Lire l'article de Daniel Ventre sur le sujet : http://econflicts.blogspot.fr/2012/11/news-nato-cdx-cyber-coalition-12.html
Concepts, théories: Power transition / Transition de la puissance
Il y a 2 semaines
Affichage des articles dont le libellé est Exercices. Afficher tous les articles
Affichage des articles dont le libellé est Exercices. Afficher tous les articles
lundi 5 novembre 2012
lundi 29 octobre 2012
Inflation de cyber incidents ?
Ou plutôt d'exercices visant à améliorer les capacités d'intervention et de coordination.
La preuve en est apportée par l'Enisa qui publie un rapport dont les résultats sont issus d'une analyse de la plupart des exercices nationaux ou internationaux conduit entre 2002 et 2012.
Quelques fait intéressants que révèlent l'analyse :
- 64% des exercices sont volontiers internationaux en impliquant plus de 10 pays différents
- 57% des exercices font intervenir tant des acteurs publics que privés
- 74% des exercices conduits ont également une stratégie de communication, favorisant la sensibilisation du public (ou le FUD selon les opinions)
Le rapport en profite pour établir plusieurs recommandations parmi lesquelles la nécessité d'impliquer l'ensemble des acteurs, la conduite d'exercices à la complexité croissante et la nécessité de mettre en oeuvre des mécanismes d'apprentissage par retour d'expérience.
L'Enisa est ainsi "dans le vent" puisque plusieurs acteurs importants dans les différentes crises de sécurité informatique ont également été présents ces derniers jours.
En particulier, les Etats-Unis et le Canada ont lancé un Joint Cybersecurity Plan soutenu conjointement par le Department of Homeland Security et le Public Safety Canada. Ce plan doit, selon les dirigeants, mettre en oeuvre un meilleur partage de l'information ainsi que des pratiques renforcées de coopération ainsi que des échanges de bonnes pratiques.
Enfin, l'Iran s'est également illustré récemment avec l'annonce d'un document dédiée à la "cyber-sécurité" dont la publication intervient pendant une semaine d’exercices dédiées à la défense passive. L'information que nous devons au blog E-conflict, est également importante par son contenue. La stratégie retenue se voudrait essentiellement défensive voire dissuasive.
Des exercices de nature "cyber" seront d'ailleurs menés pour la première fois par ce pays durant cette semaine spécifique. On se souviendra évidemment du cas Stuxnet qui avait mis l'Iran et son programme nucléaire au cœur de l'attention.
La conduite de ce type d'exercices est intéressant car comme on peut le voir, elle fait essentiellement intervenir des acteurs et des concepts associés au monde de la "sécurité" ou de la "sureté". L'approche stratégique récente (Livre Blanc 2008) marquait une fusion du monde sécurité et du monde défense en insistant sur les complémentarités : le cas iranien tend à illustrer ce fait. Pour autant, il semblerait que le monde anglo-saxon s'en éloigne puisque ce sont bien des acteurs de sécurité intérieure qui agissent aux Etats-Unis et au Canada. On rappellera d'ailleurs que malgré des appels pressants, les Etats-Unis semblent persister à diviser les domaines de responsabilités et à contenir NSA et Cyber-Command aux strictes nécessités de la conduite d'opérations militaires.
Source :
http://www.enisa.europa.eu/media/press-releases/the-anatomy-of-national-and-international-cyber-security-exercises-new-report-by-the-eu-cyber-security-agency-enisa
http://www.securityweek.com/us-canada-launch-joint-cybersecurity-plan
http://presstv.com/detail/2012/10/24/268414/iran-will-hold-firstever-cyber-drills/
http://french.irib.ir/info/iran-actualite/item/220878-le-nouveau-document-strat%C3%A9gique-de-la-cyber-d%C3%A9fense-iranien-sera-d%C3%A9voil%C3%A9
vendredi 5 octobre 2012
Cyber Europe 2012...quelle profondeur ?
L'ENISA, l'agence européenne chargée des questions de sécurité des systèmes d'informations a réuni hier prés de 300 personnes dans la conduite d'un exercice de lutte informatique. Un précédent opus de cet exercice avait réuni en 2010 plusieurs participants.
Au-delà du chiffre des 300 professionnels de la sécurité, quelques éléments sont intéressants :
- 4 pays étaient invités en tant qu'observateurs et 25 pays ont directement participé, ce qui est relativement intéressant pour l'Europe actuelle.
- plus de 1000 incidents impliquant un volet "cyber" ont été joués et traités par les participants.
- le secteur public européen n'était pas le seul contrairement à 2010 semble-t-il. Des acteurs de la finance, des fournisseurs d'accès ou de services sur Internet ou encore des acteurs du eGovernement étaient également impliqués.
Trois objectifs ont été retenus pour cet exercice qui s'inscrivait dans un cadre général impliquant un important déni de service sur des infrastructures et des services importants. Selon le scénario, le DDOS retenu aurait pour capacité d'ennuyer sérieusement des millions de citoyens. Une forme étendue de ce qui a pu se passer en Estonie donc.
Les 3 objectifs de l'exercice :
- Mesurer l'efficacité et la capacité des mécanismes et procédures d'échanges et de réactions actuelles notamment en matière de flux d'information en cas de crise
- Analyser les capacités de coopération entre le privé et le public
- Identifier les marges de progression dans la gestion européenne des crises "cyber"
Ce type d'exercice demeure largement fictif car "sur-table" mais toujours intéressant. La participation d'acteurs privés est un facteur de réalisme et de crédibilité. L'aspect déni de service pose question car on peut se demander si les attaques actuelles sont bien représentées par cette méthode. Toutefois, peu de détails sont livrés et on reste un peu sur notre faim.
Une remarque finale : après tout, ce type d'attaque n'est-il pas un des rares, voire le seul, à faire intervenir officiellement des représentants de gestion de crise par pays ? En effet, une attaque plus intrusive de type "APT" dont l'objectif pourrait être l'espionnage ferait-elle l'objet d'une communication entre états ?
Source :
mardi 12 juin 2012
L'Inde développe sa LIO ou comment la cyber-dissuasion évolue !
Le contexte est décidément propice aux démonstrations de capacités. C'est en tout cas ce que l'on pourrait penser à la lecture des articles affirmant que l'Inde n'hésiterait plus à développer des capacités offensives dans le domaine informatique.
La révélation, par le New York Times, des fruits de leurs investigations tendrait à prouver une responsabilité du Président américain B. Obama dans le développement des Stuxnet, Duqu et autres Flame. Ces informations, vraies ou non, ont provoqué, et c'est une analyse toute personnelle, une vraie modification des rapports de force dans la logique des affrontements entre états sur Internet.
Évoquons un instant la dissuasion. Il est vrai qu'elle semble à de nombreux experts tout à la fois un référentiel improbable autant qu'une réalité technique impossible. Des articles récents cependant, dont certains produits par AGS proposent une évolution d'un modèle figé par l'arme nucléaire.
Or, s'il semble un fait acquis que l'arme nucléaire a participé à une réduction drastique des conflits de grande ampleur, il semble pertinent de penser que des conflits de nature parfois très violentes persistent, même sous des formes bien différentes. Avisé lecteur, tu songes au "terrorisme" et aux divers modes d'action que l'on rencontre dans un monde qualifié de moins en moins sur et tu rencontres ici ma pensée.
Mais le fait de la lutte informatique participe aussi des actes de conflits, même si sa "violence" directe n'est pas toujours immédiatement mesurable. Et c'est précisément ce manque de certitudes et ces errements qui engendrent, à mon sens, une prudence bien naturelle.
D'aucun pourrait dire que les autorités ou les entités pouvant exercer ce type d'actions (privées ou publiques d'ailleurs) sont dissuadées d'une plus grande publicité et d'actions volontaires en la matière. Le manque d'information incitant naturellement à une plus grande prudence, au moins oratoire, associée aux renforcements de la sécurité - un discours très en vogue - et à des tests divers et variés.
Or, ces éléments sont bien réels : la discrétion sur les capacités offensives n'est pas illusoire, le discours volontariste sur la sécurité non plus et les exercices sont fréquents. Pourtant, l'article du NYC pourrait bien changer les choses.
En effet, si l'on peut affirmer dorénavant que les Etat-Unis sont capables de telles actions, le contexte qui dissuadait les acteurs de se prononcer et les poussait à la discrétion est bouleversé. On peut d'ailleurs observer que ces révélations pourraient faire partie d'un choix délibéré de modifier profondément les logiques actuelles pour les remplacer par une approche plus ouverte.
Une transparence accrue sur le développement de ces capacités serait d'ailleurs constitutif d'un rapprochement avec les logiques de dissuasion et pourrait aboutir à la rédaction d'accords internationaux que l'on plusieurs fois évoqué. Notons par ailleurs que les Etats-Unis disposent maintenant d'une expérience réelle de ce type d'actions et surtout des erreurs commises. La publicité autour des malwares en question en est une mais on trouve également trace dans les projets récents de la DARPA autour des processus accélérés de développements de produits offensifs.
Enfin, notons les annonces d'emploi publiées par la NSA ces derniers temps et qui ne font plus mystère de l'offensif.
L'ensemble des éléments tendent à dessiner une évolution profonde dans le monde de la lutte informatique en particulier entre états. Cette évolution vers une affirmation des capacités offensives pourrait être analysée uniquement comme une radicalisation des positions, ce qui semble tout à fait possible. Elle peut aussi être vue comme une forme alternative de dissuasion, plus proche des modèles connus et conçue comme un objectif à long-terme où les instruments classiques de la diplomatie pourraient également être utilisés évacuant également les questions d'attributions des attaques.
Comment s'étonner alors que l'Inde renforce ses capacités offensives !
Source :
lundi 26 mars 2012
Exercice Locked Shields 2012 - OTAN
L'OTAN, par l'intermédiaire du CCD COE, organise un exercice de lutte informatique qu'il faut ici signaler par son aspect multilatéral.
Il faut également remercier M. Ventre à qui nous devons cette information. Cet exercice opposera donc une équipe rouge (Red Team) constitué de participants estoniens et finlandais. A l'opposé, les Blue Teams seront relativement nombreuses.
On compte ainsi une équipe Suisse, Allemande, Espagnole, Finlandaise, Italienne et des équipes combinées : Austro-allemande, Danoise & Norvégienne et une équipe de l'OTAN.
Selon les communiqués, le scénario semble devoir faire appel à un ensemble de compétences et de capacités des équipes, des aspects purement techniques à l'approche communication de crise.
Source :
vendredi 23 décembre 2011
Cyber Coalition 2011 - Exercice (encore)
Contrairement à ce que j'écrivais, l'année 2011 a connu un autre exercice, dans le cadre de l'OTAN cette fois-ci et appelé Cyber Coalition 2011. Celui-ci n'est pas le premier puisqu'on retrouve des tels exercices depuis au moins 2008.
29 états ont participé à cet exercice organisé autour d'un scénario mettant en avant un contexte difficile d'intervention multilatérale dans un pays connaissant des conflits ethniques et religieux (disclaimer oblige : "tout ceci n'a rien à voir avec la réalité et même si c'était le cas, ce n'est pas de notre faute") et donc les acteurs intentent des attaques sur les réseaux.
Notez également le très bon résumé de l'ANSSI qui en la matière représentait la France.
Je profite de ces derniers messages de l'année pour remercier mes lecteurs et vous souhaiter à tous de très bonnes fêtes de fin d'année !
29 états ont participé à cet exercice organisé autour d'un scénario mettant en avant un contexte difficile d'intervention multilatérale dans un pays connaissant des conflits ethniques et religieux (disclaimer oblige : "tout ceci n'a rien à voir avec la réalité et même si c'était le cas, ce n'est pas de notre faute") et donc les acteurs intentent des attaques sur les réseaux.
Notez également le très bon résumé de l'ANSSI qui en la matière représentait la France.
Je profite de ces derniers messages de l'année pour remercier mes lecteurs et vous souhaiter à tous de très bonnes fêtes de fin d'année !
mardi 13 décembre 2011
Exercices informatiques depuis 1997
A lire dans le "Journal du Net", des extraits du dernier ouvrage de Daniel Ventre. En particulier, on retiendra une liste complète des exercices connus concernant tous les problématiques de crise informatique ou encore celles de lutte informatique.
mardi 6 décembre 2011
Cyber-ExerciceS 2011 : suite et sans doute fin
L'heure est décidément aux exercices de sécurité et de lutte informatique avec plusieurs acteurs majeurs mettant en place ce type d'action :
- l'US CyberCom a lancé un exercice de grande ampleur de type "Red Flag" baptisé "CyberFlag" sur le site de Nellis Base qui héberge justement les fameux exercices.
Classiquement composé d'un "capture the flag" si l'on peut dire avec une équipe en attaque et une seconde en défense, les résultats demeurent confidentiels.
- D'un autre côté, l'IUT, associé à IMPACT que ce blog a déjà évoqué, ont également lancé un exercice impliquant plusieurs pays dont des états asiatiques, ce qui demeure relativement rare pour le moment dans les exercices de ce type.
3 types d'attaques ont été utilisées : spam, diffusion de malwares et déni de service dans cet exercice impliquant plusieurs pays : Vietnam, Birmanie, Laos et sans doute Malaisie.
On connait le tropisme particulier de l'IUT qui développe sous la présidence de Hamadoun Touré un activisme surprenant pour la prise en compte des éléments de lutte informatique et "cyber attaque" au sein de son organisation.
Source :
lundi 7 novembre 2011
Exercice Cyber Atlantic 2011
Pour ceux qui auraient été complétement dépourvus de connexion Internet ces derniers jours, il est à signaler la tenue d'un exercice de lutte informatique commun entre les Etats-Unis et plusieurs pays d'Europe : Cyber Atlantic 2011.
Premier du genre amenant les Etats-Unis à participer à un exercice pan-européen, cet exercice se fait également sous l'égide de l'ENISA (l'agence européenne de SSI) et se situe dans la droite lignée des exercices précédents Cyber Europe (notamment en 2010).
Selon les quelques éléments sur le sujet, l'attaque aurait mis en jeu une suite d'éléments souvent dénommés sous le vocable APT. Pour mémoire, ce type d'attaque, très commune à l'heure actuelle, utilise de manière intelligente une suite d'exploits dont la technicité n'est pas forcément très élevée. Les failles organisationnelles et vulnérabilités intrinsèques font le reste...Une attaque à l'heure du temps donc...
Source : http://www.zdnet.fr/actualites/l-europe-et-les-etats-unis-s-entra-nent-a-contrer-les-cyberattaques-39765379.htm#xtor=EPR-100
Premier du genre amenant les Etats-Unis à participer à un exercice pan-européen, cet exercice se fait également sous l'égide de l'ENISA (l'agence européenne de SSI) et se situe dans la droite lignée des exercices précédents Cyber Europe (notamment en 2010).
Selon les quelques éléments sur le sujet, l'attaque aurait mis en jeu une suite d'éléments souvent dénommés sous le vocable APT. Pour mémoire, ce type d'attaque, très commune à l'heure actuelle, utilise de manière intelligente une suite d'exploits dont la technicité n'est pas forcément très élevée. Les failles organisationnelles et vulnérabilités intrinsèques font le reste...Une attaque à l'heure du temps donc...
Source : http://www.zdnet.fr/actualites/l-europe-et-les-etats-unis-s-entra-nent-a-contrer-les-cyberattaques-39765379.htm#xtor=EPR-100
mercredi 29 septembre 2010
Cyber Storm III
Nous annoncions il y a quelques mois la tenue d'un prochain exercice de lutte informatique grandeur nature aux USA intitulé Cyber Storm III.
Ce nouvel exercice a donc débuté pour une durée de plusieurs jours et se caractérise par la participation de nouveaux pays aux côtés des USA et de leurs alliés les plus proches, déjà présents dans Cyber Storm II.
Rappelons que la France organise également des exercices de crise informatique appelé Piranet, qui demeure cependant bien plus discret, culture oblige, que ceux qui se déroulent outre-atlantique.
Quelques éléments de contexte :
=> Cet exercice est organisé par le DHS, Departement of Homeland Security, ministère relativement récent malgré tout qui a pris une importance cruciale ces dernières années. Il est le pendant, côté civil, du ministère de la défense et gére toute la sécurité dite civile.
=> Cet exercice, d'une durée estimée à 3/4 jours, se déroule à Arlington, en Virginie au sein du Centre national d’intégration de la cybersécurité et des communications.
=> Il comprend le tests d'environ 1500 scénarios d'attaques informatiques concoctés notamment par la NSA et le Pentagone et se concentre sur les infrastructures critiques.
=> 7 Ministères américains (Commerce, Défense, Energie, Justice, Transports, Finance, la Maison Blanche et des représentants de la communauté du renseignement) 11 Etats fédérés (California, Delaware, Illinois, Iowa, Michigan, Minnesota, North Carolina, New York, Pennsylvania, Texas et Washington), 60 entreprises privées y participent appartenant au secteur de la défense, banque, industrie chimique, communications, nucléaires, transports et traitement de l'eau).
=> 12 pays ont été invités : le Canada, l’Australie, la Grande-Bretagne, la France, l’Allemagne, la Hongrie, le Japon, l’Italie, les Pays-Bas, la Nouvelle-Zélande, la Suède et la Suisse.
A suivre donc, pour en connaître un peu plus sur les scénarios testés et les résultats obtenus.
Source :
http://www.spyworld-actu.com/spip.php?article13891
http://fcw.com/articles/2010/09/28/dhs-testing-new-cyber-response-plan-in-global-drill.aspx
Ce nouvel exercice a donc débuté pour une durée de plusieurs jours et se caractérise par la participation de nouveaux pays aux côtés des USA et de leurs alliés les plus proches, déjà présents dans Cyber Storm II.
Rappelons que la France organise également des exercices de crise informatique appelé Piranet, qui demeure cependant bien plus discret, culture oblige, que ceux qui se déroulent outre-atlantique.
Quelques éléments de contexte :
=> Cet exercice est organisé par le DHS, Departement of Homeland Security, ministère relativement récent malgré tout qui a pris une importance cruciale ces dernières années. Il est le pendant, côté civil, du ministère de la défense et gére toute la sécurité dite civile.
=> Cet exercice, d'une durée estimée à 3/4 jours, se déroule à Arlington, en Virginie au sein du Centre national d’intégration de la cybersécurité et des communications.
=> Il comprend le tests d'environ 1500 scénarios d'attaques informatiques concoctés notamment par la NSA et le Pentagone et se concentre sur les infrastructures critiques.
=> 7 Ministères américains (Commerce, Défense, Energie, Justice, Transports, Finance, la Maison Blanche et des représentants de la communauté du renseignement) 11 Etats fédérés (California, Delaware, Illinois, Iowa, Michigan, Minnesota, North Carolina, New York, Pennsylvania, Texas et Washington), 60 entreprises privées y participent appartenant au secteur de la défense, banque, industrie chimique, communications, nucléaires, transports et traitement de l'eau).
=> 12 pays ont été invités : le Canada, l’Australie, la Grande-Bretagne, la France, l’Allemagne, la Hongrie, le Japon, l’Italie, les Pays-Bas, la Nouvelle-Zélande, la Suède et la Suisse.
A suivre donc, pour en connaître un peu plus sur les scénarios testés et les résultats obtenus.
Source :
http://www.spyworld-actu.com/spip.php?article13891
http://fcw.com/articles/2010/09/28/dhs-testing-new-cyber-response-plan-in-global-drill.aspx
mercredi 23 juin 2010
DARPA - Cyber Range : un bac à sable de la cyberguerre
L'histoire commence dans les années 1950..ou presque. Plus exactement, pour la première fois, le Congrès américain donne un ordre direct à l'agence de Recherche sur les Programmes Avancés (DARPA) : celui de concurrencer le programme Sputnik !
Même Internet qui doit son existence aux chercheurs de cette agence ne provenait pas d'une telle demande mais d'un besoin militaire naturel : continuer à communiquer en cas d'attaques nucléaires.
Cependant, le Congrès donna par la suite, en 2008, un second ordre direct à la DARPA : créer un environnement permettant de lancer de véritables attaques informatiques de type militaire, du type de celles pouvant être lancées dans le cas de conflits ouverts. C'était la naissance du "National Cyber Range".
Plus précisément, ce projet devait permettre de :
=> Analyser une capacité de domination au niveau de l'information dans un environnement en réseau proche de la réalité
=> Représenter le futur des systèmes de défenses et de combats américains, au sein de réseaux hétérogènes, de grande taille, que ce soit dans les domaines virtuels ou réels.
=> Etre capable de fournir un environnement proche de l'internet actuel afin d'y tester des capacités offensives et défensives.
Ce réseau devrait présenter des capacités étonnantes notamment en représentant des comportements humains par exemple. Doté d'un budget de 130 millions de dollars, ce projet fut comparé, par le New-York Times, à l'Atoll Bikini du cybersespace, un ensemble d'îlots utilisés pour tester les bombes thermo-nucléaires...
Cependant, ce projet, bien qu'exaltant d'un point de vue intellectuel semble connaitre des ratés, il serait à la fois tellement demandé et en retard que plusieurs composantes militaires auraient déjà mis en place, ou seraient en train de le faire, des capacités de tests de cyberconflits.
La 1Oth Flotte de la Navy qui constitue le "Navy Cyber Command" souhaite ainsi développer un tel système au sein du "Network Warfare Command" tandis que la NSA prévoit d'en construire un à Fort Meade. De son côté, la 24th Air Force qui arme l'Air Force Cyber Command (disparu en tant que tel puis réactivé au sein de la 24th) déclare aussi ses intentions en la matières.
D'un autre côté, la U.S. Air Force’s Big Safari est une unité assez secrète, connue notamment pour ses étonnantes capacités à gérer très rapidement et efficacement des projets assez techniques et des domaines pointus (missiles, drones, matériels d'acquisition vidéos embarqués..). Cette rapidité d'exécution est ainsi lorgnée dans le cas de la construction du cyber range.
Ces informations apportent un éclairage intéressant sur les réelles capacités et souhaits des Etats-Unis dans la matière. De par leur très grande liberté de publication (comparée à celle existant en France), il est parfois permis de douter de certaines de leurs capacités au vu de leur propension à s'auto-flageller. En revanche, on connait également la NSA, le nombre de ses mathématiciens et on doute effectivement un peu moins de leurs capacités.
Le National Cyber Range constitue donc un objectif identifié de construction et de mise en oeuvre d'un moyen réel de tests "d'armes" utilisables dans le cyberespace. Une initiative qui, donc, éclaire sur le niveau doctrinal et le niveau opérationnel que souhaite atteindre les Etats-Unis.
Ah..si on pouvait en savoir un peu plus en France :) !
Sources:
http://www.wired.com/dangerroom/2008/05/the-pentagon-wa-2/
http://www.aviationweek.com/aw/generic/story_channel.jsp?channel=defense&id=news/asd/2010/06/21/03.xml&headline=Battle%20For%20Cyber-Range:%20Military%20Dumps%20Darpa%3E
http://www.wired.com/dangerroom/2010/06/darpa-taking-fire-for-its-cyberwar-range
Même Internet qui doit son existence aux chercheurs de cette agence ne provenait pas d'une telle demande mais d'un besoin militaire naturel : continuer à communiquer en cas d'attaques nucléaires.
Cependant, le Congrès donna par la suite, en 2008, un second ordre direct à la DARPA : créer un environnement permettant de lancer de véritables attaques informatiques de type militaire, du type de celles pouvant être lancées dans le cas de conflits ouverts. C'était la naissance du "National Cyber Range".
Plus précisément, ce projet devait permettre de :
=> Analyser une capacité de domination au niveau de l'information dans un environnement en réseau proche de la réalité
=> Représenter le futur des systèmes de défenses et de combats américains, au sein de réseaux hétérogènes, de grande taille, que ce soit dans les domaines virtuels ou réels.
=> Etre capable de fournir un environnement proche de l'internet actuel afin d'y tester des capacités offensives et défensives.
Ce réseau devrait présenter des capacités étonnantes notamment en représentant des comportements humains par exemple. Doté d'un budget de 130 millions de dollars, ce projet fut comparé, par le New-York Times, à l'Atoll Bikini du cybersespace, un ensemble d'îlots utilisés pour tester les bombes thermo-nucléaires...
Cependant, ce projet, bien qu'exaltant d'un point de vue intellectuel semble connaitre des ratés, il serait à la fois tellement demandé et en retard que plusieurs composantes militaires auraient déjà mis en place, ou seraient en train de le faire, des capacités de tests de cyberconflits.
La 1Oth Flotte de la Navy qui constitue le "Navy Cyber Command" souhaite ainsi développer un tel système au sein du "Network Warfare Command" tandis que la NSA prévoit d'en construire un à Fort Meade. De son côté, la 24th Air Force qui arme l'Air Force Cyber Command (disparu en tant que tel puis réactivé au sein de la 24th) déclare aussi ses intentions en la matières.
D'un autre côté, la U.S. Air Force’s Big Safari est une unité assez secrète, connue notamment pour ses étonnantes capacités à gérer très rapidement et efficacement des projets assez techniques et des domaines pointus (missiles, drones, matériels d'acquisition vidéos embarqués..). Cette rapidité d'exécution est ainsi lorgnée dans le cas de la construction du cyber range.
Ces informations apportent un éclairage intéressant sur les réelles capacités et souhaits des Etats-Unis dans la matière. De par leur très grande liberté de publication (comparée à celle existant en France), il est parfois permis de douter de certaines de leurs capacités au vu de leur propension à s'auto-flageller. En revanche, on connait également la NSA, le nombre de ses mathématiciens et on doute effectivement un peu moins de leurs capacités.
Le National Cyber Range constitue donc un objectif identifié de construction et de mise en oeuvre d'un moyen réel de tests "d'armes" utilisables dans le cyberespace. Une initiative qui, donc, éclaire sur le niveau doctrinal et le niveau opérationnel que souhaite atteindre les Etats-Unis.
Ah..si on pouvait en savoir un peu plus en France :) !
Sources:
http://www.wired.com/dangerroom/2008/05/the-pentagon-wa-2/
http://www.aviationweek.com/aw/generic/story_channel.jsp?channel=defense&id=news/asd/2010/06/21/03.xml&headline=Battle%20For%20Cyber-Range:%20Military%20Dumps%20Darpa%3E
http://www.wired.com/dangerroom/2010/06/darpa-taking-fire-for-its-cyberwar-range
jeudi 25 mars 2010
DNSSEC sur les serveurs racines !
Selon une information récente, 3 instances des serveurs racines du DNS seront dés aujourd'hui en mesure de fournir des informations au public, signées avec l'extension DNSSEC du protocole DNS.
Il s'agit des instances suivantes :
=> K-Root : DNSSEC actif depuis, à priori, 5h du matin. Il est géré par RIPE-NCC également RIR ou gestionnaire de pool IP pour la zone Europe).
=> D-Root : DNNSEC actif depuis 3h du matin. Il est géré par l'université du Maryland
=>E-Root : l'extension sera active en début de soirée. Il est géré par la NASA.
Cette nouvelle est à priori très importante car il s'agirait de la première fois que des root-servers sont en mesure de délivrer des informations signées. Elle est cependant à confirmer car de nombreuses mesures de tests ont été prises auparavant permettant de tester les configurations et l'usage des clés.
Fruit d'un accord entre VeriSign, ICANN et NTIA, la mise en place de DNSSEC au sein la racine est déjà un travail bien avancé. La signature effective de la racine n'était cependant, à priori, pas utilisable, dans la réalité.
La gestion des clés de signatures reste également un problème politique peu ou mal résolu.
En effet, l'extension DNSSEC alourdit le protocole notamment en agrandissant la taille des paquets distribués mais aussi en imposant un effort de configuration plus long et plus précis. Toute erreur est susceptible d'avoir un impact sur la disponibilité alors que la version première du DNS est plus résiliente.
Loin d'être en retard, l'AFNIC, le gestionnaire de la zone française (.fr) sur Internet prévoit de communiquer ses propres paramètres de signature en juin 2010.
Source :
http://news.hostexploit.com/hosts-and-registrars-news/3521-more-security-for-root-dns-servers.html
http://www.afnic.fr/afnic/r_d/dnssec
http://www.bortzmeyer.org/jres-dnssec-2009.html
Il s'agit des instances suivantes :
=> K-Root : DNSSEC actif depuis, à priori, 5h du matin. Il est géré par RIPE-NCC également RIR ou gestionnaire de pool IP pour la zone Europe).
=> D-Root : DNNSEC actif depuis 3h du matin. Il est géré par l'université du Maryland
=>E-Root : l'extension sera active en début de soirée. Il est géré par la NASA.
Cette nouvelle est à priori très importante car il s'agirait de la première fois que des root-servers sont en mesure de délivrer des informations signées. Elle est cependant à confirmer car de nombreuses mesures de tests ont été prises auparavant permettant de tester les configurations et l'usage des clés.
Fruit d'un accord entre VeriSign, ICANN et NTIA, la mise en place de DNSSEC au sein la racine est déjà un travail bien avancé. La signature effective de la racine n'était cependant, à priori, pas utilisable, dans la réalité.
La gestion des clés de signatures reste également un problème politique peu ou mal résolu.
En effet, l'extension DNSSEC alourdit le protocole notamment en agrandissant la taille des paquets distribués mais aussi en imposant un effort de configuration plus long et plus précis. Toute erreur est susceptible d'avoir un impact sur la disponibilité alors que la version première du DNS est plus résiliente.
Loin d'être en retard, l'AFNIC, le gestionnaire de la zone française (.fr) sur Internet prévoit de communiquer ses propres paramètres de signature en juin 2010.
Source :
http://news.hostexploit.com/hosts-and-registrars-news/3521-more-security-for-root-dns-servers.html
http://www.afnic.fr/afnic/r_d/dnssec
http://www.bortzmeyer.org/jres-dnssec-2009.html
jeudi 25 février 2010
jeudi 18 février 2010
Retex sur Cyber Shock Wave 3
Durant les prochains jours, nul doute que la presse spécialisée, sur Internet, foisonnera de commentaires variés sur les résultats de cet exercice. Cependant, un article publié sur Dark Reading offre une vue intéressante et des conclusions que l'on ne peut que soutenir..
R. Richardson, présent dans la salle, pendant l'exercice nous donne ainsi des informations complémentaires et tire ses propres conclusions :
=> Le scénario de la coupure d'électricité est proprement insurmontable. Actuellement, les capacités de réaction seraient assez limitées. On comprend d'autant mieux les nombreux récents articles et commentaires sur la Smart Grid et les problématiques liées à des coupures monstres ces dernières années.
=> Considérer cette coupure, consécutive, rappelons-le, à un malware particulièrement malin (qui a dit Conficker ?) ne pourrait recevoir comme réponse crédible que la déclaration d'un acte de guerre permettant au Président de disposer de pouvoirs étendus et de mieux réagir. Mais l'auteur le reconnait : encore faut-il identifier l'auteur présumé et la plupart du temps (il cité ici "Aurora"), c'est tout bonnement impossible.
=> La conclusion la plus instructive : l'auteur confirme le niveau très intellectuel de cet exercice. Les questions débattues sont politico-straégiques et militaires : doit-on déclarer la guerre ? à qui ? est-ce du terrorisme? and so on...
Mais, ajoute-t-il, si la définition d'une politique cohérente ne doit pas "plonger" dans la technique, on ne peut en ignorer les contraintes. Il s'interroge ainsi sur le nombre de participants connaissant réellement les notions de base du routage d'un paquet ou encore les modes de réplication des Trojan.
Des questions que tous les analystes se posent et qui expliquent les déclarations un peu contradictoires mais grandiloquentes qui fleurissent parmi nos dirigeants.
Ainsi, conclut-il, comment concevoir des politiques incitatives (à l'égard du secteur privé) si on ne sait pas les inciter correctement !
Cela ne vous rappelle-t-il pas HADOPI et LOPPSI2 ?
Il est donc temps, selon lui, de faire part à nos représentants de ce problème ! (oui mais en France, les députés compétents en ces matières se comptent sur les doigts d'une main...et aux USA ?)
Une vue de l'intérieure donc, riche, critique et instructive !
R. Richardson, présent dans la salle, pendant l'exercice nous donne ainsi des informations complémentaires et tire ses propres conclusions :
=> Le scénario de la coupure d'électricité est proprement insurmontable. Actuellement, les capacités de réaction seraient assez limitées. On comprend d'autant mieux les nombreux récents articles et commentaires sur la Smart Grid et les problématiques liées à des coupures monstres ces dernières années.
=> Considérer cette coupure, consécutive, rappelons-le, à un malware particulièrement malin (qui a dit Conficker ?) ne pourrait recevoir comme réponse crédible que la déclaration d'un acte de guerre permettant au Président de disposer de pouvoirs étendus et de mieux réagir. Mais l'auteur le reconnait : encore faut-il identifier l'auteur présumé et la plupart du temps (il cité ici "Aurora"), c'est tout bonnement impossible.
=> La conclusion la plus instructive : l'auteur confirme le niveau très intellectuel de cet exercice. Les questions débattues sont politico-straégiques et militaires : doit-on déclarer la guerre ? à qui ? est-ce du terrorisme? and so on...
Mais, ajoute-t-il, si la définition d'une politique cohérente ne doit pas "plonger" dans la technique, on ne peut en ignorer les contraintes. Il s'interroge ainsi sur le nombre de participants connaissant réellement les notions de base du routage d'un paquet ou encore les modes de réplication des Trojan.
Des questions que tous les analystes se posent et qui expliquent les déclarations un peu contradictoires mais grandiloquentes qui fleurissent parmi nos dirigeants.
Ainsi, conclut-il, comment concevoir des politiques incitatives (à l'égard du secteur privé) si on ne sait pas les inciter correctement !
Cela ne vous rappelle-t-il pas HADOPI et LOPPSI2 ?
Il est donc temps, selon lui, de faire part à nos représentants de ce problème ! (oui mais en France, les députés compétents en ces matières se comptent sur les doigts d'une main...et aux USA ?)
Une vue de l'intérieure donc, riche, critique et instructive !
mercredi 17 février 2010
Du nouveau sur Cyber Shockwave !
Comme promis, voici quelques informations complémentaires sur le scénario et les éléments constitutifs de la simulation de cyberattaque effectuée hier à Washington.
Accueillis par le Mandarin Oriental Hotel du sud-ouest de Washington, dans une salle singeant les salles de crises de la Maison Blanche, les membres ont dû réagir à une crise d'envergure nationale.
En effet, les éléments du scénario proposé et publiés sont les suivants : Une application malicieuse est téléchargée par un très grand nombre d'utilisateurs. Sa popularité est très importante et le système de contrôle et de sécurité de la plate-forme ne repère pas le problème. De fil en aiguille (et là, le scénario perd un peu de crédibilité...), cette application finit par déclencher une panne d'électricité et des télécommunications sur la côte Est.
Comme nous le faisions remarquer hier, cette simulation était tout sauf opérationnelle notamment vis-à-vis des précédents exercices organisés par les autorités. Le scénario laisse un peu dubitatif mais on manque également d'éléments plus précis pour forger un jugement plus définitif.
Ensuite, les participants sont de très haut niveau : très haut-fonctionnaire, conseilleurs auprès de l'ex-président des USA...Ce qui explique les réactions : une analyse économique, la stratégique de communication médiatique, que dire et quoi faire par rapport aux citoyens du pays. C'est, en tout cas, ma compréhension des éléments qui ressortent de ces retours.
On pourrait juger hâtivement qu'un tel exercice est inutile. A mon humble avis, il n'en est rien. La gestion des crises et la communication sont des éléments déterminants dans la résolution des dites crises. Or, les détenteurs du pouvoir sont parfois maladroits et il a été largement démontré que les processus de prise de décision en période de forte tension sont bousculés (Cf. la crise des missiles de Cuba dont une analyse met en lumière les approches pseudo-rationnelles).
Par ailleurs, la communication joue un rôle essentiel et la plupart du temps, lesdits détenteurs du pouvoir sont habitués à conserver la maitrise des outils de communication vers le grand public (télévision, radio, internet). Or, là, précisément, le mode de communication est dégradé : il faut donc apprendre à réagir rapidement, avec souplesse et intelligemment. Une gageure !
Source : http://fcw.com/Articles/2010/02/16/Web-Cybershockwave.aspx?Page=1
Accueillis par le Mandarin Oriental Hotel du sud-ouest de Washington, dans une salle singeant les salles de crises de la Maison Blanche, les membres ont dû réagir à une crise d'envergure nationale.
En effet, les éléments du scénario proposé et publiés sont les suivants : Une application malicieuse est téléchargée par un très grand nombre d'utilisateurs. Sa popularité est très importante et le système de contrôle et de sécurité de la plate-forme ne repère pas le problème. De fil en aiguille (et là, le scénario perd un peu de crédibilité...), cette application finit par déclencher une panne d'électricité et des télécommunications sur la côte Est.
Comme nous le faisions remarquer hier, cette simulation était tout sauf opérationnelle notamment vis-à-vis des précédents exercices organisés par les autorités. Le scénario laisse un peu dubitatif mais on manque également d'éléments plus précis pour forger un jugement plus définitif.
Ensuite, les participants sont de très haut niveau : très haut-fonctionnaire, conseilleurs auprès de l'ex-président des USA...Ce qui explique les réactions : une analyse économique, la stratégique de communication médiatique, que dire et quoi faire par rapport aux citoyens du pays. C'est, en tout cas, ma compréhension des éléments qui ressortent de ces retours.
On pourrait juger hâtivement qu'un tel exercice est inutile. A mon humble avis, il n'en est rien. La gestion des crises et la communication sont des éléments déterminants dans la résolution des dites crises. Or, les détenteurs du pouvoir sont parfois maladroits et il a été largement démontré que les processus de prise de décision en période de forte tension sont bousculés (Cf. la crise des missiles de Cuba dont une analyse met en lumière les approches pseudo-rationnelles).
Par ailleurs, la communication joue un rôle essentiel et la plupart du temps, lesdits détenteurs du pouvoir sont habitués à conserver la maitrise des outils de communication vers le grand public (télévision, radio, internet). Or, là, précisément, le mode de communication est dégradé : il faut donc apprendre à réagir rapidement, avec souplesse et intelligemment. Une gageure !
Source : http://fcw.com/Articles/2010/02/16/Web-Cybershockwave.aspx?Page=1
mardi 16 février 2010
Cyber ShockWave : exercice du 3ème type
Les USA, pionniers en matière d'exercice de lutte informatique, ont vu aujourd'hui le lancement d'un 3ème exercice en la matière : Cyber ShockWave.
La présentation, typique d'un certain "effet de manche", ne doit pas nous conduire à penser que l'on est dans le cas d'un Die Hard 4.
C'est en effet, un organisme très sérieux qui a lancé cette simulation de cyber-attaques. Le Bipartisan Polict Center est un effet un thinck tank renommé outre-atlantique qui avait par ailleurs, lancé des réflexions mettant en avant la dépendance des USA aux ressources pétrolières.
Si le scénario est encore secret car les organisateurs veulent tester les réactions des participants, on connait certains de ces derniers. Ainsi, l'ancien directeur de la CIA, le général Michael Hayden, un ancien conseiller à la Sécurité Nationale du Président Bush Georges Negroponte et des parlementaires sont présents. Côté entreprise, une filiale de Général Electric et Paypal sont parmi les élus.
Si ce type d'exercice revêt un réel intérêt, il parait cependant de bien moindre envergure (et plus intellectuel) que les précédents exercices Cyberstorm I et II (menés en 2006 et 2008), internationaux et mesurant des éléments techniques et surtout organisationnels. Nul doute que les retours d'expérience nous en diront plus...
Pour ceux qui diront (je les entends déjà...) que la France ne fait rien, je leur rappellerais l'existence du Plan PIRANET qui prévoit, sans nul doute, une série d'exercices. Cependant, on reconnaitra que l'approche très libérale, en matière d'informations, des organisateurs américains, n'est pas reproduit par les acteurs nationaux de la cyber-sécurité.
Source : http://www.spyworld-actu.com/spip.php?article12683
http://www.bipartisanpolicy.org/news/press-releases/2010/02/cyber-shockwave-hits-washington-updated-participants
La présentation, typique d'un certain "effet de manche", ne doit pas nous conduire à penser que l'on est dans le cas d'un Die Hard 4.
C'est en effet, un organisme très sérieux qui a lancé cette simulation de cyber-attaques. Le Bipartisan Polict Center est un effet un thinck tank renommé outre-atlantique qui avait par ailleurs, lancé des réflexions mettant en avant la dépendance des USA aux ressources pétrolières.
Si le scénario est encore secret car les organisateurs veulent tester les réactions des participants, on connait certains de ces derniers. Ainsi, l'ancien directeur de la CIA, le général Michael Hayden, un ancien conseiller à la Sécurité Nationale du Président Bush Georges Negroponte et des parlementaires sont présents. Côté entreprise, une filiale de Général Electric et Paypal sont parmi les élus.
Si ce type d'exercice revêt un réel intérêt, il parait cependant de bien moindre envergure (et plus intellectuel) que les précédents exercices Cyberstorm I et II (menés en 2006 et 2008), internationaux et mesurant des éléments techniques et surtout organisationnels. Nul doute que les retours d'expérience nous en diront plus...
Pour ceux qui diront (je les entends déjà...) que la France ne fait rien, je leur rappellerais l'existence du Plan PIRANET qui prévoit, sans nul doute, une série d'exercices. Cependant, on reconnaitra que l'approche très libérale, en matière d'informations, des organisateurs américains, n'est pas reproduit par les acteurs nationaux de la cyber-sécurité.
Source : http://www.spyworld-actu.com/spip.php?article12683
http://www.bipartisanpolicy.org/news/press-releases/2010/02/cyber-shockwave-hits-washington-updated-participants
Inscription à :
Articles (Atom)
