Votre rendez-vous du dimanche · Série risques
En deux dimanches, votre registre a pris forme. Le premier épisode a nommé les dix scénarios qui arrêteraient l'entreprise ; le deuxième a mis quatre noms en face de chacun. Il manque encore une chose, et c'est celle qu'un attaquant regarde en premier : par où chacun de ces scénarios pourrait-il commencer ?
Un registre décrit ce que l'entreprise craint. Une surface d'attaque décrit ce que l'entreprise montre. Tant que les deux ne sont pas reliés, le registre reste une liste de conséquences sans chemin d'entrée, et personne ne peut dire lequel de vos dix scénarios est le plus proche de se produire.
Un registre lu de l'intérieur, une attaque qui commence dehors
La plupart des registres sont écrits en atelier, autour d'une table, à partir de ce que l'équipe sait de ses propres systèmes. C'est nécessaire pour la conséquence : seuls les finances et les opérations savent ce que coûtent dix jours sans facturation. Mais pour la vraisemblance, l'atelier a un angle mort. Il juge la probabilité d'un scénario à partir de l'inventaire interne, alors que l'attaquant, lui, part de ce qu'il voit de l'extérieur : les services qui répondent, les interfaces d'administration ouvertes, les versions annoncées, les identifiants qui circulent.
Les méthodes publiques font la même distinction. Le guide NIST SP 800-30 sur l'évaluation des risques décompose la vraisemblance d'un risque en deux : la probabilité qu'un événement menaçant se déclenche, et celle qu'il produise un impact une fois déclenché. L'exposition pèse directement sur la première. ISO/IEC 27005 décrit de son côté une approche par événements, qui part des sources de risque et de leurs conséquences, et une approche par actifs, qui descend aux vulnérabilités de chaque actif : relier un scénario à ses points d'entrée, c'est faire se rejoindre les deux.
Ce que ça change : la conséquence d'un scénario se décide à l'intérieur. Sa vraisemblance, en bonne partie, se lit à l'extérieur.
Relier chaque scénario à ses points d'entrée
Reprenez vos dix scénarios. Pour chacun, posez une seule question : par quels points visibles d'Internet un attaquant pourrait-il le déclencher ? Trois exemples, repris de notre liste du premier épisode :
- Rançongiciel sur l'ERP. Points d'entrée typiques : le boîtier d'accès à distance (VPN), le portail d'accès des employés, la messagerie, l'outil de prise de main à distance d'un prestataire. Si l'un d'eux porte une faille exploitée ou une interface d'administration ouverte, le scénario se rapproche.
- Compromission de la messagerie de la direction. Points d'entrée : le portail de connexion de la messagerie, le niveau d'authentification multifacteur qui le protège, les identifiants de dirigeants apparus dans des fuites, les domaines sosies qui imitent le vôtre.
- Fuite de renseignements personnels. Points d'entrée : le portail client, les formulaires, les espaces de stockage infonuagiques partagés, les applications web qui interrogent la base de données des clients.
Un même point d'entrée sert souvent plusieurs scénarios. Le boîtier VPN alimente le rançongiciel, l'intrusion par un prestataire et la perte d'un accès critique. C'est un bon indice : les points d'entrée qui reviennent dans plusieurs scénarios sont ceux dont l'exposition compte le plus, parce qu'une seule faille y fait monter plusieurs lignes du registre à la fois.
Ce que l'exposition change, et ce qu'elle ne change pas
L'exposition ne change pas la conséquence. Dix jours sans facturation coûtent la même chose, que l'attaquant soit entré par le VPN ou par la messagerie. Elle change la vraisemblance, et elle la change vite. Quatre signaux, observables de l'extérieur, suffisent à la faire bouger :
- Un point d'entrée porte une faille exploitée. Une faille inscrite au catalogue KEV sur un service joignable, c'est le signal le plus fort. Notre article de samedi détaille comment le repérer.
- Une interface d'administration est exposée. La console d'un équipement ou d'un logiciel joignable depuis Internet raccourcit le chemin de n'importe quel scénario qui passe par lui.
- Un équipement est en fin de vie. Il ne recevra plus de correctifs : chaque faille découverte y restera ouverte.
- Des identifiants circulent. Des comptes de l'organisation apparus dans des fuites rendent possibles les scénarios qui commencent par une simple connexion.
Ces signaux ne s'ajoutent pas en note dans un coin du registre. Ils changent le classement : un scénario dont le point d'entrée principal porte une faille exploitée passe devant un scénario plus grave mais sans chemin d'entrée connu. C'est exactement l'arbitrage qu'une direction doit pouvoir faire.
Qui surveille l'exposition d'un scénario
Dimanche dernier, nous avons séparé quatre rôles : celui qui accepte, celui qui traite, celui qui surveille et celui qui rend compte. L'exposition est le travail de celui qui surveille. Pour chaque scénario, il tient à jour la liste de ses points d'entrée et prévient deux personnes quand l'un des quatre signaux apparaît : celui qui traite, pour qu'il agisse, et celui qui a accepté le risque, parce qu'un risque accepté sur la base d'une exposition faible n'est plus le même risque quand elle augmente.
C'est le mécanisme qui manque à la plupart des registres. L'acceptation a été décidée en mars sur une photographie de l'exposition ; en octobre, un nouveau point d'entrée est apparu, et personne n'a rouvert la décision. Une règle simple y remédie : tout nouveau signal sur un point d'entrée rouvre l'acceptation des scénarios qui en dépendent.
Le test de la semaine : trente minutes, trois scénarios
Ne faites pas les dix d'un coup. Prenez les trois scénarios dont la conséquence est la plus lourde, et réunissez la personne qui surveille et quelqu'un qui connaît l'infrastructure.
- Pour chaque scénario, listez les points d'entrée visibles d'Internet par lesquels il pourrait commencer. Trois à cinq par scénario suffisent.
- Pour chaque point d'entrée, répondez par oui ou par non aux quatre signaux : faille exploitée, interface d'administration exposée, fin de vie, identifiants qui circulent.
- Comptez les points d'entrée qui reviennent dans plus d'un scénario, et ceux qui ont au moins un oui.
Trois résultats doivent vous alerter. Un scénario sans aucun point d'entrée identifié : soit il est mal écrit, soit vous ne savez pas ce que vous exposez. Un point d'entrée commun à vos trois scénarios : c'est votre priorité de la semaine, avant tout le reste. Des questions auxquelles personne ne peut répondre sans lancer un balayage : votre registre juge la vraisemblance à l'aveugle.
Ce que vous devriez avoir dimanche prochain
Une page de plus dans votre registre : pour vos trois scénarios principaux, la liste de leurs points d'entrée, l'état des quatre signaux pour chacun, et le nom de la personne qui les surveille. Et une règle écrite : un nouveau signal rouvre l'acceptation. Vous pourrez étendre la page aux sept autres scénarios dans les semaines qui viennent.
Où FortaRisks intervient
Les quatre signaux se lisent de l'extérieur, en continu, et c'est le travail de Forta Exposition : chaque service exposé est identifié avec sa version, puis rapproché des failles exploitées. Forta Cockpit fait le lien avec le registre : chaque constat devient un risque classé, avant et après vos contrôles, et l'acceptation datée se rouvre d'elle-même à son échéance. Pour savoir dès maintenant ce qu'un attaquant voit de votre organisation, notre rapport d'exposition gratuit vous remet en 48 heures, de l'extérieur et en lecture seule, un score, les constats classés et un plan d'action de 30 jours.
Dimanche prochain : la menace, qui cible vraiment votre secteur. L'exposition dit par où un scénario peut commencer ; la menace dit qui a l'intention de le déclencher. Comment l'ajouter au registre sans le noyer dans le renseignement.
Sources : NIST, SP 800-30 Rev. 1, Guide for Conducting Risk Assessments (septembre 2012) · ISO, ISO/IEC 27005:2022, lignes directrices pour la gestion des risques liés à la sécurité de l'information · CISA, catalogue des vulnérabilités exploitées connues (KEV)