Cyber-sécurité : où en est la menace ?
Temps de lecture : 7 minutes
Publié le 3 décembre 2019
D’après le Cesin, le club des experts en sécurité informatique, 8 entreprises sur 10 ont été touchées par une attaque informatique en 2018. Dans un monde de plus en plus interconnecté, où les volumes de données en circulation s’envolent, la cybersécurité est devenue stratégique et doit sans cesse se renouveler.
Mathieu Moreux
Expert cybersécurité Microsoft365
En 2019, les cyberattaques sont devenues la première appréhension des dirigeants d’entreprise. Pas toujours bien informés sur les risques réels et les procédures à déployer pour les contrer, ils peinent souvent à identifier clairement la menace et à mettre en œuvre des dispositifs de sécurité efficaces. Et cela n’est pas très étonnant, d’après une étude du cabinet Accenture de 2019, seulement 25 % des outils de protection sont déployés à l’échelle de l’entreprise.
Au fil des ans, les cyberattaques sont en effet devenues de plus en plus sophistiquées. Elles imposent aujourd’hui de moderniser et d’unifier les systèmes de sécurité. Comment réussir cette transition ? Comment évaluer avec précision le risque cyber et mettre en place les dispositifs nécessaires pour s’en protéger ? Mathieu Moreux, Expert sécurité Microsoft 365, livre des éléments de réponse.
Une recrudescence des attaques
Historiquement, 80 % des attaques étaient relativement classiques et donc facilement traitées par les solutions standards de sécurité. Mais aujourd’hui, 96% des malwares en circulation sont polymorphiques, ce qui leur permet de ne pas être bloqués par les antivirus classiques. Cela signifie que leur signature a été modifiée par les hackers afin de passer à travers les mailles des systèmes de sécurité, qui s’appuient sur des bases de signatures. Pour cela, il suffit simplement de changer une partie du code du virus pour le rendre indétectable. Une opération relativement simple à réaliser et qui rend les antivirus inopérants à coup sûr. En effet, ceux-ci sont conçus pour reconnaître des attaques déjà identifiées.
Lire aussi Sécurité informatique : 7 termes à connaître pour épater votre DSI
Des dommages considérables
À ce jour, le ransomware WannaCry comptabilise à lui seul 300 000 victimes – grands groupes, PME, institutions publiques – à travers le monde, selon Interpol. En 2017, un grand groupe automobile français a subi une attaque WannaCry 2.0 et a dû fermer pendant deux jours de nombreuses usines, avec un préjudice financier très important. Scénario identique pour un autre grand groupe national du secteur du BTP, qui a déclaré 250 millions d’euros de pertes sèches sur ses ventes et 80 millions d’euros sur son résultat d’exploitation suite à l’intrusion du malware NotPetya dans son système informatique. Selon Accenture, la facture d’un incident de ce type s’élève en moyenne à 8,6 millions d’euros par entreprise en France.
Depuis 2017 et ces attaques spectaculaires, les grands groupes sont particulièrement vigilants. Ils sont accompagnés par l’ensemble des acteurs de la cybersécurité en France. Ces entreprises ont aussi la capacité de disposer des moyens humains, financiers et technologiques pour parer les attaques. Ils sont notamment en mesure de réaliser du pen testing : des tests de pénétration. Concrètement, ils recrutent des hackers éthiques pour trouver les failles dans leur système informatique. Mais les concepteurs de ransomwares réussissent, malgré tout, souvent à trouver leur chemin, en utilisant notamment la technique du cheval de Troie.
Lire aussi Joy Chik, l’ingénieure qui voulait supprimer les mots de passe
Attention aux maillons faibles
Nous évoluons dans un monde interconnecté. Les systèmes des grands groupes sont forcément interconnectés avec ceux de leurs prestataires, de leurs clients, de leurs fournisseurs. Et il est beaucoup plus facile pour un hacker de jouer une attaque en rebond via un prestataire, de l’utiliser comme cheval de Troie, plutôt que de s’attaquer directement à une cible bien protégée. Une étude du cabinet Accenture dans laquelle 4 644 responsables de la sécurité d’entreprises (qui réalisent plus d’un milliard de chiffre d’affaires) ont été interrogés, révèle le phénomène. 40 % des attaques touchant les grands groupes passent par leur écosystème. Ainsi, Airbus a essuyé en 2019 une cyberattaque de grande ampleur par le biais de son équipementier Asco. Les hackers ont aussi infiltré le VPN (Virtual Private Network) d’Expeo pour espionner ses conversations stratégiques.
Les attaques ciblent aujourd’hui toute organisation disposant d’un faible niveau de protection. Parmi elles, les acteurs publics sont en première ligne : la ville de Baltimore, par exemple a été la cible d’une attaque en mai 2019. Bilan : 18 millions de dollars de préjudice, l’édile ayant été contraint par le FBI à ne pas payer la rançon. En octobre, le parc informatique de la communauté d’agglomération de Grand Cognac en Charente a été infecté. Tous les dossiers administratifs ont été chiffrés. Même scénario, les responsables refusent de se plier aux demandes des criminels. Ils ont mis un plan de bataille en marche pour récupérer les données auprès de leurs partenaires.
Permettre aux structures fragiles de se protéger
Il apparaît aujourd’hui nécessaire de sensibiliser tous les acteurs de l’écosystème numérique au risque cyber, quelle que soit leur taille. Le Premier ministre, entouré d’un grand nombre d’acteurs du secteur, parmi lesquels Microsoft France, a récemment lancé cybermalveillance.gouv.fr. Cette initiative est destinée à sensibiliser le paysage français à ces risques. Dans ses pages, un grand nombre de conseils et de fiches pratiques. L’objectif est aussi de tordre le cou aux idées reçues. Quand on parle de cybersécurité, on imagine souvent des investissements massifs et des solutions technologiques compliquées… Alors que quelques mesures d’hygiène informatique simples permettent déjà d’apporter un certain niveau de protection.
-
Attention aux mots de passe
C’est un basique : choisir des combinaisons compliquées avec des caractères spéciaux, en changer régulièrement… Cette rigueur peut sembler rébarbative, car on utilise de plus en plus de services numériques. Essayez au moins d’être attentifs pour les plus sensibles d’entre eux ! Pour certains services, par exemple Office 365, vous pouvez même vous authentifier sans mot de passe grâce aux innovations d’Azure AD de Microsoft.
-
Vigilance sur les réseaux sociaux
Les hackers peuvent recourir au social engineering. Concrètement, ils utilisent ce biais pour manipuler leurs interlocuteurs, récupérer leurs crédentités (identifiant + mot de passe) ou réaliser des attaques de type arnaque au président. Une solution simple ? N’acceptez pas l’invitation d’un inconnu.
-
Gare aux emails douteux
Vous ne connaissez pas l’expéditeur d’un email ? Il est truffé de fautes d’orthographes ? Il vous demande d’agir très rapidement ? Alerte rouge. Un conseil : quand un email vous signale par exemple qu’une facture n’a pas été payée, interrogez le service concerné.
Ces quelques mesures simples sont une excellente base, mais elles ne sont pas suffisantes pour garantir la sécurité d’une organisation. En effet, la question aujourd’hui n’est plus de savoir si une entreprise va être attaquée, mais quand elle le sera. La sécurité informatique doit changer de paradigme et devenir proactive afin d’anticiper le risque.
Repenser la sécurité
Aucune solution ne peut se targuer d’offrir une protection à 100 %. En revanche, l’enjeu technologique clé est de détecter les attaques, remonter l’information et y répondre le plus rapidement possible. Débordés, les équipes opérationnelles de sécurité des entreprises ne peuvent apporter de réponse qu’à une alerte sur deux en moyenne aujourd’hui. C’est là qu’interviennent l’IA et le machine learning. Elles permettent à la cybersécurité de changer de paradigme.
Jusqu’à présent, celle-ci fonctionnait on premise, en empilant des couches de sécurité pour garantir une protection renforcée. Seulement tous ces outils ne communiquent pas forcément entre eux. Chacun remonte les alertes de manière indifférenciée. Cela produit beaucoup de bruit pour la DSI, qui les reçoit en très grand nombre. Autre défaut de cette approche silotée : le chemin de l’attaque est très difficile à retracer.
À travers son approche plateforme, Microsoft injecte de l’intelligence pour dé-siloter les solutions de sécurité. Par ailleurs, grâce au machine learning, les systèmes de sécurité échangent des informations et délivrent aux équipes des informations plus complètes.
Concrètement, si Microsoft defender ATP détecte une attaque, l’outil est en mesure de retracer son chemin complet grâce à son intégration avec les autres solutions de sécurité de Microsoft au travers de l’Intelligent Security Graph. Par exemple, il identifie les postes qui ont subi une intrusion et peut retracer, avec Office 365 ATP, son origine si cela provient d’emails qui contenaient une pièce jointe malveillante ainsi que l’ensemble des utilisateurs qui l’ont ouverte et tous les postes infectés. Il met alors ces postes en quarantaine par rapport au reste du système voire supprime de manière automatisée les fichiers infectés. À l’échelle mondiale, Microsoft analyse et corrèle près de 6 500 milliards de signaux de sécurité.
Lire aussi Quels sont les nouveaux défis de la cybersécurité ?
Cloud et Shadow IT : opportunité ou menace ?
Le cloud suscite beaucoup d’interrogations, mais il peut être une solution intéressante pour les entreprises, quelle que soit leur taille. Guillaume Poupard, DG de l’Anssi (Agence Nationale de Sécurité des Systèmes d’Information), encourage d’ailleurs les PME à migrer vers le cloud car celui-ci dispose de fonctionnalités natives de sécurité, comme les mises à jour de sécurité automatiques. À ce titre, Office 365 permet en plus aux entreprises de bénéficier de l’investissement de Microsoft en matière de cybersécurité (1 milliard de dollars par an). L’entreprise analyse en effet 6500 milliards de signaux par an au bénéfice de la sécurité des clients.
Et les collaborateurs des entreprises se sont déjà largement saisis du cloud… sans forcément passer par les procédures réglementaires. Ainsi, 60 % des applications cloud utilisées dans les entreprises sont inconnues des services IT. C’est le shadow IT. Microsoft Cloud App Security, le CASB de Microsoft, permet à la DSI de reprendre la main, d’auditer et de piloter toutes ces applications.
Comment se préparer à l’explosion de l’IoT ?
Selon le cabinet Statista, 51 milliards d’objets connectés seront en service dans le monde en 2023, contre un peu plus de 26 milliards actuellement. Or, ces devices sont les parents pauvres de la cybersécurité aujourd’hui.
Pour protéger les entreprises, Microsoft a mis au point Azure Sphere, la première solution pour protéger les plateformes OT et IoT. C’est un système proactif qui détecte les menaces émergentes et renouvelle en permanence la sécurité des appareils. Il se compose d’une puce et d’un système d’exploitation intrinsèquement sécurisé, disponibles en open source ainsi que d’une connectivité vers le cloud pour assurer des mises à jour de sécurité.
Les points à retenir
> Tous les systèmes d’information sont interconnectés, les attaquants utilisent les plus faibles pour atteindre les plus intéressants.
> Les bonnes pratiques d’hygiène informatique constituent une première ligne de défense déjà efficace.
> La sécurité informatique passe de solutions « on premise » accumulées à des méthodes interconnectées et basées sur la puissance du cloud et de l’intelligence artificielle.
> Le combat de demain : celui de l’OT et de l’IoT.
