plus tard. 

Que fait Secutec des informations qu'elle recueille ? 

Jannes : Tout d'abord, nous aidons nos clients à prioriser les vulnérabilités par ordre de priorité. Nous ne nous contentons pas de fournir un rapport ou une liste de "choses à examiner quand vous aurez le temps". Nous indiquons clairement : vous devez vous concentrer sur ce point aujourd'hui, vous pouvez le laisser de côté jusqu'à la semaine prochaine, et vous devez vous attaquer à cette vulnérabilité dès que vous avez un moment de libre. Lors des appels avec les clients, je dis parfois en plaisantant : "Dites à vos collègues techniciens que leur week-end ne pourra pas commencer tant que cette vulnérabilité n'aura pas été corrigée". Lorsque des failles critiques apparaissent, nous en informons immédiatement le client par courrier électronique. Si nous n'obtenons pas de réponse rapide, nous appelons le client. 

C'est la grande différence avec un scanner de vulnérabilité traditionnel qui fonctionne de l'intérieur - gestion des surfaces d'attaque interne. Ces solutions traditionnelles utilisent vos identifiants de connexion et un accès complet au réseau de l'entreprise pour compiler une liste de vulnérabilités. Il s'agit généralement d'une liste terriblement longue qui ne définit pas les priorités de l'administrateur, alors que toutes les vulnérabilités ne peuvent pas être exploitées (immédiatement). 

C'est ainsi que fonctionne notre service géré : nous vous fournissons des données concrètes et exploitables, afin que vous et vos collègues puissiez-vous concentrer sur votre véritable mission : apporter votre soutien à votre entreprise. 

Pourquoi faut-il faire appel à un tiers tel que Secutec ? 

Jannes : Une première raison importante est que vous n'avez pas toujours une visibilité complète de tous vos actifs qui sont en contact avec l'internet. Très souvent, nous entendons dire : "C'est vrai, nous les avions oubliés". Les serveurs web sont souvent hébergés en dehors du réseau de l'entreprise ; pensez par exemple à une boutique en ligne hébergée par un partenaire externe. Nous vous aidons à identifier les dangers afin que vous puissiez communiquer les points d'action nécessaires à votre partenaire avec des arguments techniquement solides. 

Outre la visibilité, nous offrons la facilité d'utilisation. L'inconvénient de l'utilisation des" meilleurs produits de leur catégorie" est que chaque outil possède son propre portail que vous devez surveiller séparément. La combinaison de tous ces outils permet d'obtenir les meilleurs résultats, mais rassembler toutes les informations n'est pas une mince affaire. C'est là que Secutec intervient : avec SecureSIGHT, nous fournissons la colle qui rassemble les informations sur une seule plate-forme et qui permet de savoir immédiatement à quoi vous devez faire attention en premier lieu. Nous offrons à nos clients ce que l'on appelle la "Fenêtre unique". 

En outre, l'un des rapports que nous fournissons est un rapport exécutif mensuel : nous y visualisons l'évolution de la posture de sécurité de votre organisation. Le responsable informatique, ses collègues et la direction savent ainsi immédiatement si l'entreprise est sur la bonne voie. 

En plus des audits de vulnérabilité en cours, Secutec SecureSIGHT offre également la possibilité de surveiller les fuites d'informations d'identification sur le Darknet et fournit des solutions pour la chasse active aux menaces et la gestion XDR. 

[1] MITRE ATT&CK® est une base de connaissances mondialement accessible sur les tactiques et les techniques des pirates informatiques, basée sur des observations du monde réel. La base de connaissances ATT&CK sert de fondement à l'élaboration de modèles de menaces et de méthodologies spécifiques.