Ne jamais baisser la garde

Dans la newsletter d’aujourd’hui:

Pour les abonnés gratuits:

• L’édito: “ Ne jamais baisser la garde ” par Frédéric Simottel

Pour les abonnés payants:

• Études: Les cybercriminels sont (aussi) prêts pour les Jeux Olympiques

• La Tribune: “Deepfake, décryptage d’une arnaque : Le faux CFO de Hong Kong”

• A ne pas manquer sur le web: Panne informatique mondiale : Dependence Day

Un outil de détection d‘intrusion qui met en quarantaine un fichier indispensable au bon fonctionnement de Windows et c’est toute la planète qui s’affole . Ecrans bleus dans les terminaux d’aéroport -2000 avions cloués au sol tout de même. Des émissions qui s’annulent les unes après les autres sur les grands réseaux TV. Il n’en fallait pas plus pour affoler la planète IT. Le coupable a vite été identifié en la personne de l’éditeur Crowdstrike dont une mise à jour a dysfonctionné, emportant avec lui nombre de clients Microsoft. Et de s’interroger sur notre dépendance aux réseaux, aux processus automatisés, voire à la toute puissance des acteurs de la big tech. Mais au final, la raison de ce chaos est surtout l’impréparation des développeurs de Crowdstrike, trop pressés de lancer leur mise à jour. Celle de Microsoft qui n’a pas plus vite décelé l’erreur et enfin l’impréparation des clients, visiblement peu entraînés à ce scénario catastrophe. (d’autres analyses à retrouver également dans notre rubrique A Lire plus bas)

Ne jamais baisser la garde

Quelles leçons tirer de cette panne informatique mondiale. Enfin mondiale… pas tout à fait. Un village a encore -un peu- résisté. Sur les 9 millions de PC sous Windows passés sous écran bleu (moins de 1% du parc mondial au total), la France a été relativement épargnée. Quelques compagnies aériennes ou des médias TF1, Canal+ figurent parmi les victimes sur notre territoire…. Non pas que nous étions mieux protégés mais nous avons bénéficié de quelques circonstances atténuantes. L’incident s’étant déclaré initialement en Australie, certains administrateurs ont pu déceler les premiers signaux d’alertes et bloquer ce qui pouvait l’être. Une deuxième raison, moins reluisante mais qui, pour le coup, nous a bien servi : notre parc vieillissant pour lequel les mises à jour coupables n’étaient pas programmées. La troisième raison sera davantage à analyser du côté des directions commerciales du couple Microsoft/Crowdstrike. La France ne figure peut être pas parmi les gros clients du tandem américain…

Trop d’automatisation, trop d’interactions, trop de rationalisations

Mais derrière cette panne importante, quelles leçons retenir. Obnubilés par la progression rapide des cyberattaques, les éditeurs vont-ils trop vite dans leur volonté de fournir la toute dernière version de leur logiciel de défense et automatisent-ils trop ? Ont-ils conscience de l’interaction grandissante de leurs systèmes dont un simple dysfonctionnement peu entraîner une réaction en chaîne. Est on également allé trop loin dans la rationalisation des infrastructures ; ne devrait on pas revenir sur certains pans du SI vers une plus grande étanchéité entre certains silos (comme dans le nucléaire)? C’est certes plus cher, mais plus sûr. Enfin, même si je nierai l’avoir dit, n’en ferait on pas trop parfois. Ne rajoute-t-on pas trop de sophistication sur certaines couches du SI. Toutes ces questions se posent. 

Le monde, terrain de jeu des éditeurs américains 

Quant à ceux qui hurlent face à l’omnipotence des acteurs américains, je ne me rangerai pas pour ma part aux côtés des souverainistes européens les plus virulents. Nous dépendons sans doute beaucoup trop des Américains. Mais n’est ce pas tout simplement parce que leurs technologies, malgré des vulnérabilités restent ultra-performantes. Et que l’on ne vienne pas me parler des RSSI et DSI qui choisissent par facilité de se tourner vers les Big Tech et qui pourraient être un peu plus chauvins, s’appuyer davantage sur des produits conçus de ce côté ci de l’Atlantique et accorder moins d’importance aux Palo Alto, Cisco, Check Point, CyberArc et autres Crowdstrike. Mais citez mois des acteurs européens capables aujourd’hui de déployer sur l’ensemble de la planète des solutions répondant aux menaces les plus récentes. Les meilleurs français ne s’y sont d’ailleurs pas trompés et collaborent avec l’ensemble de ces plateformes. Cessons la défiance et cherchons plutôt à mieux travailler en écosystème. Certains évoquent également un recours plus important aux solutions open source. Pourquoi pas dans les outils collaboratifs, sur certaines productions de codes ou sur des logiciels métiers, nous avons de brillants éditeurs en France. Mais c’est plus compliqué en cybersécurité.

Quant aux socles qui abritent nos SI. Pour ceux qui sont prêts financièrement et qui disposent des bonnes compétences, le marché est en train de se structurer OVHCloud, Numspot, Outscale/Dassault Systèmes, voire les offres mixtes telles S3NS (Google Cloud et Thales) ou Bleu (Capgemini, Orange et Microsoft). Si vous êtes persuadés qu’il ne fait pas mettre tous ses œufs dans le panier, c’est le moment.   

L’éditeur Crowdstrike mis en défaut

Mais pour revenir sur la panne due au trop zélé agent logiciel de Crowdstrike, le problème est à résoudre ailleurs. Chez l’éditeur en premier lieu. Il est inacceptable qu’un tel incident survienne encore aujourd’hui. L’enquête nous dira ce qu’il s’est passé mais de nombreux experts que j’ai interrogés sont certains que porté par son succès, Crowdstrike ait pu relâcher la pression -et au passage faire quelques économies- sur les phases de tests et sur la qualité de ses mécanismes d’autoprotection. La faute en incombe ensuite aux entreprises elles-mêmes qui, même sous le sceau de contrats passés avec Microsoft en l’occurrence, des intégrateurs ou des ESN, ne doivent pas leur maintenir une confiance aveugle et redoubler au contraire de vigilance sur ce qui se passe sur leurs SI. La complexité accrue des interactions entre logiciels doit inciter tous les développeurs et autres DevOps à se renforcer sur l’identification rapide les causes premières des pannes mais surtout sur leur remédiation. On pourra sur ce point espérer que les approches basées sur l’IA vont devenir cruciales dès que nous aurons affaire à un déploiement complexe où les processus manuels ne pourront suivre. 

Investir, investir, investir

Dernier point, et non des moindres : les budgets. Si paradoxalement, cela a sauvé certaines entreprises épargnées par la mise à jour défaillante de Crowdstrike, beaucoup en sont donc encore à fonctionner sur des versions antérieures de Windows. Ce manque de modernisation est inadmissible face aux enjeux. Il est temps de remonter notre niveau de jeu dans le domaine. Cela aurait d’ailleurs une autre vertu, d’insuffler une nouvelle dynamique dans notre écosystème cyber.

...