Confiance zéro et échec de l’échantillonnage : deux tendances importantes en matière de cybersécurité
La semaine dernière, j’ai assisté à un excellent briefing donné par Tom Gillis, vice-président senior et directeur général de VMwares Networking and Advanced Security Business Group, dans lequel il a discuté de diverses tendances importantes liées à la cybersécurité que lui et son équipe ont observées. Gillis a expliqué comment les attitudes des clients de VMware vis-à-vis de la sécurité semblent évoluer à la lumière des développements récents au sein de l’industrie de la cybersécurité et des événements en cours dans le monde en général ; parmi les développements dont il a parlé, il y avait des indications d’un changement de l’attention des personnes responsables d’assurer la cybersécurité organisationnelle vers une plus grande concentration sur l’analyse des menaces.
De nombreux commentaires de Gilliss font écho à ceux que j’ai entendus ces derniers mois de la part de RSSI et d’autres acteurs du secteur de la cybersécurité qui assistent à des développements sous divers angles très différents de ceux d’un fournisseur de technologies de cybersécurité. De plus, alors que les clients de VMware investissent évidemment dans des domaines de la cybersécurité liés aux domaines d’activité de VMware, de nombreuses observations de Gillis étaient à la fois clairement neutres vis-à-vis du fournisseur et ne se limitaient pas aux domaines d’activité de VMware, s’appliquant ou non aux concurrents de VMware autant qu’ils l’ont fait pour VMware.
En tant que tel, j’ai pensé partager deux points particuliers que Gillis a abordés lors de sa présentation, qui sont tous deux de nature similaire aux commentaires que j’ai entendus récemment de la part d’autres personnes travaillant dans d’autres domaines du domaine de la cybersécurité, et que je crois sera intéressant pour beaucoup de mes lecteurs d’en savoir plus sur :
Zero Trust est accepté dans les programmes de sécurité de l’information du monde réel
Alors que la confiance zéro est un mot à la mode depuis un certain temps, le principe de confiance zéro et les dépenses visant à rapprocher les politiques, les procédures et l’infrastructure organisationnelles de sa mise en œuvre sont de plus en plus acceptés comme constituant un élément fondamental des programmes de sécurité de l’information.
Les RSSI et autres responsables de la sécurité sont clairement passés d’une approche de défense du fort à une approche dans laquelle ils reconnaissent que malgré leurs vaillants efforts pour protéger les informations et les systèmes d’information, ils doivent supposer que leurs organisations respectives ont subi des cyber-violations dont ils n’ont pas connaissance . En conséquence, les programmes de cybersécurité doivent être conçus et mis en œuvre non seulement pour se défendre contre les mouvements latéraux à travers les systèmes de données par les soi-disant « utilisateurs autorisés », mais aussi pour traiter les utilisateurs sur les réseaux internes comme s’ils n’étaient pas plus dignes de confiance que les utilisateurs accédant via Internet. connexions émanant de la moitié de l’ouvrage.
Aujourd’hui, les professionnels de la cybersécurité doivent considérer comme potentiellement dangereux tout le trafic, y compris le trafic des communications se produisant uniquement sur les réseaux internes sous leur responsabilité.
L’échantillonnage ne fonctionne plus
En raison du risque que des attaquants soient présents sur les réseaux internes et apparaissent comme des utilisateurs internes autorisés, l’approche adoptée par le passé consistant à examiner de petits échantillons de trafic circulant latéralement au sein des réseaux organisationnels afin de maximiser les performances ainsi que d’identifier et d’arrêter toute activité non autorisée (AKA « East-West Traffic ») n’est plus appropriée ; parce que la plupart du trafic interne est susceptible d’être généré par des utilisateurs légitimes, ou peut sembler provenir d’utilisateurs légitimes, en essayant d’extrapoler à partir d’un échantillon de données afin de déterminer (ou, plus précisément, de prédire) ce qui devrait et ne devrait pas se passe est susceptible d’échouer. Dans de telles situations, l’échantillonnage peut amener les systèmes de sécurité à mal comprendre ce qui est un comportement légitime et ce qui ne l’est pas, ainsi qu’à manquer divers mouvements latéraux non autorisés, mais extrêmement dangereux.
De plus, il est peu probable que l’échantillonnage détecte les violations qui se produisent au sein d’un seul ordinateur et un pirate qui viole un seul système en tant que tel peut attendre avant de se déplacer latéralement afin d’éviter d’être détecté. Si la compromission d’un seul appareil peut amener un pirate à se déplacer latéralement et à faire des ravages, ou est elle-même susceptible d’avoir un impact négatif sur une entreprise, le recours à l’échantillonnage peut entraîner de graves conséquences néfastes.
De plus, la prolifération des implémentations de systèmes informatiques basées sur des machines virtuelles signifie qu’aujourd’hui, l’écoute des fils de réseau (y compris leurs équivalents sans fil aériens) peut manquer des quantités importantes de mouvement latéral, ce qui est vrai même si tout le trafic réseau capturé est analysé, et est encore plus problématique si seuls des échantillons sont prélevés.
VMwaresponsorisé ce post.Vous pouvez en savoir plus sur VMware et ses solutions de sécurité Zero Trustici.