Hermès traque les vulnérabilités les plus dangereuses pour son business
Depuis 5 ans, la marque de luxe s’est dotée d’une équipe pour gérer sa surface d’attaque. Celle-ci doit repérer les vulnérabilités du SI, mais une Red Team doit surtout débusquer les chemins d’attaque qui font peser une menace réelle sur l’activité de l’entreprise.
Créée en 1837, la marque de luxe Hermès emploie aujourd’hui 27 107 personnes dans le monde et compte 60 sites de production et de formation, ainsi qu’un réseau de 300 magasins dans 45 pays. De ce fait, la marque française est très visible et, fatalement, très exposée aux attaques cyber.
L’entreprise s’est dotée très tôt d’une cellule de sécurité offensive et de gestion de la surface d’attaque pour traiter les vulnérabilités. Mais la position de Renaud Dubourguais, offensive security and attack surface management lead chez Hermès, est de privilégier la qualité, c’est-à-dire les vulnérabilités bien qualifiées, à la quantité.
« Sur ce plan, nous étions un peu précurseurs, car l’idée était que toutes les vulnérabilités détectées devaient être traitées en fonction de leur impact réel », se souvient-il. « L’objectif n’a jamais été de traiter les CVE en volume, mais de traiter uniquement celles qui nous impactent vraiment. »
Cependant, ajoute-t-il, il faut aussi garder en tête que cette priorisation doit être dynamique. « Une P2 aujourd’hui peut devenir une P0 demain. »
Une Red Team interne qu’il ne faut pas saturer de vulnérabilités inoffensives
Le responsable a structuré son équipe sur cette idée de départ avec 6 profils offensifs qui forment une Red Team, assistée de partenaires externes.
« Notre objectif était d’éviter cette charge et de ne pas remonter 10 000 vulnérabilités par jour… »
Renaud DubourguaisOffensive security and attack surface management lead, Hermès
Cette équipe mène des PenTests au quotidien et exploite des scanners de vulnérabilités, mais le responsable a souhaité éviter les solutions qui allaient remonter énormément de vulnérabilités et demander un énorme travail d’analyse pour les qualifier.
« Notre objectif était d’éviter cette charge et de ne pas remonter 10 000 vulnérabilités par jour… » rappelle le responsable.
Outre une analyse de la surface externe du SI, l’équipe doit également traiter sa surface interne. Or le groupe a une organisation très éclatée d’un point de vue géographique. Il fallait donc un outil capable de faire de la détection de chemins d’attaque sur ce réseau complexe.
Après avoir étudié plusieurs solutions, Hermès a choisi la solution éditée par Pentera. « Le rôle de l’outil est de simuler le comportement d’un attaquant, trouver les vecteurs initiaux potentiels si quelqu’un arrive à se connecter chez nous », résume Renaud Dubourguais.
Pour convaincre sa direction de l’installation d’un tel outil dans le système d’information, le responsable a dû donner quelques garanties : « La première réaction en interne n’est pas de demander si l’outil sera efficace, mais “est-ce que cela va créer des incidents ?” “Est-ce qu’il y a un risque d’interrompre la production ?” Et “est-ce que le trafic généré par l’outil impactera les performances ?”, etc. Ce sont des craintes auxquelles il faut apporter des réponses. »
Une autre crainte était celle du cloud. Renaud Dubourguais a opté pour un déploiement on-premise, afin de bien maîtriser ce qui est installé et éviter certaines réticences. « Le SaaS apporte un certain confort lors du déploiement, mais il faut de toute manière déployer des nœuds d’attaque (Attack Node), quant au Main Node. Il faut bien réfléchir à où il doit être déployé, pour qu’il ait accès à tout. »
Un déploiement progressif est nécessaire
« Il faut commencer petit, accepter que tout ne soit pas couvert pendant un temps. »
Renaud DubourguaisOffensive security and attack surface management lead, Hermès
Le responsable a par ailleurs préféré un déploiement pas à pas, car il fallait à la fois convaincre des directions métiers, mais aussi monter en puissance sur la solution, et notamment intégrer ces métriques dans les états de la DSI.
« Il faut commencer petit, accepter que tout ne soit pas couvert pendant un temps », conseille Renaud Dubourguais. « Nous avons démarré par l’Asie, une zone géographique avec de multiples îles et donc complexe d’un point de vue réseau et infrastructure. En outre, cette zone couvre beaucoup de cas d’usage, notamment liés aux canaux de vente, ce qui est un enjeu clé pour Hermès. »
Le danger était que l’outil d’attaque vienne perturber le fonctionnement des logiciels de caisse dans les points de vente. En outre, la faible connectivité de certains magasins a contraint l’équipe à n’utiliser l’outil que de manière parcimonieuse. « Nous savions qu’une fois l’Asie déployée, nous pourrions avancer dans le reste du groupe de manière sereine. »
L’équipe projet a ensuite enchaîné avec la zone Moyen-Orient. La Red Team y a mené ses PenTests sur les installations concernées. Leurs résultats ont été confrontés à ceux de Pentera. « Cela nous a rassurés notamment sur la détection de défauts de configuration qui nécessitent d’être connectés pour les voir. Cela permet de s’organiser en conséquence et ne pas devoir envoyer une Red Team en Asie. Ce qui a un coût. »
Outre l’organisation groupe, des CISO locaux ont parfois leurs propres solutions. Le nouvel outil d’Hermès est aussi un moyen d’obtenir une vue homogène de la situation cyber. « Les CISO gardent une certaine autonomie, mais nous avons un cadre à la disposition de tous. En plus d’avoir cette vue consolidée au niveau groupe, nous avions la volonté de fournir des informations à ces équipes locales. »
Pentera a été mis en œuvre sur le volet Retail du SI et il est en train d’être déployé sur le socle IT dans le datacenter du groupe. L’étape suivante portera sur la Supply chain en 2027.
L’IA ne peut remplacer l’humain en IA offensive
Pour Renaud Dubourguais, l’IA ne fera pas disparaître l’humain dans la recherche des failles de sécurité. « Une Red Team reste un atout, car on ne peut pas tout attendre d’une solution et il reste une grosse marge de progression pour les outils. Par contre, c’est un outil qui permet aux équipes Red Team de travailler beaucoup plus vite et d’aller vers une plus grande exhaustivité. »
Le responsable reconnaît que le volume des vulnérabilités croît et qu’avec l’IA, nous sommes entrés dans une dynamique d’instantanéité, tant dans la réactivité à la menace que dans la gouvernance. « Il faut apporter des réponses de plus en plus rapidement et on a besoin d’une solution comme Pentera et d’outils de veille pour que les équipes internes puissent faire face à ces défis. »
Actuellement, les scans sont lancés de manière manuelle, mais l’objectif est de les programmer et passer l’outil de manière très régulière pour faire apparaître des différences, tout en laissant cette possibilité que les responsables locaux puissent, eux, lancer des scans à la demande.
