INTRODUCTION.
Actuellement, la clé de tout plan stratégique de cybersécurité et de protection de la vie privée réside dans sa mesurabilité, car ce qui n'est pas mesuré est inconnu, ce qui n'est pas connu ne peut être géré, et ce qui n'est pas géré ne peut être amélioré. Selon Cisco Security Research, le trafic web chiffré mondial (HTTPS) a augmenté de douze points entre novembre 2016 et octobre 2017. D'après le « Market Guide for Mobile Threat Defense – 2017 » de Gartner, les menaces mobiles représenteront un tiers de tous les incidents de sécurité d'ici 2019, contre seulement 7,5 % en 2016. La cybersécurité s'applique à tous les types d'écosystèmes et à tous les types d'entités (personnes, objets, matériel, logiciel, micrologiciel, processus gérés, processus organisationnels, modèles économiques, avatars, etc.) et garantit l'accessibilité. Elle contribue à la protection de l'environnement, des personnes, des objets connectés (IoT), des êtres vivants, des avatars de réalité virtuelle, du matériel, des logiciels, des assistants personnels, et bien plus encore. Elle favorise la productivité et le progrès, et permet un développement durable de notre société. Elle protège contre le chaos, les attaques et intrusions simultanées, les menaces, les vulnérabilités, les mouvements latéraux, les cyberarmes, les logiciels malveillants polymorphes/métamorphiques, et bien plus encore. Elle offre des garanties et permet une gouvernance mondiale équilibrée. Elle est le moteur des exigences et obligations de conformité (SOX, PCI-DSS, RGPD, etc.). Elle assure la qualité en explorant (détection, analyse, analyse des causes profondes, analyse des mouvements latéraux, etc.), en prévoyant, en réparant et en rétablissant l'accès aux systèmes suite à des incidents de cybersécurité et de protection de la vie privée, des tentatives d'intrusion et tous types de cyberattaques. Elle filtre les entrées et sorties non autorisées, régule et contrôle les risques de déstabilisation et alerte rapidement en cas de situations défavorables, malveillantes ou dangereuses. La cybersécurité s'intègre aux processus, aux dispositifs matériels, aux outils logiciels et micrologiciels, aux normes, aux bonnes pratiques, aux méthodologies, aux politiques, et bien plus encore. Elle permet aux organisations d'être responsables, durables et coresponsables. La cybersécurité protège contre l'insécurité et tous les types de risques (l'intersection des impacts, des vulnérabilités et des menaces). Elle constitue l'ADN de toute transformation, infrastructure, écosystème, organisation, technologie, entité, spécification, développement, conception, mise en œuvre, modèle économique, gouvernance, etc. Elle est le principal vecteur de confiance, de progrès, de durabilité et bien plus encore. La cybersécurité est au cœur de concepts novateurs tels que la cyber-résilience des entreprises et des organisations, l'Industrie 4.0, le développement de l'intelligence artificielle, tous types de véhicules, infrastructures, etc. Une idée fausse très répandue consiste à croire que la protection d'une entité, d'une organisation, d'un système, d'une structure, d'une entreprise, d'une infrastructure, d'un écosystème, etc., est le seul moyen d'atteindre cet objectif. Cela revient à envisager ou à mettre en œuvre certaines fonctionnalités de cybersécurité supplémentaires, alors que la bonne approche consiste à intégrer la protection de la cybersécurité dès la conception et à en faire une solution globale et intégrée, et non un ensemble d'ajouts, de correctifs ou de fonctionnalités. Elle couvre tout : les personnes, le matériel, les logiciels, les micrologiciels, les processus, les procédures, la conformité, l'infrastructure, les machines, la gouvernance, la cyber-résilience, l'environnement, etc.
CYCLE DE VIE DES BOTNETS. ANATOMIE FONCTIONNELLE DES MENACES AVANCÉES ET DES CYBERARMES.
Le cycle de vie d'un botnet comprend les phases suivantes : (1) Injection et déploiement. On peut identifier les mécanismes suivants : distribution de courriels malveillants, exploitation de vulnérabilités logicielles, messagerie instantanée, réseaux de partage de fichiers P2P et autres botnets. Durant cette phase, les techniques de résilience suivantes sont identifiées : utilisation de processus de confiance, obfuscation basée sur des noms triviaux, techniques de rootkit, règles de sécurité allégées, limitations du système, installation d'antivirus, protection intégrée contre le débogage et la virtualisation, techniques de déploiement, polymorphisme et métamorphisme, mises à jour continues du bot, etc. (2) Commande et contrôle (C&C ou C2). On peut identifier les quatre sous-phases suivantes : (i) Modèle et topologie. On identifie ici les architectures centralisées (en étoile à un seul serveur, en étoile à plusieurs serveurs et hiérarchiques) et distribuées (aléatoires). (ii) Application et protocole. On identifie ici les architectures suivantes : P2P, messagerie instantanée, HTTP/HTTPS, IRC, etc. (iii) Initialisation de la communication. Les méthodes « push » et « pull » sont identifiées ici. (iv) Sens de la communication : bidirectionnelle et entrante. Diverses techniques de résilience sont identifiées : DNS/DNSSec, chiffrement/stéganographie/canaux subliminaux, URL multiples, boîtes aux lettres mortes et variantes de C&C. L’éventail des options d’organisation du C&C permet d’identifier cinq types : (a) Centralisé. Sa structure est arborescente, le commandant à la racine exerçant un contrôle direct sur les commandants intermédiaires qui, à leur tour, avec le même contrôle direct, se connectent aux unités. (b) Commandement centralisé et exécution décentralisée. Sa structure est arborescente, le commandant à la racine exerçant un contrôle direct sur les commandants intermédiaires, qui sont liés aux unités mais manquent de cohésion. (c) C2 collaboratif. 
(a) Structure entièrement maillée incluant le commandant et les commandants de niveau intermédiaire exerçant un contrôle direct, et les commandants de niveau intermédiaire ayant des liens faibles avec les unités. (d) C2 décentralisé (auto-synchronisation). Sa structure est arborescente, avec le commandant à la racine, relié aux commandants intermédiaires par un contrôle et un commandement directs, et ces derniers aux unités par un couplage faible. (e) Absence d'organisation. Le commandant, les commandants intermédiaires et les unités ne sont liés ni par un couplage faible ni par un contrôle/commandement direct. (3) Application de botnet. Les cas suivants peuvent être identifiés : attaques DDoS/DoS, espionnage, spam et distribution de logiciels malveillants, hébergement d'applications et activités malveillantes. À ce stade, des techniques de résilience sont identifiées, telles que : l'anonymat, le masquage des messages, la limitation de l'exposition et les représailles. Les principaux domaines fonctionnels de toute entité d'attaque/d'intrusion (menaces avancées et cyberarmes) sont :
1) Pénétration. Cela inclut : (a) Accès. Cela peut être : (i) Technique, à distance via Internet ou à courte portée par échange de puce, périphérique ou jeton USB, via la chaîne d'approvisionnement, un câble sur écoute, un réseau Wi-Fi clandestin (même avec WPA3), vol, cambriolage, navigation, etc. ; (ii) Social, par persuasion, extorsion, chantage, corruption, tromperie, fraude et escroqueries. Les utilisateurs, opérateurs, fabricants et fournisseurs de services peuvent être des cibles de l'accès social. (b) Vulnérabilités/surfaces d'attaque. Il s'agit de faiblesses, lacunes, défauts, inexactitudes, besoins (j'ai absolument besoin d'exécuter une application même si elle est malveillante), erreurs, problèmes de confiance, déficiences, failles, etc., dans : (i) Logiciels. Applications ou logiciels système présentant des faiblesses accidentelles ou intentionnelles. (ii) Matériels. (iii) Défaillances des microprocesseurs, cartes graphiques, alimentations, périphériques, dispositifs de stockage, cartes réseau, chevaux de Troie matériels implantés à n'importe quelle étape du cycle de vie (conception, tests, implémentation, etc.), prêts à agir de manière autonome ou à recevoir un signal sans fil d'un attaquant, etc. (iv) Canaux de communication. Par exemple, interception de lignes à fibre optique, interception électromagnétique de communications sans fil et d'émissions électromagnétiques provenant d'équipements informatiques. (v) Configuration. Ports laissés ouverts par négligence ou incorrectement, mots de passe faibles, non-respect de la limite de tentatives, procédures défectueuses, protocoles défectueux, mauvaise organisation, gouvernance inadéquate, etc. Fréquemment, les éléments techniques et sociaux sont combinés, comme dans le cas du phishing.
2) La charge utile. Celle-ci spécifie les actions malveillantes qu'elle exécutera en une ou plusieurs phases, avec des disparitions temporaires pour semer la confusion et des réapparitions répétées de plus en plus malveillantes, inattendues et chaotiques.
Menaces d'interférence avec les liaisons sans fil : cyberarmes physiques. Types de menaces avancées et de cyberarmes logicielles.
Le brouillage des liaisons sans fil, par exemple à l'aide d'un brouilleur multi-antennes (dont un exemple basique est celui des inhibiteurs RF), représente une grave menace pour la cybersécurité, reposant sur l'interférence avec les signaux électromagnétiques artificiels. Parmi les exemples, citons le brouillage des systèmes PMR (Private Mobile Radio) utilisés par la police et les services d'urgence, le brouillage et l'usurpation des récepteurs GPS/GLONASS, le brouillage des télécommandes de verrouillage dans les parkings pour faciliter les vols, et le brouillage des systèmes d'alarme sans fil dans les habitations pour permettre à un cambrioleur d'y accéder sans être détecté. La technologie MIMO massive (qui utilise un grand nombre d'antennes, des centaines voire des milliers, fonctionnant en phase) peut être utilisée comme une cyberarme physique ou un dispositif de brouillage et endommager les systèmes de communication sans fil civils et militaires par le biais d'attaques DDoS/DoS. Les menaces avancées et les cyberarmes peuvent être regroupées en différentes catégories : (1) Menaces génériques à faible potentiel. (2) Logiciels malveillants à fort potentiel. Il s'agit de logiciels malveillants capables d'influencer un système de l'extérieur, mais techniquement incapables de pénétrer le système et de causer des dommages directs. (3) Logiciels malveillants à fort potentiel. Il s'agit d'un logiciel malveillant capable d'agir comme un agent intelligent, de pénétrer des systèmes protégés, voire autonomes et physiquement isolés, et d'influencer les processus de sortie pour infliger des dommages directs, espionner du contenu, créer le chaos, etc.
GÉNÉRATIONS DE MENACES AVANCÉES ET DE CYBERARMES.
On peut identifier plusieurs générations de menaces avancées et de cyberarmes :
1) Première génération. Les cyberarmes de guerre électronique utilisant le brouillage de rayonnements ou de signaux peuvent aveugler, endommager, dégrader ou neutraliser des systèmes par les méthodes de guerre électronique traditionnelles basées sur l’interférence et le brouillage. La coupure des lignes de cuivre ou de fibre optique utilisées pour la téléphonie, les données, Internet, etc., appartient également à cette génération. Les effets sont la dégradation ou la perturbation des communications, similaires à ceux des cyberarmes utilisant la technologie C&C/C2 (Commande et Contrôle). Elles attaquent l’élément de traitement par des moyens physiques (brouillage, EMS, etc.). Parmi les méthodes utilisées, on trouve les bombes à neutrons, les coupures physiques des supports de transmission, l’émulation du rayonnement des taches solaires, les inhibiteurs RF, les générateurs de brouillage, etc.
2) Deuxième génération. Ces menaces nécessitent un accès opérationnel permettant l’utilisation d’un code d’exploitation. Les logiciels/micrologiciels et le matériel sont utilisés pour exploiter les vulnérabilités (de tous types, par exemple les vulnérabilités zero-day multiples) dans les systèmes en général ou dans des cibles spécifiques. Ces menaces se caractérisent par la nécessité de posséder une faille exploitable dans la conception, la configuration ou l'implémentation du logiciel, du micrologiciel ou du matériel du système. En biologie, une approche similaire consiste à modifier le génome ou la molécule d'ADN en écrivant et en supprimant des sections afin de créer de nouvelles compétences et capacités chez les êtres vivants. Les cyberarmes psychiques, parapsychologiques et de biohacking sont également perfectionnées, permettant l'utilisation de drogues pour modifier l'ADN (comme s'il s'agissait d'un fichier où l'on effectue des modifications, des coupes, des collages, etc.) et améliorer les capacités non conventionnelles des humains et des êtres vivants en général.
3) Troisième génération. Ici, les menaces avancées et les cyberarmes des générations précédentes sont consolidées, perfectionnées et interagissent. Elles permettent la destruction des communications et la désorganisation des cyberinfrastructures ; de même, elles rendent possible la création de confusion, de désinformation, de désorganisation, de chaos, d'espionnage, de vols, etc.
Technologies de contre-mesure face aux menaces avancées et aux cyberarmes. Cibles des cyberattaques.
L'éventail des contre-mesures et des protections s'élargit quotidiennement. Même avec l'aide de l'intelligence artificielle, on peut identifier les éléments suivants :
1) Listes noires. Intégrées aux logiciels antivirus, aux systèmes NIPS/HIPS/AIPS, etc., elles sont inefficaces contre les attaques ciblées.
2) Listes blanches. Intégrées aux équipements informatiques, mais aussi au réseau interne, elles sont efficaces dans certains cas et pour certaines parties du réseau (SCADA), mais cette efficacité est très coûteuse.
3) Détection d'anomalies. Ces méthodes nécessitent encore des tests approfondis, mais méritent d'être explorées (en particulier pour les systèmes d'administration).
4) Environnement virtualisé. Probablement efficace contre certains types de logiciels malveillants. Cela inclut l'utilisation de zones de quarantaine, de DMZ, de sandbox, de partitionnement VLAN, d'isolation via des machines virtuelles scellées, etc.
5) Techniques d'intelligence artificielle telles que l'apprentissage automatique et ses améliorations comme l'apprentissage profond. Les techniques d'apprentissage automatique comprennent la classification, le clustering (utilisé dans les solutions SUBA ou d'analyse comportementale des utilisateurs en matière de sécurité), la régression, etc. Certaines techniques d'apprentissage automatique incluent les signatures statiques, dynamiques et comportementales, les modèles de haut niveau et les anomalies non supervisées (applicables aux données chiffrées sans déchiffrement).
Voici quelques menaces avancées/logiciels malveillants et cyberarmes de type APT : (i) Duqu. Son objectif est de capturer des informations sur les ordinateurs. Il contient un enregistreur de frappe (clavier et souris). C'est un logiciel espion. Il utilise la même plateforme que Stuxnet, le même vecteur d'attaque, mais une charge utile différente. Son mécanisme de propagation consiste à déposer un document MS Word contenant une faille zero-day qui attend que l'ordinateur soit inactif pendant dix minutes, plus une autre condition. Sur le réseau, il se copie dans un dossier partagé (à l'aide d'un mot de passe volé par l'enregistreur de frappe) et crée une tâche planifiée sur l'ordinateur cible. (ii) Flame. Son objectif est le cyberespionnage et le vol d'informations. (iii) Gauss. Il collecte des informations sans autorisation et vole les identifiants des systèmes bancaires, des comptes de réseaux sociaux, des messageries électroniques, instantanées, etc. (iv) Stuxnet. A attaqué des systèmes d'enrichissement d'uranium en Irak, utilisant des automates programmables Siemens. (v) Carbanak/Anunak. Ciblait les distributeurs automatiques de billets et était basé sur le logiciel malveillant bancaire Tyupkin.
Il existe une variété de cyberattaques ciblant différents objectifs, tels que :
1) Les systèmes d’intelligence artificielle, les robots, la réalité virtuelle, la réalité augmentée, la réalité diminuée, les assistants personnels, l’intelligence ambiante, la post-réalité, l’avionique, les drones, les véhicules connectés, etc.
2) Les systèmes de contrôle (par exemple, Stuxnet). Cela crée des risques pour les systèmes de transport (vertical et horizontal), les infrastructures critiques de l’industrie 4.0 et les services publics (eau, électricité, industrie, pipelines, santé, agriculture, etc.).
3) Les algorithmes. Cela crée des risques pour les systèmes financiers (SWIFT, Society for Worldwide Interbank Financial Telecommunication, un réseau de télécommunications mondial privé permettant au secteur financier de mener ses opérations ; le groupe Bluenoroff l’a ciblé en 2015-2016), les transferts de fonds, les marchés équitables, les systèmes de paiement, la sécurité sociale, la blockchain, les cryptomonnaies, etc.
4) Les bases de données et les référentiels. Il en résulte un manque de confiance, un chaos social et une anarchie.
5) Les communications. Il en résulte une perte de commandement et de contrôle. Il s'agit de réduire la confiance dans les reportages et les autorités gouvernementales par le biais de fausses informations.
LOGICIELS MALVEILLANTS ET VECTEURS D'ENTRÉE DE CODE MALVEILLANT.
Les rootkits sont des logiciels malveillants qui acquièrent et conservent un accès privilégié (accès root ou administrateur) au système, d'où leur nom, tout en dissimulant leur présence en détournant le fonctionnement normal du système d'exploitation. Un rootkit poursuit généralement trois objectifs : (1) Exécution. Un rootkit cherche à s'exécuter sans restriction sur l'ordinateur de la victime. La plupart des systèmes d'exploitation (Linux, Unix, Solaris, Android, iOS, Windows, etc.) disposent de mécanismes d'autorisation, tels que les listes de contrôle d'accès (ACL) et les listes de capacités, afin d'empêcher une application d'accéder aux ressources protégées. Les rootkits exploitent les vulnérabilités de ces mécanismes ou utilisent des techniques d'ingénierie sociale pour s'installer et ainsi agir sans restriction. (2) Dissimulation. Un rootkit cherche à empêcher un logiciel de sécurité installé, comme un antivirus, de détecter sa présence et de le supprimer. Le meilleur moyen d'y parvenir est de le rendre invisible à toutes les autres applications exécutées sur la machine. (3) Action. Un rootkit a des actions spécifiques qu'il souhaite effectuer (appelées techniquement sa charge utile). Outre son exécution et sa dissimulation, il compromet l'ordinateur de la victime pour voler des mots de passe ou de la bande passante, ou pour installer d'autres logiciels malveillants. Il existe une gamme croissante de vecteurs d'entrée pour les logiciels malveillants, notamment : disquettes, CD, DVD, périphériques USB, réseaux sociaux, courrier électronique, messagerie instantanée, P2P (musique, économiseurs d'écran, vidéos, etc.), téléchargements web, logiciels malveillants téléchargés sur l'ordinateur à l'insu de l'utilisateur, simplement en visitant une page web (sans cliquer explicitement sur un lien), exploitation de vulnérabilités dans le navigateur web ou ses extensions, dues à des vulnérabilités dans les logiciels associés (Adobe Reader, Adobe Flash, QuickTime, RealPlayer, Skype, iTunes, Java, WinRAR, WinZIP, VLC, MediaPlayer, clients de messagerie instantanée, clients de messagerie tels qu'Outlook/Thunderbird, navigateurs tels qu'Internet Explorer, Safari, Firefox, Chrome, MS Office tels que Word, Excel, PowerPoint, etc.), logiciels clients, système d'exploitation, pilotes, DLL, bibliothèques, hyperviseurs dans les machines virtuelles, etc. Certaines méthodes de diffusion de logiciels malveillants utilisées incluent l'exploitation de vulnérabilités logicielles (développement d'exploits zero-day dans des logiciels spécifiques) et les attaques par point d'eau (déploiement de exploiter des failles sur des sites web compromis pour distribuer des charges utiles), des courriels d'hameçonnage ciblés (joindre des documents malveillants à des courriels d'hameçonnage ciblés pour infecter les victimes), utiliser le pharming basé sur les faiblesses DNS/DNSsec, etc.
TYPES D'IMPACTS AU NIVEAU DE L'INFORMATION.
Une cyberattaque sur un système cible peut impacter les informations sensibles de plusieurs manières. Une ressource compromise doit pouvoir se défendre contre les stratégies de guerre informationnelle afin de se protéger contre les menaces, les perturbations, les altérations, les dénis de service ou la destruction de ses données sensibles. Les impacts informationnels des attaques sont variés, parmi lesquels les plus importants sont :
1) Altération des informations. Elle se produit lorsque l’attaque modifie un fichier (par exemple, le logiciel malveillant WannaCry chiffre un fichier, un dossier ou un disque dur pour exiger une rançon). Une altération signifie une modification des données d’un fichier ou des informations de la victime.
2) Perturbation du service. Elle est généralement causée par une attaque DoS/DDoS. Une perturbation signifie une modification, un ralentissement ou une interruption complète de l’accès à la victime ou à ses informations.
3) Destruction des informations. Elle se produit généralement lorsqu’une attaque entraîne la suppression de fichiers ou l’interruption de l’accès. La destruction est l'impact malveillant le plus important, car elle implique la suppression de fichiers ou d'informations concernant la victime (humain, machine, programme, agent d'IA, etc.).
4) Divulgation d'informations. Il s'agit généralement de donner à un attaquant accès à des informations auxquelles il n'aurait normalement pas accès, par le biais de renifleurs de paquets, de la vidéosurveillance, de logiciels espions, d'enregistreurs de frappe ou d'analyses de trafic chiffré, permettant de déduire des informations telles que le volume et la fréquence des messages. La divulgation non autorisée d'informations peut entraîner d'autres types de compromissions en matière de cybersécurité.
5) Découverte d'informations. Il s'agit de trouver des informations qui n'étaient pas connues auparavant. Par exemple, lorsqu'un outil d'analyse (tel que l'analyse de ports Nmap ou l'analyse de vulnérabilités Nessus) recherche des informations, celles-ci peuvent être utilisées pour lancer une attaque contre une cible spécifique. Des agents mobiles autonomes et des bots sont utilisés pour parcourir les réseaux à la recherche de personnes, de profils, d'actions, de données, de fichiers, etc.
CATÉGORIES DE STRATÉGIES DE DÉFENSE.
La défense peut être mise en œuvre avant, pendant et après une cyberattaque. Voici quelques-unes des stratégies de défense les plus pertinentes :
1) Atténuation. Avant l’exploitation des vulnérabilités ou pendant une cyberattaque, plusieurs étapes permettent à un défenseur d’atténuer les dommages causés ou potentiels. Prenons l’exemple d’un ver informatique qui se propage sur le réseau. Il est possible de supprimer une instance du ver d’un groupe d’ordinateurs et de rediriger le trafic pendant que l’administrateur gère les opérations d’élimination. L’atténuation vise à réduire la gravité de la cyberattaque. Voici quelques techniques possibles : (i) Suppression du réseau. Un administrateur supprime les ordinateurs infectés pour éviter toute aggravation des dommages, en les plaçant dans des compartiments isolés, des zones de quarantaine, des DMZ, des environnements sandbox, des VLAN ou une machine virtuelle spécifique au sein d’un environnement virtualisé. Un ver spécifique peut résider sur un réseau et commencer à se propager. (ii) Liste blanche. Liste des connexions autorisées, connue du défenseur. Une attaque peut cibler un logiciel spécifique résidant sur un port prédéterminé. (iii) Annonce de référence. Il s'agit de notes fournies par le système de défense pour atténuer une attaque, ou d'une référence à une base de données de vulnérabilités/un numéro de référence du fournisseur permettant d'atténuer ou d'éliminer une vulnérabilité, une tentative d'intrusion ou une attaque.
2) Mesures correctives. En présence d'une vulnérabilité, ou avant son exploitation, le système de défense dispose de mesures correctives pour prévenir une attaque. La stratégie de remédiation consiste à prendre les mesures appropriées pour corriger la situation avant ou pendant une exploitation. Voici quelques techniques possibles : (i) Application de correctifs et mises à jour des systèmes. Application des correctifs publiés par le fournisseur en raison de vulnérabilités dans les logiciels ou micrologiciels utilisés. Lorsqu'une vulnérabilité ou une attaque est présente pour diverses raisons, le système de défense utilise les correctifs fournis par le fournisseur. (ii) Correction du code. Les services d'une organisation publient des correctifs de code pour des applications spécifiques afin de limiter les risques d'exploitation par un attaquant. (iii) Fuite via Ctrl+Alt+Suppr, coupure de la connexion réseau, arrêt de l'appareil, retrait de la carte SIM, utilisation d'une cage de Faraday, activation d'inhibiteurs RF pour le Wi-Fi, etc.
TYPES DE VULNÉRABILITÉS LOGICIELLES. CATÉGORIES DE CIBLES DES CYBERATTAQUES.
Les vulnérabilités logicielles se classent en deux grandes catégories : (1) Intentionnelles. Elles se subdivisent en : (i) Malveillantes, telles que les chevaux de Troie (avec ou sans réplication, comme les virus), les portes dérobées, les bombes à retardement ou les bombes logiques ; (ii) Non malveillantes, telles que les canaux cachés/subliminaux (stockage, synchronisation), etc. (2) Non intentionnelles. On peut citer comme exemples les erreurs de validation (incomplètes, incohérentes), les erreurs de domaine (y compris la réutilisation d’objets résiduels, etc.), la sérialisation/l’aliasing (y compris les conditions de concurrence, les erreurs/bugs/vulnérabilités TOCTTOU – Time of Check to Time of Use), l’identification/l’authentification inadéquate et les violations des conditions limites (y compris l’épuisement des ressources, etc.). La grande variété de cibles d’attaque peut déconcerter les systèmes de défense, rendant difficile la prédiction des attaques futures. Les cibles d’attaque principales et autres erreurs logiques exploitables sont les suivantes :
1) L’utilisateur. Une cyberattaque contre un utilisateur est une attaque visant à récupérer ses informations personnelles, à nuire à sa réputation ou à ses finances, ou à lui causer un préjudice, voire la mort. Elle implique l'utilisation de techniques d'ingénierie sociale telles que l'astroturfing, qui consiste à diffuser de fausses informations.
2) Application. Il s'agit d'une attaque ciblant un logiciel spécifique. Une application peut être un client, un serveur ou un pair P2P. Une application cliente est un logiciel conçu pour aider un utilisateur à effectuer des tâches courantes. Une application serveur est un logiciel conçu pour héberger plusieurs utilisateurs simultanés.
3) Système d'exploitation (noyau, interface utilisateur, pilotes, hyperviseur dans les machines virtuelles, par exemple avec VMware). Le système d'exploitation est responsable de la coordination des activités et du partage des ressources d'un ordinateur. Une attaque peut cibler les vulnérabilités d'un système d'exploitation spécifique (Linux, Windows, Solaris, Unix, etc.). Les hyperviseurs utilisés dans les environnements virtualisés, tels que VMware, contiennent également des vulnérabilités permettant, par exemple, de passer d'une machine virtuelle à une autre censée être isolée et sécurisée.
4) Réseau. La cible est un réseau spécifique, un sous-réseau L3/IP ou un VLAN L2, ou l'accès est obtenu via des vulnérabilités au sein d'un réseau, d'un sous-réseau, d'un protocole réseau, etc.
5) Local. Il s'agit d'une attaque dirigée vers l'ordinateur local d'un utilisateur (tablette, smartphone, PC, prothèse médicale, appareil IoT, carte SIM de smartphone, etc.).
CONSIDÉRATIONS FINALES.
Selon Radware, les attaques DDoS (déni de service distribué) ont augmenté de 64 % en 2017 au niveau applicatif (les principaux vecteurs d'attaque étant HTTP à 37 %, DNS à 33 % et HTTPS à 28 %) et de 51 % au niveau réseau (les principaux vecteurs d'attaque étant l'inondation TCP-SYN à 35 %, UDP à 23 %, IPv6 à 10 %, etc.). La plupart des cyberattaques suivent une structure composée de plusieurs phases, appelée chaîne d'attaque cybernétique (CKC) : chaque attaque débute par une phase de reconnaissance durant laquelle l'attaquant cherche à identifier les vulnérabilités du système cible. Vient ensuite la phase d'armement, au cours de laquelle les failles sont découvertes et exploitées pour développer un code malveillant ciblé. La phase suivante, dite de distribution du logiciel malveillant, permet son transfert vers la cible potentielle. Une fois le logiciel malveillant distribué avec succès, la phase d'exploitation commence ; le logiciel malveillant déclenche alors l'installation du code d'intrusion. Une fois le système compromis, des canaux de commande et de contrôle (C&C/C2) peuvent être établis, permettant à l'attaquant de lancer les actions malveillantes de son choix. L'approche de sécurité intégrée (ISA) fournit des lignes directrices essentielles pour une stratégie de cybersécurité globale. Son objectif principal est de générer des alertes précoces, idéalement avant le lancement de l'attaque (avant la phase d'exploitation). L'alerte doit produire un message d'avertissement pertinent qui traduit les données de menace collectées en actions concrètes. Ce message facilite la sélection de contre-mesures pour éviter que les organisations ne soient victimes d'une attaque. Si une intrusion ne peut être empêchée, son ampleur doit être détectée, suivie d'une réaction et d'une riposte. Ces contre-mesures doivent inclure des actions pour stopper ou contrer l'intrus, ainsi que des procédures de récupération définies pour restaurer rapidement le système attaqué à son état initial et reprendre son fonctionnement normal. Les normes NIST 800/ISO 27002 identifient les domaines clés suivants pour les bonnes pratiques : identification (outils de données, droits d’utilisateur, anomalies réseau, RAT dans les services, vulnérabilités de l’infrastructure à l’échelle du réseau par le biais d’audits), prévention (mouvements de données, abus d’utilisateurs, communications au niveau du réseau, création de services, exploitation de l’infrastructure à l’échelle du réseau par l’interprétation), défense (accès aux données, identifiants d’utilisateur, services réseau, utilisation des services, modifications de l’infrastructure à l’échelle du réseau par le biais de contrôles), réponse (investigation des données, usurpation d’identité, restriction du réseau, contrôle des services, correctifs d’infrastructure par la remédiation) et récupération (restauration des données à partir de sauvegardes, listes de contrôle d’accès utilisateur, provisionnement du réseau, établissement d’une configuration de référence pour les services, reconstruction de l’infrastructure par le déploiement d’une politique globale). D’autres normes couvrent également des domaines tels que la détection et la protection. Les bonnes pratiques de cybersécurité sont structurées à différents niveaux ou domaines : au niveau du réseau, protection des réseaux contre les attaques internes et externes, filtrage des accès non autorisés et des contenus malveillants, surveillance et test des contrôles de sécurité, et gestion de la charge réseau (QoS) ; Au niveau de la protection contre les logiciels malveillants, établir des politiques et des défenses anti-malware applicables à tous les domaines de l'organisation, analyser les systèmes à la recherche de logiciels malveillants et mettre à jour les logiciels antivirus pour l'ensemble de l'organisation ; au niveau de la surveillance, établir une stratégie de surveillance et élaborer des politiques de support, surveiller en continu tous les systèmes et réseaux et analyser les journaux pour détecter toute activité inhabituelle pouvant indiquer une tentative d'intrusion ou une cyberattaque ; au niveau de la gestion des incidents, établir des capacités de réponse aux incidents et de reprise après sinistre, élaborer et tester des plans de gestion des incidents, former l'équipe de gestion des incidents et signaler les incidents criminels afin de garantir des poursuites judiciaires. Au niveau de la formation et de la sensibilisation, élaborer des politiques d'utilisation couvrant l'utilisation acceptable et sécurisée des systèmes de l'organisation, établir un programme de formation évaluable pour tout le personnel et maintenir la sensibilisation des utilisateurs aux cyber-risques ; au niveau du télétravail et du travail mobile, élaborer une politique de travail mobile et former le personnel à son application, mettre en œuvre une configuration de sécurité de base pour tous les appareils et protéger les données en transit et au repos ; au niveau de la gestion des privilèges des utilisateurs, établir des processus de gestion des comptes et limiter le nombre de comptes privilégiés, limiter les privilèges et surveiller l'activité des utilisateurs, et contrôler l'accès aux journaux d'activité et d'audit. Au niveau de la gestion des risques liés à l'information, établir une structure de gouvernance efficace, identifier les risques, élaborer et appliquer des politiques de gestion des risques, et sensibiliser les utilisateurs à l'importance de ces risques. Au niveau de la configuration sécurisée, appliquer les correctifs de sécurité, garantir le maintien de la configuration sécurisée de tous les systèmes d'infrastructure, et créer un inventaire et définir une configuration de référence pour tous les périphériques d'infrastructure. Au niveau du contrôle des supports amovibles, élaborer une politique de contrôle d'accès aux périphériques amovibles (clés USB, par exemple), limiter leurs types et leurs usages, et analyser tous les supports amovibles à la recherche de logiciels malveillants avant leur intégration aux systèmes d'infrastructure.
RÉFÉRENCES.
- Areitio, J. « Sécurité de l’information : réseaux, informatique et systèmes d’information ». Cengage Learning-Paraninfo. 2018.
- Areitio, J. « Identification et analyse des éléments pathologiques de la cybersécurité et de la protection de la vie privée dans la transformation numérique : entreprises et industrie 4.0 ». Conectrónica Magazine. N° 209. Octobre 2017.
- Areitio, J. « Impact des approches, stratégies, techniques, méthodes et technologies de protection en matière de cybersécurité et de protection de la vie privée ». Conectrónica Magazine. N° 211. Janvier 2018.
- Areitio, J. « Analyse longitudinale et transversale de la protection des réseaux en matière de cybersécurité et de protection de la vie privée : une responsabilité partagée ». Conectrónica Magazine. N° 213. Mars 2018.
- URL de l'outil en ligne nmap (analyse les 28 principaux ports pour une adresse IP ou un serveur de noms spécifique) : http://netping.io/nmap
- URL du scanner nmap en ligne : http://nmap.online-domain-tools.com/
- URL de l'outil VirusTotal (service gratuit d'analyse des fichiers et URL suspects, facilitant la détection des virus, vers, chevaux de Troie, etc. ; taille maximale des fichiers soumis : 128 Mo) : https://www.virustotal.com/.
- Gupta, PK, Tyagi, V. et Singh, SK. « Predictive Computing and Information Security ». Springer. 2017.
- Icon Group International. « The 2018–2023 World Outlook for Cyber Weapons ». Icon Group International, Inc. 2017.
- Johnson, TA. « Cybersecurity: Protecting Critical Infrastructures From Cyber Attacks and Cyber Warfare ». CRC Press. 2015.
- Ellis, R. et Mohan, V. « Rewired : The Past, Present and Future of Cybersecurity ». John Wiley & Sons Inc. 2019.
- Brooks, CJ, Craig, P. et Short, D. « Cybersecurity Essentials ». Sybex. 2017.
- Tests antivirus : http://www.eicar.org
- Sanger, DE. « The Perfect Weapon : War, Sabotage and Fear in the Cyber Age ». Crown. 2018.
- Prunckun, H. « Cyber Weaponry : Issues and Implications of Digital Arms ». Springer. 2018.
- Gurevich, V. « Cyber and Electromagnetic Threats in Modern Relay Protection ». CRC Press. 2017.
- Brotherston, L. et Berlin, A. « Defensive Security Handbooks : Best Practices for Securing Infrastructures ». O'Reilly Media. 2017.
- Musa, SM. « Network Security and Cryptography ». Mercury Learning and Information. 2017.
- Chang, CH et Potkonjak, M. « Secure Systems Design and Trustable Computing ». Springer. 2015.
- Colbert, EJM et Kott, A. « Cybersecurity of SCADA and Other Industrial Control Systems ». Springer. 2016.
- Zetter, K. « Countdown To Zero Day: Stuxnet and the Launch of the World's First Digital Weapon ». Broadway Books. 2015.
- Westcott, S. et Riescher Westcott, J. « Cybersecurity: An Introduction ». Mercury Learning & Information. 2019.
Auteur:
Prof. Dr. Javier Areitio Bertolín – E.Mail :
Professeur à la Faculté d'ingénierie de l'Université de Deusto.
Directeur du groupe de recherche sur les réseaux et les systèmes.
