Activation du partage des menaces entre FAI grâce au SDN

F5

Article invité du président-directeur général de TAG Cyber LLC, une entreprise internationale de conseil, de formation, d’accompagnement et de services médias dans le domaine de la cybersécurité, qui accompagne des centaines d’entreprises à travers le monde.

Une conviction largement répandue au sein de notre communauté de la sécurité veut que le partage d’informations de qualité sur les cybermenaces soit bénéfique aux équipes chargées des opérations, de l’analyse et de la réponse. Pour être réellement bénéfique, ce partage d’informations sur les menaces doit bien entendu être de très grande qualité. Heureusement, il existe aujourd’hui de bonnes plateformes commerciales qui facilitent la mise en place, l’exploitation et la gestion d’un groupe efficace de partage d’informations sur les menaces. Les équipes de sécurité qui ne partagent pas encore de données ont donc peu d’excuses.

Une autre conviction largement répandue au sein de notre communauté est que les cyberattaques deviennent plus rapides, plus intelligentes et plus difficiles à détecter. Ces caractéristiques sont obtenues grâce à certaines technologies financées par nos propres investisseurs de Sand Hill Road : l’automatisation, l’apprentissage automatique et l’autonomie. Les attaques dites « synthétiques » qui en résultent sont trop rapides et trop difficiles à détecter pour permettre une quelconque réponse manuelle coordonnée par des humains — une perspective effrayante pour les équipes de sécurité.

F5 Networks, en collaboration avec TAG Cyber, a récemment constitué un groupe de travail à l’occasion de F5 Agility 2018 à Boston afin d’examiner ces deux aspects – le partage d’informations sur les menaces et les cyberattaques synthétiques – à la lumière d’un facteur supplémentaire : le groupe de travail a ainsi été chargé de mener son analyse en tenant compte d’une tendance technologique émergente susceptible d’offrir des avantages prometteurs aux équipes de sécurité : les réseaux définis par logiciel (SDN).^[1]

Le groupe de travail, composé d’acteurs du secteur issus pour la plupart de la communauté mondiale des fournisseurs de services^[2], a donc été invité à consacrer ses travaux à l’examen et au débat autour de la question fondamentale suivante : Les infrastructures émergentes des fournisseurs de services reposant sur le SDN peuvent-elles fournir une plateforme collective sous-jacente permettant l’échange automatisé d’informations sur les cybermenaces entre les opérateurs mondiaux afin de réduire le risque d’attaque synthétique ?

Pour répondre à cette question aux multiples facettes, le groupe de travail a défini trois questions plus ciblées afin de structurer et d’orienter les discussions, et de contribuer à l’élaboration d’une réponse globale :

· Le SDN au service de la sécurité – Quels sont les avantages et les inconvénients du SDN en matière de cybersécurité ?

· Amélioration du partage entre FAI – Quelles stratégies peuvent être mises en œuvre pour améliorer le partage global entre FAI ?

· Exigences fonctionnelles – Quelles fonctionnalités de la plateforme prennent en charge le partage basé sur le SDN ?

De nombreux autres sujets pertinents ont été abordés au cours des travaux du groupe de travail, mais ces trois questions ciblées ont permis de conclure que l’infrastructure SDN constitue effectivement une excellente base pour automatiser le partage d’informations sur les menaces entre opérateurs. Le groupe de travail s’est d’ailleurs accordé sur ce principe fondamental : pour contrer les attaques automatisées et synthétiques, les fournisseurs de services devront s’appuyer sur des défenses automatisées.

Le SDN au service de la sécurité

La première question portait sur la manière dont le SDN peut constituer une base efficace pour la sécurité, par opposition à la sécurisation du SDN lui-même (un sujet considéré comme sortant du cadre de cette initiative). À cette fin, les participants ont donné leur avis sur les aspects suivants du SDN, jugés particulièrement adaptés au partage dynamique et automatisé d’informations sur les menaces entre plusieurs infrastructures déployées par des fournisseurs de services :

• Visibilité du contrôleur – Le contrôleur SDN dispose d’une visibilité centralisée sur tous les appareils gérés. Cette visibilité permet d’automatiser l’ensemble de la collecte, du traitement et de la transmission des données de télémétrie provenant des appareils gérés afin de les partager avec l’extérieur. Cela peut être réalisé directement par le contrôleur grâce à sa visibilité via l’interface sud, ou par des capteurs spécialement déployés fonctionnant avec une application SDN via l’interface nord.
• Prise en charge de l’échec rapide – L’automatisation de la fonction de partage nécessitera de pouvoir concevoir de nouvelles capacités et fonctionnalités innovantes. À cette fin, une infrastructure pilotée par logiciel permet d’introduire rapidement des fonctionnalités susceptibles de réussir, ou au contraire d’échouer rapidement (afin d’être vite identifiées et remplacées). Ainsi, l’orientation logicielle du SDN offre un environnement plus souple pour créer une nouvelle capacité.
• Potentiel d’autodéfense – Le groupe de travail a consacré beaucoup de temps à étudier la possibilité pour les logiciels de développer une capacité d’autodéfense. Celle-ci semble être une composante essentielle de tout dispositif de sécurité appelé à faire face à la rapidité et à l’ampleur des attaques synthétiques automatisées. La détection dynamique des indicateurs, suivie d’une réponse autonome, sera indispensable pour que le SDN puisse prendre en charge le partage.

Améliorer le partage d’informations entre FAI

La deuxième question portait sur la manière dont les FAI mondiaux pourraient, de manière générale, améliorer le partage actuel des informations sur les menaces. Les discussions ont largement comparé les méthodes employées au sein de la communauté des fournisseurs de services aux procédures et méthodes de partage très médiatisées utilisées dans le secteur des services financiers.^[3] Le groupe de travail a ainsi formulé les recommandations suivantes afin d’améliorer le partage dans le contexte de l’émergence du SDN :

• Groupes et partenariats – Bon nombre des meilleures initiatives de partage d’informations sur les menaces au sein de la communauté mondiale des FAI sont nées de groupes de travail ad hoc ou de partenariats multilatéraux entre opérateurs visant à résoudre un problème donné grâce au partage. Cela laisse penser que l’automatisation du partage grâce au SDN devra permettre la création de communautés, d’accords temporaires et de groupes de confiance dynamiques.
• Inclusion des coopératives de fournisseurs – La communauté des FAI – à l’instar du secteur des services financiers – compte plusieurs centaines de petits fournisseurs de services et prestataires de services de communication. Ces petites coopératives auront besoin d’un soutien fonctionnel pour automatiser le partage par l’intermédiaire de leurs fournisseurs ou de leurs relations de type « en tant que service » dans le cloud. Elles pourraient être intégrées à des groupes de partage automatisé grâce à diverses incitations commerciales ou financières.
• Normes pour le partage à l’échelle mondiale – Le partage d’informations sur les menaces entre un ensemble significatif d’opérateurs internationaux divers ne peut être régi par une politique unique appliquée de manière uniforme. Toute initiative de partage automatisé nécessitera plutôt un accord fondé sur des normes, dans le cadre duquel la plupart des opérateurs décideront volontairement d’intégrer leurs flux sortants et entrants à un écosystème de partage commun.

Exigences fonctionnelles

La troisième question visait à déterminer les exigences fonctionnelles applicables aux plateformes SDN et aux solutions des fournisseurs qui permettraient l’échange automatisé d’informations sur les menaces entre opérateurs. Le groupe de travail s’accordait à dire que les fournisseurs sont soucieux de répondre aux besoins de leurs clients et qu’ils seront plus réceptifs si les groupes d’utilisateurs structurent leurs besoins sous la forme de normes opérationnelles. Les principales fonctionnalités identifiées pour le partage basé sur le SDN sont les suivantes :

• Architecture du bus de menaces – Le groupe de travail a créé un concept dit de « bus de menaces », servant de destination fonctionnelle abstraite pour les informations partagées sur les menaces. Ce bus devrait traiter et protéger correctement les informations, tout en respectant des attributs tels que les degrés d’attribution, les niveaux de confiance, etc. Des travaux ultérieurs seraient nécessaires pour préciser les modalités de mise en œuvre du bus.
• Protocoles et interfaces standardisés – Le groupe de travail a estimé que les protocoles de partage des menaces fondés sur des normes étaient indispensables au bon fonctionnement de tout écosystème automatisé. Les protocoles bien connus STIX et TAXII ont été retenus comme exemples de normes à intégrer aux nouvelles architectures SDN. Bien que rien dans le SDN ne doive faire obstacle à de tels travaux, ceux-ci n’ont, à la connaissance du groupe, encore fait l’objet d’une attention explicite dans aucun projet SDN.
• Prise en charge axée sur les cas d’usage – Le groupe de travail a insisté pour que les conceptions fonctionnelles soient axées sur les cas d’usage. Cette approche permet d’introduire progressivement le partage automatisé. L’un des cas d’usage évoqués prévoyait que différents opérateurs s’alertent mutuellement, de manière automatisée, lorsqu’une attaque détectée semblait provenir de l’infrastructure d’un autre opérateur.

Les prochaines étapes recommandées par le groupe de travail étaient les suivantes : (1) publier cet article issu des discussions du groupe afin d’aider d’autres initiatives connexes dans leur processus de planification ; (2) communiquer les résultats de l’étude à chacune des organisations participantes afin de favoriser l’émergence d’idées sur le partage basé sur le SDN et d’influencer les activités de normalisation ; et (3) engager des discussions avec les fournisseurs afin de recommander qu’une plus grande attention soit accordée à ce domaine essentiel.

La conclusion de ce groupe de travail est simple à formuler : en effet, les membres ont unanimement convenu que les nouvelles infrastructures de fournisseurs de services compatibles avec le SDN peuvent constituer une plateforme collective sous-jacente permettant l’échange automatisé d’informations sur les cybermenaces entre opérateurs mondiaux afin de réduire le risque d’attaques synthétiques. Parvenir à une telle conclusion constituait une perspective enthousiasmante pour l’équipe, compte tenu de l’intensité reconnue des attaques synthétiques automatisées.

Préparé par TAG Cyber LLC : https://www.tag-cyber.com/

[1] Les lecteurs souhaitant une étude approfondie des principes fondamentaux des réseaux définis par logiciel (SDN) sont invités à consulter Software Defined Networks – A Comprehensive Approach, de Paul Goransson et Chuck Black (Morgan Kaufman, 2014).

[2] Afin de respecter la vie privée des participants et de leurs organisations, la présente note ne fait état que de manière globale des conclusions et recommandations formulées lors de la séance du groupe de travail, sans mentionner le nom des experts ou des groupes représentés dans l’étude. Les participants ont eu la possibilité de relire cette note et de proposer des modifications, mais toute erreur subsistante relève de la responsabilité de l’auteur.

[3] L’une des principales conclusions du groupe de travail est que le secteur des services financiers est, de tous les secteurs, celui qui communique le plus efficacement auprès du public sur ses outils et méthodes de partage des informations sur les menaces, ainsi que sur son écosystème FS-ISAC.

À propos de l’auteur

F5

Autres articles de F5