Cybersécurité : des incidents de plus en plus difficiles à cacher

Des délais de découverte toujours trop longs

Dans son rapport, FireEye souligne une forte réduction du délai moyen de séjour des assaillants avant leur découverte depuis 2011, à l’échelle de toutes les interventions de ses équipes Mandiant à travers le monde : de 416 jours à l’époque, à 56 jours en 2019. Mais pour Adrian Sanabria, co-fondateur et directeur de recherche chez Savage Security, il n’y a là pas grand-chose de rassurant. Pour lui, ce délai « reste un échec complet » : « que peut faire un attaquant en 56 jours ? Qu’y a-t-il qu’il ne puisse faire en 56 jours ? »

Pour lui, en parcourant un rapport tel que le M-Trends, il convient en fait de garder deux choses à l’esprit. Tout d’abord, « toute donnée figurant dans ce rapport vient, par définition, d’un échec ». Surtout, mesurer le temps de séjour d’un assaillant « est sans intérêt tant que l’on n’atteint pas la parité avec le temps qu’il faut à un attaquant pour réussir ». Et ce n’est qu’une affaire de jours comme le montre la vaste majorité des incidents médiatisés. Et cela concerne en particulier les attaques par rançongiciel : « dans le cas d’un ransomware, les dégâts peuvent être causés en l’espace de minutes ou d’heures ».

De fait, chez ISS, différents éléments laissent à penser que les assaillants ont eu au moins une dizaine de jours pour déployer Ryuk, comme chez Bouygues, même s’il s’agit d’un groupe distinct. A l’université de Maastricht, le groupe TA505 a eu plus de deux mois. Et peut-être justement, comme d’aucuns l’évoquent, la recrudescence des cas de ransomware entre la fin 2018 et 2019 contribue-t-elle à la réduction des délais de découverte des intrusions, car vient un moment où l’incident saute littéralement aux yeux de la victime.