Que signifie la directive critique de la CISA et comment y répondre ?

Regardons les choses en face : tout le monde en a assez. Les exploits sont omniprésents et il est presque impossible de traiter le problème de manière étanche.

Certaines organisations font de gros efforts en déployant des solutions de gestion des vulnérabilités à la pointe de la technologie et en appliquant des correctifs en temps réel pour minimiser l'impact des vulnérabilités, mais beaucoup d'autres se débattent, et certaines ne font aucun effort.

Ce manque d'action crée des opportunités pour les acteurs malveillants, et l'Agence pour la cybersécurité et la sécurité des infrastructures (CISA) a vu tant d'exploits réussis qu'elle a estimé qu'elle devait tracer une ligne, forçant les agences sur lesquelles elle a autorité à agir.

C'est pourquoi, le 3 novembre, la CISA a publié une nouvelle directive qui oblige les agences fédérales civiles à s'attaquer à 306 vulnérabilités critiques qui, selon la CISA, donnent généralement lieu à des exploits réussis.

Qui est la CISA et qu'est-ce qu'une directive CISA ?

L'Agence pour la cybersécurité et la sécurité des infrastructures (Cybersecurity and Infrastructure Security Agency) est une agence fédérale créée sous l'égide du ministère américain de la sécurité intérieure pour superviser et gérer les risques de cybersécurité auxquels sont confrontées les agences du gouvernement fédéral américain.

La CISA émet des directives contraignantes sur des sujets d'actualité essentiels en matière de cybersécurité et les agences fédérales sont obligées de répondre à ces directives. En d'autres termes, lorsque la CISA émet une directive, d'innombrables organisations gouvernementales sont obligées d'agir, par exemple en remédiant à une vulnérabilité.

Il convient également de noter que lorsqu'une directive est émise par la CISA, elle s'applique à tous les logiciels et matériels concernés utilisés dans les systèmes d'information fédéraux, que ces systèmes soient hébergés par l'agence ou fournis par un vendeur tiers, ce qui élargit le champ d'application implicite d'une directive de la CISA.

Que dit la dernière directive de la CISA ?

Comme nous l'avons dit au début de cet article, tout le monde commence à en avoir assez des conséquences de la complexité du paysage de la cybersécurité. Et les conséquences de l'inaction augmentent chaque jour. C'est pourquoi, dans sa dernière directive, la CISA a publié une liste de 306 vulnérabilités que les agences fédérales sont tenues de corriger dans un délai précis.

La CISA a publié cette liste parce qu'elle a constaté qu'un ensemble spécifique de vulnérabilités était responsable d'une grande partie des cyberattaques réussies. L'objectif était de s'assurer que les agences fédérales remédient à ces vulnérabilités afin de réduire de manière significative le nombre total de cyberattaques réussies contre les agences gouvernementales.

La directive contient également une série d'exigences en matière de validation et d'établissement de rapports qui dépassent le cadre de cet article, mais qui montrent à quel point la CISA prend le problème au sérieux. La récente directive de la CISA vise à améliorer autant que possible une situation imparfaite en s'attaquant aux exploits les plus dangereux.

Exemples de vulnérabilités incluses dans la directive CISA

Maintenant que nous savons ce qu'est une directive CISA, examinons les vulnérabilités couvertes et pourquoi elles sont importantes. Il s'agit d'un large éventail de vulnérabilités, allant de l'infrastructure des serveurs (Linux et Apache, par exemple) aux applications de Microsoft et de SAP, en passant par les vulnérabilités des deux systèmes d'exploitation mobiles les plus répandus. Tout ce qui se trouve entre les deux est également couvert - la liste aborde même les outils de sécurité de Sophos, SonicWall et Trend Micro.

Prenons l'exemple de la macro-faille Widget Connector dans Atlassian Confluence, un outil de collaboration populaire utilisé par les entreprises commerciales et gouvernementales. Cette vulnérabilité permet aux attaquants de monter une exécution de code à distance et une attaque transversale de chemin en utilisant l'injection de modèle côté serveur.

Un autre exemple est lié au célèbre serveur HTTP Apache - où plusieurs versions d'Apache Release 2.4 contiennent une vulnérabilité de tableau de bord. Les attaquants peuvent exécuter du code dans des processus enfants moins privilégiés et faire remonter l'exécution de code arbitraire vers des processus parents disposant de tous les privilèges du système. Cette vulnérabilité d'Apache est répertoriée sous le nom de CVE-2019-0211 et, encore une fois, la CISA l'a incluse dans sa liste parce qu'il s'agit d'un exploit dangereux qui est couramment utilisé dans la nature.

Cela montre à quel point l'éventail des vulnérabilités couvertes par la directive CISA est large, ce qui montre à son tour à quel point la menace de cybersécurité est répandue - les menaces se cachent partout, et il est sans aucun doute difficile de gérer ces menaces de manière globale.

Attendez, qu'est-ce que la CISA a à voir avec nous ?

La directive CISA s'adresse aux agences fédérales américaines. On peut se demander ce qu'une directive du gouvernement américain a à voir avec des entreprises commerciales, et a fortiori avec des entreprises situées dans d'autres pays.

Bien que la dernière directive de la CISA n'ait aucune autorité sur les organisations en dehors du gouvernement fédéral américain, elle apporte plusieurs enseignements utiles.

Tout d'abord, la CISA a rassemblé des données sur les incidents de cybersécurité et a dressé la liste des vulnérabilités qui entraînent le plus souvent des dommages. Votre organisation devrait envisager de surveiller cette liste - qui continuera d'évoluer - pour voir si vous utilisez l'une des applications, l'un des services ou l'un des dispositifs énumérés dans la note d'information. Si c'est le cas, envisagez d'y apporter des correctifs aussi rapidement que possible ou de passer à d'autres solutions. Il est important de souligner que, d'après la description fournie par la CISA, il s'agit de vulnérabilités dont on sait qu'elles sont actuellement exploitées - il ne s'agit donc pas simplement de patcher quelque chose qui pourrait éventuellement être exploité, ces bogues sont activement exploités.

Mais l'enjeu est plus large. Comme nous l'avons souligné au début de cet article, les vulnérabilités et les cyberattaques qui y sont associées sont tellement omniprésentes que tout le monde commence à en avoir assez. Les mesures d'atténuation fonctionnent, mais jusqu'à un certain point.

Cette liste ciblée produite par la CISA vise à attirer l'attention sur les vulnérabilités les plus préjudiciables, mais elle reconnaît implicitement que les efforts habituels de gestion des vulnérabilités ne suffisent tout simplement pas. Il faut changer quelque chose.

Les stratégies existantes sont difficiles à mettre en œuvre

Ainsi, bien que la liste jointe à la directive CISA indique des correctifs critiques et immédiats, elle n'existe qu'en raison de stratégies de gestion des risques imparfaites. Plus précisément, elle montre à quel point le régime de correctifs habituel est incomplet - de nombreuses vulnérabilités figurant sur la liste de la CISA pourraient, après tout, être facilement corrigées à l'aide de simples correctifs.

La liste CISA n'est pas du tout une alternative à l'évaluation continue des vulnérabilités et à l'application de correctifs, mais une réponse au fait que les stratégies de risque en matière de cybersécurité ne sont pas parfaites. Le message sous-jacent est que les organisations doivent affiner leur gestion des risques de cybersécurité, qu'elles relèvent ou non de la CISA.

Cela n'est pas simple, bien sûr, en raison du manque de temps et de ressources, ainsi que des implications pratiques des stratégies d'atténuation. Prenons l'exemple des correctifs. Oui, tout le monde sait que les correctifs sont importants, mais en réalité, ils sont souvent négligés. Les correctifs sont négligés parce que les administrateurs système n'ont pas le temps de procéder à des correctifs complets - et parce que les correctifs peuvent être perturbateurs, entraînant des temps d'arrêt qui frustrent les parties prenantes.

Dans les services gouvernementaux soumis à des pressions financières, le budget et les ressources peuvent ne pas être au rendez-vous et il se peut que personne ne soit responsable en dernier ressort. Mais cela vaut aussi pour les organisations commerciales.

L'amélioration de la gestion des correctifs est un début

L'application de correctifs est une énigme : même si vous disposez des ressources nécessaires pour appliquer des correctifs, les perturbations qui en découlent peuvent être un obstacle. Il existe des moyens de contourner les perturbations : une planification approfondie peut être utile, tandis que des systèmes redondants et à charge équilibrée peuvent également contribuer à minimiser l'impact de l'application des correctifs. Mais même avec les meilleurs efforts, les correctifs restent imparfaits et laissent des opportunités aux attaquants.

Heureusement, les technologies de pointe ont l'habitude de nous sortir des situations difficiles. Grâce à ce que l'on appelle le " live patching", les administrateurs système peuvent s'assurer que les correctifs sont appliqués aux services critiques sans qu'il soit nécessaire de les redémarrer.

Live patching est un moyen simple et automatisé d'appliquer des correctifs aux services critiques couramment utilisés, avec des correctifs à la volée. Les correctifs en direct réduisent le temps nécessaire à l'application des correctifs, ce qui permet aux administrateurs système d'appliquer des correctifs plus complets et de consacrer plus de temps à d'autres tâches urgentes.

Limiter les perturbations - et améliorer la sécurité

Mais surtout, les correctifs en direct éliminent les perturbations. En d'autres termes, grâce aux correctifs en direct, les équipes techniques peuvent s'assurer que les correctifs sont appliqués de manière cohérente et efficace, sans qu'il soit nécessaire d'interrompre les services, de planifier les fenêtres de maintenance ou de coordonner la coopération des parties prenantes. En d'autres termes, il y a moins d'obstacles à l'application des correctifs.

Et nous comprenons tous les avantages d'une application cohérente des correctifs : lorsque les correctifs sont appliqués à peu près aussi vite qu'ils sont publiés, la fenêtre d'opportunité pour un attaquant est réduite au minimum. On ne peut pas appliquer les correctifs plus vite que leur publication, et entre le jour zéro et la publication d'un correctif, il y a toujours une fenêtre.

Toutefois, il faut du temps aux attaquants pour explorer une vulnérabilité et trouver une cible, et en général, les correctifs sont publiés assez rapidement pour arrêter la majorité des attaquants dans leur élan. Si vous n'appliquez pas le correctif, vous augmentez les possibilités d'attaque. Mais si vous appliquez le correctif dès qu'il est publié, la fenêtre d'opportunité est minimale.

Pour en savoir plus sur la protection contre les failles de sécurité non corrigées, consultez notre analyse détaillée desexploits « zero-day».

L'enseignement principal de la directive CISA

Les correctifs et autres méthodes d'atténuation de la cybersécurité ne sont pas appliqués de manière aussi cohérente qu'ils devraient l'être. Cela laisse aux attaquants de larges fenêtres d'opportunité - parfois indéfinies - permettant à des acteurs malveillants de monter une attaque. C'est pourquoi la CISA s'est sentie motivée pour publier une directive : la liste de la CISA contient des vulnérabilités couramment attaquées et la CISA sait que les agences fédérales n'ont pas pris le temps d'appliquer les correctifs.

La morale, bien sûr, est que les correctifs devraient être améliorés, de même que les autres mesures de cybersécurité. Il ne devrait pas être nécessaire que la CISA ou qui que ce soit d'autre publie un rappel des correctifs à appliquer.

Voilà donc où nous en sommes : des correctifs imparfaits qui deviennent si mauvais dans la pratique qu'une agence fédérale américaine doit publier une directive. La réponse ? Une meilleure gestion des correctifs et une meilleure gestion de la sécurité dans son ensemble. Heureusement, les outils nécessaires émergent peu à peu et, en ce qui concerne les correctifs, les correctifs en direct sont une victoire rapide - il n'y a pas d'autre moyen de corriger les systèmes plus rapidement que celui-là.