La cybersécurité vue par les hackers

Méthodologie des attaques

Bien entendu, toutes les informations contenues dans le rapport ne sont pas en contradiction avec les connaissances classiques. Ainsi, 72 % des répondants indiquent avoir utilisé l'ingénierie sociale pour recueillir de l'information avant de lancer une attaque, et 86 % ont procédé à un scan de vulnérabilités pour trouver les faiblesses d'une cible. Les deux méthodes d'attaque les plus populaires apparaissent être le hameçonnage (40 %) et l'attaque directe sur serveur (43 %). Pour Chris Pogue, « il est important de comprendre comment l'adversaire pense et agit. Plus les défenseurs savent, mieux ils peuvent se préparer ». 

L’étude montre également que les outils utilisés dans une attaque ne sont peut-être pas ce que les professionnels de la cybersécurité attendent, étant donné l'accent mis sur les kits d’exploitation : 60 % des répondants indiquent utiliser des outils open-source,  contre 21 % pour des outils développés sur mesure. Et Chris Pogue de relever que seulement 10 % des intervenants indiquent utiliser des outils commerciaux. Une surprise pour lui, car « le fait d'être employé par une organisation signifie habituellement un budget pour acheter des outils. Mais selon l’étude, même si le budget est disponible, les solutions libres ou créées à façon sont favorisées ».

Jake Williams, fondateur et Pdg de Rendition Infosec, estime que ces résultats pourraient être induits par un biais d’échantillonnage, tous les répondants étant les participants d'une importante conférence sur le hacking : « beaucoup de gens n'admettent pas d'utiliser des kits d'exploits illégaux ; la grande majorité d'entre eux ne seraient pas adaptés aux engagements de clients commerciaux. À Defcon, je serais surpris de constater que beaucoup de gens admettent qu'ils utilisent Core Impact ou Cobalt Strike ».

De son côté, Hector X. Monsegur estime que la faible utilisation déclarée d'outils commerciaux et de kits d'exploitation (à peine 3% des répondants) pourrait être attribuable au fait que « ceux qui sont vendus sur le marché noir sont habituellement bogués, très spécifiques et comportent le plus souvent des portes dérobées ». Dès lors, les hackers expérimentés ne leur feraient pas confiance.

Et si les outils open source apparaissent si populaires, c’est pour lui parce que « certains des meilleurs outils de sécurité sont en fait open source et largement accessibles. Ces mêmes chercheurs en sécurité pourraient créer leurs propres kits d'exploitation, écrire des outils personnalisés, ou mettre en place des environnements similaires à Kali pour leurs engagements ».

Et quant à la perception selon laquelle les évaluateurs de sécurité utiliseraient plus d’outils commerciaux, elle serait due, pour Joseph Blankenship, « aux efforts de marketing des éditeurs et à une mauvaise compréhension du processus de test d’intrusion » : « les appels d’offre pour des tests de sécurité incluent souvent une liste d'outils à utiliser par les évaluateurs. Et dans la plupart des cas, on y trouve des logiciels disponibles dans le commerce, des outils open source et les outils développés par l’évaluateur. Les évaluateurs qualifiés utilisent une variété d'outils qui imitent ceux utilisés par les adversaires, combinant outils open source et outils développés à façon ».

Mesures défensives

L’étude met également en évidence une évolution régulière des méthodes d’attaque : la moitié des répondants ont indiqué qu'ils changent de tactique à chaque engagement. 56 % assurent d’ailleurs ne changer que pour continuer à apprendre.

Pour Jake Williams, il s’agit là de s’adapter aux « produits de sécurité qui évoluent pour couvrir les anciennes techniques » :  « c'est une triste réalité, mais les contre-mesures de sécurité seront toujours contraintes de rattraper un retard perpétuel. C'est dans leur nom, c'est pour cela qu’on parle de contre-mesures. Mais pour les 56 % qui disent le faire juste pour apprendre de nouvelles techniques, il y a en fait plus que le seul désir de connaissance. Car s’ils ne continuent pas à apprendre de nouvelles techniques, ils se retrouvent coincés avec des techniques qui ne fonctionnent plus ».

Et pour Hector X. Monsegur changer de tactique apparaît en fait indispensable :  « chaque engagement est différent. Différents périmètres, cibles et environnements.  La plupart des chercheurs que je connais utilisent une méthodologie, et elle implique généralement un processus industrialisé pour tout engagement de test d’intrusion. Mais ils changent généralement de stratégie au fil de l’eau, à mesure qu’ils commencent à trouver de nouvelles vulnérabilités, configurations et logiciels ».

Pour Chris Pogue, ces résultats « indiquent que si vos contre-mesures défensives sont moins souples que les personnes qui essaient de les contourner, elles ont peu ou pas de chance d'être efficaces ». Car en fait,  « vous serez protégé contre un modèle d'attaque qui n'est plus pertinent. Cela souligne l'importance d'intégrer des tests d’intrusion réalistes et axés sur les objectifs dans votre programme de sécurité ». Pour lui, « ce n'est qu'en évaluant et en améliorant en permanence vos contre-mesures de sécurité que vous pouvez suivre des stratégies d'attaque en constante évolution ».

Malheureusement, les résultats de l'enquête relatifs à l’efficacité des contre-mesures ne sont pas brillants. La protection des points de terminaison - postes de travail et serveurs - représenterait ainsi le défi le plus important lors d'un test d’intrusion (36 %), suivie des systèmes de détection et de prévention d’intrusion (IDS/IPS, 29%) et des pare-feu (10 %). Mais pour 22 % des sondés, aucune contre-mesure ne peut arrêter une attaque pour peu que le temps nécessaire à sa réussite soit disponible.

Mais ces résultats contredisent les suggestions des sondés quant au domaine le plus efficace pour investir en sécurité, ou l’IDS/IPS arrive en tête (37%), suivi du test d’intrusion (25 %) et l’hygiène de base ou la gouvernance de l'information (21 %).

Joseph Blankenship s’étonne ainsi que la protection des points de terminaison ne soit pas mentionnée parmi les contre-mesures efficaces alors même que 36 % des sondés assurent que c’est celle qui leur résiste le mieux. Mais pour lui, « dans l'ensemble, ces résultats montrent qu'avoir des contrôles à l'extrémité en plus d’une supervision robuste de la sécurité fournit une protection plus efficace, ce qui n'est pas du tout surprenant ».

Mais Jake Williams voit dans ces résultats une indication supplémentaire de biais d’échantillonnage : « les IDS/IPS sont de moins en moins efficaces avec l'utilisation omniprésente du ciffrement sur le réseau. Je suis vraiment surpris que plus de répondants ne recommandent pas d’investir plus sur la détection sur le point de terminaison, alors qu’ils indiquent qu’elle représente leur plus grand défi lors des tests d’intrusion ».

Hector X. Monsegur n’est en tout cas pas surpris par l'absence de consensus en termes de contre-mesures de sécurité « parce que, honnêtement, la sécurité, c’est difficile » :  « si vous avez un environnement avec différents systèmes d'exploitation, appareils, utilisateurs, configurations, paramètres, des employés distants, des logiciels libres et des logiciels propriétaires, la surface d'attaque augmente à tel point qu'il n'y a pas de solution. Il n'y a pas de solution unique au problème de sécurité auquel la plupart des entreprises et des gens sont exposés ».

Une maturité encore limitée

Et c’est sans compter avec la maturité des défenseurs. Les hackers interrogés indiquent ainsi à 64% que leur plus grande frustration en tant qu'attaquant est que les défenseurs ne réparent pas ce qu'ils savent vulnérable ou inefficace. Pour les trois quarts des sondés, la réponse des organisations après un engagement se limite ainsi  à « une certaine remédiation, généralement centrée sur les vulnérabilités critiques et élevées ». Et pour Chris Pogue, si cela « semble être une approche logique de la remédiation, cela déforme la vraie nature des vulnérabilités et fournit un faux sentiment de sécurité pour les décideurs ».

Ainsi, il explique que « si vous ne remédiez qu'à des vulnérabilités spécifiques que vous avez choisies arbitrairement et hors contexte, c'est l'équivalent en cybersécurité de prendre une aspirine pour une tumeur cérébrale; vous traitez un symptôme plutôt que sa cause ». Pire, pour lui, se contenter de corriger quelques vulnérabilités échoue à prendre en compte les erreurs stratégiques telles que des politiques de gestion de correctifs peu rigoureuses, voire absentes, le manque de programme de gestion des vulnérabilités, ou encore des équipes de sécurité mal formées. Et cette approche souffre aussi d’une méconnaissance de « la complexité des vecteurs d'attaque à étapes multiples ».

Reste que Joseph Blankenship voit dans ces chiffres « une évaluation juste de la réalité dans de nombreuses entreprises » : « trop d’organisations considèrent le test d’intrusion comme un exercice de conformité qui ne produit pas de résultats valables. D'autres peuvent recevoir les résultats d'une évaluation, voir la nécessité de changements, mais n'ont pas les ressources (temps, personnes, ou budget) pour les mettre en œuvre ».

Mais Jake Williams estime que l’écart entre les résultats de l’étude et la perception habituelle pourrait être du à la différence de perspective et au fait que, selon lui, les spécialistes du test d’intrusion n’ont pas toujours toutes les cartes en main : « ce qu’un spécialiste du test d’intrusion (ou ses outils) peut étiqueter comme critique peut ne pas l’être dans le contexte. Les organisations peuvent atténuer certaines vulnérabilités avec des défenses en profondeur, optant pour créer des protections stratifiées autour d'une vulnérabilité plutôt que de la corriger complètement ». Et puis aussi, « dans d'autres cas, les organisations ne corrigent pas les vulnérabilités parce que les testeurs ne parviennent pas à communiquer les risques de manière efficace. La communication et la rédaction de rapports efficaces sont des compétences clés des testeur qui sont généralement négligés par les entreprises de sécurité ».

D’ailleurs, pour Hector X. Monsegur, « la communication et l'éducation sont essentielles pour que les entreprises puissent résoudre leurs problèmes. Sinon, en envoyant des rapports et des informations à des entreprises qui sont noyées par le manque de temps, de budget ou de ressources humaines, vous finissez par obtenir le contraire de ce que vous vouliez faire. Il est important de discuter du problème de sécurité et de maintenir un flux de communication avec les bonnes personnes, espérant leur faire prendre conscience des enjeux, des risques ».