Renforcer la périphérie du réseau : les agences Five Eyes conseillent les entreprises sur la protection des équipements critiques

Avec l'augmentation des attaques sur les équipements de périphérie permettant d'autres incursions par les attaquants dans les réseaux d'entreprise, il est temps pour tout le monde d'intensifier son jeu de sécurité, disent les agences de l'alliance Five Eyes.

Les services de renseignement nationaux de cinq pays ont offert aux entreprises des conseils pour battre les espions à leur propre jeu dans une série de documents destinés à les aider à protéger les équipements et appliances de périphérie réseau tels que les pare-feu, routeurs, passerelles VPN (réseaux privés virtuels), appareils IoT (internet des objets), serveurs face à internet, et systèmes OT (technologie opérationnelle) face à internet contre les cyberattaques.

L'alliance Five Eyes regroupe les agences de renseignement de l'Australie, du Canada, de la Nouvelle-Zélande, du Royaume-Uni et des États-Unis. Les différentes agences ont chacune abordé le défi de la sécurisation de la périphérie réseau sous un angle différent, publiant leurs rapports mardi.

« Les adversaires étrangers exploitent régulièrement les vulnérabilités logicielles dans les équipements de périphérie réseau pour infiltrer les réseaux et systèmes d'infrastructures critiques. Les dommages peuvent être coûteux, longs, et catastrophiques sur le plan de la réputation pour les organisations des secteurs public et privé », a déclaré l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) dans son introduction aux directives. « Ces documents de directives détaillent diverses considérations et stratégies pour un réseau plus sûr et plus résilient, avant et après un compromis. »

Les nouveaux documents s'ajoutent aux directives américaines qui aident les fabricants à construire des équipements sécurisés par conception. Le Centre canadien pour la cybersécurité (CCCS) a dirigé les Considérations de sécurité pour les équipements de périphérie, qui non seulement fournit une liste détaillée de tâches pour les services IT d'entreprise, mais renvoie vers des directives spécifiques sur la sécurité pour les travailleurs à distance et les organisations avec des modèles BYOD (apportez votre propre appareil), ainsi que des directives pour les fabricants d'équipements de périphérie.

Un problème résolu

Dans une pique pas si subtile aux fabricants de produits avec des interfaces de gestion réseau (NMIs) mal sécurisées, il a également noté : « Il est possible pour les fournisseurs de durcir leurs produits pour qu'ils restent sécurisés avec des NMIs exposés à internet. C'est un problème résolu, et les clients devraient exiger que les fournisseurs durcissent leurs équipements pour sécuriser les NMIs. »

Spécifications de surveillance forensique numérique pour les produits d'équipements et d'applications réseau, dirigé par le Centre national de cybersécurité du Royaume-Uni (NCSC-UK), se concentre sur les exigences minimales pour la visibilité forensique. Il détaille ce qui doit être journalisé, comment les journaux doivent être stockés et sécurisés, et les exigences pour l'acquisition de données forensiques en cas d'incident.

« En suivant les niveaux minimaux d'observabilité et les lignes de base de forensique numérique décrits dans cette directive, les fabricants d'équipements et leurs clients seront mieux équipés pour détecter et identifier l'activité malveillante contre leurs solutions », a-t-il déclaré. « Les fabricants d'équipements devraient également l'utiliser pour établir une ligne de base de fonctionnalités standard à inclure dans l'architecture des équipements et appliances réseau, pour faciliter l'analyse forensique pour les défenseurs de réseau. »

L'Australie a dirigé deux documents : Stratégies d'atténuation pour les équipements de périphérie : directives pour les dirigeants et Stratégies d'atténuation pour les équipements de périphérie : directives pour les praticiens. Ces guides, dirigés par le Centre australien de cybersécurité de la Direction des signaux australienne (ASD's ACSC), fournissent un résumé des stratégies d'atténuation et des meilleures pratiques pour sécuriser, durcir et gérer efficacement les équipements de périphérie, et des détails techniques sur sept stratégies d'atténuation pour le personnel opérationnel, d'approvisionnement et de cybersécurité à mettre en œuvre pour réduire les risques pour les équipements de périphérie.

« La Direction des signaux australienne (ASD)'s Centre australien de cybersécurité (ACSC) a noté une augmentation préoccupante du nombre d'incidents impliquant des compromis d'équipements de périphérie », a indiqué la directive pour les praticiens. « Les équipements de périphérie sont exposés à internet, généralement difficiles à surveiller et capables d'accéder à d'autres actifs sur le réseau, fournissant un point d'entrée et une cible attrayants pour les acteurs malveillants. »

Le document final, dirigé par la CISA, est une mise à jour d'un guide de 2023 sur les principes Secure-by-Design pour les fabricants avec des liens vers des ressources sur la mise en œuvre.

« Les produits conçus avec des principes Secure by Design priorisent la sécurité des clients comme une exigence commerciale fondamentale, plutôt que de la traiter simplement comme une caractéristique technique », a indiqué la page web d'introduction. « Pendant la phase de conception du cycle de vie de développement d'un produit, les entreprises devraient mettre en œuvre des principes Secure by Design pour réduire significativement le nombre de failles exploitables avant de les introduire sur le marché pour une utilisation ou une consommation généralisée. Sortis de la boîte, les produits devraient être sécurisés avec des fonctionnalités de sécurité supplémentaires telles que l'authentification multi-facteurs (MFA), la journalisation et l'authentification unique (SSO) disponibles sans coût supplémentaire. »

Une grande affaire… si les fabricants d'équipements s'y conforment

La directive pour les fabricants enthousiasme particulièrement Frank Dickson, vice-président du groupe pour la sécurité et la confiance chez IDC. « C'est une affaire super importante », a-t-il dit. « C'est légitimement énorme, surtout si les fabricants d'équipements capitulent et se conforment à ces exigences. »

« Ces équipements sont critiques pour la mission », a-t-il ajouté. « et certains de ces équipements ont une quantité ridicule de vulnérabilité en termes de quantité de données [qui y transitent]. » Malgré cela, a-t-il noté, beaucoup n'offrent aucune visibilité sur ce qui se passe à l'intérieur, donc les clients ne peuvent pas évaluer si le fabricant fait du bon travail en mettant à jour le firmware et en étant proactif.

Katell Thielemann, analyste VP distinguée chez Gartner, est également satisfaite de la directive, mais a noté que ce n'est qu'un début.

« Les avis sont positifs en ce qu'ils montrent que la communauté Five Eyes collabore pour faire émerger les meilleures pratiques », a-t-elle dit. Et ils continuent « de rappeler à la communauté que tout ce qui est connecté à internet est par défaut exposé et une cible potentielle. »

L'OT n'est pas de l'IT

Cependant, elle ne pense pas que regrouper les pare-feu, routeurs, appareils IoT et systèmes OT connectés à internet dans un avis soit utile à la communauté, et « non plus de les appeler « équipements de périphérie », car cela suppose que l'IT d'entreprise est le centre de l'univers et que la « périphérie » est là-bas. »

« Cela peut être vrai pour les pare-feu, routeurs et passerelles VPN, mais pas pour les systèmes OT », a-t-elle continué. « Ces systèmes OT sont des systèmes cyber-physiques (CPS) qui soutiennent la création de valeur de production et les environnements critiques pour la mission. Ils ne sont pas la périphérie ; ils sont le cœur des opérations. »

Beaucoup sont connectés à internet pour soutenir les opérations et la maintenance à distance, a-t-elle noté, donc « l'objectif devrait être de donner des conseils sur la façon d'accéder à distance à ces systèmes de manière sécurisée, et le ton des avis devrait être ciblé sur les réalités de la production où les outils et processus de sécurité IT ne sont pas toujours une bonne idée. »

Dickson pense aussi que la directive est une bonne première étape, mais a ajouté : « si nous permettons la journalisation et la visibilité pour la forensique numérique, ce serait aussi bien, s'il y a un problème, que nous soyons réellement capables de faire de la remédiation sur cet équipement, une sorte d'interdiction. »

« C'est un problème massif depuis un certain temps », a-t-il dit. « Le fait qu'il y ait une action importante et coordonnée à travers les multiples pays Five Eyes est extrêmement significatif. C'est fort, c'est bruyant, c'est approprié, ce sont toutes de bonnes choses. Franchement, j'ai été tellement impressionné qu'ils aient annoncé cela, que j'ai juste pensé : « Merci Dieu, nous abordons enfin ce problème. »

« Tout ce que nous avons à faire est d'avoir quelques très grandes organisations qui mettent en œuvre [la directive] comme exigence pour l'achat de certains de ces équipements de périphérie à l'avenir et [le problème] sera résolu. »