Cyberattaques OVH puis Dyn ou la déstabilisation numérique par objets connectés illustrée

Mr. Assange is still alive and WikiLeaks is still publishing. We ask supporters to stop taking down the US  internet. You proved your point. pic.twitter.com/XVch196xyL

— WikiLeaks (@wikileaks) 21 octobre 2016

Une vague de cyberattaques majeure débutée vendredi 22 octobre à 7h10, heure de New-York, a sérieusement perturbé l'accès à de nombreux sites internet d'acteurs majeurs étasuniens durant plusieurs heures. Inédite par son ampleur (durée, conséquences), elle s'est appuyée sur une typologie d'attaques old school, un déni de services distribués (DDoS) massif, via un mode émergent, celui de l'utilisation de centaines de milliers voire de millions d'objets connectés (IoT ou IdO). Un risque qui, s'il est pointé depuis quelques années [1], apparait aujourd'hui concrètement [2] et sera très probablement dans les prochains mois de plus en plus à la Une.

Cyberattaques : les papillons (de nuit), les experts (auto-proclamés) et les oies (forcément) blanches

Cyberattaques Sony (2014), "SCADA" Ukraine (2015) et le week-end dernier la Banque du Bengladesh (février 2016) [1]. Difficile, en apparence, d'y trouver un point commun, notamment sur les aspects techniques. A y regarder de plus près, pourtant, il est assez remarquable de relever :

- des commentateurs qui commentent en ne sachant rien mais en disant tout et ce faisant, parfois, n'importe quoi ;

- une attribution quasiment immédiate [2] des cyberattaquants, de l'incontrôlable Corée du Nord [3] pour Sony à l'ours russe pour l'Ukraine. Ne manque que la Chine pour que le trio infernal soit complet ;

- la médiatisation croissante de ces cyberattaques ce qui, en soi, n'est pas une mauvaise nouvelle, la cybersécurité sortant du placard réservé aux sujets "techniques" [4] dans lequel elle était reléguée jusqu'ici.

Tester son niveau de cybersécurité ? L'exemple d'Hawaii et ses vertus pour le domaine maritime

Ces derniers mois ont vu en France l'émergence d'une prise de conscience concernant la vulnérabilité aux cyberattaques notamment du secteur maritime. L'influence des travaux (1) de la loi de programmation militaire (LPM) n'y sont évidemment étrangers ainsi que certaines actions isolées mais essentielles qu'il faut saluer (2). Cependant, prudence et modestie sont de rigueur étant donné l'ampleur des chantiers qui attendent l'ensemble des acteurs quel que soit le secteur d'activités concerné. Outre-Atlantique et même plus précisément dans le Pacifique, l'île d'Hawaii vient de connaître deux jours d'intenses exercices cyber (3). Leur objectif ? Simuler des cyberattaques permanentes et d'intensité variable contre les infrastructures maritimes de l'île.

L'air-gap ou (l'état de) l'art des cyberattaques

La cybersécurité n'est peut-être pas une science mais c'est sans doute un art, en particulier si l'on se place du côté de l'attaquant. Attaquant pour qui tout objet informatique, simple ou complexe, sur la route (1), dans le ciel (2), en orbite (3) voire sous les océans (4) est une cible potentielle par goût du jeu, du défi technique ou de la malveillance tactique. L'affaire Stuxnet (5) qui a souligné combien l'air-gap, c'est à dire l'utilisation d'une architecture informatique non-connectée (à Internet et/ou un autre réseau interne) et protégée à ses frontières, n'était que le symbole complexe et évolué d'un vrai-faux sentiment de sécurité. Et qu'un adversaire sérieux, c'est à dire dont le commanditaire disposait de ressources financières et techniques très importantes, pouvait se donner le temps d'atteindre une cible extrêmement protégée. A la mesure des moyens mis en œuvre pour protéger un bien dont la haute valeur est proportionnelle aux mesures de défense passives et actives mises en œuvre.

Hausse spectaculaire des DDoS massifs utilisant le protocole NTP

Du CERT-FR (1) en passant par les blogs spécialisés (Stéphane) Bortzmeyer et Exploitability, il est possible de relever l'émergence d'une tendance qualifiée de "hausse spectaculaire" (2), et portant sur des attaques par déni de services distribués (3) massives. Cette tendance s'appuie sur le protocole NTP (Network Time Protocol) et exploite des propriétés de réflexion couplées à un phénomène d'amplification redoutable.

Quels enseignements tirer des premières attaques entièrement IPv6 ?

Un peu plus d'une année après le lancement d'un "World IPv6 Launch" (1) par l'ISOC, il semblerait que les premiers signes d'attaques réelles, uniquement basés sur le protocole IPv6, soient observables. C'est en tout cas ce que prétend Matthew Prince, l'un des fondateurs de CloudFlare (2). Si l'intérêt de la solution qu'il propose apparaît secondaire, la véritable information se trouve dans la typologie des attaques et dans une hypothèse intéressante.

Cyber USA Chine : sommet de Sunnylands, un pas dans la bonne direction ?

Alors que le sommet bilatéral États-Unis / Chine à Sunnylands [1], Californie, vient de s'achever, cet article s'intéresse en particulier au volet cybernétique. En rappelant les "scoops" les plus emblématiques qui ont précédé cette rencontre historique puis en les replaçant dans un contexte d'opérations et de manœuvres informationnelles. L'occasion d'affermir certaines lignes de force pour finalement se demander si ce sommet aura permis aux deux frères ennemis d'avancer dans la bonne direction.

En premier lieu, il est sans doute utile de positionner cette rencontre en perspective des mouvements actuels dans la zone Asie-Pacifique. A ce propos, on relira la (très) courte présentation que j'effectuais la semaine dernière concernant le "Cyber Asie Pacifique".

Loi du (cyber) Talion : dérapages et absurdité à tous les étages

Identifier des cyber-attaquants pour pouvoir ensuite réagir en les attaquant soi-même, voilà une idée folle qui, si elle n'était pas proposée par une commission américaine officielle, serait à proprement parler consternante et d'une efficacité douteuse ! Dans un rapport de 100 pages, la Commission contre le vol de la propriété intellectuelle (1) recommande d'autoriser les entreprises du secteur privé à "activement récupérer leurs informations volées du réseau informatique de l'attaquant puis de le rendre indisponible voire le détruire sans aucune limitation".

L'approche utilisée est de considérer que la réglementation internationale mais aussi nationale, en dépit du renforcement de l'arsenal réglementaire par l'administration Obama, sont insuffisantes et sans effets. La commission propose donc de renforcer le coût d'une attaque ciblant les entreprises US en autorisant l'emploi d'outils cybernétiques offensifs par ces mêmes entreprises en vue de mener des actions de rétorsion !

Le plus grand risque actuel ? les (cyber)menaces déjà connues !

C'est en tout cas ce qu'affirme l'Information Security Forum (ISF) dans la synthèse de son étude annuelle intitulée "Panorama des menaces 2015 - Plus de danger des menaces connues" en tentant l'exercice prospectif pour les deux prochaines années. Le leitmotiv de l'étude est de considérer que les menaces connues (1) ont un facteur de dangerosité plus élevé que les générations précédentes. Tout simplement parce que les attaquants se sont professionnalisés et que les attaques techniques sont de plus en plus sophistiquées.

Explosion du nombre de cyberattaques aux Etats-Unis : chiffres et réalités

Cible / Tentatives d'attaques informatiques par jour
BP (1) - 50 000
Royaume-Uni : 120 000
Pentagone : 10 000 000 (10 millions)
NNSA (2) : 10 000 000 également
État de l'Utah (3)  : 20 000 000 (20 millions !)

Ces chiffres, impressionnants, sont à considérer avec prudence. En premier lieu, le référentiel utilisé est très large puisqu'il se base sur la définition généreuse du DHS d'un "cyberincident" qui est "toute violation de la politique de sécurité des systèmes d'information". Ce qui englobe les tentatives d'accès réseau non autorisées, les DDoS ou la découverte d'un maliciel (ver ou virus). Des événements bien disparates avec des niveaux d'impacts difficilement comparables.

La seule certitude est de cependant considérer que le nombre d'événements et d'incidents ont assurément explosé. Autant parce que les moyens de détection se sont améliorés que les activités en rapport avec certains hacktivismes et les conflictualités intertatiques dans le cyberespace, à peine feutrées, sont durablement installées.


(1) British Petroleum, compagnie pétrolière et d'énergie
(2) National Nuclear Security Administration, dépendant du ministère de l'énergie U.S.
(3) http://www.ksl.com/?nid=148&sid=24141005

Source :
http://www.nextgov.com/cybersecurity/2013/03/how-many-cyberattacks-hit-united-states-last-year/61775/?oref=ng-dropdown

Sécurité : IPv6 c'est IPv4 à 95% !

Stéphane Botzmeyer est l'un des meilleurs spécialistes français (1) d'Internet, des réseaux TCP/IP et des RFC. Déjà évoqué sur ce blog au travers d'un article sur l'AFNIC, son employeur, il était l'un des intervenants à la journée sécurité organisée par le laboratoire sécurité de l'ESGI le 21 janvier 2013. Son exposé avait pour objet de présenter la sécurité du protocole réseau IPv6 dont le déploiement semble enfin décoller. Même si cela se fait "lentement" et de manière "laborieuse".

Indicateurs de compromission : malware Red October et initiative OpenIOC

Kaspersky Lab et Alien Vault viennent de mettre à disposition un document d'une vingtaine de pages. Ce document détaille un ensemble d'indicateurs de compromission(s) ainsi que des éléments de mitigation contre le code malveillant Red October,  pour lequel Cidris s'interrogeait récemment. Ce rapport est intéressant pour (au moins) deux raisons.

Cyberattaques d'infrastructures critiques : le projet CyberCity

Quelle ville de 15 000 habitants dans le New Jersey, USA, possédant une voie ferrée, un réseau d'électricité, un hôpital, une banque ou un complexe militaire subit un feu roulant de cyberattaques ? Aucune ! Ou plutôt si, mais pas vraiment puisque CyberCity (CyberVille) mesure approximativement 4,5 m² et sert à simuler des attaques informatiques variées. Chaque scénario doit répondre à un double objectif : causer le plus de destructions physiques (ou de perturbations urbaines majeures) pour capturer les effets cinétiques d'actions cyber offensives.

Cinétique et non-cinétique : ce que sera (peut-être) la cyberguerre

Coordonnant le dossier thématique "électromagnétisme" de l'Alliance géostratégique, j'ai commis un article intitulé "Cinétique et non-cinétique : ce que sera (peut-être) la cyberguerre". Commis car il s'agit d'une courte nouvelle qui se base sur un scénario fictif mais résolument réaliste. 2022 : quelle serait la réaction des États-Unis face à une attaque (réussie) sur l'une de ses infrastructures vitales entraînant des conséquences majeures ?

Comme je l'ai écrit, "gageons que si celle-ci serait sans doute violente et rapide, elle pourrait combiner des effets cinétiques classiques mais aussi des effets non-cinétiques. L’emploi de la palette complète irait des moyens de guerre électronique, en passant par des cyberattaques et jusqu’à l’utilisation d’armes électromagnétiques". La suite est à lire sur le site d'AGS. Et Joyeux Noël à tous !