Contre-vérités sur les botnets...

Les botnets sont actuellement parmi les menaces les plus sérieuses sur Internet. Leur capacité à se répandre sur de très nombreuses machines et l'aspect "couteaux-suisses" les rend en effet très dangereux.

Généralement, les botnets présentent des architectures relativement similaires autour de 3 composants principaux :

- un composant de réplication : le rôle de celui-ci est d'assurer la plus grande et la meilleure réplication du vers suivant les objectifs du concepteur. Clés USB, mails...peuvent être des intermédiaires efficaces en la matière. Il est automatisé.

- un composant de prise de contrôle : souvent composé de l'exploitation d'une faille, connue ou non, ce composant est également automatisé. Son objectif est d'acquérir un niveau de contrôle élevé sur la machine afin de pouvoir initier le composant de réplication, se maintenir dans la machine mais également de mettre en place l'ensemble des fonctions qui pourront être utilisées ou déclenchées par la suite

- un composant de direction et de gestion : ce composant est également appelé "Control & Command" ou "C&C&". Ce composant n'a pas vocation à être automatique car il est utilisé par le concepteur du ver pour effectuer toutes les opérations : mise à jour des composants, exploitation des machines infectées (spam, DDoS...)...

J'imagine que les lecteurs déjà familiers avec ces notions auront tiqué devant les simplifications abusives mais j'espère que les autres auront suivi.

La littérature trop simpliste de la cybersécurité alarmiste attribue fréquemment la paternité et la responsabilité de ces botnets à nos amis chinois ou russes. Une analyse simpliste des IP révélant en effet de nombreuses adresses attribuées à ces zones.

Cependant, une analyse récente de Damballa montre une répartition très intéressante des serveurs de contrôles :



Vos esprits aiguisés auront remarqué que les 4 premiers pays hébergeant le plus de ce type de serveurs sont : UK, USA, Allemagne et France...Ces statistiques très intéressantes permettent de formuler quelques hypothèses :

=> la cybersécurité alarmiste n'est pas très maligne : facile mais ça fait du bien

=> le niveau de compétence en sécurité informatique/hacking reste très élevé dans les zones décrites. Il suffit pour cela de voir les niveaux atteints lors des conférences spécialisées. Si les "White Hat" (oups..je simplifie encore..désolé) sont si bons, alors les "Black Hat" doivent l'être également...

=> A contrario, il est un fait avéré que le niveau de sécurité est très bas en Inde mais également en Chine (cf. le taux de pénétration de Stuxnet). Le manque de moyens couplé au peu d'intérêt direct pour la sécurité a permis le développement de nombreux groupes cybercriminels qui profitent également du très fort taux de pénétration de l'informatique dans ces pays notamment en Inde et Russie mais également avec une très forte croissance en Chine.

=> il reste également possible que ces C&C soient réellement créés par des groupes étrangers cités souvent en exemple. Cependant, si j'étais chinois ou russe, l'Inde serait plus tentant que les pays européens qui disposent quand même d'une culture en sécurité plus élevée.

Résumons :

Fait 1 : les C&C sont aux USA, en France, en Grande-Bretagne et en Allemagne

Fait 2 : ces pays comportent de très bons éléments visibles en sécurité informatique et donc, très certainement en piratage.

Fait 3 : les pays comme la Chine et l'Inde sont des proies tentantes.

Conclusion : nous sommes sans doute plus que responsables dans la création et la dissémination des botnets.

Ces quelques faits, éléments d'analyses et hypothèses sont bien évidemment contestables. Ils éclairent cependant d'une lumière nouvelle le monde de botnet et de la cybercriminalité et contribuent à nous délivrer des fantasmes simplistes chinois ou russes.

Source :
http://blog.damballa.com/?p=897

Army Cyber Command (ARCYBER) lancé !

Nouvel entrant dans la chaine de commande "US/CYBER", l'ARCYBER est l'entité appartenant à l'US Army (Armée de Terre américaine) qui exercera dorénavant les fonctions de protection des réseaux informatiques de l'US Army.

Cette entité se veut l'exacte réplique des unités appartenant à la Navy (Fleet Cybercom ou USAF Cybercom). A ce titre, elle est également assujettie et placée sous le commandement stratégique de l'US CYBERCOM.

Parmi les localisations finales évoquées pour cette entité se trouve Fort Meade qui abrite déjà la NSA et l'US CYBERCOM. D'autres lieux ont été évoqués comme Fort Belvoir, VA.

En termes d'organisation, le nouveau commandement sera composé de plusieurs unités et notamment : Army Network Enterprise Technology Command, le 9th Signal Command et certaines unités du 1st Information Operations Command/Land.


Source : http://fcw.com/Articles/2010/10/20/Cyber-Defense-Army-Cyber-Command.aspx?Page=1

R.I.P. pour l'indépendance de la cybersécurité américaine !

Elle n'aura pas fait long feu cette indépendance de la cybersécurité. Malgré les dénis répétés du Commandant en chef de l'US CYBERCOM, les militaires américains disposent désormais d'un "droit de regard" sur la cybersécurité américaine dans son ensemble...

Pourquoi et Comment?

Le "comment" est relativement simple : il s'agit d'un accord entre deux ministères d'envergures aux Etats-Unis : le Départment of Homeland Security ou DHS et le Department of Defense ou DOD.

Cet accord prend la forme d'un MOA ou Memorandum of Agreement portant sur la cybersécurité.

Il est disponible librement sur le sites du DHS conformément aux draconiennes lois sur les publications publiques des Etats-Unis.

On notera que ce document reste court et concis et ne doutons pas que certains protocoles d'accords plus opérationnels demeurent sous le sceau du secret. Rien de plus normal !

Voilà pour le "comment". Le "pourquoi" est évidemment plus intéressant.

En effet, m'intéressant régulièrement aux publications et à la littérature spécialisée outre-atlantique, j'ai pu constater que le DHS bénéficie d'une mauvaise presse en matière de SSI et qu'il fait figure de mauvais élève.

Par ailleurs, malgré les moyens remarquables mises en oeuvre, nos alliés ont réalisé qu'aucune organisation ne disposait à l'heure actuelle des capacités importantes (et sans doute parfois fantasmées) de la NSA.

Cenpendant, cette organisation est loin de faire l'unanimité et a une emprise incontestable sur toutes les questions de sécurité informatique au sein de l'administration des Etats-Unis. L'actuel dirigeant de l'ICANN, Rod Beckstrom, ancien chef de la National Cyber Security Division, avait en effet rapidement démissionné de ce poste arguant justement de l'insupportable main-mise de l'agence sur toutes ces questions.

C'est ainsi que le document prévoit la mise en place d'un agent de liaison du DHS, en poste permanent à la NSA bien qu'exclu de la chaine de commandement opérationel de l'agence (Point 3). Cette coopération s'étend d'ailleurs aux questions des achats, des choix technologiques ou encore de l'identification des menaces.

Cette association sera matérialisée par un Directeur du DHS ainsi que par d'autres personnels. Le Directeur en question aura également l'opportunité de représenter le DHS auprès du Cyber Command dont on connait les liens ténus avec la NSA (même Commandant et même localisation géographique). Ce personnage-clé de l'accord aura également un rôle très fort de "synchronisation" et de valorisation du lien entre les deux organisations ainsi que la divulgation précoce des menaces dans le cadre du partenariat public-privé.

Du côté de la NSA, cet individu sera accompagné par un alter-égo qui prendra en charge notamment toute les questions matérielles et il en est de même au niveau de l'US CYBERCOM.

La lecture de cet accord m'oblige toutefois à revoir mon avis premier. En effet, il parait légèrement disproportionné en faveur du DHS. Celui-ci dispose en effet d'une personnalité-clé à qui la NSA et le CYBERCOM réfère sans cesse et apporte leur expertise.

Par ailleurs, l'apport de l'expertise reste relativement unilatéral : des éléments de coopération du CYBERCOM et des services cryptographiques de la NSA seront en effets transférés et localisés dans les locaux du NCCIC : National Cybersecurity and Communications Integration Center.

On est donc en présence d'un accord qui, à priori, tente de préserver les pré-carrés de chacun des "ministères" tout en reconnaissant l'urgent besoin du DHS en matière de compétences de pointe en sécurité informatique.

Par ailleurs, on remarquera que le "sens" de la collaboration révèle un souhait de préserver les réseaux et systèmes informatiques américains "civils" de "l'intrusion" du DoD et donc limiter la main-mise des militaires dans les réseaux civils.

Cet accord, bien que public et limité vis-à-vis de ce que sera son application réelle, révèle donc un souhait de préserver un statu-quo. Déséquilibré par nature, il donne au DHS plus de pouvoir pour gérer la coopération et les échanges. Mais sans compétences réelles, il n'en reste pas moins que c'est bien la NSA qui apporte ses savoir-faire et non pas l'inverse...

Les Etats-Unis auraient-ils ouvert la boite de Pandore ???

Source : http://www.dhs.gov/ynews/releases/pr_1286984200944.shtm

Stuxnet...un échec d'amateurs ?

Je vous invite à lire cette analyse de Stuxnet : http://www.darkreading.com/blog/archives/2010/10/stuxnet_an_amat.html

On y trouve en effet ce qui me semble être une analyse mesurée des aspects non-techniques du ver. En effet, certaines analyses ont pu être faites par des auteurs plus ou moins compétents techniquement (on dira avertis en matière d'informatique) mais très juste en matière de stratégie ou d'opérations militaires.

Cette approche, au contraire, se fonde sur des faits communément admis : les 4 0-Day, la composante vers et la composant industrielle...mais revoit les actions du ver à l'aune d'une véritable stratégie militaire.

Et l'auteur, israélien, de conclure et d'espérer qu'un tel "fiasco" ne relève pas des services de son pays car dans le cas contraire, ce serait quelque peu triste quant à leurs capacités à mener des opérations clandestines, ou discrètes, de haut niveau.

Une vision rafraichissante...

Informations en vrac...

Quelques informations intéressantes que je tiens à partager avec vous avant un we bien mérité après une salaire de galères et de grèves...

1/ Michael Chertoff, ancien secrétaire d'Etat au Department of Homeland Security, a pu faire une magnifique déclaration lors d'une conférence organisée par RSA. Il a ainsi appelé à la création d'une doctrine de cybersécurité qui s'inspirerait de la doctrine nucléaire des USA.

A croire que les USA ne savent plus que jurer par le nucléaire en oubliant les impossibilités irréductibles d'une application simple, ou non, de la notion de dissuasion nucléaire au cyberespace !

Si j'étais mesquin, je dirais qu'avec de telles pointures dans le domaine, les USA ne sont pas prêts de réduire les soi-disant milliers d'attaques quotidiennes subies par le Pentagone...

2/ Un peu dans le même ordre d'idée, un des directeurs du Government Communications Headquarters ou GCHQ, l'équivalent de l'ANSSI chez nos amis britanniques, a apporté des éléments assez intéressants dans un discours public, le premier prononcé par un directeur en exercice.

Iain Lobban a ainsi affirmé qu'il relevait du devoir du pays de se doter des capacités de défenses contre les attaques informatiques. Sans aller jusqu'à affirmer être en train de développer des capacités de lutte informatique offensive, il a également déclaré que la Grande-Bretagne devait être capable de dissuader les états ou les groupes terroristes de mener de tels opérations contre les systèmes britanniques.

Décidément, la dissuasion est à la mode. On reconnaitra toutefois que la communication et le fait de "montrer ses muscles" sont des moyens déjà existants de la dissuasion : on ne peut faire peur que si on est effectivement craint ! Et pour cela, il faut pouvoir démontrer ses capacités.

Au-delà de cet aspect déclaratoire, on peut rester sceptique sur la capacité d'un pays à dissuader un groupe terroriste, déjà prêt à se sacrifier, de mener des attaques informatiques...sauf à penser que si ledit groupe mène justement de telles attaques, c'est qu'il n'est plus vraiment prêt à se sacrifier...à voir...

3/ Selon une source relativement laconique, les 27 pays européens devrait mener un exercice de cybersécurité le mois prochain...

Pas plus d'informations pour le moment mais cela reste une étape très intéressante de prise en compte de la problématique au niveau européen.

Voilà pour aujourd'hui :)

Infrastructures vitales et cybersécurité - Dialogue

Charles Bwele (Électrosphère), un des animateurs du site d'analyses stratégiques Alliance Géostratégique a eu la gentillesse de me proposer un dialogue ouvert sur le thème des infrastructures vitales.

Nous vous proposons donc de prendre connaissance des résultats de cet échange, publiés sur le blog Alliance Géostratégique.

Ce dialogue se veut ouvert, sans parti-pris et nous l’espérons, le plus intéressant possible. Comme d'habitude, vos commentaires sont les bienvenus !

Bonne lecture !

INFRASTRUCTURES VITALES ET CYBERSECURITE

L'Inde et son OS : un passage obligé ?

Aujourd'hui, nous apprenons que l'Inde a décidé de publier son propre système d'exploitation afin de garantir une meilleure sécurité, une plus grande indépendance vis-à-vis des grandes oligopoles du logiciel et une meilleure maitrise de sa souveraineté.

L'Inde n'est pas la première et ce blog a communiqué sur les initiatives russe, chinoise et nord-coréenne.

On peut donc se demander si un tel effort est un passage obligé pour garantir sa souveraineté...Petite analyse pour et contre !

POUR :

=> Il est vrai qu'un tel développement assure une réelle maitrise de l'ensemble du logiciel et des composants. Il est donc un facteur de souveraineté et de sécurité dans le sens où on évite les pièges des matériels et logiciels sur étagères (contrefaçons, pièges, backdoors...)

=> Au-delà d'une maitrise conjoncturelle, ce type d'approche envoie également une signal fort en termes militaire ou de défense. Il permet également d'enclencher un mouvement global de maitrise de l'information qui commence par les OS pour aller jusqu'aux applications spécifiques, aux matériels..bref à l'ensemble des composantes de "l'informatique".

=> Economie : même si on ne mesure pas entièrement les capacités à faire des économies, il y a sans doute des gains réels en matière économique à initier une telle démarche. Cependant, cela reste à prouver définitivement.

=> Interopérabilité : cet aspect apparait ici car aujourd'hui, la plupart des standards permettent de conserver de bons niveaux de communication et d'échanges avec de nombreux partenaires : réseaux, mail, documentation...

CONTRE - on dira plutôt que ce sont des points où il faut porter son attention :

=> Qualité/Sécurité : avec 50 ingénieurs, selon les données transmises, il parait très délicat de développer un système d'exploitation plus performant, sécurisé et efficace que certains systèmes Linux ou Unix. Les communautés du libre étant à la fois passionnées, parfois intransigeantes, et très larges, il parait impossible pour ce groupe d'ingénieur d'avoir les même standards de qualité et de sécurité

=> Liberté/Ouverture vs. fermeture : les articles affirment que ce logiciel sera développé en secret et donc totalement fermé.

Or, aujourd'hui, il est illusoire de penser qu'un tel système, à partir de sa mise en production, voire avant, restera totalement secret. L'Inde n'est pas renommée pour ses capacités à sécuriser l'information ! On peut donc se douter que rapidement, ce système sera mis à l'épreuve par les pirates pour en déceler les failles.

De plus, les logiciels libres ont cette capacité d'amélioration infinie car ils sont testés par tous les passionnés et sont donc dans une dynamique d'amélioration. Un logiciel fermé, par nature, ne bénéficiera pas de cette capacité de tests et de corrections.

On peut, bien sur, imaginer que les développeurs indiens utiliseront, comme les autres pays, les résultats et production du logiciel libre. Mais même si certains composants sont sécurités, c'est l'architecture du système, la sécurité de certains composants spécifiques, les effets collatéraux ou encore la sécurité de l'ensemble qui bénéficiera pas du regard de la communauté.

On croirait presque, à me lire, que je suis contre une telle démarche. Il n'en est rien car je pense vraiment qu'une industrie de qualité couvrant l'ensemble des "couches" informatiques est un vrai plus aujourd'hui pour la maitrise stratégique.
Cependant, après réflexions, il apparait qu'il existe des obstacles non négligeables dans un tel développement et que certaines déclarations simplistes ne seront jamais suivies d'effet !

Source :

http://www.pcinpact.com/actu/news/59784-inde-developper-systeme-exploitation-ferme.htm

http://www.spyworld-actu.com/spip.php?article13957