Indicateurs de compromission : malware Red October et initiative OpenIOC

Kaspersky Lab et Alien Vault viennent de mettre à disposition un document d'une vingtaine de pages. Ce document détaille un ensemble d'indicateurs de compromission(s) ainsi que des éléments de mitigation contre le code malveillant Red October,  pour lequel Cidris s'interrogeait récemment. Ce rapport est intéressant pour (au moins) deux raisons.

En premier lieu, c'est le premier vecteur informationnel connu qui synthétise l'ensemble des éléments permettant de détecter de manière sûre ce code sophistiqué. Une raison majeure pour laquelle les CERT nationaux semblent bien les premiers acteurs à pouvoir être intéressés afin d'enrichir leurs propres observations. Et, si besoin est, alerter administrations,  services publics, gouvernementaux ou fédéraux.

En second lieu, le document a été produit dans le cadre de l'initiative OpenIOC (Open Indicators of Compromise - Indicateurs ouverts de compromission) créée par Mandiant, l'une des entreprises américaines, parmi les plus importantes, spécialisée en cybersécurité. Le dispositif, si l'on peut dire, est un "artefact forensique" qui permet d'identifier les éléments d'une intrusion sur un hôte ou réseau. L'idée principale repose sur l'idée d'un partage d'informations orienté vulnérabilités. Caractéristiques techniques, méthodologies ou éléments de preuve sont partagés via ce framework basé sur des outils et une structure xml de description pour assurer une sorte de "normalisation".

Le partage d'informations significatives voire sensibles entre le secteur public et le secteur privé est l'un des leviers qui doit permettre d'élever le niveau de maturité en termes de SSI/cybersécurité. Une position particulièrement encouragée par le gouvernement américain dans le domaine des infrastructures critiques. Sans résultat concret, pour le moment (législatif ou exécutif par le biais d'un Executive Order), sauf à considérer ce type d'initiative venant "de la base".