Cyberattaques OVH puis Dyn ou la déstabilisation numérique par objets connectés illustrée

Mr. Assange is still alive and WikiLeaks is still publishing. We ask supporters to stop taking down the US  internet. You proved your point. pic.twitter.com/XVch196xyL

— WikiLeaks (@wikileaks) 21 octobre 2016

Une vague de cyberattaques majeure débutée vendredi 22 octobre à 7h10, heure de New-York, a sérieusement perturbé l'accès à de nombreux sites internet d'acteurs majeurs étasuniens durant plusieurs heures. Inédite par son ampleur (durée, conséquences), elle s'est appuyée sur une typologie d'attaques old school, un déni de services distribués (DDoS) massif, via un mode émergent, celui de l'utilisation de centaines de milliers voire de millions d'objets connectés (IoT ou IdO). Un risque qui, s'il est pointé depuis quelques années [1], apparait aujourd'hui concrètement [2] et sera très probablement dans les prochains mois de plus en plus à la Une.

Cyberattaques : les papillons (de nuit), les experts (auto-proclamés) et les oies (forcément) blanches

Cyberattaques Sony (2014), "SCADA" Ukraine (2015) et le week-end dernier la Banque du Bengladesh (février 2016) [1]. Difficile, en apparence, d'y trouver un point commun, notamment sur les aspects techniques. A y regarder de plus près, pourtant, il est assez remarquable de relever :

- des commentateurs qui commentent en ne sachant rien mais en disant tout et ce faisant, parfois, n'importe quoi ;

- une attribution quasiment immédiate [2] des cyberattaquants, de l'incontrôlable Corée du Nord [3] pour Sony à l'ours russe pour l'Ukraine. Ne manque que la Chine pour que le trio infernal soit complet ;

- la médiatisation croissante de ces cyberattaques ce qui, en soi, n'est pas une mauvaise nouvelle, la cybersécurité sortant du placard réservé aux sujets "techniques" [4] dans lequel elle était reléguée jusqu'ici.

Cyberattaque TV5 Monde : premiers enseignements et recommandations

A la différence de l'affaire Sony en décembre 2014 [1] pour laquelle j'avais attendu que la poussière retombe, difficile cette fois-ci de se retenir tant l'emballement médiatique, les (sur)interventions ministérielles et l'aspect "brèves de comptoir" de certains "experts" aura consterné quelques uns d'entre vous/nous dont les camarades d'EchoRadar [2].

Tester son niveau de cybersécurité ? L'exemple d'Hawaii et ses vertus pour le domaine maritime

Ces derniers mois ont vu en France l'émergence d'une prise de conscience concernant la vulnérabilité aux cyberattaques notamment du secteur maritime. L'influence des travaux (1) de la loi de programmation militaire (LPM) n'y sont évidemment étrangers ainsi que certaines actions isolées mais essentielles qu'il faut saluer (2). Cependant, prudence et modestie sont de rigueur étant donné l'ampleur des chantiers qui attendent l'ensemble des acteurs quel que soit le secteur d'activités concerné. Outre-Atlantique et même plus précisément dans le Pacifique, l'île d'Hawaii vient de connaître deux jours d'intenses exercices cyber (3). Leur objectif ? Simuler des cyberattaques permanentes et d'intensité variable contre les infrastructures maritimes de l'île.

L'air-gap ou (l'état de) l'art des cyberattaques

La cybersécurité n'est peut-être pas une science mais c'est sans doute un art, en particulier si l'on se place du côté de l'attaquant. Attaquant pour qui tout objet informatique, simple ou complexe, sur la route (1), dans le ciel (2), en orbite (3) voire sous les océans (4) est une cible potentielle par goût du jeu, du défi technique ou de la malveillance tactique. L'affaire Stuxnet (5) qui a souligné combien l'air-gap, c'est à dire l'utilisation d'une architecture informatique non-connectée (à Internet et/ou un autre réseau interne) et protégée à ses frontières, n'était que le symbole complexe et évolué d'un vrai-faux sentiment de sécurité. Et qu'un adversaire sérieux, c'est à dire dont le commanditaire disposait de ressources financières et techniques très importantes, pouvait se donner le temps d'atteindre une cible extrêmement protégée. A la mesure des moyens mis en œuvre pour protéger un bien dont la haute valeur est proportionnelle aux mesures de défense passives et actives mises en œuvre.

Détection avancée des cyberattaques, nouvel Eldorado de la cyberdéfense ?

Le débat cherchant à trancher qui de l'attaque ou de la défense aurait l'avantage dans le domaine cyber n'est ni récent ni nouveau (1). De nombreux outils quittent actuellement l'étape de la recherche et des laboratoires pour tenter de se faire une place sur le lucratif (2) marché de la cybersécurité. Parmi eux, certains promettent d'améliorer significativement le niveau de cyberdéfense par la détection avancée de cyberattaques potentielles. Focus sur une avancée qui pourrait apporter plusieurs bouleversements majeurs.

Hausse spectaculaire des DDoS massifs utilisant le protocole NTP

Du CERT-FR (1) en passant par les blogs spécialisés (Stéphane) Bortzmeyer et Exploitability, il est possible de relever l'émergence d'une tendance qualifiée de "hausse spectaculaire" (2), et portant sur des attaques par déni de services distribués (3) massives. Cette tendance s'appuie sur le protocole NTP (Network Time Protocol) et exploite des propriétés de réflexion couplées à un phénomène d'amplification redoutable.

Quels enseignements tirer des premières attaques entièrement IPv6 ?

Un peu plus d'une année après le lancement d'un "World IPv6 Launch" (1) par l'ISOC, il semblerait que les premiers signes d'attaques réelles, uniquement basés sur le protocole IPv6, soient observables. C'est en tout cas ce que prétend Matthew Prince, l'un des fondateurs de CloudFlare (2). Si l'intérêt de la solution qu'il propose apparaît secondaire, la véritable information se trouve dans la typologie des attaques et dans une hypothèse intéressante.

Cyber USA Chine : sommet de Sunnylands, un pas dans la bonne direction ?

Alors que le sommet bilatéral États-Unis / Chine à Sunnylands [1], Californie, vient de s'achever, cet article s'intéresse en particulier au volet cybernétique. En rappelant les "scoops" les plus emblématiques qui ont précédé cette rencontre historique puis en les replaçant dans un contexte d'opérations et de manœuvres informationnelles. L'occasion d'affermir certaines lignes de force pour finalement se demander si ce sommet aura permis aux deux frères ennemis d'avancer dans la bonne direction.

En premier lieu, il est sans doute utile de positionner cette rencontre en perspective des mouvements actuels dans la zone Asie-Pacifique. A ce propos, on relira la (très) courte présentation que j'effectuais la semaine dernière concernant le "Cyber Asie Pacifique".

Loi du (cyber) Talion : dérapages et absurdité à tous les étages

Identifier des cyber-attaquants pour pouvoir ensuite réagir en les attaquant soi-même, voilà une idée folle qui, si elle n'était pas proposée par une commission américaine officielle, serait à proprement parler consternante et d'une efficacité douteuse ! Dans un rapport de 100 pages, la Commission contre le vol de la propriété intellectuelle (1) recommande d'autoriser les entreprises du secteur privé à "activement récupérer leurs informations volées du réseau informatique de l'attaquant puis de le rendre indisponible voire le détruire sans aucune limitation".

L'approche utilisée est de considérer que la réglementation internationale mais aussi nationale, en dépit du renforcement de l'arsenal réglementaire par l'administration Obama, sont insuffisantes et sans effets. La commission propose donc de renforcer le coût d'une attaque ciblant les entreprises US en autorisant l'emploi d'outils cybernétiques offensifs par ces mêmes entreprises en vue de mener des actions de rétorsion !

Le plus grand risque actuel ? les (cyber)menaces déjà connues !

C'est en tout cas ce qu'affirme l'Information Security Forum (ISF) dans la synthèse de son étude annuelle intitulée "Panorama des menaces 2015 - Plus de danger des menaces connues" en tentant l'exercice prospectif pour les deux prochaines années. Le leitmotiv de l'étude est de considérer que les menaces connues (1) ont un facteur de dangerosité plus élevé que les générations précédentes. Tout simplement parce que les attaquants se sont professionnalisés et que les attaques techniques sont de plus en plus sophistiquées.

Explosion du nombre de cyberattaques aux Etats-Unis : chiffres et réalités

Cible / Tentatives d'attaques informatiques par jour
BP (1) - 50 000
Royaume-Uni : 120 000
Pentagone : 10 000 000 (10 millions)
NNSA (2) : 10 000 000 également
État de l'Utah (3)  : 20 000 000 (20 millions !)

Ces chiffres, impressionnants, sont à considérer avec prudence. En premier lieu, le référentiel utilisé est très large puisqu'il se base sur la définition généreuse du DHS d'un "cyberincident" qui est "toute violation de la politique de sécurité des systèmes d'information". Ce qui englobe les tentatives d'accès réseau non autorisées, les DDoS ou la découverte d'un maliciel (ver ou virus). Des événements bien disparates avec des niveaux d'impacts difficilement comparables.

La seule certitude est de cependant considérer que le nombre d'événements et d'incidents ont assurément explosé. Autant parce que les moyens de détection se sont améliorés que les activités en rapport avec certains hacktivismes et les conflictualités intertatiques dans le cyberespace, à peine feutrées, sont durablement installées.


(1) British Petroleum, compagnie pétrolière et d'énergie
(2) National Nuclear Security Administration, dépendant du ministère de l'énergie U.S.
(3) http://www.ksl.com/?nid=148&sid=24141005

Source :
http://www.nextgov.com/cybersecurity/2013/03/how-many-cyberattacks-hit-united-states-last-year/61775/?oref=ng-dropdown

Cyberattaques d'infrastructures critiques : le projet CyberCity

Quelle ville de 15 000 habitants dans le New Jersey, USA, possédant une voie ferrée, un réseau d'électricité, un hôpital, une banque ou un complexe militaire subit un feu roulant de cyberattaques ? Aucune ! Ou plutôt si, mais pas vraiment puisque CyberCity (CyberVille) mesure approximativement 4,5 m² et sert à simuler des attaques informatiques variées. Chaque scénario doit répondre à un double objectif : causer le plus de destructions physiques (ou de perturbations urbaines majeures) pour capturer les effets cinétiques d'actions cyber offensives.