La cybersécurité en 2023: vers une amplification de phénomènes connus mais aussi quelques émergents

Article
Par · 05/12/2022

Période de fin d’année oblige, voici revenir la saison des prédictions de la part de sociétés de consultance ou de sociétés spécialisées dans l’une ou l’autre thématique. Parmi elles, la cybersécurité.

Le SANS Institute vient ainsi de publier ses propres cyber-prévisions. Au-delà des tendances qui selon lui se marqueront du côté du type d’attaques (regain de rançongiciels, attaques plus performantes visant les mécanismes d’authentification multi-factorielle, traqueurs camouflés dans les applis téléchargeables sur les “stores”…), l’Institut se penche sur l’évolution (anticipée ou souhaitée) des formations en matière de cybersécurité. Celles destinées aux professionnels mais aussi, de ma mère plus large, au grand public.

Voici ce qu’on peut lire: “Les organisations [entreprises et organismes publics ou associatifs] doivent passer à l’attaque pour réduire le déficit en cyber-qualifications.

Les cyber-professionnels doivent réduire le déficit en qualifications pour comprendre ce que les hackers exploitent et pourquoi. L’année prochaine, nous verrons des formations plus offensives se concentrer davantage sur la recherche de menaces dans le but d’améliorer le délai entre la recherche et la détection.

D’autres formations étudieront les points d’extrémité et le trafic réseau afin de détecter les anomalies pour empêcher les attaques de causer des dommages. Cela sera d’autant plus important que la surface d’attaque s’élargit avec le maintien du personnel hybride.

Parallèlement, les organisations ne seront pas en mesure d’embaucher du personnel pendant la récession. Elles devront mieux former leur personnel et lui permettre de se recycler pour se défendre contre les attaques.

À ce titre, nous constaterons également une augmentation du “purple teaming” [voir définition ci-dessous], permettant aux professionnels de la sécurité de s’exercer entre eux aux tests de pénétration afin de découvrir les dernières cyberattaques et de s’en défendre.”

Qu’entend-on par “purple teaming”? Dans la sensibilisation des équipes d’une entreprise aux menaces cyber qui la guette, mais aussi pour l’identification des faillies et faiblesses de l’infrastructure et/ou des procédures, l’une des techniques consiste à faire s’opposer une équipe “rouge” (qui jouent le rôle des “méchants”) et une équipe “bleue” (défense). L’équipe “rouge” est généralement externe à la société – un service proposé par exemple par une société spécialisée en “hacking éthique”, chargée d’identifier des vulnérabilités, de procéder à des tests et tentatives de pénétration…
L’équipe bleue, elle, est constituée de membres du personnel de l’entreprise.
Le “purple teaming” peut se faire selon deux scénarios. Soit en instaurant et suscitant une communication optimale, régulière, transparente entre les rouges et bleus. Soit en constituant une véritable troisième équipe, de couleur violette qui aura pour mission (limitée dans le temps) de surveiller et rendre l’exercice d’attaque “pour du faux” le plus efficace et pertinent possible, en veillant à ce que les deux autres équipes remplissent précisément le rôle qu’on attend d’elles.

Orange Cyberdefense, la filiale d’Orange, a lui aussi publié un rapport, en mode bilan. Baptisé Security Navigator 2023, ce rapport, qui se base sur les statistiques émanant des quelque 17 SOC et 13 CyberSOC du groupe, donne une image globale de la situation cybersécuritaire des entreprises. Parmi les phénomènes méritant d’être plus particulièrement, celui d’une augmentation sensible du nombre d’incidents, toutes cibles confondues. Avec une recrudescence des attaques visant les PME (t’optent dans cette catégorie, selon la définition qu’en fait Orange Cyberdefense, les sociétés employant moins de 1.000 personnes): “Les petites entreprises”, relève le rapport, “sont 4,5 fois plus nombreuses à être victimes de cyber-extorsion que les moyennes et grandes entreprises réunies”. Vu la taille de ces dernières, elles demeurent en “valeur” la proie numéro un mais “49% des incidents, soit une augmentation de 10 points par rapport à 2021, visent les TPE et PME”.

Et l’impact sur elles peut être nettement plus vital que pour les grandes entreprises. “Le coût moyen d’une fuite de données étant estimé à 1,9 million de dollars pour les entreprises de moins de 500 employés, les vulnérabilités font courir un risque de faillite à de nombreuses PME.”

Autre constat intéressant – qui peut d’ailleurs passé pour alarmant – figurant dans le rapport d’Orange Cyberdefense: l’origine ou la cause des attaques et vulnérabilités. Le facteur humain, qu’il s’agisse de procédures mal gérées mais aussi, dans une proportion non négligeable, de malveillance, demeure une cause majeure.

“Près de la moitié (47 %) de l’ensemble des incidents de sécurité détectés sont provoqués par des acteurs en interne, délibérément ou accidentellement.

Le phénomène semble toucher plus spécifiquement certains secteurs: “dans le secteur industriel manufacturier, 58% des incidents trouvent leur origine en interne, affirme le rapport. Le pourcentage pousse même à 64% dans le secteur du transport et de l’entreposage, et à 66% dans l’administration publique…