apprendre l’attaque pour mieux se dfendre

 Des mesures de scurit ont t prises la suite de ce rapport . Le communiqu de la police mtropolitaine de Londres, pirate au mois daot 2023 a de quoi interroger.

Trois jours avant, plus prs de nous, Ple emploi a constat que les donnes personnelles de millions de demandeurs demploi taient en vente illgale sur le web, suite au piratage dun de ses fournisseurs.

Le point commun entre ces deux actualits cest bien videmment limportance de la cyberscurit et la menace perptuelle des hackers pour les entreprises comme les administrations et mme les particuliers. Il ny a certes pas de recette magique pour y faire face. Mais, comme en sport, la meilleure dfense cest parfois lattaque…

Ces vnements soulignent combien la cybercriminalit est devenue une ralit tangible pour toutes les strates de la socit. Le sujet n’est plus tranger pour le grand public, les sites d’information couvrant rgulirement des incidents impliquant des attaques informatiques, des logiciels de ranon et des violations de donnes, qu’elles concernent des individus ou des organisations.

L’mergence du Dark Web couple la popularit croissante des monnaies numriques, a ouvert de nouvelles opportunits lucratives pour les acteurs malveillants.

En 2020, l’impact conomique de ces activits cybercriminelles a t valu prs de 1 000 milliards de dollars, soit environ 1 % du produit intrieur brut global.

Il est galement important de noter que les victimes ne sont plus uniquement des grandes entreprises ou gouvernements. Les tablissements ducatifs, les centres de soins de sant, les administrations, les PME et mme les citoyens ordinaires sont dsormais dans la ligne de mire.

Les infrastructures industrielles, notamment les systmes de contrle et de donnes acquises (SCADA), ne sont pas pargnes et sont souvent la cible d’attaques ayant des rpercussions matrielles graves, telles que des arrts de production ou des pannes d’lectricit.

Les vecteurs d’attaque sont de mieux en mieux compris. Des termes tels que « hameonnage », « logiciels malveillants » et « logiciels de ranon » sont devenus des lments du vocabulaire quotidien.

L’avnement du travail distance, acclr par la crise sanitaire de la Covid-19, a exacerb la situation. Le nombre d’incidents cyberntiques a grimp en flche, passant de 1 200 en janvier 2020 380 000 en avril de la mme anne, mettant en lumire un dficit flagrant en matire de sensibilisation la cyberscurit, tant dans le secteur priv que public.

Les outils et services de protection existent et continuent de se multiplier. Mais les cybercriminels ont souvent un temps davance. Pour y faire face, certains dploient une stratgie simple mais efficace que lon pourrait caricaturer par  combattre le feu par le feu . Ou plutt combattre le feu AVEC le feu grce aux… hackers !

Chapeau blanc et noir chapeau

Dvoy, le terme est connot ngativement. Pourtant, il englobe plusieurs ralits.  Le hacker se dfinit comme un bidouilleur curieux, et son moteur de russite reste sa passion, quil partage avec les autres membres de la communaut.  peut-on lire dans le livre  Ethical Hacking, Apprendre lattaque pour mieux se dfendre  sorti en 2022 aux Editions ENI. lorigine ce nest donc pas un (cyber)criminel. On trouve dailleurs beaucoup de hackers dans les universits des fins de recherche. Mais depuis, la confusion sest rpandue, pirate et hacker sont des mots souvent considrs comme homonyme.

Pourtant le pirate informatique  chercher piller un systme informatique en dtruisant ses protections , alors que le  hacker utilise ses connaissances par envie ou besoin den savoir plus ou pour diffuser des informations. Pour les hackers, le savoir et linformation se veulent libres et gratuits. Les hackers se regroupent en communauts bases autour du partage et de lchange de comptences pour librer cette culture. Autour de ce concept se sont dvelopps plusieurs mouvements qui, aujourdhui, ont largement dpass le stade embryonnaire et se fondent dans notre quotidien  peut-on lire dans louvrage. 

Pour faire face aux nombreuses menaces, les comptences de ces bidouilleurs sont devenues trs recherchs, notamment pour se mettre dans la peau de  lattaquant . Cest ainsi quest apparu ce terme  Ethical Hacking  ou Hacking thique dans la presque langue de Molire. Ce profil a t nomm White Hat (chapeau blanc) avec lambition, ici, daider la scurisation des systmes sans en tirer profit illgalement. Challenges type bug bounty ou Capture the flag, plateformes communautaires, les outils pour les reprer ne manquent pas.

Ce terme est en opposition avec celui de Black Hat (chapeau noir) qui correspond la caricature mdiatique du hacker.

Mais si notre socit aime les opposs, ce panorama manichen nest pas tout fait exact puisque lon compte galement dautres catgories, comme les Grey Hats (chapeau gris), qui nont pas forcment de mauvaises intentions mais parfois des mthodes au-del des limites.

 Beaucoup de hackers qui se disent white hats sapparentent en ralit plus des grey hats, dans le sens o ils divulguent des failles aussitt quelles ont t dcouvertes, sans prvenir ou laisser le temps ncessaire au responsable pour corriger le problme, ce qui peut nuire gravement au systme cibl indirectement  expliquent les auteurs du livre.

Ils nen oublient pas les  script kiddies , qui profitent des failles dcouvertes et disponibles (parfois contre de largent sur le Darknet) sur le Web pour provoquer des attaques sans souvent gure dautre but que la simple vantardise. Souvent jeunes et trs peu techniques, ces profils inquitent car ils se multiplient. videmment, leurs mthodes font quils sont rejets par la  communaut  des hackers.

Dans le webinaire propos ci-dessous, les auteurs du livre Ethical Hacking : Apprendre l’attaque pour mieux se dfendre , publi chez Editions ENI, abordent le sujet du hacking thique.

Qui sont les acteurs de la cyberscurit ? Quels sont les principaux types dattaque ? Comment se dfendre ? travers des exemples concrets, ils nous livrent leurs conseils & bonnes pratiques.

Cest dans ce monde plus complexe des hackers, et particulirement dans celui de lEthical Hacking que se trouve une partie des solutions pour faire face au piratage.

Mme si une organisation dispose d’un Responsable de la Scurit des Systmes d’Information (RSSI) comptent, l’engagement d’un expert externe en cyberscurit pour valuer le rseau et l’infrastructure informatique dans un contexte d’attaque simule peut s’avrer judicieux. Cette dmarche permet d’identifier les points forts et les vulnrabilits qui ncessitent des ajustements. Dans ce scnario, l’expert externe peut collaborer troitement avec le RSSI pour une valuation complte.

Ces experts sont souvent des hackers thiques certifis, habilits effectuer des tests d’intrusion. Ils ont la capacit d’valuer la robustesse d’une architecture informatique un moment donn. En tant que spcialistes aguerris en matire de cyberscurit, ils matrisent les techniques pour contourner et stresser les mcanismes de scurit d’un systme.

Un expert externe fiable peut simuler les actions d’un acteur malveillant dot de comptences avances, en mettant le systme l’preuve dans des conditions hostiles. Ce processus permet de vrifier si les donnes sont effectivement scurises. Si des vulnrabilits ou des erreurs de configuration sont dcouvertes, l’expert aidera non seulement les identifier mais aussi apporter les corrections ncessaires.

Rien ne prouve que la police londonnienne ou encore Ple Emploi nont pas test cette mthode. Lgitimement, peu dentits communiquent sur le sujet. Pourtant, diffuser la pratique au plus grand nombre est primordial pour ne pas rester quai… Des hackers thiques aux ingnieurs, en passant par les avocats et les journalistes, la collaboration entre les experts est essentielle.

Source : Editions ENI

Et vous ?

Trouvez-vous cette analyse crrdible ou pertinente ?

Quel est votre avis sur l’Ethical hacking ?