À bien des égards, l’année écoulée nous a réservé une succession de coups durs : la pandémie de COVID, le ralentissement économique, les suppressions d’emplois et, pire encore, la perte de trop nombreuses vies. Heureusement, de nombreux éléments du système américain ont fait preuve d’une relative résilience face à ces revers. Au cours de cette même période, plusieurs incidents majeurs de cybersécurité se sont produits, certains de faible ampleur et d’autres ayant davantage fait la une des médias. La faille de SolarWinds a servi d’électrochoc à la communauté de la cybersécurité : la compromission d’une chaîne d’approvisionnement logicielle a touché non seulement la victime initiale, mais aussi toutes les entreprises et agences fédérales utilisant ses logiciels. Les services informatiques ressentent encore les effets de cette attaque et continuent d’en évaluer les dommages, ce qu’ils feront encore pendant un certain temps. Bien que cette attaque ait fait parler d’elle au-delà de la communauté informatique, ses conséquences ont été très peu ressenties par les consommateurs. Elle s’est toutefois révélée annonciatrice d’une autre attaque qui allait non seulement toucher le secteur technologique dans son ensemble, mais aussi affecter directement la population américaine. La faille de Colonial Pipeline a montré à quel point nos systèmes sont vulnérables et combien une attaque peut perturber à grande échelle la société américaine. Je le sais bien : samedi dernier, je cherchais de l’essence…
Le décret présidentiel du 12 mai sur l’amélioration de la cybersécurité nationale présente une approche à plusieurs volets visant à atténuer ce type d’attaques. Comme expliqué ci-dessous, toute défaillance dans la capacité à détecter et à signaler les menaces, à mettre en œuvre des mesures de protection en temps utile et, en définitive, à se défendre contre ces menaces peut avoir un effet en cascade et compromettre leur neutralisation. En d’autres termes, il suffit aux attaquants d’avoir raison une seule fois. Les professionnels de la cybersécurité, eux, doivent avoir raison à chaque fois.
L’importance critique du Zero Trust
Le concept de Zero Trust existe depuis un certain temps. Le gouvernement fédéral a principalement découvert le Zero Trust dans le cadre du programme de modernisation TIC 3.0, qui repose fondamentalement sur ce modèle. L’initiative TIC 3.0 a vu le jour afin de permettre aux agences fédérales d’héberger des données et des services fédéraux en dehors de leur périmètre de sécurité, par l’intermédiaire de services cloud. Malheureusement, la sécurisation des données sensibles échangées entre les fournisseurs de services cloud et les agences n’a pas permis d’atteindre un seuil de risque acceptable, ce que souligne le récent décret présidentiel.
Le gouvernement fédéral doit être en mesure d’obtenir des données sur les menaces auprès de ses partenaires afin de rester informé des dernières menaces de sécurité. Avec la SP 800-207, le NIST a fait un grand pas en avant pour définir ce que le modèle Zero Trust devrait signifier pour le gouvernement fédéral.
La visibilité est plus importante que jamais
De nombreuses administrations et entreprises présentent encore des angles morts au sein de leur dispositif de cybersécurité. Si les attaques ne sont pas visibles, elles ne peuvent être ni détectées, ni signalées, ni atténuées. La visibilité est devenue un enjeu encore plus important en raison de la généralisation du protocole SSL/TLS dans des parties du réseau traditionnellement considérées comme sécurisées ou internes, du fait de la nécessité de chiffrer toutes les transmissions de données. En outre, la visibilité est essentielle au bon fonctionnement du modèle Zero Trust, car le point d’application des politiques Zero Trust (PEP) doit disposer de toutes les données nécessaires pour déterminer correctement si l’accès doit être autorisé ou non.
L’importance du signalement, de la surveillance et du partage des renseignements sur les menaces
La visibilité sur les menaces est essentielle à leur détection. Viennent ensuite, par ordre de priorité, leur signalement, leur surveillance et la capacité à partager les renseignements sur les menaces. Un partage adéquat de ces renseignements permet de confirmer éventuellement l’existence d’une menace ou d’évaluer la gravité du risque qu’elle représente. Plus important encore, il fournit aux analystes en cybersécurité toutes les données nécessaires pour quantifier une nouvelle menace.
Des initiatives telles que le CDM sont en cours depuis un certain temps afin de favoriser la consolidation et le signalement des données sur les menaces. Certains processus et certaines méthodes de collecte de renseignements sur les menaces sont très loin de respecter les normes requises, notamment parce que d’importants angles morts subsistent dans certains réseaux. Cela entraîne un effet en cascade sur l’ensemble du dispositif de protection en matière de cybersécurité. En définitive, les équipes de cybersécurité doivent avoir une visibilité sur l’ensemble des transactions et des données, du client à l’application, afin de fournir les évaluations les plus pertinentes possible des menaces potentielles. Le partage sans entrave des renseignements sur les menaces doit être assuré au sein de l’écosystème des partenaires fédéraux. Le partage de ces renseignements est également essentiel pour détecter les menaces pesant sur la chaîne d’approvisionnement logicielle.
L’agilité en matière de sécurité gagne en importance
De nouvelles menaces apparaîtront sans aucun doute et amèneront les équipes de cybersécurité à déployer des mesures de protection supplémentaires ou inédites. La question est de savoir à quelle vitesse ces équipes peuvent mettre en place ces protections de manière sécurisée et sans perturber les activités. De toute évidence, la capacité à détecter les menaces et à faire preuve d’agilité est désormais essentielle à la mission de protection. L’informatique connaît une transformation majeure visant à gagner en agilité. La capacité à fournir rapidement et en toute sécurité des applications modernes, tout en limitant les perturbations, a donné naissance au DevSecOps. Cette pratique de développement moderne permet aux organisations de gagner en souplesse dans la mise en œuvre de leurs protections de cybersécurité, de manière sûre et sans perturber les activités.
La stratégie et les tactiques qui sous-tendent Cloud Smart gagnent du terrain
Les mesures de sécurité par défaut mises en place par les fournisseurs de services cloud ont permis d’étendre la sécurité sur site aux environnements cloud et sont devenues un moteur du déploiement du cloud. Toutefois, les utilisateurs du cloud font souvent un acte de foi en supposant que les fournisseurs font « ce qu’il faut » en matière de cybersécurité, tout en leur cédant une partie du contrôle sur les données et la sécurité. Le partage d’informations entre les fournisseurs de services cloud et les agences doit faire partie intégrante de l’écosystème des partenaires fédéraux afin d’assurer une sécurité plus complète.
Chacun de ces environnements doit respecter des normes de cybersécurité plus strictes. Découvrez comment F5 Government Solutions peut vous aider à atteindre et à dépasser le niveau de sécurité exigé par le récent décret présidentiel sur la cybersécurité ici.
Par Ryan Johnson, responsable de l’ingénierie des solutions – F5 U.S. Federal Solutions
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.