DHS 2012 = Einstein 3

Le DHS (Department of Homeland Security - Ministère américain de la Sûreté intérieure) recherche 233,6 millions $ pour son budget 2012 afin de déployer son système fédéral Einstein 3.

Ce système est la 3ème génération de systèmes de détection et de prévention des intrusions réseaux de niveau fédéral (techniquement et financièrement, on n'est plus du tout au niveau de la petite sonde sur un réseau d'entreprise).  Il doit permettre de réagir automatiquement en proposant la réponse adéquate face à une tentative d'accès non autorisé dans les réseaux du gouvernement américain (ministères et agences fédérales). Il s'interface également avec l'US-CERT en automatisant le processus d'alerte aux vulnérabilités.

On notera que c'est la NSA qui a conduit les développements de cette version alors qu'Einstein 1 et Einstein 2 étaient le résultat du travail en commun de l'US-CERT et du NCSD (National Cyber Security Division - La division cybersécurité du DHS). La controverse n'a pas manqué et porte en particulier sur les craintes d'atteinte aux libertés individuelles et à la collecte d'informations personnelles pour des usages détournés.

Il faut également souligner que le DHS réclame également :

- 40,9 millions $ pour conduire 66 audits de sécurité sur les réseaux fédéraux;

- 24,5 millions $ pour les besoins de formation;

- 18 millions $ pour la partie R&D.

Pour mémoire le budget de l'ANSSI en 2012 (prévu mais pas encore validé) sera de 90 millions d'euros (un peu plus de 125 millions $) tandis que celui de son homologue au DHS sera de 328,3 millions $ (389 millions $ en 2011). Si l'on regarde les chiffres bruts, le différentiel n'a pas de quoi faire rougir les autorités françaises (1 pour 3). 

Mais cet effet en trompe l'œil occulte la réalité des choix politiques et des efforts consentis aux États-Unis : tout pour le DoD (Ministère de la Défense). Les budgets alloués à la cybersécurité se chiffrent, eux, en milliards : rien que pour 2011, le Pentagone a prévu de dépenser 1/2 milliard de $ uniquement en R&D sur les nouvelles technologies au profit de la cybersécurité. Sur un budget total supérieur à 2 Milliards $ !

Edit : je signale le billet complémentaire sur CIDRIS/Cyberwarfare.

Non : l'ANSSI n'est pas le "French" Cyber Command !

PC Inpact a publié la semaine dernière une interview intéressante de Patrick Pailloux, Directeur Général de l'ANSSI. Intéressante parce ce qu'elle permet, à mon sens, d'illustrer la façon dont chacun peut percevoir la place de la cybersécurité dans les Nations développées, en particulier en France et en Europe mais aussi aux Etats-Unis qui en sont le fer de lance. D'illustrer mais aussi d'essayer d'en comprendre les rouages visibles, moins visibles voire invisibles et de venir les communiquer pour informer, transmettre et parfois en débattre.

Depuis sa création, ce blog essaie modestement de poser les problématiques  qui me tiennent à cœur ainsi que les bonnes questions (on peut toujours rêver, non ?). Tout cela de manière sûrement imparfaite, parcellaire mais enthousiaste (quand ce n'est pas passionnée). Ce qui me fait singulièrement réagir, sans lassitude aucune (ou presque :), c'est de noter dans certains médias  (institutionnels mais aussi sur la blogosphère) le traitement partiel (et parfois partial) quant aux nouvelles attributions confiées à l'ANSSI (le décret du 11 février 2011). A l'aune d'un précédent billet, j'aurais pu intituler celui-ci "ANSSI : 1 - Médias : 0" mais il est à craindre qu'ANSSI et Stuxnet puissent être remplacés à l'infini. Ce n'est donc plus du jeu mais du systématisme doté d'une certaine arrogance dont j'essaye de préserver mon ego (ni démesuré, ni dégradé).

Ceci étant dit sur un ton badin, redevenons sérieux quelques instants : certains médias clament et déclament ces dernières semaines que l'ANSSI serait devenue le Cyber Command (il faut être ambitieux mais le pas franchi mérite que l'on s'y intéresse) , sorte d'agence de choc à la française dans la lutte contre les cyber-menaces.

Je pense pourtant que l'on est (très) loin du compte et Patrick Pailloux ne me semble pas dire autre chose quand il explique que :

- ce décret permet avant tout de donner une assise juridique donc un gain de temps (2 à 3 heures) en terme d'autorité légale identifiée quant aux éventuels "ordres" de déconnexion que les FAI pourraient recevoir des autorités françaises en cas de cyber attaque majeure;

- l'ANSSI aura un rôle de gestion de crise, ni plus ni moins, et j'aime beaucoup la métaphore filée quant à la gestion des incendies l'été; au mieux elle coordonnera les quelques moyens mobilisables et tentera de limiter une attaque éventuelle;

- pour le reste, il ne faut pas oublier que l'agence a d'abord un rôle de conseil et de support en direction des administrations (voire des entreprises) et consacre une partie importante de son activité à travers la certification de produits et de solutions de sécurité.

Il faut donc raison garder et considérer que l'attribution étatique de la cybersécurité vers l'ANSSI pourrait être une solution transitoire en attendant que :

- Soit le champ du cyberespace devient un axe stratégique à moyen terme (donc politique ce qui sous-tend une vision prospective et d'anticipation...I have a dream) et l'agence pourrait se voir doter de moyens en conséquence; le rôle de "Nation leader en cybersécurité"  dans l'Union européenne pourrait être l'une des conséquences - raisonnable et intéressante;

- Soit elle conserve ses "modestes" attributions et participera de manière complémentaire ou intégrée à une future autorité Otanienne ou Européenne (l'ENISA ? Face à l'OTAN, le "match" me semble joué d'avance...);

- Enfin, la 3ème voie : une nouvelle agence est créée, entièrement dédiée à la cybersécurité et intégrant, pourquoi pas, les CERT avec des interfaces fortes vers le monde militaire (la DRM aurait dès lors un rôle à jouer) mais aussi vers les grandes entreprises.

En fait cette dernière voie ressemble furieusement à celle empruntée par les États-Unis, toute proportion gardée : une autorité centralisatrice dotée de moyens de surveillance de la menace dans le cyberespace (avec sa Common Operational Picture, j'y reviendrai une autre fois) en liaison permanente avec toutes les entités étatiques occupée par la cybersécurité ainsi que l'ensemble des département sécurité des plus grandes entreprises.

La cybersécurité en France et en Europe : déclassement ou opportunité(s) ?

Alors que sur le Vieux Continent on cherche tant bien que mal à se positionner dans la lutte contre les cyber-menaces, les États-Unis et plus singulièrement le "DoD" (Department of Defense / Ministère de la Défense), communiquent à un autre niveau mais surtout progressent rapidement. J'y reviendrai dans un prochain billet.

Une première parenthèse : on peut même penser que les évolutions de la "Sainte Trinité" (doctrine / moyens / capacités) devancent la communication car aussi grands communicants soient-ils, l'avance technologique et/ou capacitaire et la protection du secret demeurent aussi l'une de leurs forces.

Une seconde parenthèse concerne une précision, liée à l'un des mes précédents billets abruptement (mais justement, je maintiens ma position !) intitulé "Oui-Oui et les cyber-menaces". Je me moquais gentiment de l'agence européenne pour la sécurité des réseaux et de l'information (ENISA) et de son homologue française, l'ANSSI. Ces deux entités, aux missions assez différentes mais complémentaires, souffrent de handicaps majeurs : pour l'ENISA c'est d'être une agence intégrée européenne avec ce que cela induit en terme de stratégie(s) et de décision(s). Depuis sa création, l'ambition initiale a vite été confrontée à la réalité : légitimité des agences nationales et des CERT, budgets modestes, objectifs vite revus à la baisse. Comme d'autres agences en leur temps, celle-ci devra à l'avenir trouver sa place parmi les dispositifs nationaux, sous peine de n'être qu'un nouveau "machin".

Pour l'ANSSI, c'est plus compliqué : feue la DCSSI possède une légitimité sur la scène nationale et au-delà, une expertise reconnue mais l'inconvénient majeur de n'avoir pas une taille critique. Les budgets sont certes en hausse et le nombre de postes ouverts a sensiblement augmenté ces dernières années mais tout cela n'en fait pas le fer de lance que la France, "cinquième puissance économique mondiale", est en droit d'attendre. D'autant plus qu'en Europe, elle est un acteur mais aussi une cible pour des menaces allant du terrorisme en passant par le renseignement économique et industriel. Et que les réseaux et les systèmes d'information sont au cœur de ces problématiques.

Est-ce que pour autant les dès sont jetés ? Nous pouvons le craindre, malheureusement. En particulier quand on sait que l'OTAN, lors de son dernier sommet, a placé la cybersécurité comme l'un des domaines d'importance que l'Alliance va devoir adresser.

Alors d'un côté, on peut laisser aller et se dire que conserver une petite agence au niveau national, intégrée dans un système otanien doté de moyens et de ressources plus importantes, est du bon sens. Surtout à l'heure où les économies sont partout annoncées.

D'un autre côté, certains décideurs (et leurs conseillers) ont-ils bien mesuré l'intérêt que la France (et certains de ses voisins européens) aurai(en)t à se lancer dans le train de la lutte contre les cyber menaces ? Car derrière ce qui peut paraître abscons et extrêmement virtuel, des emplois de haute-technicité et des nouveaux outils (concepts, méthodologies, technologies) sont à intégrer et à créer. Et ce savoir-faire pourrait être, en partie, exporté (donc vendu) par la suite.

A croire que l'adage "la sécurité est un coût, pas un investissement" demeurera inscrit encore longtemps dans le marbre !

L'U.S. Air Force, les média sociaux et les fausses identités

Une retombée surprenante de l'onde de choc Wikileaks au travers de l'un des nombreux courriels illégalement récupérés  par des Anonymous dans l'entreprise de sécurité HB Gary, a permis d'apprendre que l'U.S. Air Force a lancé, au début de l'été 2010, un appel d'offres pour un logiciel permettant de créer et de gérer de fausses identités sur les réseaux sociaux (Facebook, Twitter, MySpace). Parmi ces courriels, l'un des responsables de HB Gary s'étonne du fait que cet appel d'offres soit "ouvert" c'est à dire public, d'autant plus qu'il semble que ce soit HB Gary Federal, l'entité qui fournit les services de sécurité, qui a pu être retenu pour proposer le logiciel désiré.
 

Les caractéristique de l'outil sont les suivantes : 50 licences permettant de gérer chacune 10 personae (utilisateurs virtuels) avec des fonctions d'IP Spoofing pour camoufler l'origine exacte du persona. Le but de la manœuvre est double : leurrer les amis qui se connecteront à ces profils et obtenir de l'information sur les personnes ciblées à travers ces amis. C'est ce que nous apprend l'article d'Information Week.

L'information montre quand même la part de plus en plus importante des réseaux sociaux en tant que vecteur informationnel mais aussi combien les entités gouvernementales américaines font feu de tout bois dans le domaine des technologies de l'information.

Une illustration supplémentaire de l'émergence de la cyber sécurité comme domaine clé et critique (et si possible contrôlable !) au même titre que les quatre dimensions (terre, mer, air et espace) dont les États-Unis possèdent la maîtrise voire la supériorité.

2011, Stuxnet, Internet détourné : business...as usual !

Il n'est pas inutile de rappeler combien la cyber période qui s'ouvre est et sera également une source de profits (très) importants pour certains acteurs de la sécurité. C'est la réflexion que je me suis faite, sourire en coin, à la lecture de cet article d'Infosecurity Magazine.

En étant attentif, on pourrait presque confondre cet article avec un "bon vieux" publi-reportage qui utilise certains ressorts propres aux hoaxes : intervenant apparemment sérieux, crédibilité de ses assertions, légitimité par l'utilisation de figures respectables, bref, de la pub à moindre coût et à fort retour sur investissement avec en filigrane la peur, le sentiment généralement irrationnel le plus vendeur et quelques volailles éventrées pour y lire dans les entrailles !

Alors décryptons ensemble cet article : ça commence fort par l'évocation de Stuxnet et du détournement d'internet en avril 2010 par la Chine (lire mes billets précédents sur tous ces sujets) qui annonce la tendance 2011 : détournement du trafic internet et attaques sophistiquées. Jusque là, pourquoi pas, même si le propos est loin d'être révolutionnaire.

Ensuite, ces assertions ne viennent pas de n'importe qui puisque l'on nous dit que c'est Rodney Joffe, senior VP (Vice President) et technologiste (tiens, au passage, j'apprends qu'il existe ce nouveau métier ! :) de la société...mais j'y reviendrai à la fin de ce billet.

Saupoudrage de mots clés comme Wikileaks et évocation du cyber conflit de 2007 entre la Russie et l'Estonie (! - Pour info, je rappelle que les attaques ont eu lieu à partir du territoire estonien, ceci n'enlevant rien aux possibles imbrications du côté russe) et l'on rentre dans le vif du sujet : les cibles et les indices.

Les cibles seraient avant tout les systèmes financiers, en particulier les distributeurs d'argent. Au-delà des grandes entreprises, les entreprises de taille moyenne seraient aussi visées à travers leurs infrastructures physiques : climatisation, chauffage, ascenseur. Bref, un joyeux bordel qui ferait presque passer Die Hard 4 pour une bluette !

J'en arrête là dans l'ironie car je ne sais pas si ce monsieur Joffe est le fils caché de Madame Soleil et d'Elisabeth Teissier mais je sais au moins que sa société possède les compétences et les ressources pour répondre aux problématiques sus-citées. Et lui-même est connu comme un loup blanc de la communication et du marketing intrusif : CQFD ! :)

Si tu veux la paix...ou les cyber illusions !

L’année 2010 touche à sa fin et sans vouloir concourir dans la catégorie des sacro-saints bilans de fin d’année, il y a une chose qui me semble sûre : cette année aura été l’année Stuxnet. La conséquence première veut qu’il y ait donc un  « avant » et qu’il y aura un « après ».

Au-delà du buzz mais aussi des excellentes analyses publiées de ci de là, on peut aussi penser que 2010 aura marqué l’électro- techno-sphère (hommage presque direct à Charles Bwele, tout auréolé de son récent prix) par l’apparition « grand public » du préfixe « cyber » auquel est accolée une cohorte de termes les plus effrayants les uns que les autres : insécurité, criminalité, attaque(s) et surtout guerre.

La cyberguerre ou l’émergence fascinante de concepts qui ne déplairaient pas aux colossaux auteurs prospectifs que sont Philip K. Dick, Asimov ou Franck Herbert. Pour ce dernier, j’ose même parfois penser que ces auteurs ont fait preuve de prescience ! Hormis le conflit Iran-Irak qui fut le dernier conflit conventionnel, long  et massif entre deux États, la guerre a changé de visage ces deux (ou trois) dernières décennies, dominée par des conflits dits asymétriques (la dernière guerre d’Irak et l’Afghanistan actuellement en sont un « bon » exemple) mais surtout de basse intensité.

Souhait tout personnel et ô combien utopique, j’ai beau m’intéresser à la chose militaire, à ses personnels et à ses matériels depuis ma tendre enfance, je souhaite davantage une humanité apaisée, bien plus adulte et qui saurait prendre son destin en main afin de partager les richesses équitablement afin de construire la grande œuvre qui fait cruellement défaut : tout mettre en œuvre pour assurer la sécurité des générations futures (et lointaines) en se dotant des moyens suffisants pour quitter notre berceau et pouvoir aller vivre ailleurs que sur la Terre.

Cependant et malheureusement, il est à craindre que les 20 prochaines années soient traversées de conflits qui eux ne seront pas de basses intensités. Brutaux et brefs, ils pourraient avoir pour cause des visées stratégiques d’accès ou de protection des ressources essentielles (énergies fossiles, métaux rares, eau, terres arables) et verraient l’emploi et la montée en puissance de vecteurs dématérialisés (cyber, virtuel, informationnels donc plus prosaïquement…informatiques) ayant des conséquences qui elles seront bien concrètes et physiques (systèmes de commandes pour les SCADA et les DCS, neutralisation des réseaux informatiques et de communication, désinformation massive et attaques distribuées mais entièrement décentralisées).

Ce monde fait peur et semble décrire ce que Tom Clancy illustre depuis des années à travers sa série Net Force ? Tout cela ne serait donc que de la littérature à bon compte afin que les paons-bloggeurs dont je fais partie (dans ce cas) et les journalistes spécialisés fassent la plus belle roue ? Non, cher lecteur, il est temps de se réveiller, il est temps de te réveiller : tout cela est pour demain, dans quelques heures. 

L’Apocalypse appartient encore à la Bible mais la révélation,elle, a déjà commencé !

Que ne reprochera-t-on aux états-majors (et à leurs chefs militaires et…politiques, surtout ces derniers d’ailleurs) d’avoir été imprévoyants, incompétents et de s’être crus à l’abri derrière on ne sait quelle ligne Maginot imaginaire ?! Ce ne sont pas quelques exercices cybernétiques ou de cyber stress (!) entre alliés qui vont changer la donne même si ceux-ci ont surtout vocation à rassurer la population. Qui sera encore surpris lorsque l’on apprendra l’écroulement d’un état, celui-ci fut-il « modeste » et en voie de développement (ou de déclassement !), tandis que son infanterie, ses blindés, ses hélicoptères ou ses chasseurs n’auront pas quitté leurs casernes et leurs hangars par faute d’une paralysie complète des systèmes d’information voire la neutralisation à distance de certains ou de la plupart des systèmes d’arme ? Que deviendra une nation disposant de jouets coûteux et de haute technologie si ceux-ci deviennent réellement aussi utiles que des…jouets ?

Si tu veux la paix…

OTAN : un plan d'actions décennal après Lisbonne et une cyber-feinte ?

Le sommet de l'OTAN à Lisbonne vient de fermer ses portes, et l'on peut donc tirer quelques enseignements d'importance. Le principal, même si le contraire eût été une surprise, est l'acceptation par l'ensemble des pays membres d'un plan d'action à dix ans. 

Celui-ci entérine la dissuasion nucléaire (ses trois contributeurs d'importance - USA, Royaume-Uni et France) - n'y sont pas pour rien) tout en voyant se renforcer la contribution (future) de la Russie au futur bouclier anti-missiles. Ce point était vraisemblable et je m'en étais fait l'écho dans un précédent billet.

Je passe rapidement sur la problématique afghane, d'autres s'en chargeront bien mieux que moi, et j'en viens aux nouveaux défis adressés par l'OTAN : le terrorisme, les États défaillants (s'agirait -il, entre autres, de la Corée du Nord ?) et la cybersécurité.

Ce dernier volet me laisse sceptique, comme je m'y attendais d'ailleurs : certes, l'Union Européenne a annoncé à l'issue du sommet la création d'un centre commun sur la cybercriminalité en 2013 auquel sera(it) adossé un système d'alerte et de partage ainsi que la mise en réseaux de l'ensemble des CERT existants (et la création de CERT dans les pays n'en disposant pas) prévue en 2012. Mais ces annonces ne concernent que le volet "citoyen" (échange et protection des données personnelles) et aucune annonce spécifique européenne n'a été faite sur la volet militaire, sûreté intérieure et actions offensives.

Je me demande dès lors s'il ne faut pas lire entre les lignes et en déduire qu'on laisse ce pan entier à la seule discrétion des États-Unis, fer de lance de l'initiative et acteur principal de l'OTAN ? Nous savons tous que la période économique n'est pas favorable (belle litote s'il en est !) aux budgets de défense mais il m'apparait préjudiciable de laisser ce champ ouvert aux seules informations, aux seuls outils et aux seuls moyens d'un seul membre, fut-il les États-Unis.

C'est comme avec les moyens d'observation : la France, et dans une moindre mesure l'Allemagne, l'Italie et l'Espagne, a eu le nez creux de se constituer une petite flotte satellitaire de renseignement optique et électro-magnétique. Sans elle, quelques couleuvres supplémentaires eussent été avalées...

"Détournement" de 15% du trafic internet par la Chine ?

Un article en date du 12 novembre sur le site de National DefenSe Magazine n'est pas passé inaperçu : il nous annonce qu'en avril dernier, environ 15% du trafic global d'Internet aurait été détourné et récupéré par la Chine !

En premier lieu, cette information est évidemment à prendre avec des pincettes, Stuxnet étant passé par là, mais si l'information était confirmée, elle ne ferait que souligner l'importance des moyens mis en oeuvre par l'Empire du milieu depuis presque deux décennies (à ce propos l'article promis sur le sujet est à peine démarré).

En second lieu, quelques éléments retiennent l'attention :

1) L'article cite un "Top security expert" de McAfee qui explique que l'information n'a pas (ou peu ?) été reprise par les média car ces questions sont encore d'une extrême complexité et restent encore vagues pour le commun des mortels.

2) Les informations "détournées" et peut-être "stockées et analysées" auraient autant concerné des organisations civiles que militaires ainsi que certains alliés des USA (Japon, Australie).

3) Le rapport 2010 de l'U.S.-China Economic and Security Review Commission est présenté...aujourd'hui au Sénat américain ! Et ce rapport ne manie pas particulièrement la langue de bois : dans la partie spécifique aux questions de la Défense nationale, on parle "d'augmentation significative de la sophistication de l'activité malveillante informatique associée à la Chine" (The increasingly sophisticated nature of malicious computer activity associated with China).

4) Techniquement, le "détournement" se serait fait à la vue de tous : China Telecom aurait signalé à de nombreux ISP que ses infrastructures étaient ponctuellement les plus efficaces pour rediriger les paquets de données. L'opération en elle-même est classique car reposant sur du load-balancing et de l'optimisation en temps-réel, à l'échelle...mondiale, tout de même.

5) Ce qui marque la différence avec les précédents, c'est que le trafic aurait été redirigé sans peine donc sans interruption. Ce qui sous-entend une infrastructure conséquemment dimensionnée en terme d'absorption de charge.

6) Les services américains avertis ont officiellement réagi en ne montrant aucune inquiétude, insistant sur le fait que les donnés sensibles sont chiffrées.

7) Petit "souci" néanmoins puisqu'il est possible que l'un des acteurs de confiance fournissant des certificats de chiffrement ne soit autre que le China Internet Information Center, dépendant du ministère de l'Information et de l'Industrie chinois.

Là s'arrête les points saillants relevés dans l'article que vous trouverez ici. Néanmoins, je ne saurais trop recommander la prudence quant à ces informations, l'histoire étant un peu trop limpide et désignant de manière bien peu subtile le "méchant". A lire d'ailleurs le commentaire d'un certain "Will" tout en bas de l'article du National Defense Magazine.

Edit : toujours dans le registre de la prudence, je signale un billet intéressant  sur l'hypothèse Stuxnet ciblant l'Iran sur le blog de Ralph Langner. D'après ses dernières analyses, très techniques, le code offensif possèderait 2 charges ciblant les deux types de systèmes Siemens exploités par les iraniens. Pour résumer la finalité de l'attaque, celle-ci vise à déstabiliser les centrifugeuses pouvant même mener à une destruction (vitesse + vibrations). C'est à lire ici et là.