Si les budgets RSSI liés aux problématiques cyber sont amenés à croître, certaines pratiques simples peuvent déjà vous permettre d’éviter le pire : un précédent article de Lucas, Directeur Opérationnel de Padok Security, nous expliquait par exemple comment appliquer les meilleurs principes DevSecOps pour améliorer son système de sécurité. Avant de débuter, nous vous invitons à lire un articles sur les différentes questions que l'on peut se poser sur la sécurité dans le cloud.
Un scan de vulnérabilités est un processus pouvant être automatisé et permettant de passer au peigne fin tout ou partie d’un système informatique (application, serveurs, réseau). Le but ? Déceler d’éventuelles vulnérabilités, c'est-à-dire des faiblesses et erreurs dans la manière dont un système est conçu, configuré et protégé.
Il est recommandé de réaliser ces tests plusieurs fois par an en interne : a minima une fois par trimestre et au mieux une fois par mois. La plupart de ces scans étant automatiques, il est d’autant plus aisé d’en mener de façon régulière.
De manière plus granulaire, il est également possible de mettre en place des outils réalisant des scans à chaque nouveau déploiement (pour vérifier que les dépendances sont bien mises à jour par exemple).
Avantages :
Inconvénients :
Dans ce scénario, l’idée est de faire vous-même le tour de votre maison (= SI) afin de lister l’ensemble des failles pouvant mener à une infraction : une fenêtre cassée, une serrure datant du 18ème siècle, une caméra de surveillance à plat, etc (= vulnérabilités).
L’exercice ne va pas plus loin, et votre liste ne vous dira pas nécessairement si ces failles sont effectivement exploitables : peut-être que la serrure, en apparence fragile, s’avérera finalement inviolable. Impossible de le savoir tant que vous n’essayez pas de la forcer.
Un audit de sécurité consiste en une intervention humaine, souvent effectuée par un prestataire, et permettant d’avoir une vue à l’instant T de tout ou partie des risques de sécurité d’un SI.
Le but est cette fois-ci d’en vérifier non seulement la conformité par rapport à des référentiels et protocoles établis (par exemple des procédures ou des lois/réglementations propres au domaine de l’entreprise), mais de profiter également de l’expertise d’un auditeur.
Compte tenu du coût de ces audits, la fréquence est logiquement moins élevée que des scans de vulnérabilités. Elle dépend également grandement de l’exposition de votre entreprise et de l’industrie dans laquelle elle évolue : une institution financière ou un laboratoire pharmaceutique auront tendance à mener ces audits plus régulièrement.
En moyenne, il est donc recommandé d’organiser un audit par an minimum, et un par trimestre idéalement. Ces audits peuvent également s’avérer nécessaires en cas de violation de données, mises à jour de systèmes ou migrations de données. Ou plus globalement, tout changement majeur dans votre SI.
Avantages :
Inconvénients :
Vous demandez cette fois-ci à votre voisin, agent de police, de réaliser le précédent exercice à votre place. Celui-ci portera un œil plus objectif et aiguisé sur la sécurité de votre maison, et connaît surtout les normes de sécurité du marché.
Non seulement il pourra observer les failles potentielles de votre maison (comme vous), mais il vous fera en plus des recommandations pour vous mettre au standard du marché : porte blindée, serrure cinq points, vitres antieffraction… Cependant, il ne fait toujours qu’observer et n’essaie pas de s’introduire chez vous.
Le test d’intrusion, ou “penetration testing” (pentest), permet de contextualiser une attaque et exploiter au maximum les failles trouvées. C’est finalement un audit plus réaliste et concret : vous mandatez une personne externe à votre entreprise pour qu’elle se mette dans la peau d’un hacker et attaque votre SI (applications, serveurs, réseau).
Il est même possible de simuler physiquement un scénario réel d’attaque, en simulant le vol d’un poste de développeur par exemple.
Il existe trois manières de mener ces pentests :
Pour plonger dans la pratique, suivez directement une attaque de cluster Kubernetes réalisée par Thibault, Directeur Technique de Padok Security, en juillet 2021.
De la même manière que pour les audits de sécurité, la fréquence dépend grandement de votre exposition et de l’industrie dans laquelle évolue votre entreprise.
Attention cependant à ne pas se méprendre : tous les sites et applications sont confrontés à des risques. Pour des applications hautement sensibles, il est conseillé d’en réaliser légèrement plus que les normes du marché. Pour une application peu exposée, il peut suffire d’en réaliser à chaque montée de version majeure.
Avantages :
Inconvénients :
Vous demandez cette fois-ci à ce même voisin, toujours en poste au commissariat du coin, de s’introduire chez vous, mais par un endroit précis et le plus sensible : votre porte d’entrée.
Son objectif : avoir accès et tenter de compromettre un maximum de biens à l’intérieur de votre maison, analyser les principales failles et lister ce qui peut facilement être dérobé.
Vous avez cependant le choix entre trois approches :
Ce test pratique vous permettra de confronter les hypothèses que vous aviez sur la sécurité de votre maison à la réalité. Et peut-être que cette serrure du 18ème siècle à laquelle vous teniez tant s’avérera bien plus solide que ce qu’indiquaient les rapports de scan ou d’audit…
Plusieurs approches vous permettent donc d’analyser le niveau de sécurité de votre SI. Il vous est tout à fait possible d’en cumuler plusieurs, mais votre décision dépendra de plusieurs critères : la sensibilité du milieu de votre entreprise, la taille de votre SI, ainsi que le temps et le budget que vous souhaitez y allouer.
Si vous souhaitez creuser davantage le sujet, ou si votre entreprise est déjà suffisamment mature dessus, une quatrième approche est susceptible de vous intéresser : le pentest “Red Team”.
Dérivé du pentest classique, cette approche couvre un périmètre bien plus large (tout un SI par exemple) S’étale sur une période de temps plus longue (plusieurs mois) Implique que très peu de personnes de votre entreprise soient au courant.
Envie de passer à l’acte ? N’hésitez pas à nous contacter !