Guide de survie pour les OIV

Par définition, le survivalisme est un terme qui désigne les activités de certains groupes qui veulent se préparer à une catastrophe locale ou globale

dans l’avenir. Dans ce sens, la Loi de la Programmation Militaire, abrégée LPM, appliquée à la sécurité informatique, a pour but de préparer les

organismes d’importance vitale (OIV) à une éventuelle cyber-apocalypse.

Adoptée en décembre 2013, la Loi de Programmation Militaire est une loi nationale visant à établir un budget pour les 6 prochaines années des

dépenses de l’état en matière militaire. De plus, la LPM impose aux OIV de nouvelles obligations en matière de cybersécurité pour survivre face aux

attaques informatiques (nous en avions parlé brièvement dans l’article « NIS : L’Europe se dote d’un plan de bataille contre le piratage informatique »).

Même si nous applaudissons la démarche de l’Union Européenne avec la directive « Network and Information Security », la France avait déjà ouvert

le chemin pour la protection des infrastructures critiques en 2008 avec un Livre blanc sur la Défense et la sécurité nationale publié par le Président de

la République. Ce moment marquant pour la cybersécurité française nous a distingué comme étant le premier état à traiter ce sujet comme un domaine

de souveraineté nationale (c’est à dire que les représentants de l’Etat détentes l’autorité suprême).

Un an plus tard, l’Agence Nationale de Sécurité des Systèmes d’Informations (ANSSI) a été créé, dans l’intérêt de mettre en application au niveau

opérationnel les recommandations fai

tes dans le livre blanc et, plus tard, celles de la LPM. C’est pour cette raison qu’en 2015, l’ANSSI a déterminé les 200 organisations identifiées par

l’état comme ayant des activités d’importances vitales et soumises à des contraintes particulières. Les décrets publiés dans la même période ont

augmenté non seulement les responsabilités des OIV en matière de sécurité informatique, mais aussi les exigences concernant les prestataires de

services et les éditeurs de logiciels informatiques.

Malgré que la liste des OIV reste confidentielle, nous savons qu’elle concerne de nombreux secteurs d’activité. C’est pourquoi l’Agence Nationale

s’est lancé dans une démarche d’ajustement des contraintes règlementaires en fonction de chaque domaine d’activité. Ce travail vient de se concrétiser

cette année avec le premier texte publié au 1er juillet concernant les techniques de survies pour les OIV (lire sur le Journal Official), ayant pour cible

les secteurs « de la protection des citoyens » : l’eau, la santé et l’alimentation.

Ces trois types d’organismes sensibles se doivent de localiser les régions critiques au sein de leur réseaux informatique – c’est à dire, les systèmes

d’information dont un cyber-attaque peux avoir un impact dommageable sur la société. Guillaume Poupard, directeur général de l’ANSSI a indiqué

qu’un deuxième texte devrait faire son apparition à la rentrée.

Voilà en quelques points le guide de survie dans l’environnement cyber pour les secteurs susmentionnés :

Identification du SIIV (système d’information d’importance vitale) et enregistrement à travers un dossier et un audit mené par un fournisseur

des services ou des logiciels certifié ANSSI (dossier valable pour une durée de 3 ans) ;

Création d’une cartographie du système d’informations ;

Mise à jour des outils informatiques ;

Mise en place des outils adaptés pour la gestion de logs, en corrélation avec un système de corrélation et d’analyse des logs ;

Mise en place des protocoles et des solutions capables de détecter les incidents informatiques à travers une analyse de flux de données ;

Désignation d’un service de permanence en lien avec l’ANSSI ;

Mise en place des protocoles et des solutions capables de contourner ou éviter les attaques informatiques ;

Connaissance des politiques d’authentification et concernant les droits d’accès.

Si les réseaux informatiques des secteurs identifié dans ce premier texte étaient victimes d’une cyberattaque, les conséquences pour la France

pourraient être dramatiques. C’est pourquoi ITrust, société expert en conseil informatique et éditeur de solutions s’engage à accompagner les OIV et

à leur apprendre les techniques de survie appropriées à leur type d’activité.

Lien :

https://www.itrust.fr/guide-survie-pour-les-oiv

Alors, par où commencer ? Eh bien, d’abord, pour un effet plus dramatique, enfilez votre costume d’Iron Man.

Ensuite, essayez de définir clairement votre situation. Avez-vous simplement besoin de détecter les utilisateurs

compromis ou bien craignez vous d’être attaqué ? De toute façon, un cas d’utilisation spécifique doit être

développée. A partir de là, les données nécessaires pour résoudre le problème doivent être identifiées. Si vous

chassez des menaces persistantes avancées il va alors falloir rechercher les informations en ce qui concerne les

infrastructures de sécurité et de réseau existantes. Assurez-vous de combiner plusieurs sources (pas

nécessairement plus, juste diversifiées) pour obtenir une vue à 360 ° de l’activité de vos utilisateurs. Si votre

appareil d’analyse d’apprentissage est multidimensionnel, vous devriez être capable d’attraper des log iciels

malveillants au début de la kill-chain et de repérer des anomalies telles que l’escalade de privilèges, le

mouvement latéral, l’exfiltration de données, etc.

Enfin, soyez patients. La tâche essentielle de l’apprentissage automatique étant de reproduire et de prédire, il

faut du temps. Le système a besoin de recueillir suffisamment de données et de nourrir ses moteurs d’analyse

comportementale afin de parvenir à une classification précise entre les comportements normaux et anormaux.

A partir d’un échantillon de bon code et l’un de mauvais code, la ML est en mesure de les filtres à l’aide

d’algorithmes statistiques et, à travers de multiples itérations, elle apprend lentement à distinguer entre les deux.

Nous disons « lentement », mais il est en fait incroyablement rapide par rapport aux technologies du passé : les

menaces connues sont identifiées presque instantanément à l’aide de bases de connaissances existantes, alors

que dans le cas de menaces inconnues, il est une question de jours (1 semaine avec Reveelium, lire notre

article ici). Mais rappelez-vous – il y a des comportements que nous ne connaissons toujours pas et, en tant que

tel, nous ne pouvons pas les enseigner au système. En outre, alors que les logiciels malveillants peuvent être

prédit de cette façon avec un haut degré de probabilité, c’est toujours l’homme portant le costume d’Iron Man

qui a le dernier mot en la matière.

Liens :

https://www.reveelium.com/fr/big-question-in-cybersecurity/

https://www.itrust.fr/la-big-question-du-big-data/