La Cybersecurity and Infrastructure Security Agency a une nouvelle idée pour défendre les centrales électriques, les services d'eau et d'autres infrastructures critiques : cesser d'essayer de tenir tous les attaquants à l'écart, et commencer à nourrir ceux qui parviennent à entrer avec un régime de fausses données. Les nouvelles recommandations de la CISA invitent les opérateurs d'infrastructures critiques à déployer des leurres numériques et des honeytokens, des pièges numériques peu coûteux conçus pour détecter les intrus tôt et les ralentir avant qu'ils n'atteignent les systèmes réels. Il s'agit d'un changement de ton notable de la part d'une agence qui a passé des années à se concentrer presque entièrement sur les correctifs, la défense périmétrique et le contrôle d'accès.
Ce que les recommandations de la CISA préconisent réellement
À la base, les recommandations décrivent deux outils liés. Les honeytokens sont de faux fichiers, identifiants, enregistrements de base de données ou secrets plantés à l'intérieur d'un réseau qui n'ont aucune utilité commerciale légitime. Leur seul rôle est de rester là en paraissant précieux. Si quiconque y accède ou tente de les utiliser, c'est un signal d'alarme immédiat, car aucun employé ou système autorisé ne devrait jamais y toucher. Les honeypots poussent le concept plus loin, en mettant en place des systèmes leurres entiers conçus pour ressembler à de vrais serveurs, postes de travail ou actifs de contrôle industriel, attirant les attaquants loin de l'environnement réel et donnant aux défenseurs le temps d'observer leurs tactiques.
La CISA présente ces outils comme des options accessibles aux organisations quel que soit leur niveau de maturité en cybersécurité, et non uniquement aux agences disposant de gros budgets de sécurité. Cela compte pour les opérateurs d'infrastructures critiques, dont beaucoup font fonctionner des équipes informatiques et de sécurité réduites et ne peuvent pas se permettre des plateformes de détection des menaces de niveau entreprise. Un honeytoken, en revanche, peut être aussi simple qu'un faux identifiant déposé dans un partage de fichiers. Son déploiement coûte peu, mais il peut générer une alerte hautement fiable dès l'instant où quelqu'un interagit avec lui.
Comment les leurres fonctionnent aux côtés des VPN et de la segmentation réseau
La technologie de tromperie n'est pas destinée à remplacer les outils sur lesquels les organisations s'appuient déjà, comme les VPN, les pare-feu et la segmentation réseau. Elle est destinée à combler le vide que ces outils laissent derrière eux. Les VPN et les contrôles d'accès sont conçus pour tenir les utilisateurs non autorisés à l'écart en premier lieu. Mais les attaquants trouvent de plus en plus de moyens de contourner ces défenses en exploitant des identifiants compromis ou des vulnérabilités dans l'infrastructure d'accès à distance elle-même. L'avis de la CISA sur le rançongiciel Gunra ciblant les VPN en est un exemple clair : les acteurs malveillants sondent activement les faiblesses de l'accès à distance pour obtenir un point d'ancrage, ce qui signifie que les défenses périmétriques seules ne suffisent plus.
Les honeytokens et les leurres fonctionnent en partant du principe que des attaquants déterminés finiront par franchir le périmètre, que ce soit via un identifiant VPN volé, un courriel d'hameçonnage ou une vulnérabilité non corrigée. Une fois à l'intérieur, les leurres agissent comme des fils-pièges. Si un intrus se déplace dans un réseau segmenté à la recherche de données ou de systèmes précieux, un honeytoken planté au mauvais endroit peut le prendre presque immédiatement, souvent avant qu'il n'ait causé de dégâts significatifs. C'est une approche en couches : les VPN et la segmentation ralentissent les attaquants et limitent leur portée, tandis que les leurres rendent beaucoup plus difficile pour eux de se déplacer sans être détectés une fois à l'intérieur.
Pourquoi les opérateurs d'infrastructures critiques sont la cible prioritaire
La décision de la CISA de diriger ces recommandations directement vers les opérateurs d'infrastructures critiques reflète les enjeux les plus élevés. Les systèmes d'eau, les fournisseurs d'énergie et d'autres services essentiels exploitent souvent un mélange de réseaux informatiques modernes et de technologies opérationnelles plus anciennes qui n'ont pas été conçues en pensant à la cybersécurité. Cette combinaison en fait des cibles attrayantes et difficiles à défendre avec les seuls outils traditionnels. La récente cyberattaque contre les systèmes d'eau du Minnesota qui a touché plus de 30 systèmes en seulement deux jours illustre la rapidité avec laquelle des attaques coordonnées peuvent se propager parmi des fournisseurs d'infrastructures qui peuvent manquer des ressources d'une grande équipe de sécurité d'entreprise. La technologie de tromperie offre à ces organisations un moyen de jouer dans la cour des grands, en générant des alertes de haute fidélité sans nécessiter une surveillance constante ni des plateformes de détection coûteuses.
Ce que cela signifie pour la détection des déplacements latéraux après une intrusion
L'un des problèmes les plus difficiles en réponse aux incidents est de déterminer jusqu'où un attaquant s'est déplacé à l'intérieur d'un réseau après l'intrusion initiale. Les attaquants qui obtiennent un point d'ancrage passent souvent des jours ou des semaines à se déplacer latéralement discrètement, à élever leurs privilèges et à cartographier les systèmes précieux avant de lancer une charge utile de rançongiciel ou d'exfiltrer des données. Les outils de sécurité traditionnels peuvent avoir du mal à distinguer cette reconnaissance discrète de l'activité réseau normale.
Les honeytokens changent ce calcul. Parce qu'ils n'ont aucun usage légitime, toute interaction avec l'un d'eux est un signe presque garanti d'activité malveillante, ce qui permet de percer le bruit qui enterre normalement les signes d'alerte précoces. Pour les opérateurs d'infrastructures critiques qui tentent d'intercepter les intrus avant qu'ils n'atteignent la technologie opérationnelle ou les données des clients, ce signal précoce peut faire la différence entre un incident contenu et une panne généralisée.
Ce que cela signifie pour vous
Si vous travaillez dans l'informatique ou la sécurité pour un service public, un système municipal ou un autre opérateur d'infrastructure, les recommandations de la CISA méritent d'être lues dans leur intégralité et traitées comme un ajout peu coûteux à vos défenses existantes, et non comme un remplacement de celles-ci. Les VPN, l'authentification multifacteur et la segmentation réseau restent essentiels pour tenir les attaquants à l'écart. Les leurres et les honeytokens servent à intercepter ceux qui franchissent malgré tout ces défenses. Même les organisations sans personnel de sécurité dédié peuvent commencer modestement, en plantant une poignée de faux identifiants ou fichiers dans des emplacements sensibles et en configurant des alertes pour toute interaction avec eux.
Pour les utilisateurs quotidiens et les petites organisations, le principal enseignement est un rappel qu'aucune couche de sécurité unique n'est infaillible. Les attaquants sondent constamment les outils d'accès à distance, comme le montrent les campagnes de rançongiciels en cours exploitant les faiblesses des VPN, ce qui signifie que la défense en profondeur compte plus que jamais.
Points clés à retenir
- Les recommandations de la CISA sur les leurres numériques et les honeytokens offrent aux opérateurs d'infrastructures critiques un moyen peu coûteux de détecter les intrus tôt.
- Les leurres complètent, plutôt qu'ils ne remplacent, les VPN, les contrôles d'accès et la segmentation réseau.
- Les honeytokens sont particulièrement efficaces pour signaler les déplacements latéraux après une intrusion, puisque les utilisateurs légitimes n'interagissent jamais avec eux.
- Les opérateurs d'infrastructures plus petits disposant de budgets de sécurité limités sont un public prioritaire pour cette approche.
- Les organisations devraient associer la technologie de tromperie à de solides défenses périmétriques, car les attaquants continuent de cibler les faiblesses de l'accès à distance pour obtenir des points d'ancrage initiaux.
