Produits de sécurité : le référentiel SCAP du Homeland Security (DHS)

Si le DHS (Department of Homeland Security - Ministère américain de la sécurité intérieure) continue de faire monter en puissance le système Einstein 3 (1), il travaille de concert avec le NIST sur un autre facette de l'automatisation de la sécurité. SCAP alias Security Content Automation Protocol (Protocole automatique de contenu sécurité) doit permettre de définir un environnement de standards et de spécifications interopérables.

Analyses forensiques : les résultats prometteurs d'une étude du NIST

Un scénario d’attaque décrit les possibilités techniques et organisationnelles par lesquelles un attaquant potentiel pourrait exploiter une ou plusieurs vulnérabilités en vue de s’introduire illégalement dans un système d’information. Un ensemble de scénarii d’attaques peut être utilisé pour calculer les chemins d’attaque potentiels à partir d’une configuration cible et des vulnérabilités connues qui lui sont rattachées. Le département des sciences informatiques du NIST vient de sortir un article fort intéressant sur l’utilisation d'une nouvelle technique améliorant l'analyse forensique (enquête technique post-incident).

SHA-3 sur les rails

Après presque cinq années de compétition ouverte, le NIST vient enfin de sélectionner le gagnant de la nouvelle fonction cryptographique SHA (Secure Hash Algorithm) dite SHA-3. Des 64 soumissionnaires, c'est Keccak (prononcer “catch-ack”) qui sort vainqueur.

Sanitisation des données : la SP800-88 Rev. 1 du NIST

Le NIST vient de mettre à disposition du public pour commentaires (1) la mise à jour majeure de la SP800-88 Rev. 1, une directive concernant la sanitisation des media (et des données). J'emploie le néologisme sanitisation à dessein car il existe plusieurs traductions possibles (2) et aucune ne me parait donner vraiment satisfaction : assainissement, stérilisation voire destruction.

Chaire de cyberdéfense, NCCoE : deux centres d'excellence cyber, une différence fondamentale

Il ne se passe pas une semaine aux USA, allez, disons un mois sans que ne surgisse l'annonce de la création d'un nouveau centre dédié à la cybersécurité et/ou à la cyberdéfense¹. Cette fois-ci, c'est au tour du NIST de créer le Centre d'Excellence National en Cybersécurité (National Cybersecurity Center of Excellence - NCCoE). Notons là encore la réactivité dans la dynamique cyber des USA car le NCCoE est opérationnel à peine 4 mois après l'annonce publique de sa création.

Cybersécurité pour Systèmes Cyber-Physiques : atelier et concept

(Power System Topology)

La Computer Security Division du NIST accueillera les 23 et 24 avril un atelier autour de la cybersécurité à destination des systèmes cyber-physiques (Cyber-Physical Systems - CPSs).

Mon étonnement et ma curiosité sont grands puisque c'est la première fois que j'apprends l'existence de ces CPSs ! En étudiant le programme et les abstract associés, on comprend un peu mieux de quoi il s'agit.

Tout d'abord, les domaines concernés sont assez larges mêmes si classiques puisque cela va du médical (implants) à l'embarqué (traité en février lors du congrès ERTS² 2012 dont je m'étais fait l'écho) jusqu'aux réseaux intelligents de distribution d'électricité (Smart Grid). 

Les équipements et/ou systèmes visés traitent, sont opérés ou nécessitent des données pour fonctionner. Certains mêmes peuvent embarquer des fonctions de sécurité ce qui nécessite un niveau de protection associé. Seulement, le physique et le virtuel ne peuvent être entièrement dissociés puisque peuvent exister des interactions voire des effets de bord indésirables ou, plus simplement, insoupçonnés (cas de vulnérabilités non-détectées).

Cela revient à se demander si ces effets indésirables, et donc potentiellement exploitables (malveillance), peuvent être couverts par l'adjonction d'exigences et de mesures de sécurité supplémentaires. C'est tout l'objet de cet atelier que de s'appuyer sur les recherches des 2 ou 3 dernières années dans les domaines précédemment cités. Et de chercher à rapprocher les deux mondes, jusqu'ici complémentaires : la sécurité physique et la sécurité de l'information (ou cybersécurité). 

Une initiative à saluer mais aussi à surveiller afin d'en mesurer l'intérêt et la pertinence pour, le cas échéant, s'assurer que l'Europe et la France sont également sur la brèche. En particulier en ce qui concerne le Smart Grid qui semble donner des sueurs froides, pour le moment de l'autre côté de l'Atlantique, aux acteurs chargés de cette problématique et de ses aspects cybersécurité.