Rob Ainscough (00:00:00,080 – 00:00:12,400)
Chris Linklater, responsable de la pratique chez Mandiant, a passé sa carrière au cœur même des infrastructures et de la cybersécurité, et dirige maintenant les travaux de réponse aux incidents et de transformation de la sécurité chez Mandiant, une entreprise de cybersécurité de premier plan acquise par Google.
Chris Linklater (00:00:12,400 – 00:00:19,120)
L'aspect « rétablissement » de l'aide apportée à une organisation est en réalité assez intéressant. Il ne s'agit pas seulement de récupérer la technologie existante.
Rob Ainscough (00:00:19,200 – 00:00:24,320)
Dans cet épisode, nous abordons ce qui se passe lorsque l'identité fait défaut et comment la plupart des violations de données commencent réellement.
Chris Linklater (00:00:24,520 – 00:00:29,960)
Cette année, et pour la toute première fois, le vishing, ou hameçonnage vocal, a surpassé l'hameçonnage traditionnel par courriel.
Roy Akerman (00:00:30,040 – 00:00:39,920)
Les attaquants ne procèdent plus comme on le croit. Chris explique comment l'usurpation d'identité est devenue, discrètement, la porte d'entrée la plus facile et la plus difficile à sécuriser totalement.
Chris Linklater (00:00:40,160 – 00:00:51,120)
Il existe plusieurs vecteurs d'entrée initiaux qui reviennent plus ou moins à ce qu'un attaquant se connecte. L'attaquant trouve les identifiants d'une manière ou d'une autre et se connecte.
Roy Akerman (00:00:51,760 – 00:00:55,520)
On connaît tous les clichés : l'identité est le nouveau périmètre.
Rob Ainscough (00:00:55,760 – 00:00:57,440)
Les attaquants ne s'introduisent pas par effraction, ils se connectent.
Roy Akerman (00:00:57,720 – 00:01:03,360)
Oui, mais que se passe-t-il réellement en matière de sécurité des identités et pourquoi ? C'est là que les choses deviennent floues.
Rob Ainscough (00:01:03,920 – 00:01:14,480)
Voilà pourquoi nous avons créé cette émission : « Identity Decoded ». Nous y aborderons en toute franchise les solutions qui fonctionnent, celles qui ne fonctionnent pas, et comment progresser dans le domaine de la sécurité des identités. Je suis Rob.
Roy Akerman (00:01:14,960 – 00:01:16,640)
Je suis Roy. Entrons dans le vif du sujet.
Rob Ainscough (00:01:16,920 – 00:01:17,440)
Faisons le.
Roy Akerman (00:01:23,760 – 00:01:24,560)
Bienvenue, Chris.
Chris Linklater (00:01:24,800 – 00:01:26,240)
Bonjour, merci de m'avoir invité.
Roy Akerman (00:01:26,640 – 00:01:41,920)
Merci de nous avoir accordé de votre temps. Je sais que vous êtes très occupé(e) avec tout ce qui se passe dans le monde, la gestion des incidents à l'ère de l'IA et bien d'autres choses encore. Nous serions ravis d'en savoir un peu plus sur votre parcours et, si vous avez des liens avec votre identité, ce serait encore mieux.
Chris Linklater (00:01:42,280 – 00:01:54,240)
Avant toute chose, merci de m'avoir invité. Je suis un peu jaloux. Votre studio a l'air très confortable, alors que je suis dans mon bureau. La prochaine fois, on se verra en personne.
Roy Akerman (00:01:54,240 – 00:01:55,280)
Dans votre bureau.
Chris Linklater (00:01:55,280 – 00:02:21,200)
Pour vous donner un petit aperçu de mon rôle, je travaille chez Mandiant et je contribue à diriger nos pratiques de remédiation, de réponse aux incidents et d'architecture de sécurité. Concrètement, cela signifie que lorsqu'un incident survient, de nombreuses équipes interviennent : une équipe d'experts en criminalistique numérique tente de comprendre ce qui s'est passé, des équipes juridiques et de communication de crise sont également mobilisées, mais notre rôle principal est de contribuer à contenir l'incident.
Rob Ainscough (00:02:21,440 – 00:02:21,560)
Wow.
Chris Linklater (00:02:22,160 – 00:02:38,720)
Et puis, vous savez, il faut mettre en place ces mesures, ces solutions pratiques que les organisations peuvent appliquer pour que le même problème ait moins de chances de se reproduire. Comme vous pouvez l'imaginer, nous sommes très occupés en ce moment. C'est vraiment passionnant.
Rob Ainscough (00:02:39,040 – 00:02:50,160)
Incroyable ! Comment en es-tu arrivé là ? Ça doit être super stressant de devoir constamment gérer des incidents avec différents clients. Comment as-tu fait pour te lancer là-dedans, Chris ?
Chris Linklater (00:02:50,640 – 00:02:55,760)
Oui. Enfin, je pense que la gestion des incidents, c'est juste de la gestion de projet avec du stress, non ?
Roy Akerman (00:02:57,360 – 00:02:59,280)
C'est vrai. Personne ne l'admet.
Chris Linklater (00:02:59,280 – 00:03:17,040)
Les délais sont très serrés. C'est sans doute vrai pour tout ce qui touche à la cybersécurité, pas seulement à la gestion des incidents. Mais bon, voyez-vous, mon parcours professionnel est dans l'exploitation et l'ingénierie informatique, vous savez ? Alors, après de très nombreuses années dans l'informatique, je me suis retrouvé un peu par hasard à ce poste chez Mandiant. Et c'est vraiment passionnant.
Roy Akerman (00:03:17,360 – 00:03:43,120)
Pour lancer notre discussion, je tiens à souligner un point intéressant : votre rôle ne se limite pas à la protection des organisations victimes de failles de sécurité et de cyberattaques. Vous les accompagnez également lors de la phase de rétablissement, en reconstruisant leur infrastructure pour éviter toute récidive. En d'autres termes, vous les aidez à rétablir la confiance, à reconstruire leurs systèmes et leurs processus.
Chris Linklater (00:03:43,280 – 00:04:53,560)
Oui, l'aspect rétablissement d'une organisation est vraiment intéressant, n'est-ce pas ? On pense souvent à la reconstruction des postes de travail et des serveurs, et c'est effectivement une partie du travail. Mais il y a bien plus que la simple restauration des technologies existantes. Il y a le processus d'accompagnement de l'entreprise pour redémarrer. Et puis, il y a la partie la plus difficile : rétablir la confiance des autres organisations envers celle qui a traversé cette épreuve. Dès qu'une organisation subit un incident, tous ses partenaires commerciaux se déconnectent par mesure de sécurité. C'est tout à fait naturel. Le problème, c'est qu'il n'existe aucune norme prédéfinie quant au moment où l'on rétablit les relations commerciales en toute sécurité. Chaque organisation a son propre seuil de tolérance. Nous accompagnons donc les organisations sur ce point également. Et cela peut paraître la solution de facilité : « Il suffit de nous remettre en marche. » Mais il faut bien réfléchir : est-il sûr de faire affaire avec cette organisation ? Quelles garanties pouvons-nous lui apporter ? Quoi qu’il en soit, il est de nouveau possible de faire affaire avec eux en toute sécurité.
Roy Akerman (00:04:54,000 – 00:05:26,080)
Il y a des idées reçues sur le marché qui pourraient être vraies. Je n'en sais rien. Ce serait intéressant d'avoir votre avis. Dites-nous si vous pensez que c'est vrai ou non. Je sais que Mandiant a aussi un rapport sur les risques, basé sur tout ce que vous voyez. Des milliers d'organisations, des milliers d'incidents. Le premier constat est que les pirates ne s'introduisent pas directement dans leurs comptes. Vous l'avez probablement entendu des milliers de fois. Le second est que 80 % des incidents sont liés à des identités compromises, ou du moins passent par une identité compromise à un moment donné.
Chris Linklater (00:05:26,480 – 00:06:29,040)
Je suis tout à fait d'accord, la première chose qui se produit est indéniable. Chaque année, Mandiant publie un rapport intitulé M-Trends, qui analyse l'année précédente, les tendances et les évolutions, ainsi que les éléments qui restent stables. On constate notamment l'existence de plusieurs vecteurs d'entrée initiaux qui se résument souvent à une simple connexion de l'attaquant. Il peut s'agir d'identifiants réutilisés, volés ou obtenus par hameçonnage. Et pour la première fois, le vishing (ou hameçonnage vocal) a surpassé le phishing traditionnel par e-mail. En résumé, un attaquant trouve les identifiants et se connecte. Les exploits restent la méthode la plus courante. Ils ont longtemps été numéro 1 en termes de méthodes d'intrusion, mais je dirais que la simple connexion les rattrape d'année en année.
Roy Akerman (00:06:29,560 – 00:07:05,680)
La première barrière est franchie, n'est-ce pas ? Nous pensions que le mot de passe suffirait à bloquer les intrus, ou que les pirates seraient de retour. C'est là qu'un incident commence, mais vous n'êtes pas sollicités avant une longue période de propagation et de perturbations au sein du réseau, n'est-ce pas ? Je parie que vous n'êtes pas appelés dès qu'une intrusion a lieu, n'est-ce pas ? Pourriez-vous nous décrire le délai habituel, probablement variable, au sein de la chaîne d'attaque ou de la chaîne de réponse aux incidents, avant que vous et vos équipes ne soyez généralement appelés ?
Chris Linklater (00:07:05,760 – 00:07:44,800)
Plus tôt on intervient, mieux c'est, mais malheureusement, ce n'est généralement pas le cas. La plupart du temps, lorsqu'on est appelé à intervenir, c'est après que l'acteur malveillant a atteint son objectif, qu'il s'agisse d'exfiltrer des données, de causer des dommages ou simplement de mener une opération d'espionnage en restant discret et en observant. En résumé, la plupart du temps, notre intervention a lieu plus tard que prévu, vers la fin du cycle de vie de l'attaque, ou de la chaîne d'élimination, selon la terminologie employée.
Rob Ainscough (00:07:45,120 – 00:08:15,280)
Je suppose que vous allez dire que c'est difficile à décrire, mais vous dites qu'on vous sollicite plus tard que vous ne le souhaiteriez. Est-ce parce que les entreprises ne parviennent toujours pas à détecter et à comprendre ce qui se passe sur leur réseau, dans leurs systèmes ? Ou bien parce qu'elles repèrent des problèmes, mais qu'elles ne réagissent pas assez vite et se retrouvent alors dans une situation où elles ont besoin de votre aide ? Autrement dit, pourquoi est-ce qu'on vous appelle si tard, une fois que l'attaquant a déjà bien avancé dans son action ?
Chris Linklater (00:08:16,400 – 00:09:02,640)
Je pense que beaucoup d'organisations ne réalisent pas qu'elles ont été victimes d'une intrusion avant qu'un incident grave ne survienne. Une attaque destructive en est l'exemple le plus simple, car tout le monde sait qu'une telle attaque fonctionne, n'est-ce pas ? C'est assez évident. Mais on observe de plus en plus d'attaques moins destructives et davantage basées sur l'exfiltration de données. De nombreuses organisations ne se rendent même pas compte que des données ont été exfiltrées de leur réseau avant que des acteurs malveillants ne les publient sur des sites de dénonciation publique de téléchargements abusifs. C'est à ce moment-là qu'elles réalisent : « Il faut d'abord déterminer si nos données ont effectivement été exfiltrées. » Une fois la réponse affirmative obtenue, il faut se demander : « Comment cela s'est-il produit ? » Et c'est souvent à ce moment-là que nous intervenons.
Rob Ainscough (00:09:02,920 – 00:09:47,520)
Et c'est vraiment inquiétant, je trouve, du point de vue de la gestion des identités. Quand je parle à des spécialistes, ils se concentrent souvent sur les éléments les plus critiques, les permissions les plus élevées : les administrateurs de domaine, les administrateurs de sauvegarde, les administrateurs d'hyperviseur, etc. Et c'est super important, n'est-ce pas ? Je ne dis pas le contraire. Mais ce qui est inquiétant, c'est qu'un attaquant pourrait avoir un accès relativement anodin à un ensemble de données, atteindre ses objectifs et réaliser des gains financiers. Et c'est très inquiétant, du point de vue de la gestion des identités, car nous avons parlé précédemment de ce qu'est un accès privilégié. Qu'est-ce qu'un privilège ? Eh bien, il suffit de peu de privilèges pour mener ce genre d'attaque une fois infiltré dans une entreprise. Et c'est vraiment effrayant.
Roy Akerman (00:09:47,840 – 00:10:16,640)
C'est vrai, mais j'essaierais d'aborder le problème sous un autre angle. Il s'agit peut-être de se demander quel est le rôle de la gestion des identités et des accès (IAM) dans la réflexion tactique autour de cette attaque. L'IAM se contente-t-elle de recevoir des ordres de l'équipe de sécurité, ou peut-elle apporter une contribution supplémentaire pour atténuer, voire limiter les dégâts plus rapidement ? Je me demande ce que vous en pensez. Comment cela se traduit-il concrètement ?
Chris Linklater (00:10:17,680 – 00:10:54,880)
Oui, enfin, la question que je me suis posée quand on a constaté une baisse des attaques perturbatrices, tandis que l'extorsion continuait à un rythme similaire, c'était : qu'est-ce qui explique cela ? Et ce qui me revient sans cesse à l'esprit, c'est que les barrières à l'entrée pour voler des données sont très faibles, n'est-ce pas ? Pour reprendre votre idée, si vous avez accès au compte d'un recruteur RH, vous avez probablement accès à une quantité importante de données personnelles. Ce n'est pas un compte privilégié au sens informatique traditionnel.
Rob Ainscough (00:10:55,120 – 00:11:29,680)
Exactement. Et je crois que certaines de ces attaques sont presque intuitives, n'est-ce pas ? Si vous obtenez ou devinez des identifiants, par exemple, pour un fournisseur d'identité cloud lié à de nombreuses applications, et que vous commencez à cliquer un peu partout, vous finirez probablement par accéder à quelque chose d'intéressant, que vous pourrez copier ou exporter dans un fichier CSV généré automatiquement. Et jusqu'ici, vous n'avez rien fait de particulièrement technique, n'est-ce pas ? Le seul obstacle à cette attaque est de posséder un ordinateur et une connexion internet, n'est-ce pas ? Et c'est assez effrayant.
Roy Akerman (00:11:29,840 – 00:11:39,760)
Et c'est pourquoi je pense que les attaquants adorent l'identité, n'est-ce pas ? L'idée est qu'on peut atteindre l'impossible, comme imaginer des pouvoirs sans même exploser ni faire quoi que ce soit.
Rob Ainscough (00:11:40,000 – 00:12:39,280)
Ce qui m'a toujours intéressé dans la gestion des incidents, c'est que nos actions semblaient rarement liées à l'identité. On isolait les hôtes, on modifiait les configurations réseau, on verrouillait les systèmes, on coupait l'accès à certains services, bref, on effectuait des changements majeurs pour l'entreprise, et ce, par tous les moyens sauf l'identité. Même nos outils d'identité, lorsqu'ils sont utilisés pour désactiver ou supprimer massivement des privilèges, s'avèrent assez radicaux ; c'est très déconnecté d'Internet. J'allais utiliser le terme « rural », mais je pense que c'est un peu injuste. C'est l'outil dont on dispose, certes, mais c'est une situation intéressante si l'identité est le principal vecteur : comment pouvons-nous être plus chirurgicaux dans la reprise d'activité ? Car c'est essentiel. Je ne veux pas impacter l'activité plus que nécessaire, mais je dois aussi contenir l'incident. C'est une tension intéressante à gérer.
Chris Linklater (00:12:39,680 – 00:13:45,280)
C'est une situation très tendue, le mot est juste, surtout dans les organisations qui n'ont pas forcément une idée précise de la fonction métier qu'une identité particulière peut ou non remplir. En général, l'identité humaine est idéale car, comme vous le savez, il s'agit d'une identité unique attribuée à un individu. On sait très clairement qui sera impacté si l'on modifie cette identité. Mais lorsqu'il s'agit de comptes de service et d'identités non humaines, la crainte est grande que la désactivation ou la restriction d'un compte n'interrompe une fonction métier. Dans certaines entreprises, cela peut ne pas poser de problème. Mais dans des secteurs comme les systèmes de contrôle industriels, la production ou la santé, la désactivation d'une identité peut potentiellement interrompre un service vital. Dans ces situations, il est évident que plus on dispose d'informations sur les identités présentes dans son environnement, plus la réponse sera ciblée et efficace.
Rob Ainscough (00:13:45,600 – 00:13:46,120)
Je suis d'accord.
Roy Akerman (00:13:46,120 – 00:14:43,360)
Oui, donc nous établissons une sorte de séparation – et n'hésitez pas à me contredire – entre le confinement et le blocage de la capacité des attaquants à se déplacer ou à intensifier leurs actions, n'est-ce pas ? Dans le premier cas, nous prenons une identité compromise et nous essayons de la circonscrire de manière à ce que la machine ou la personne légitime puisse toujours l'utiliser. Ainsi, si des missions critiques sont en cours, elles continueront de fonctionner, mais l'attaquant restera à l'écart, ou du moins son action sera très limitée. Nous essayons donc de contenir l'attaque et d'empêcher sa propagation. D'un autre côté, nous essayons de nous assurer que les prochaines actions de l'attaquant échoueront. C'est peut-être une simplification excessive. J'essaie de résumer cela aux missions pilotées par la gestion des identités et des accès (IAM).
Rob Ainscough (00:14:44,160 – 00:15:35,360)
Ce qui est vraiment intéressant dans ce que vous venez de dire, c'est cette même tension inhérente à la gestion et à la récupération des comptes : que puis-je faire avec ce compte ? Quel impact cela aura-t-il sur l'entreprise ? Et, vous savez, est-ce acceptable ? C'est cette même tension qui vous empêche de mettre en place ces contrôles de manière proactive, n'est-ce pas ? De toucher aux comptes de service parce que vous ne savez pas ce qu'ils font. Vous craignez de compromettre l'activité de votre entreprise en essayant de la protéger. Et cette tension sous-jacente est vraiment intéressante, comme nous le disions. Mais je suis curieux de savoir, du point de vue de l'identité, s'il existe un outil, un levier, quelque chose qui vous permettrait de gérer plus précisément les incidents tout en assurant la continuité de l'activité. De quoi auriez-vous besoin et que la plupart des entreprises ne possèdent pas aujourd'hui ?
Chris Linklater (00:15:35,440 – 00:16:27,040)
Ma liste de souhaits est sans doute toujours très longue. Et comme nous l'avons déjà dit, tous les problèmes de sécurité surviennent le vendredi, pendant les vacances ou juste avant de partir. Une autre vérité universelle, c'est que les organisations qui maîtrisent les bases de la compréhension de leurs actifs, notamment leurs identités, s'en sortent toujours mieux en cas d'incident que les autres. Ce sera toujours vrai. Ainsi, ce que j'espère toujours qu'une organisation possède lorsqu'elle appelle en cas de besoin, c'est une parfaite connaissance de tous ses actifs : leur nombre, les identités associées, les applications qui seraient indisponibles si tel compte de service était désactivé, etc. On ignore souvent l'ampleur des menaces qui existent.
Rob Ainscough (00:16:27,280 – 00:17:32,320)
Oui, je suis tout à fait d'accord. C'est fondamental, tant de manière proactive que réactive, et cela reste un défi pour beaucoup d'entreprises avec lesquelles je discute. De leur point de vue, notamment en matière de contrôle, et concernant la mobilité latérale et la possibilité de se déplacer via l'identité, cette mobilité est souvent limitée par les permissions. L'étendue de ces permissions et leur impact sur la mobilité latérale et verticale au sein de l'environnement sont autant d'éléments à prendre en compte. C'est une situation délicate, car la gestion des permissions est complexe, même dans les meilleures conditions. Il est important de considérer le réseau et son utilisation pour limiter la mobilité et les possibilités de déplacement. Le concept de réseau comme vecteur de mobilité s'applique également à la gestion de l'identité. Comment mettre en place des mécanismes permettant de définir les conditions d'utilisation et les modalités de déplacement d'une identité ? C'est un facteur clé pour une gestion efficace et ciblée de ces problèmes d'identité.
Roy Akerman (00:17:33,280 – 00:18:02,400)
Je crois que vous parlez de leviers dans une situation donnée, n'est-ce pas ? Nous avons un système compromis qui présentait probablement plusieurs points d'accès pour les attaquants, des vulnérabilités, des erreurs de configuration, etc. En tant qu'intervenant, vous souhaitez obtenir un contrôle total sur chaque identité et décider, en quelque sorte, d'intervenir et de déterminer si une action est autorisée ou non, quelle que soit la conception du système.
Chris Linklater (00:18:03,600 – 00:18:39,240)
Oui, on utilise souvent ce terme : la segmentation réseau sans segmentation d'identité est fondamentalement inutile, n'est-ce pas ? C'est l'identité qui permet de franchir la frontière, et non pas de bloquer un protocole spécifique entre deux centres de données. En réalité, il faut pouvoir se connecter de manière universelle sur ces deux centres de données. Donc, encore une fois, si vous ne segmentez pas l'identité, le travail de segmentation réseau effectué n'est pas forcément vain, mais il est certainement moins efficace que si vous combinez ces deux concepts.
Roy Akerman (00:18:39,680 – 00:18:50,800)
Je m'intéresse aux points communs, ou du moins aux tendances que vous observez entre les organisations. Quelles sont les lacunes de ces organisations, ou du moins de beaucoup d'entre elles, en matière d'identité, lacunes que les attaquants exploitent ensuite ?
Chris Linklater (00:18:51,200 – 00:19:55,680)
Vous savez, la chose la plus importante, ou peut-être pas la plus importante, mais certainement une tendance croissante que nous observons de plus en plus, c'est la capacité à contrôler les groupes. Les organisations créent constamment des groupes pour leurs identités. Ce groupe de personnes peut effectuer telle ou telle action. Ce groupe d'identités peut réaliser telle ou telle action. Mais ce qu'elles négligent souvent, et cela paraît pourtant évident, c'est qui peut contrôler le contenu du groupe. On constate fréquemment que des comptes disposant de privilèges limités, comme celui d'un administrateur de support technique, peuvent ajouter un compte au rôle d'administrateur de domaine. Les groupes sont parfaitement configurés, les permissions sont déléguées comme il se doit, mais comme vous n'avez pas défini qui peut manipuler les appartenances aux groupes, vous vous retrouvez dans une situation délicate. Ce problème ne se limite pas aux groupes de fournisseurs d'identité traditionnels. On le rencontre également fréquemment au sein des systèmes de gestion des accès privilégiés.
Rob Ainscough (00:19:55,840 – 00:20:51,600)
Entièrement d'accord. J'ai vu ça de mon côté. Et croyez-moi, c'était un vrai casse-tête ! On a commencé par examiner toutes les délégations dans notre Active Directory, puis on est passés au cloud pour vérifier qui était autorisé à réinitialiser un mot de passe pour le compte d'une autre personne. Combien de personnes ? C'était bien plus que ce qu'on aurait souhaité à l'époque, et ça concernait beaucoup de comptes différents. Parce que, vous savez, si un compte d'assistance peut réinitialiser n'importe quel autre compte privilégié, alors par défaut, n'importe quel compte est considéré comme privilégié. Qui a les autorisations pour ajouter un groupe privilégié à un compte ? Quelles sont les restrictions ? C'est un travail de longue haleine, mais tellement important. Pourtant, je ne vois pas beaucoup d'entreprises qui en parlent ou y réfléchissent, parce que c'est un problème tellement complexe qu'il est difficile à appréhender. Mais c'est crucial pour la gestion des risques.
Roy Akerman (00:20:51,600 – 00:21:08,400)
Quelle est la meilleure pratique ? Du point de vue de la sécurité, je crois avoir vu quelqu'un battre un record. Il s'agissait d'une entreprise de quatrième génération, disons du Fortune 20. Oui, il y a quelque chose comme ça, avec plusieurs centaines de milliers d'employés et autant de groupes, ce qui paraît fou, non ?
Rob Ainscough (00:21:08,400 – 00:21:56,320)
Ce qui est difficile, c'est que ce n'est pas inhabituel. Et puis, les gens sont surpris quand ils disent : « Oh, il y a eu une modification imbriquée et soudain, on découvre toutes ces permissions dont on ignorait l'existence, et on a de la chance de l'avoir trouvée. » Et là, on se dit : « Ce n'est pas… Ce n'est pas la priorité, n'est-ce pas ? C'est trop complexe. C'est le fruit de 25 ou 30 ans d'activité. On a trop peur d'y toucher, de peur de tout casser. » Mais alors, à quoi se rabattre ? Parce que, vous savez, si ça ne marche pas et qu'on a des comptes privilégiés avec authentification par nom d'utilisateur et mot de passe, des permissions statiques toujours activées… Pour moi, c'est la pire combinaison possible : un contrôle des permissions laxiste et des comptes faciles à exploiter, non ? C'est dangereux.
Chris Linklater (00:21:56,880 – 00:21:57,440)
Absolument.
Rob Ainscough (00:21:57,440 – 00:22:00,000)
Est-ce là la faille exploitée ? Est-ce ce que recherchent les attaquants ?
Chris Linklater (00:22:00,920 – 00:22:32,080)
Tout le temps, n'est-ce pas ? Et cela vient souvent du fait que de nombreuses organisations ont une mentalité axée sur la conformité. La conformité peut exiger un contrôle d'accès basé sur les rôles pour une application, et le moyen le plus simple d'y parvenir est de créer des groupes de rôles, n'est-ce pas ? Mais encore une fois, ce contrôle de conformité ne prévoit aucune étape supplémentaire pour s'assurer qu'un processus d'audit continu permette de garantir que personne n'occupe un rôle inapproprié. On se contente d'exiger le contrôle d'accès basé sur les rôles.
Roy Akerman (00:22:32,720 – 00:22:36,400)
Oui, donc nous avons un réseau complexe là-bas.
Rob Ainscough (00:22:36,720 – 00:22:52,720)
Si vous réfléchissiez à… l’identité et aux recommandations que vous faites à vos clients après ces événements, quels sont les trois points essentiels que vous leur conseillez et qu’ils doivent absolument maîtriser ?
Chris Linklater (00:22:53,600 – 00:22:58,720)
Nous préférons donc utiliser le terme de modernisation de l'identité.
Rob Ainscough (00:22:59,080 – 00:22:59,200)
Bien.
Chris Linklater (00:22:59,880 – 00:23:10,160)
Beaucoup d'organisations conservent la même structure d'identité fondamentale qu'auparavant. On plaisante souvent en disant que certains fournisseurs d'identité sont assez vieux pour acheter de la bière.
Roy Akerman (00:23:11,920 – 00:23:12,920)
Et c'est vrai.
Chris Linklater (00:23:14,080 – 00:24:03,440)
Il nous faut donc revoir cette question. Il ne s'agit pas seulement d'examiner les fournisseurs d'identité, mais aussi notre approche de la segmentation des identités. Devons-nous abandonner les fournisseurs d'identité traditionnels au profit de solutions plus modernes, qu'il s'agisse d'une identité basée sur le cloud ou d'une identité hybride ? Cela nous offre une plus grande flexibilité pour faire évoluer notre activité. Nous essayons d'intégrer tout cela dans le concept de modernisation. La gestion des identités et des accès restera indispensable pour toutes les organisations, mais il est clair que nos systèmes actuels, en place depuis 20 à 25 ans, ne fonctionnent plus. Vers quoi devons-nous nous tourner pour optimiser nos chances de prévenir les incidents au sein de notre environnement ?
Rob Ainscough (00:24:03,520 – 00:24:50,800)
Oui, et je pense que la cohérence est un point essentiel, qu'il faut instaurer une certaine égalité en matière d'identité. En effet, je constate souvent que les organisations sont bien plus robustes dans le cloud que sur site, ou qu'elles sont plus performantes chez un fournisseur de cloud que chez un autre. Et je crois que, de mon point de vue, c'est précisément ce que recherchent les attaquants : les incohérences, le point faible, la vulnérabilité. Moderniser, gagner en cohérence et la renforcer, notamment en ce qui concerne l'identité, est un sujet que j'aborde fréquemment, car je pense que c'est sans doute l'élément le plus important pour se défendre contre ce type d'attaques.
Chris Linklater (00:24:51,120 – 00:25:12,200)
Oui, je suis entièrement d'accord. Et je pense que le moyen le plus simple d'identifier les problèmes de cohérence de votre sécurité est de faire appel à une équipe d'experts en sécurité informatique. Ils interviendront et vous montreront très rapidement vos failles. De plus, c'est nettement moins coûteux qu'une réclamation d'assurance cyber. Nous encourageons donc vivement les organisations à opter pour cette solution.
Roy Akerman (00:25:12,200 – 00:25:38,400)
Avant d'aborder les leçons que nous avons tirées, j'aimerais changer un peu de sujet. Quand on parle de l'évolution vers l'IA et des modèles d'IA à notre service, en tant qu'attaquant ou défenseur, avez-vous déjà été confronté à des modèles d'IA dans le cadre d'attaques auxquelles votre équipe devait faire face ? Autrement dit, avez-vous déjà combattu un modèle ou des actions basées sur un modèle ?
Chris Linklater (00:25:38,760 – 00:26:05,960)
Je ne pense pas que nous y soyons encore tout à fait, mais je crois que ça ne saurait tarder. L'introduction de l'IA dans ce débat entre attaquants et défenseurs nous oblige surtout à prendre conscience de l'importance cruciale de maîtriser les fondamentaux, car le temps de réaction sera compté. En réalité, l'IA nous force à accélérer ce que nous pouvions négliger par le passé.
Rob Ainscough (00:26:06,000 – 00:26:42,640)
Je suis entièrement d'accord. Cela va mettre au jour toutes ces choses dont nous ne sommes pas vraiment fiers et qui se sont passées ces 25 ou 30 dernières années. Vous savez, ce que nous appelons notre héritage, nous ne pouvons pas l'oublier. Ce ne sont plus des héritages s'ils sont utilisés par l'entreprise et contribuent à son succès, n'est-ce pas ? Ils font peut-être partie de notre héritage. Nous ne les apprécions peut-être pas, mais ils ne constituent pas un héritage pour l'entreprise. Ils sont importants pour elle. Et c'est là, je pense, que nous devons combler ce fossé en termes de modernisation. Ce n'est pas si simple. Mais comment consolider des choses comme… Active DirectoryN'est-ce pas ? Sans dire : « Oh, je vais migrer vers le cloud, mais ça va me prendre cinq ans. » Et au milieu de tout ça, je vais simplement prendre ce risque.
Roy Akerman (00:26:42,640 – 00:27:27,360)
Je crois que mon commandant dans l'armée avait coutume de dire : « Pour certains, vous n'êtes pas prêts et vous n'avez pas le temps, n'est-ce pas ? » Et je pense que parfois, il faut se réinventer et prendre des mesures novatrices pour accélérer notre préparation. Parfois, on ne peut pas restructurer, harmoniser et assurer la cohérence. Parfois… il faut agir vite pour être prêt à toute éventualité. Ainsi, le protocole d'intervention sera bien plus efficace et permettra aux Mandiants de nous sauver la vie ou de comprendre notre mission. Au moins, nous pourrons réagir correctement. Et je pense qu'il est temps de poser des questions à la volée. Je suis sûr que Chris y est habitué, n'est-ce pas ? Il doit répondre à des questions urgentes.
Rob Ainscough (00:27:27,880 – 00:27:34,880)
À l'improviste, sans préparation. Alors, on commence. Quel est un mythe identitaire parmi d'autres ?
Chris Linklater (00:27:36,200 – 00:28:15,880)
C'est une question complexe. Je pense qu'un mythe tenace concernant l'identité numérique est de croire qu'il existe une politique de mots de passe unique et universelle. On nous demande constamment : « Quelle devrait être ma politique de mots de passe ? » C'est une excellente question. Mais la réponse n'est pas la même pour toutes les organisations. Et je pense que beaucoup aimeraient avoir une réponse simple à cette question. Mais je crois que le mythe réside justement dans cette idée de simplicité. En réalité, chaque organisation doit analyser ses propres besoins et définir son identité numérique et ses politiques en fonction de son modèle de menaces et de ses objectifs.
Rob Ainscough (00:28:16,240 – 00:28:22,000)
Je suis entièrement d'accord. Alors, deuxième question : quelle est l'erreur la plus fréquente des dirigeants ?
Chris Linklater (00:28:22,480 – 00:28:34,080)
Je crois que l'une des choses que je commence à observer, c'est que les organisations ont consacré les cinq dernières années à sécuriser l'identité humaine.
Rob Ainscough (00:28:34,160 – 00:28:34,440)
Droite.
Chris Linklater (00:28:35,080 – 00:29:08,280)
Et nous avons fait de gros progrès. Nous avons l'authentification multifacteur (AMF). La première version n'était peut-être pas idéale. Nous avions une AMF basée sur la pression. Deux aspects n'ont pas fonctionné correctement. Mais nous avons retenté l'expérience et nous avons obtenu d'excellents résultats. L'identité humaine, même si elle n'est peut-être pas parfaite, est nettement mieux prise en compte. Cependant, toute l'attention portée à l'identité humaine a, à mon avis, détourné l'attention de l'identité non humaine. Et je pense qu'au sein d'une organisation, ces deux aspects doivent être traités avec la même importance.
Rob Ainscough (00:29:09,040 – 00:29:26,720)
Oui, je suis d'accord. Je vois différentes entreprises qui privilégient l'un ou l'autre, et probablement même qui surpondèrent l'un ou l'autre. Et je pense qu'il est vraiment important de trouver le bon équilibre, car il existe différentes méthodes qui seront utilisées, mais les deux sont importantes. Ce sont deux pistes potentielles. Alors, la prochaine question : quelle est la dure réalité ?
Chris Linklater (00:29:27,320 – 00:30:06,480)
Je crois que la vérité la plus difficile à accepter aujourd'hui est que nous n'avons aucune idée de l'évolution de la situation face à l'attaque et à la défense, ni de l'intelligence artificielle et de l'IA. Nous ignorons tout simplement à quoi cela ressemblera. Il y aura probablement des moments difficiles, mais aussi de grandes réussites. La situation sera probablement fluctuante. Mais la dure réalité, c'est que nous ne savons tout simplement pas où cela nous mènera en tant qu'industrie dans deux à cinq ans. Et je pense que quiconque prétend pouvoir prédire avec exactitude où nous en serons avec l'IA dans deux à cinq ans est probablement très sûr de lui, mais je ne serais pas aussi confiant en sa réponse.
Rob Ainscough (00:30:06,880 – 00:30:11,760)
Oui, je crois que la seule certitude, c'est l'incertitude. Donc je pense que vous avez tout à fait raison.
Roy Akerman (00:30:11,840 – 00:30:13,840)
Nous devrions profiter de nos journées maintenant, n'est-ce pas ?
Rob Ainscough (00:30:15,320 – 00:30:20,120)
Profitez-en tant que c'est bon. Et Roy, pour finir, tu veux bien nous servir la dernière ?
Roy Akerman (00:30:20,120 – 00:30:25,440)
Celle que je préfère, c'est : « Donnez-nous une tendance que vous jugez surmédiatisée. »
Chris Linklater (00:30:25,760 – 00:31:04,360)
Beaucoup de choses sont surmédiatisées, et notre secteur a une fâcheuse tendance à exagérer. J'ai donc l'impression que le contexte actuel regorge de cibles potentielles. Mais un sujet dont parlent de plus en plus d'organisations, et qui ne correspond pas à leur modèle de menaces, c'est la cryptographie post-quantique. Je pense que nous y parviendrons collectivement, en tant qu'industrie. Nous finirons par accéder à un monde de cryptographie post-quantique. Et je crois que beaucoup d'organisations consacrent leur temps à réfléchir à la manière de résoudre ce problème, alors qu'elles pourraient utiliser des opportunités bien plus faciles à saisir pour améliorer leur politique de sécurité.
Roy Akerman (00:31:05,000 – 00:31:05,600)
Intéressant.
Rob Ainscough (00:31:05,920 – 00:31:06,080)
Oui.
Roy Akerman (00:31:06,080 – 00:31:29,440)
Génial. Enfin, c'est un problème, certes, mais il y a des problèmes bien plus urgents. Sur ce, Chris, nous tenons vraiment à vous remercier d'avoir été notre invité aujourd'hui. Nous avons beaucoup apprécié cette conversation et je pense qu'elle nous a été très utile. Nous devons nous préparer à la prochaine guerre, en tant qu'IAM et en tant que forces de sécurité, main dans la main, marchant vers le soleil. Voilà, et sur ce, merci beaucoup.
Chris Linklater (00:31:30,640 – 00:31:31,840)
Eh bien, merci de m'avoir invité.
Rob Ainscough (00:31:32,520 – 00:31:34,880)
C'est tout pour cet épisode d'Identity Decoded.
Roy Akerman (00:31:35,120 – 00:31:41,280)
Si cette conversation a changé quoi que ce soit dans votre façon de penser à la sécurité de l'identité, partagez-la avec quelqu'un qui rencontre les mêmes difficultés.
Rob Ainscough (00:31:41,520 – 00:31:44,880)
Et n'oubliez pas de suivre l'émission pour ne rien manquer de la suite.