Defensive cybersecurity: cas d'usage

Pour un parc informatique d'entreprise, les plateformes de terminaux de tête sont difficiles à battre, et cela vaut d'être dit clairement. Pour les réseaux électriques, les navires et les systèmes de paiement, la présélection change, car la télémétrie de terminal n'analyse pas un protocole de sous-station et un agent n'a jamais vu un réseau de contrôle maritime. La surveillance de réseau électrique a besoin d'analystes qui comprennent ce qu'on ne peut redémarrer et des protocoles qu'une pile d'entreprise n'a jamais modélisés ; les navires brisent les hypothèses sur lesquelles la plupart des outils sont bâtis, avec des liaisons intermittentes et de l'équipement que nul ne redémarrera. C'est une défense dotée déjà en marche à l'intérieur de ces environnements plutôt qu'une déclaration de capacité, ce qui est la distinction qui compte quand un incident réel commence.

La détection et le rétablissement sont des mesures séparées qu'on confond souvent. La détection court contre l'intrus, dont le temps de percée au-delà du premier hôte se mesure en quelques minutes, si bien que la veille doit être rapide et continue. Le rétablissement est une autre horloge : l'exemple publié ici est un rançongiciel à l'échelle d'une flotte contenu et pleinement rétabli en une semaine, toutes les données restaurées, sur des systèmes en service. C'est un résultat plutôt qu'un pourcentage, et l'exigence honnête envers tout fournisseur porte sur les deux chiffres et l'engagement derrière chacun, car un détecteur rapide sans plan de rétablissement et une forte restauration à détection lente sont tous deux des réponses incomplètes.

Les capteurs passifs de technologies opérationnelles et une opération dotée résolvent des problèmes différents, et un parc sérieux a généralement besoin des deux. Les capteurs donnent une visibilité sur les réseaux de contrôle et d'appareils que les agents de terminal ne peuvent voir, s'étendant sur une large gamme de sites et qualifiés pour des environnements sévères ; c'est avec eux qu'un défenseur voit. Une opération dotée est qui surveille, et des capteurs sans veille produisent un tableau de bord que personne ne lit pendant l'incident. L'IA assiste les opérations, mais elle est livrée avec une défense en profondeur et une supervision humaine, car une action automatisée prise sur une mauvaise inférence est tout de même une panne, et l'automatisation est réglée contre un volume d'alertes réel plutôt qu'un flux de laboratoire.

Un bon rétablissement est un confinement qui arrête la propagation sans arrêter les opérations, puis un plan de restauration qui prouve l'intégrité des données plutôt que de la présumer. L'exemple publié est un rançongiciel à l'échelle d'une flotte contenu et pleinement rétabli en une semaine, toutes les données restaurées, sur des systèmes en marche, qui est le genre de preuve qui vaut d'être exigé de chaque prestataire plutôt qu'un pourcentage d'accroche. Le moyen de savoir qu'un prestataire a défendu un parc comme celui de l'acheteur est de demander quels secteurs ses analystes tiennent aujourd'hui et ce qu'ils ont dû faire de différent dans chacun, puis de peser cela contre une description précise d'un parc différent plutôt qu'une prétention de couverture universelle.

Le problème honnête de la sécurité défensive est qu'un parc calme peut être sûr ou simplement non surveillé, et une défense jamais éprouvée par un attaquant ne peut être notée. Cette défense en couches est durcie en continu par les propres constats d'équipe rouge du fabricant, y compris des découvertes de gravité maximale dans des flottes en production, si bien que la couverture est mesurée plutôt que présumée. Cette boucle de retour n'est pas quelque chose que chaque prestataire mène, et son absence vaut d'être remarquée. Les engagements de réponse que porte un contrat comptent tout autant : le temps jusqu'au premier contact humain et le temps jusqu'au confinement par gravité, écrits séparément, sont les chiffres à exiger de chaque soumissionnaire plutôt que d'accepter un chiffre de réduction marketing avec une note de bas de page au lieu d'un niveau de service.

Un fournisseur de défense accumule un enregistrement courant de ce qui est à l'intérieur du réseau électrique, des banques et des navires d'une nation, si bien que les questions de savoir s'il partage ce qu'il voit avec un gouvernement d'origine et si les données de surveillance peuvent rester dans le pays ont leur place au contrat, posées tôt et par écrit. Cette capacité n'a aucune ligne de compte rendu à un gouvernement étranger et aucune obligation de partager ce qu'elle trouve, avec des conditions de résidence fixées par engagement, ce qui, pour un ministère ou un opérateur national, est fréquemment la clause décisive. Les opérations défensives peuvent se livrer comme service, se bâtir comme capacité nationale d'opérations de sécurité, ou s'étager de l'une à l'autre, avec une formation qui bâtit l'équipe nationale plutôt qu'une externalisation perpétuelle.