En 2002, Donald Rumsfeld, alors secrétaire à la Défense des États-Unis, a déclaré : « Les rapports qui disent que quelque chose ne s’est pas produit m’intéressent toujours, car, comme nous le savons, il y a les choses que nous savons que nous savons ; il y a les choses que nous savons que nous savons. »
Cependant, il a ajouté : « il y a aussi les inconnues inconnues – celles que nous ne savons pas que nous ne savons pas. Et si l’on se penche sur l’histoire de notre pays et d’autres pays libres, c’est cette dernière catégorie qui tend à poser le plus de difficultés. »
Cette même absence de connaissances existe dans le monde de la cybersécurité. Regardons cela de plus près.
À lire également : Secure Access Service Edge : avantages majeurs, défis majeurs
Les cybermenaces : une brève histoire
Le tout premier type de cybermenace était le célèbre virus. Il s’agissait d’un programme informatique innovant capable de créer des copies de lui-même et de « sauter » d’un ordinateur à l’autre. À l’époque, les attaquants utilisaient des disquettes, mais au fil du temps, ils ont commencé à exploiter les réseaux informatiques et Internet.
Les premiers logiciels antivirus créaient des bases de données de signatures : des parties du code binaire qui incluaient de nombreux virus de ce type, puis comparaient chaque fichier du système à cette base de données. À l’époque, cette stratégie suffisait, car développer des applications était complexe et, surtout, chronophage, notamment avec des langages tels que C/C++/Assembly.
Depuis, des langages dynamiques tels que Python sont apparus. Ils facilitent le processus de développement logiciel en permettant aux utilisateurs de collaborer plus facilement et de réutiliser des portions de code. Cette évolution, conjuguée à l’essor des cryptomonnaies, a accru la motivation des attaquants et rendu irréalisable l’utilisation de telles bases de données de signatures. Le nombre de signatures connues et la vitesse à laquelle cette liste s’allonge sont tout simplement vertigineux.
Aujourd’hui encore, de nombreuses solutions de sécurité tentent d’utiliser différents types de signatures pour détecter les fichiers malveillants, le trafic réseau, les comportements humains et bien d’autres éléments. Même les outils qui cherchent à exploiter l’immense puissance de vastes communautés d’utilisateurs pour créer des bases de données regroupant des dizaines de milliers de signatures différentes ne sont efficaces que dans une certaine mesure. Globalement, cette stratégie ne suffit pas à assurer une bonne protection contre les menaces connues.
Et même si elle était efficace pour se protéger contre les menaces connues, elle n’offrirait toujours aucune protection contre les inconnues connues – et certainement pas contre les inconnues inconnues. Ces types d’attaques sont actuellement conçus et développés quelque part par des attaquants.
À lire également : Prévisions technologiques pour 2022 : cloud, données, cybersécurité, IA et plus encore
La difficulté de bloquer les menaces inconnues
Comme indiqué, la tactique de défense fondée sur les signatures, qui consiste à créer de vastes bases de données d’IOC (indicateurs de compromission – par exemple, adresses IP, noms de domaine, utilisateurs), devient de moins en moins efficace aujourd’hui avec l’essor de nouveaux langages informatiques.
Une autre tendance qui rend cette approche moins efficace est l’utilisation des DGA, les algorithmes de génération de domaines. Grâce à cette technique, l’attaquant intègre dans le malware un morceau de code qui utilise des variables connues de l’attaquant et du malware (par exemple, la date actuelle) afin de créer périodiquement et dynamiquement un nom de domaine et d’y accéder.
Si cela fonctionne, le domaine est utilisé ; dans le cas contraire, le système revient au nom de domaine le plus récemment utilisé qui, lui, fonctionnait. De telles techniques rendent essentiellement inutiles les signatures fondées sur les noms de domaine et les adresses IP, puisque l’attaquant peut facilement les modifier à tout moment.
Une autre technique que nous observons comprend plusieurs types de segmentation et de cloisonnement du réseau. Cette méthode divise le réseau en plusieurs sous-réseaux au moyen de différents types de pare-feu. L’accès à Internet ne s’effectue alors pas directement, mais par l’intermédiaire d’un proxy ou d’une sorte de serveur de terminaux, qui reçoit les frappes au clavier et les mouvements de souris et renvoie des images (c’est-à-dire des captures d’écran).
Cette méthode peut protéger efficacement contre certains types de menaces, mais elle ne protège pas l’organisation contre tous les types d’attaques. En outre, ces méthodes ne fournissent à l’organisation aucun outil permettant de détecter les attaques ou d’utiliser des mécanismes d’évasion contre ces appareils ou services. Elles n’améliorent pas non plus la visibilité globale de l’organisation.
Une autre technique très efficace, mais rarement utilisée pour des raisons pratiques, est la liste blanche. Avec cette méthode, l’organisation crée et tient à jour des bases de données contenant les signatures des exécutables autorisés, des sites web, des émetteurs de certificats, des hachages de fichiers, etc. L’inconvénient est évident : la quantité de données que l’organisation doit recueillir et la maintenance manuelle nécessaire rendent une telle solution irréalisable pour la plupart des organisations.
Combiner les technologies pour bloquer les menaces
Comme dans bien d’autres domaines technologiques, lorsqu’il faut choisir entre deux options, la meilleure voie à suivre consiste généralement à les combiner, afin de tirer parti des avantages des deux et d’en limiter les inconvénients.
La même logique s’applique ici. Il est recommandé de conserver votre segmentation actuelle du réseau et vos pare-feu, tout en continuant à les améliorer. Mais ajoutez-y une solution passive de surveillance du réseau qui surveillera en permanence le trafic entre les ordinateurs du réseau local de l’organisation, ainsi que le trafic entre l’organisation et le monde extérieur. L’utilisation de ce que l’on appelle des honey tokens peut également contribuer considérablement à améliorer les capacités de détection de la solution de surveillance passive.
Ensuite, en utilisant les données recueillies par toutes ces solutions, vous pouvez créer des alertes qui se déclenchent chaque fois qu’une nouvelle valeur apparaît dans certains champs – au sein de certains événements – ce qui constituerait un bon indicateur d’une activité malveillante.
Ces champs comprennent notamment :
- Pays de destination et d’origine
- Processus lancés par l’utilisateur root/Administrateur
- Serveurs DNS externes auxquels accèdent des machines internes qui ne sont pas le serveur DNS interne
- Utilisateurs RDP/VNC
- Applications serveur SSH
- Types d’applications
- Services hébergés en interne consommés par des hôtes externes
Nous ne serons peut-être toujours pas en mesure de bloquer toutes les « inconnues inconnues », mais nous combinerons au moins les meilleures technologies dont nous disposons actuellement.
À lire également : Le CISO à succès : comment gagner la confiance des parties prenantes
À propos de l’auteur :
Yuval Khalifa, Security Solutions Architect, Coralogix