L'hygiène informatique : des mesures simples pour éviter le pire

Soyons honnêtes, hygiène n’est pas le mot le plus sexy que l’on associe à la cybersécurité. Personnellement, je l’ai adopté après la publication du fameux guide d’hygiène informatique de l’ANSSI, et je dois dire qu’il colle parfaitement aux réalités que j’ai pu observer en gérant des missions de réponse à incidents.

C’est vrai, nous n’avons aucune envie d’entendre parler d’hygiène. Çela évoque des notions de propreté, de bonnes pratiques qu’on est censé avoir acquises depuis l’enfance… mais, comme l’a montré la période du COVID, même des choses aussi simples que se laver les mains ne sont pas forcément adoptées par tout le monde. Les fabricants de savon pourraient en témoigner !

Pour être précis, une bonne cybersécurité ne se limite évidemment pas aux notions d’hygiène informatique. Mais après des centaines d’interventions en urgence, que ce soit pour des PME ou des grands groupes, il est clair que des mesures basiques — celles qu’on connaît tous — sont souvent les plus efficaces pour éviter des incidents majeurs.

Et c’est là toute la frustration : voir les catastrophes se produire alors qu’elles étaient évitables. Il y a quelques années, lorsque je dirigeais une équipe dédiée à la veille en vulnérabilités et en CTI, nous tentions d’alerter les entreprises sur les risques que nous pouvions identifier depuis Internet, sans même avoir besoin de recourir à des tests d’intrusion.

Pas de MFA, un service RDP exposé, des identifiants qui fuient… on connaît tous les dangers. L’interface d’administration d’un pare-feu directement exposée, avec des vulnérabilités critiques non corrigées, comme cela se passe en ce moment même ou encore l’implémentation de technologies réputée poreuses — tout cela crée des portes grandes ouvertes.

À l’époque, les concepts de responsible disclosure ou de bug bounty étaient inexistants ou encore mal compris, et nous devions faire preuve de prudence pour éviter d’être perçus comme de « méchants pirates ». Ce n’était pas simple d’endosser le rôle de l’oiseau de mauvaise augure. La réponse classique était souvent : “Oh je ne suis pas inquiet, j’ai un bon antivirus“. Aujourd’hui, on entend de même : “Tout va bien, j’ai mon SOC boosté à l’IA.“

Mais au final, quelles sont ces mesures essentielles ? Si je ne devais en retenir que trois, ce seraient :

• Un processus efficace de correction des vulnérabilités critiques. Chaque année, une poignée de failles sont systématiquement exploitées en priorité par les attaquants, et elles sont bien identifiées comme telles. Attendre pour les corriger est donc impensable.
• Réduire l’exposition des services sur Internet à ceux qui sont vraiment nécessaires, et protéger les autres derrière un bastion. Chez Scovery, on voit trop souvent des services inutilement accessibles, voire laissés sans surveillance, prêts à être exploités par un énième script automatisé qui passe.
• Implémenter l’authentification multi-facteurs (MFA) pour tous les services exposés. Oui, il existe des attaques sophistiquées contre le MFA, et non, la sécurité à 100% n’existe pas. Mais l’absence de MFA laisse la porte grande ouverte à l’exploitation des milliards d’identifiants dérobés qui circulent.

C’est à partir de ces constats que nous avons développé chez Scovery notre solution de cyber-notation externe. Elle vous permet de mesurer en continu l’hygiène de votre sécurité exposée sur Internet, ainsi que celles de vos fournisseurs, et vous donne les clés pour l’améliorer rapidement, avant qu’un problème ne survienne.