Indicateurs de compromission : malware Red October et initiative OpenIOC

Kaspersky Lab et Alien Vault viennent de mettre à disposition un document d'une vingtaine de pages. Ce document détaille un ensemble d'indicateurs de compromission(s) ainsi que des éléments de mitigation contre le code malveillant Red October,  pour lequel Cidris s'interrogeait récemment. Ce rapport est intéressant pour (au moins) deux raisons.

CERT-EU : l'Union Européenne se dote d'un CERT (presque) permanent

La date est probablement une coïncidence mais l'information est tout de même intéressante : le CERT de l'Union Européenne (CERT-EU) devient (presque) permanent.

Non : l'ANSSI n'est pas le "French" Cyber Command !

PC Inpact a publié la semaine dernière une interview intéressante de Patrick Pailloux, Directeur Général de l'ANSSI. Intéressante parce ce qu'elle permet, à mon sens, d'illustrer la façon dont chacun peut percevoir la place de la cybersécurité dans les Nations développées, en particulier en France et en Europe mais aussi aux Etats-Unis qui en sont le fer de lance. D'illustrer mais aussi d'essayer d'en comprendre les rouages visibles, moins visibles voire invisibles et de venir les communiquer pour informer, transmettre et parfois en débattre.

Depuis sa création, ce blog essaie modestement de poser les problématiques  qui me tiennent à cœur ainsi que les bonnes questions (on peut toujours rêver, non ?). Tout cela de manière sûrement imparfaite, parcellaire mais enthousiaste (quand ce n'est pas passionnée). Ce qui me fait singulièrement réagir, sans lassitude aucune (ou presque :), c'est de noter dans certains médias  (institutionnels mais aussi sur la blogosphère) le traitement partiel (et parfois partial) quant aux nouvelles attributions confiées à l'ANSSI (le décret du 11 février 2011). A l'aune d'un précédent billet, j'aurais pu intituler celui-ci "ANSSI : 1 - Médias : 0" mais il est à craindre qu'ANSSI et Stuxnet puissent être remplacés à l'infini. Ce n'est donc plus du jeu mais du systématisme doté d'une certaine arrogance dont j'essaye de préserver mon ego (ni démesuré, ni dégradé).

Ceci étant dit sur un ton badin, redevenons sérieux quelques instants : certains médias clament et déclament ces dernières semaines que l'ANSSI serait devenue le Cyber Command (il faut être ambitieux mais le pas franchi mérite que l'on s'y intéresse) , sorte d'agence de choc à la française dans la lutte contre les cyber-menaces.

Je pense pourtant que l'on est (très) loin du compte et Patrick Pailloux ne me semble pas dire autre chose quand il explique que :

- ce décret permet avant tout de donner une assise juridique donc un gain de temps (2 à 3 heures) en terme d'autorité légale identifiée quant aux éventuels "ordres" de déconnexion que les FAI pourraient recevoir des autorités françaises en cas de cyber attaque majeure;

- l'ANSSI aura un rôle de gestion de crise, ni plus ni moins, et j'aime beaucoup la métaphore filée quant à la gestion des incendies l'été; au mieux elle coordonnera les quelques moyens mobilisables et tentera de limiter une attaque éventuelle;

- pour le reste, il ne faut pas oublier que l'agence a d'abord un rôle de conseil et de support en direction des administrations (voire des entreprises) et consacre une partie importante de son activité à travers la certification de produits et de solutions de sécurité.

Il faut donc raison garder et considérer que l'attribution étatique de la cybersécurité vers l'ANSSI pourrait être une solution transitoire en attendant que :

- Soit le champ du cyberespace devient un axe stratégique à moyen terme (donc politique ce qui sous-tend une vision prospective et d'anticipation...I have a dream) et l'agence pourrait se voir doter de moyens en conséquence; le rôle de "Nation leader en cybersécurité"  dans l'Union européenne pourrait être l'une des conséquences - raisonnable et intéressante;

- Soit elle conserve ses "modestes" attributions et participera de manière complémentaire ou intégrée à une future autorité Otanienne ou Européenne (l'ENISA ? Face à l'OTAN, le "match" me semble joué d'avance...);

- Enfin, la 3ème voie : une nouvelle agence est créée, entièrement dédiée à la cybersécurité et intégrant, pourquoi pas, les CERT avec des interfaces fortes vers le monde militaire (la DRM aurait dès lors un rôle à jouer) mais aussi vers les grandes entreprises.

En fait cette dernière voie ressemble furieusement à celle empruntée par les États-Unis, toute proportion gardée : une autorité centralisatrice dotée de moyens de surveillance de la menace dans le cyberespace (avec sa Common Operational Picture, j'y reviendrai une autre fois) en liaison permanente avec toutes les entités étatiques occupée par la cybersécurité ainsi que l'ensemble des département sécurité des plus grandes entreprises.

OTAN : un plan d'actions décennal après Lisbonne et une cyber-feinte ?

Le sommet de l'OTAN à Lisbonne vient de fermer ses portes, et l'on peut donc tirer quelques enseignements d'importance. Le principal, même si le contraire eût été une surprise, est l'acceptation par l'ensemble des pays membres d'un plan d'action à dix ans. 

Celui-ci entérine la dissuasion nucléaire (ses trois contributeurs d'importance - USA, Royaume-Uni et France) - n'y sont pas pour rien) tout en voyant se renforcer la contribution (future) de la Russie au futur bouclier anti-missiles. Ce point était vraisemblable et je m'en étais fait l'écho dans un précédent billet.

Je passe rapidement sur la problématique afghane, d'autres s'en chargeront bien mieux que moi, et j'en viens aux nouveaux défis adressés par l'OTAN : le terrorisme, les États défaillants (s'agirait -il, entre autres, de la Corée du Nord ?) et la cybersécurité.

Ce dernier volet me laisse sceptique, comme je m'y attendais d'ailleurs : certes, l'Union Européenne a annoncé à l'issue du sommet la création d'un centre commun sur la cybercriminalité en 2013 auquel sera(it) adossé un système d'alerte et de partage ainsi que la mise en réseaux de l'ensemble des CERT existants (et la création de CERT dans les pays n'en disposant pas) prévue en 2012. Mais ces annonces ne concernent que le volet "citoyen" (échange et protection des données personnelles) et aucune annonce spécifique européenne n'a été faite sur la volet militaire, sûreté intérieure et actions offensives.

Je me demande dès lors s'il ne faut pas lire entre les lignes et en déduire qu'on laisse ce pan entier à la seule discrétion des États-Unis, fer de lance de l'initiative et acteur principal de l'OTAN ? Nous savons tous que la période économique n'est pas favorable (belle litote s'il en est !) aux budgets de défense mais il m'apparait préjudiciable de laisser ce champ ouvert aux seules informations, aux seuls outils et aux seuls moyens d'un seul membre, fut-il les États-Unis.

C'est comme avec les moyens d'observation : la France, et dans une moindre mesure l'Allemagne, l'Italie et l'Espagne, a eu le nez creux de se constituer une petite flotte satellitaire de renseignement optique et électro-magnétique. Sans elle, quelques couleuvres supplémentaires eussent été avalées...