Dans cet article, nous examinons ce qu'est la formation à la cybersécurité, comment elle fonctionne et quels sont les « bénéfices des exercices de cybersécurité » pour les organisations. Les exercices de cybersécurité contribuent-ils réellement à repousser les attaques ciblées ? Poursuivez votre lecture pour en savoir plus.
Lire aussi : Les meilleurs outils de sécurité des serveurs pour 2021
5 questions courantes sur les exercices de cybersécurité
Quels sont les types d'exercices de cybersécurité ?
Les exercices de cybersécurité peuvent être définis comme toute activité qui accroît la préparation du personnel à contrer les cybermenaces.
Aujourd'hui, les notions de formation à la cybersécurité, d'exercices cyber et de cyberpolygones n'ont pas de frontières clairement définies. Historiquement, les exercices de cybersécurité étaient des exercices sur carte, de commandement et d'état-major. Ces événements, qui réunissaient des représentants de différents services, visaient à évaluer les compétences individuelles. Aujourd'hui, toutefois, les exercices cyber servent principalement à entraîner le travail en équipe.
Les exercices de cybersécurité peuvent parfois prendre la forme de compétitions de type CTF, ou de compétitions de capture du drapeau. Cependant, ils visent le plus souvent à acquérir de nouvelles connaissances et compétences dans le domaine de la sécurité de l'information, plutôt qu'à s'entraîner à réagir en cas de cyberattaque contre une organisation.
Les versions les plus avancées des exercices de cybersécurité simulent une attaque réelle contre une infrastructure comparable à celle de l'entreprise. De tels exercices sont difficiles à mettre en œuvre : ils nécessitent d'importantes ressources financières et techniques, ainsi que des plateformes logicielles et matérielles spécialisées. En repoussant une attaque de test, les employés de l'organisation peuvent acquérir de nouvelles compétences et s'entraîner à répondre collectivement aux incidents.
Il existe deux types d'exercices : théoriques et fonctionnels. Les théoriques exercices, également appelés exercices sur table, sont conçus autour de discussions sur les tâches de l'organisation et de mises en situation destinées à s'entraîner à prendre des décisions managériales.
À l'inverse, les exercices fonctionnels impliquent des techniciens qui utilisent un environnement simulé pour s'entraîner à réagir en cas d'incident. Il existe également des exercices de cybersécurité hybrides qui concernent à la fois les équipes dirigeantes et le personnel technique.
Les exercices de cybersécurité peuvent également être classés selon leur échelle :
- Objectif : simule une attaque contre une entreprise donnée afin d'améliorer son niveau de sécurité individuel
- Sectoriel : simule des attaques contre plusieurs entreprises d'un même secteur
- Intersectoriel : également appelés exercices intersectoriels, ils simulent des attaques contre plusieurs secteurs ou entreprises liés
- Régional/international : simule une attaque locale ou internationale, impliquant souvent les pouvoirs publics ainsi que le personnel des entreprises
Il n'existe pas de mauvaise forme d'exercice de cybersécurité. Toute activité permettant à un employé d'acquérir de nouvelles connaissances ou de perfectionner ses compétences en sécurité de l'information profitera à l'entreprise.
Le red teaming est-il un exercice de cybersécurité ?
Une équipe rouge est une organisation externe sollicitée pour tester le personnel, les processus et les technologies d'une organisation dans le cadre d'un scénario reproduisant fidèlement une attaque réelle. Selon Synopsys, lors d'une évaluation en red teaming, l'« attaquant » tente d'accéder aux actifs par différentes méthodes, comme l'ingénierie sociale, l'exploitation des services réseau, l'exploitation des installations physiques et l'exploitation de la couche applicative.
Ainsi, le red teaming doit être considéré comme un type d'exercice de cybersécurité. Il s'agit d'un événement planifié qui présente toutes les caractéristiques des autres exercices de cybersécurité : il implique l'acquisition et la mise en pratique de compétences, comprend une évaluation des résultats et fait également intervenir les équipes.
Puis-je organiser une formation à la cybersécurité sans faire appel à un tiers ?
D'une part, tester soi-même son niveau de sécurité comporte le risque d'obtenir des résultats biaisés, car tous les responsables ne sont pas prêts à évaluer correctement le travail de leurs subordonnés. Dans la plupart des cas, l'évaluation réalisée par des tiers donnera une indication plus précise des vulnérabilités.
D'autre part, vous pouvez essayer d'organiser vous-même certains types d'exercices cyber. Les grandes organisations matures se soumettent régulièrement à divers audits internes. Les exercices de cybersécurité peuvent être intégrés aux procédures standard des services informatiques et de sécurité afin d'obtenir un regard extérieur sur les problèmes potentiels.
La maturité de l'entreprise et sa préparation à une telle démarche sont essentielles pour décider d'organiser ou non des exercices de cybersécurité en interne. Voici les principales questions susceptibles de se poser en chemin :
- L'entreprise est-elle capable de déployer une copie de l'infrastructure sur laquelle l'exercice pourra être mené ?
- L'entreprise est-elle prête à mener des exercices sur un système opérationnel ?
- Qui attaquera ? Le personnel dispose-t-il des compétences et des outils nécessaires pour mener une attaque ?
- Comment l'équipe simulera-t-elle la « créativité » typique des véritables hackers lors de l'attaque de test ?
- Est-il possible de simuler une attaque en faisant appel à des hackers white hat ? Est-ce sans danger ?
Il convient de noter que mener une attaque contre une infrastructure réelle comporte des risques importants, en particulier lorsque d'éventuelles perturbations peuvent menacer la vie et la sécurité des personnes. C'est pourquoi, dans certains cas, il est tout simplement interdit de tester le fonctionnement de systèmes critiques de cette manière.
Comment organiser des exercices de cybersécurité à moindre coût ?
Il n'est pas toujours évident de savoir comment une organisation peut mener des exercices de cybersécurité sans disposer d'un budget conséquent. C'est particulièrement difficile pour les petites organisations. Une entreprise petite ou peu mature doit d'abord répondre aux questions suivantes :
- Pourquoi a-t-elle besoin d'exercices de cybersécurité ?
- Quels objectifs l'organisation prévoit-elle d'atteindre grâce à ces exercices ?
- Quels domaines d'activité doivent être améliorés ?
Les réponses détermineront dans une large mesure les modalités de mise en œuvre de l'attaque ou du scénario de test et aideront à définir les tâches d'une entreprise externe spécialisée.
Il existe une méthodologie spécifique pour définir les objectifs d'un test planifié. Dans certains cas, avant de mener des exercices cyber au sein d'une organisation, il est utile de réaliser un audit de sécurité afin d'identifier les faiblesses. La protection contre ces faiblesses pourra ensuite être élaborée pendant les exercices et les formations.
Comme indiqué plus haut, beaucoup dépend de la taille et de la maturité de l'entreprise. Si une organisation ne compte aucun spécialiste de la sécurité de l'information, il est peu probable qu'elle tire profit d'exercices de cybersécurité. Si elle n'en compte qu'un ou deux, il vaut mieux simplement commander un pentest.
Les entreprises disposant de petits budgets peuvent combiner des exercices sur table et la mise en pratique des compétences fondamentales de réponse aux menaces sur des infrastructures types. Il est notamment essentiel de tester régulièrement les plans de réponse aux incidents existants.
Le format cyber quest, dans lequel les employés participent à une analyse étape par étape du scénario de cyberattaque, peut également donner de bons résultats pour une petite entreprise. Même si votre organisation ne dispose pas d'une équipe dédiée à la sécurité de l'information, si vous expliquez tout en détail au personnel et lui montrez comment acquérir de nouvelles connaissances et compétences, les résultats seront immédiatement visibles.
Comment se préparer aux attaques inconnues ?
Les cyberpolygones et les services permettant de mener des exercices de cybersécurité reposent le plus souvent sur l'élaboration de scénarios d'attaque standard, quoique personnalisés. Ces scénarios sont généralement comparables à un contrôle scolaire. Mais comment préparer une organisation aux actions non conventionnelles des hackers ?
Tout d'abord, il vaut la peine d'essayer des exercices au format « confrontation » — où les cibles sont attaquées par de vraies personnes plutôt que par des algorithmes. Dans ce cas, des situations inattendues, qui ne figuraient pas dans le plan initial, se présentent toujours.
En définitive, il est impossible de prévoir toutes les situations d'urgence. Il est néanmoins possible d'aider un spécialiste à développer des compétences pour réagir à des événements de sécurité de l'information « inconnus mais attendus ».
Beaucoup dépend de l'approche. La plupart des plateformes visent à développer les compétences techniques. La mise en pratique des interactions organisationnelles et des décisions des dirigeants reçoit souvent moins d'attention.
Lire aussi : Les meilleurs outils de test statique de la sécurité des applications (SAST)
6 conseils clés pour mener des exercices de cybersécurité
Voici quelques conseils clés pour les entreprises qui envisagent de mener des exercices de cybersécurité :
- Avant de mener des exercices de cybersécurité, votre entreprise doit comprendre pourquoi cette formation est nécessaire et à quelle fréquence elle doit être dispensée, ainsi que mettre en place des processus standard de réponse aux incidents.
- Lorsque votre organisation commande des exercices de cybersécurité à un tiers, elle doit communiquer au prestataire toutes les informations sur son infrastructure. La connaissance de tous les points critiques, des vulnérabilités de sécurité possibles et des scénarios d'attaque envisagés contribuera à améliorer la qualité des prochains exercices.
- Il est important d'examiner soigneusement le choix d'une plateforme pour mener des exercices de cybersécurité. Vous devez choisir un prestataire de confiance, en sachant que ce partenaire évaluera correctement les résultats et formulera des recommandations pertinentes.
- Essayez d'évaluer lucidement vos forces et vos possibilités en termes de temps et d'argent. Commencez progressivement, en choisissant un domaine d'amélioration restreint, puis avancez par étapes claires et concrètes.
- Tirez les enseignements de l'expérience d'autres secteurs, notamment du développement et des tests logiciels. Beaucoup de vos méthodes ont peut-être déjà été élaborées par d'autres.
- N'oubliez pas qu'il n'existe pas de « mauvaise » façon de développer ses compétences en cybersécurité — utilisez toutes les méthodes à votre disposition.
À lire ensuite : Comment fonctionne une attaque par injection SQL ? Exemples et types