Bending the Curve: Operational Cyber Epidemiology for Ransomware
Cet article propose un cadre d'épidémiologie cybernétique opérationnelle qui adapte le modèle SEIR à la gestion des incidents de ransomware, fournissant un langage commun et des métriques en temps réel telles que les nombres de reproduction pour guider les décisions de confinement et réduire la dynamique de propagation à travers divers incidents.
Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète
Imaginez un monde où les virus informatiques ne restent pas simplement silencieux sur un disque dur, attendant d'être trouvés par un scanner. Imaginez-les plutôt agissant comme un virus de la grippe sournois dans une école bondée. Un élève attrape le virus, éternue dans le couloir, et soudain toute la cafétéria se met à tousser. Dans le monde réel de la cybersécurité, c'est exactement ainsi que fonctionne souvent le rançongiciel. Il ne frappe pas seulement un ordinateur ; il saute d'une machine à l'autre, utilisant des mots de passe volés et des outils partagés pour se propager plus vite que quiconque ne peut l'arrêter. Pendant longtemps, les équipes de sécurité ont essayé de traiter ces attaques comme un simple jeu de « détecter et supprimer », cherant le méchant pour l'expulser. Mais les auteurs de cet article suggèrent que cette approche revient à essayer d'arrêter une épidémie de grippe en ne traitant que la personne qui a éternué en premier, tout en ignorant le fait que le virus se propage déjà par les conduits d'aération.
Pour comprendre la solution, nous avons besoin de trois idées simples issues du monde de la santé publique. Premièrement, il y a la « période d'incubation », le temps entre le moment où l'on attrape un germe et le moment où l'on se sent réellement malade ou que l'on le transmet à autrui. En informatique, il s'agit du « temps de présence » (dwell time), où les pirates sont déjà à l'intérieur, installant discrètement leurs outils avant de commencer à semer le chaos. Deuxièmement, il y a le « nombre de reproduction », une façon sophistiquée de demander : « Si une chose infectée entre en contact avec d'autres, combien de nouvelles infections provoque-t-elle ? » Si la réponse est supérieure à un, le problème croît ; si elle est inférieure à un, le problème s'éteint. Enfin, il y a l'idée d'« immunité collective », où suffisamment de personnes sont protégées (ou, dans ce cas, suffisamment d'ordinateurs sont corrigés et isolés) pour que le virus ne puisse pas trouver un nouvel hôte vers lequel sauter. L'article pose une grande question : pouvons-nous utiliser ces vieux outils de santé pour gérer les catastrophes informatiques modernes ?
Les auteurs, dirigés par Stephen V. Flowerday et ses collègues, proposent une nouvelle façon de combattre les rançongiciels appelée « Épidémiologie Cyber Opérationnelle ». Ils suggèrent qu'au lieu de simplement chercher des logiciels malveillants, les équipes de sécurité devraient agir comme des détectives de maladies. Ils introduisent un cadre qui fait correspondre la propagation d'une cyberattaque à un modèle de santé classique appelé SEIR (Susceptible, Exposé, Infectieux, Retiré). Dans cette version numérique, un ordinateur est « Susceptible » s'il est vulnérable, « Exposé » si les pirates se sont glissés à l'intérieur mais n'ont pas encore commencé à se propager, « Infectieux » s'il saute activement vers d'autres machines, et « Retiré » s'il a été isolé et nettoyé.
La conclusion principale de l'article est qu'en suivant ces étapes, les équipes de sécurité peuvent prendre des décisions plus intelligentes et plus rapides. Ils soutiennent que le moment le plus critique n'est pas lorsque le chiffrement commence, mais durant la phase « Exposée », lorsque les pirates sont encore cachés. Les auteurs suggèrent d'utiliser une astuce mathématique simple pour voir si l'attaque gagne ou perd. Ils calculent un nombre appelé le « nombre de reproduction effectif » (Re). Si ce nombre est supérieur à 1, l'attaque est en croissance et l'équipe doit paniquer et isoler davantage de systèmes. Si le nombre tombe en dessous de 1, l'attaque ralentit et l'équipe peut se concentrer sur le nettoyage. L'article montre qu'en traitant le réseau comme une population de personnes plutôt que comme une liste d'appareils, les équipes peuvent empêcher la « courbe » des infections de s'infléchir vers le haut.
Cependant, les auteurs prennent garde à ne pas promettre une solution miracle. Ils excluent explicitement l'idée qu'il s'agisse d'une science parfaite et précise pour chaque ordinateur. Ils admettent que les réseaux informatiques réels sont désordonnés et complexes, certaines machines agissant comme des « super-propagateurs » (comme un élève populaire qui parle à tout le monde) tandis que d'autres ne sont que des spectateurs. Les mathématiques qu'ils utilisent sont une « règle de base » ou un guide approximatif pour aider les dirigeants à décider quand actionner le frein d'urgence, et non un cristal de voyance qui prédit l'avenir avec une précision de 100 %. Ils précisent également que cette méthode fonctionne mieux pour les attaques qui se propagent réellement de machine en machine ; si un pirate vole simplement des données sans se propager, le « nombre de reproduction » ne s'applique pas vraiment.
L'article utilise des exemples du monde réel pour prouver leur point, en examinant des attaques célèbres comme WannaCry, NotPetya et la brèche SolarWinds. Ils montrent comment WannaCry s'est propagé comme un feu de forêt parce qu'il pouvait sauter de lui-même, tandis que NotPetya a utilisé une ruse de « chaîne d'approvisionnement », se propageant via une mise à jour logicielle de confiance. En appliquant leur nouveau prisme « épidémiologique », ils montrent que différents types d'attaques nécessitent des remèdes différents. Pour celles qui se propagent rapidement, il faut corriger les failles rapidement. Pour celles qui se propagent via des comptes de confiance, il faut verrouiller qui possède les clés.
En fin de compte, l'article suggère que la meilleure façon de gérer une crise de rançongiciel est d'arrêter de deviner et de commencer à mesurer. Il fournit une liste de contrôle des « Éléments Essentiels d'Information » — des choses simples comme le nombre de nouveaux ordinateurs qui sont infectés chaque heure ou le nombre de nouveaux segments de réseau qui sont touchés. Si ces chiffres augmentent, l'équipe sait qu'elle doit isoler immédiatement plus de zones. S'ils diminuent, l'équipe sait que son confinement fonctionne. Les auteurs croient qu'en parlant un langage commun d'« épidémies » plutôt que de simples « bugs », les équipes de sécurité, les patrons et même les dirigeants non techniques peuvent mieux comprendre la situation et prendre des décisions plus rapides et vitales pour l'organisation. Il ne s'agit pas de prévenir chaque intrusion, mais de s'assurer que lorsqu'une telle intrusion se produit, elle ne se transforme pas en un désastre total.
Noyé(e) sous les articles dans votre domaine ?
Recevez des digests quotidiens des articles les plus récents correspondant à vos mots-clés de recherche — avec des résumés techniques, dans votre langue.