Arcas Guillaume

Objet de fantasmes et de débats souvent houleux ou moqueurs, naviguant entre mythes et réalités, l'attribution cyber perd peu à peu son image sulfureuse. Fille naturelle de la Threat Intelligence et du DFIR, de bonnes fées se penchent enfin sur son berceau pour lui donner ses lettres de noblesse.

La sécurité informatique est morte : vive la cybersécurité !

Les pirates des années 90 ont laissé place aux cybercriminels et aux APT, les attaques contre la chaîne logistique numérique (Supply Chain Attack) font la Une des journaux grand public. Des rançongiciels paralysent des hôpitaux en pleine pandémie de la Covid-19, des cyberespions chinois, russes, iraniens ou nord-coréens – bizarrement rarement indiens, et pourtant… – pillent les laboratoires pharmaceutiques de leurs recettes de vaccin.

La réponse aux incidents et son alter ego l’investigation numérique sont des activités plus que trentenaires qui restent ô combien d’actualité – rançongiciels par-ci, APT par-là. Au-delà des (r)évolutions des technologies et des usages – dont le Cloud – leurs fondations ont résisté au temps.

Voici quelques livres, pour certains des incontournables à avoir dans sa bibliothèque, pour d’autres il s’agit de publications récentes qui ont attiré notre attention.

Qu’ont en commun votre voisin, un fermier du Wisconsin, un centre hospitalier normand, les villes de Baltimore, de Johannesburg ou la Louisiane, la société Prosegur ? Tous ont été les victimes de ce qui en moins de dix ans est devenue une des principales menaces cyber : les rançongiciels.

Le Renseignement et l'Analyse de la Menace (RAM, ou, « Threat Intelligence » ou juste « Threat Intel ») consiste à collecter des données relatives à des menaces, les trier, les corréler, les enrichir avant de les analyser dans leur contexte « spatial » - l'entreprise ou l'organisation – et « temporel » - à la date d'un incident par exemple. Mais les données numériques ne sont pas immuables et peuvent changer en l'espace de quelques mois. Comment réaliser une analyse pertinente d'une menace quand on a affaire à des données « mortes » ?

Les honeypots, ces obscurs pièges abscons tendus sur la route des indésirables intrus, sont aux années 2000 ce que les sondes de détection d'intrusion (« IDS » ou Snort) étaient aux années 1990 : au mieux des jouets pour chercheurs en sécurité, au pire des boites noires posées dans un coin du réseau attendant qu'un stagiaire se penche sur les logs ou que l'espace disque se remplisse jusqu'à plus soif. Des évènements récents – WannaCry, NotPetya – semblent avoir cependant redoré leur blason et leur redonnent une nouvelle vie.

Georges Abitbol a beau être le SysAdmin le plus classe du monde, il l’a mauvaise ce mardi matin : son boss vient de l’informer qu’une tête de mort en flamme s’affiche sur la page d’accueil du site de Radio6Planète lancé la veille en grande pompe. Heureusement pour Georges, dans le dernier hors-série de son magazine préféré se trouve un article intitule « Petit cours de R.I.E.N. à l'usage des SysAdmin » qui parle de réponse aux incidents.

Honeypots et réponse aux incidents font bon ménage depuis de nombreuses années. Ce couple qui a fêté ses noces de perle a encore de beaux jours devant lui comme nous nous proposons de le démontrer dans cet article. Nous tenterons de répondre aux questions suivantes : les honeypots, qui sont-ils ? D'où viennent-ils ? Sur quelle étagère vont-ils ?