Une visibilité IT complète nécessite de connaître le contexte de risque de l'entreprise

Être en permanence à jour et avoir une vue détaillée et globale de tous les assets IT est essentiel pour les équipes de sécurité. Pour y parvenir, nous devons d'abord comprendre ce qu'implique réellement la « visibilité », et pourquoi il ne s'agit pas seulement d'identifier la situation et de savoir quels sont les défis à relever.

Si nous examinons les meilleures pratiques en matière de sécurité au cours des 20 dernières années, nous constatons que la phase initiale consiste à « découvrir », à « identifier » ou bien encore à « comprendre ». Les spécialistes sont unanimes : nous ne pouvons pas protéger ce que nous ignorons avoir. Ou plus précisément, nous ne pouvons pas prendre les bonnes décisions sur comment et où protéger nos environnements si nous ne savons pas ce que nous possédons. L'élément clé et fondamental de tout programme de sécurité efficace est la visibilité totale sur tous les assets qui constituent une infrastructure.

C'est un fait largement accepté et reconnu, et la plupart des praticiens de la sécurité n'hésiteront pas à admettre qu'il est extrêmement difficile d'obtenir une visibilité complète des assets d'une entreprise. Les équipes de sécurité implémentent divers outils, passent beaucoup de temps à intégrer des ensembles de données provenant de systèmes de gestion d'assets et d'autres sources d'informations fiables. Et pourtant, elles sont nombreuses à admettre qu'elles ne connaissent pas vraiment leur environnement. Pourquoi ? Pour l'essentiel, cela se résume à deux éléments clés qui ne sont pas pris en compte lorsque les entreprises tentent de comprendre leur environnement :

• Recherchez-vous et identifiez-vous réellement tous vos assets, ou seulement ceux que vous pensez connaître ?
• Comprenez-vous le contexte des assets quand il s'agit de la sécurité, des risques et de l'impact sur l'entreprise ?

Une visibilité totale signifie d'abord et avant tout identifier et évaluer tous les assets de votre environnement, et pas seulement les plus « évidents » ou les plus familiers pour la plupart des équipes IT et de sécurité. Une excellente pratique consiste à commencer par les serveurs, les postes de travail, l'infrastructure réseau et les autres appareils IT traditionnels. Mais très souvent d'autres assets sont négligés, voire totalement occultés. Qu'y a-t-il d'autre à prendre en compte ? Vérifiez si votre équipe identifie les assets suivants :

• Bases de données
• Applications web
• OT / ICS / SCADA / appareils IoT industriels
• Infrastructure cloud
• Plateformes de virtualisation
• Conteneurs
• Services d'orchestration cloud
• Configurations IaC (Infrastructure as Code)
• Active Directory / informations d'authentification / groupes
• Hôtes publics / noms d'hôte / enregistrements

Et cette liste n'est pas exhaustive. Bien qu'ils soient difficiles à identifier, ces types d'asset sont stratégiques pour la plupart des entreprises et susceptibles d'être visés par des cyber-attaques. S'ils sont compromis, cela aura un impact négatif sur les finances et la réputation de l'entreprise. Si les équipes de sécurité veulent avoir une meilleure visibilité et une compréhension plus complète de leur environnement, elles doivent se pencher sur tous ces assets, en plus des assets plus traditionnels connus de tous. 

C'est précisément pour cette raison que la plateforme Tenable propose divers outils qui vous permettent d'identifier correctement et en toute sécurité ces assets et de rassembler les données en un seul endroit. L'identification des vulnérabilités et autres risques de sécurité commence par la capacité d'identifier et de comprendre la cible. Avec ce niveau de visibilité, les entreprises sont mieux placées pour comprendre où se situent les plus grands risques dans leur environnement, et ainsi prendre les mesures nécessaires pour y remédier.

Certaines entreprises arrivent à collecter des données sur leurs assets et ont une bonne compréhension de leur environnement. Mais cela ne suffit pas. La nature disparate des données, généralement réparties dans des référentiels différents, oblige non seulement les équipes de sécurité à les rassembler en un seul endroit pour mieux les analyser, mais également à trouver des moyens de les normaliser. Tous les assets n'ont pas forcément une adresse IP ou un nom d'hôte, ce qui ne facilite pas la tâche. Les référentiels de code n'auront pas les mêmes identifiants que ceux d'un conteneur. Les applications web peuvent être identifiées par un nom de domaine ou une URL, mais un contrôleur logique programmable (PLC) n'est pas forcément connecté à un réseau connu. 

Et les identifiants d'assets de base ne sont pas les seuls à être variés et compliqués. Il y a autant de vulnérabilités et de risques qu'il y a de différences entre les assets. Un serveur peut avoir une vulnérabilité facilement identifiable par un numéro CVE, mais une mauvaise configuration IaC n'aura aucun identifiant standard. Les vulnérabilités des applications web, telles que les injections SQL et les injections de code indirectes, sont plus techniques que les vulnérabilités spécifiquement et systématiquement identifiables d'un système d'exploitation. Et avec Active Directory, des problèmes de sécurité sous-jacents peuvent survenir selon la façon dont AD fonctionne et valide les informations d'authentification de toute l'entreprise. Ces problèmes ne peuvent pas être résolus en appliquant un correctif manquant. 

Disons que votre équipe de sécurité a été chargée d'estimer les menaces inhérentes à l'environnement et d'agir en premier sur les éléments et les lieux à risque. Mais par où commencer si elle ne dispose pas des bons points de comparaison ? En fait, les données en question sont tellement disparates qu'elle ne saura même plus où donner de la tête. Il est essentiel de comprendre le contexte des assets et leur niveau de sécurité. Vous devez d'abord rassembler toutes ces informations et les normaliser de manière à trouver un moyen cohérent et quantifiable d'appréhender le risque pour l'entreprise, lié à chacune d'entre elles. Vous devez ensuite relier entre eux les différents facteurs de risque et prendre la meilleure décision quant aux questionnements suivants : quel aspect de l'entreprise est-il le plus exposé ? Quel est son niveau de vulnérabilité ? Quelles mesures à prendre pour limiter le risque ? Réunir toutes ces données est déjà suffisamment complexe en soi, mais même si vous y parveniez, cela ne suffirait pas tant que vous n'aurez pas compris ce sur quoi porter toute votre attention. Vous vous retrouverez alors confronté à une multitude de feuilles de calcul et de bases de données sans savoir par où commencer.

Vous souhaitez obtenir plus de conseils sur votre stratégie de sécurité ? Consultez le rapport Tenable Rétrospective du paysage des menaces de 2021, qui fournit une analyse complète que les professionnels de la sécurité peuvent utiliser pour améliorer dès à présent la sécurité de leur entreprise, et visionnez le webinaire « Gestion de l'exposition pour la surface d'attaque moderne : identifier et communiquer sur les éléments les plus à risque dans votre environnement et ceux qu'il est vital de corriger en priorité. » (en anglais)