Cachée à la vue de tous : pourquoi l'attaque SolarWinds a révélé bien plus que de simples cybermenaces.

Une version de cet article a été publiée dans Dark Reading. Il a été mis à jour et syndiqué ici.

‍

S'il y a bien une chose capable de gâcher Noël dans le secteur de la cybersécurité, c'est une violation de données dévastatrice en passe de devenir le plus grand événement de cyberespionnage jamais enregistré contre le gouvernement américain.

L'attaque SolarWinds est d'une ampleur considérable, les auteurs de la menace ayant initialement infiltré le logiciel dès la mi-2019. Ce piratage, qui a duré plusieurs mois, a été découvert en décembre 2020 après avoir été utilisé pour infiltrer la célèbre société de cybersécurité FireEye, et le cauchemar a commencé. L'ampleur totale de la brèche fait encore l'objet d'une enquête, mais les zones clés infiltrées comprennent les départements d'État, de la Sécurité intérieure, du Commerce et du Trésor des États-Unis, ainsi que les National Institutes of Health.

Cet incident aura des répercussions durables, mais sa sophistication est fascinante. Sur le plan technique, il s'agit d'une infiltration multicouche impliquant des outils malveillants personnalisés, des portes dérobées et du code dissimulé, bien au-delà des compétences des « script kiddies » que l'on voit si souvent exploiter des erreurs plus évidentes.

Le blanchiment de code dans toute sa splendeur

CrowdStrike a réalisé un travail remarquable en procédant à l'ingénierie inverse de l'exploit et en détaillant ses conclusions à la vue de tous. Il est désormais établi que SolarWinds a été victime d'une violation de son infrastructure, permettant l'injection de code malveillant dans les mises à jour système, ce qui a conduit au moins quatre outils malveillants distincts à offrir un accès sans précédent aux auteurs de la menace.

La méthode était clandestine, permettant une précision stratégique digne d'un roman de Jason Bourne. Elle a permis de surveiller, de planifier et de frapper les victimes en dehors du réseau SolarWinds exactement au moment voulu, dans le cadre d'une attaque complète sur la chaîne d'approvisionnement. Et tout cela a été réalisé avec un code qui semblait parfaitement bénin.

Les cyberattaques sont souvent le résultat d'erreurs simples mais coûteuses. Une fois découvertes, les erreurs sont assez évidentes : pensez à un réseau mal configuré, à des mots de passe stockés en clair, ou à des logiciels non corrigés vulnérables à des exploits connus. Dans ce cas, le code ne se distinguait en rien, et pas seulement pour les développeurs et les ingénieurs en sécurité. Une multitude de technologies de sécurité complexes et coûteuses n'ont pas réussi à le détecter non plus.

Les outils de surveillance de la sécurité et de tests d'intrusion ont été rendus pratiquement inutiles

Les professionnels de la sécurité étant une denrée rare, ils sont aidés dans leur quête pour sécuriser d'énormes quantités de données, de logiciels et d'infrastructures d'entreprise par une pile technologique adaptée aux besoins de sécurité de l'entreprise. Cela prend généralement la forme de composants tels que des pare-feu réseau, des tests d'intrusion automatisés, ainsi que des outils de surveillance et d'analyse, ces derniers accaparant beaucoup de temps dans le processus de développement logiciel. Ces outils peuvent rapidement devenir incontrôlables, de nombreuses entreprises utilisant plus de 300 produits et services différents.

SolarWinds disposait d'une gamme impressionnante d'outils pour détecter et mettre en évidence les failles de sécurité dans le code, les tentatives d'accès non autorisées au réseau, les compromissions potentielles dans n'importe quelle partie de l'infrastructure, et même pour repérer les signes d'évasion de détection. Il est sans précédent que ces auteurs de menaces aient pu injecter un code malveillant qui est passé inaperçu, même face à la pile de sécurité la plus avancée.

Le renforcement de l'infrastructure, en particulier le contrôle des accès, est un élément fondamental des bonnes pratiques de cybersécurité, mais si un attaquant peut exploiter discrètement une infime fenêtre d'opportunité, un réseau peut être compromis tout aussi facilement qu'une vulnérabilité dans un logiciel autonome.

Cette brèche nous rappelle qu'en règle générale, toute entreprise qui s'appuie uniquement sur des outils pour sécuriser son infrastructure réseau et ses logiciels prend un risque énorme. Il ne suffit pas toujours de protéger le code ; tout ce qui permet de le stocker, de l'exécuter et de le compiler doit être tout aussi fortifié. L'état idéal est un équilibre entre outils et personnel, mettant en œuvre une stratégie robuste qui approfondit l'évaluation et la réduction de la surface d'attaque potentielle.

La sensibilisation à la sécurité entre les équipes permet une meilleure modélisation des menaces

La brèche SolarWinds a déjà commencé à avoir un impact significatif sur les opérations de sécurité, en particulier au niveau gouvernemental. Les experts affirment que cela pourrait transformer les pratiques de cybersécurité à jamais.

Une infrastructure de plus en plus numérique alimente nos vies, et bien qu'elle puisse être vulnérable aux attaques si elle n'est pas gérée méticuleusement, notre stratégie globale est défaillante. Nous manquons cruellement de personnel en matière d'expertise en sécurité, et pourtant nous ne faisons pas grand-chose pour combler ce fossé. La sensibilisation à la sécurité axée sur l'humain est un élément sous-utilisé de la cybersécurité, tout comme le fait de faire de la prévention, plutôt que de la réaction, une priorité.

La sécurité des infrastructures est une entreprise complexe avec de nombreuses pièces mobiles, mais, tout comme dans la création de logiciels, les développeurs peuvent être un atout pour réduire le risque structurel s'ils sont correctement formés et sensibilisés à la sécurité.

La modélisation des menaces prend rarement en compte les attaques sur la chaîne d'approvisionnement, bien que ce type d'attaque ait été mis en évidence dès 2012 comme un risque clé difficile à prévenir avec les techniques actuelles, ce qui laisse de nombreuses entreprises mal préparées. Les développeurs de logiciels pourraient absolument jouer un rôle dans la prévention, et cela commence par s'assurer qu'ils sont formés et capables d'évaluer l'intégrité de leur code de l'intérieur. Ont-ils construit le mécanisme de mise à jour de manière sécurisée ? Le logiciel fonctionne-t-il avec une connectivité inutile qui pourrait faciliter une compromission malveillante ?

Lorsque la sécurité devient synonyme de qualité logicielle, il est facile de mesurer l'immense valeur qu'un ingénieur sensibilisé aux enjeux de sécurité peut apporter.