Lever de rideau sur la notion de prévention

Le ransomware est devenu l’agent dormant de la cybersécurité. Un agent dormant est un espion qui se fraie un chemin dans un pays ou une organisation et se comporte normalement jusqu’à ce qu’il soit appelé à accomplir sa mission des mois ou des années plus tard. Dans le cas des ransomwares, tout le monde pense que les effets souvent désastreux et nocifs se produisent immédiatement. Si je suis votre collègue et que je vous envoie un document par e-mail, il y a de fortes chances que vous l’ouvriez. Une fois activé, le malware pourrait submerger et compromettre votre système en quelques secondes, si c’est l’intention. Mais pas toujours.

Le plus souvent, le code malveillant du ransomware peut incuber et rester caché pendant des mois, pour être activé à une certaine heure, comme un jour spécifique, voire synchronisé avec la phase de la lune. Et au fil des mois, le malware peut se propager lentement, cryptant les choses non pas d’un seul coup mais petit à petit en prenant des choses qui étaient autrefois bonnes et en les exploitant pour faire de mauvaises choses dans l’ensemble de l’organisation ou de l’écosystème. Comme je l’ai dit, agent dormant.

Alors, comment sommes-nous censés créer des systèmes résilients et continuer à exploiter nos entreprises à la lumière de la menace croissante des ransomwares ?

Plus de détection n’est pas la solution

Les entreprises et les gouvernements mondiaux, tant fédéraux que locaux, ont investi des milliards pour essayer de détecter et de contrecarrer les ransomwares. La détection est un élément important d’une infrastructure résiliente, mais cela pourrait nous prendre entre six et neuf mois avant que des violations de données soient révélées. Évidemment, plus de détection n’est pas la solution. En tant qu’industrie, nous avons échoué à la détection. Nous avons essayé de le faire pendant des décennies. Chaque fois que nous innovons, les méchants trouvent un moyen de le contourner. Ces dernières années, nous nous sommes penchés sur les outils de détection de logiciels malveillants basés sur l’apprentissage automatique et l’intelligence artificielle (IA). Des innovations comme l’IA sont utiles, mais devinez quoi, les méchants utilisent également l’IA et des contrefaçons profondes. La course aux armements à l’innovation n’a pas éliminé ou réduit les menaces telles que les ransomwares. Au lieu de cela, les attaques de ransomwares continuent d’augmenter en portée et en impact financier.

En réponse, notre industrie a adopté des architectures de confiance zéro et des approches de confiance explicite, mais la plupart des parcours de confiance zéro se sont largement concentrés sur l’identité et l’accès. L’évolution récente des effectifs hybrides et de la transformation numérique, ainsi que leur utilisation concomitante de contenu et d’informations électroniques partout, sont des indicateurs avancés de la prochaine étape vers la confiance zéro : les données.

Passer à une prévention à 100 %

Ce n’est pas un euphémisme que les données sont le système nerveux central d’une organisation. Les données sont omniprésentes et pratiquement standardisées, des PDF aux e-mails en passant par les pages Web et les bases de données. Les entreprises doivent repenser leur périmètre, car le périmètre est désormais là où les données sont utilisées. En d’autres termes : si vous vous concentrez sur l’authentification et la détection, vous pouvez réussir à savoir qui est une personne sur le réseau et à quoi elle est autorisée à accéder. Mais vous ne savez peut-être pas à quoi ils accèdent et pourquoi.

Les outils d’analyse sont incroyablement utiles pour aider à identifier les moments de risque potentiel, mais c’est toujours comme chercher une aiguille dans une botte de foin. Si nous suivons la confiance zéro, alors ne faisons confiance à aucun des actifs entrant dans le réseau en premier lieu. Dans un modèle de prévention à 100 %, vous décidez que tout le contenu est mauvais et désinfectez tout, quelle que soit la source.

Tout ou rien, ou simplement rien, est une pensée radicale, mais les menaces existentielles comme les ransomwares exigent une nouvelle approche. Les chefs d’entreprise et les responsables de la cybersécurité doivent adopter des technologies de transformation de contenu zéro confiance telles que le désarmement et la reconstruction de contenu (CDR) qui ont mûri pour l’entreprise. CDR suppose que tous les fichiers entrant dans votre réseau contiennent des logiciels malveillants. Le CDR intercepte un document à la frontière du réseau, recrée le contenu à partir de zéro et le livre propre et sûr au destinataire prévu. Peu importe qu’un cybervoleur détourne le compte de messagerie d’un fournisseur pour me manipuler (gros chance) en cliquant sur une pièce jointe infectée. Le fichier sera nettoyé avant même que l’e-mail n’arrive dans ma boîte de réception. Menace prévenue.

En ces temps, nous avons besoin d’approches non conventionnelles pour défendre nos économies, nos infrastructures essentielles et notre mode de vie. Lorsque la cybersécurité pourra permettre le maintien du statu quo, nous verrons alors plus d’opportunités pour l’industrie. L’hyperscaling des ressources informatiques nécessaires pour répondre aux exigences de la main-d’œuvre hybride d’aujourd’hui nécessite une mise à l’échelle égale des capacités de cybersécurité. Alors qu’ils étaient auparavant disposés à mettre en œuvre des racks de produits ponctuels, de plus en plus de clients demandent des modèles de déploiement cloud intégrés. Ils voudront rendre la cybersécurité aussi simple qu’un service, par exemple en actionnant un commutateur pour déployer la suppression des menaces, la sécurité des données, le pare-feu, la sécurité Web et d’autres fonctionnalités partout où ils en ont besoin et quand ils le souhaitent.

Alors que les dirigeants d’entreprises et d’agences gouvernementales continuent de mûrir leurs efforts de transformation numérique, ils reconnaissent le catalyseur commercial qu’est la cybersécurité. Le parcours zéro confiance se poursuivra alors que les organisations chercheront à prévenir de manière proactive les compromis et cesseront d’essayer de détecter ou de réagir aux menaces. Cela me rend optimiste pour l’année prochaine et les années qui suivront.

Petko Stoyanov est le CTO de Forcepoint