La cybersécurité est devenue un enjeu stratégique pour toutes les entreprises notamment pour les PME et les ETI. Moins matures en termes de cybersécurité que les grands groupes et disposant de ressources restreintes, elles sont une cible privilégiée pour les cybercriminels.

Pierre-Antoine Bonifacio, notre Responsable Cybersécurité, fait le point sur les méthodes utilisées par les cybercriminels et revient sur la méthodologie mise en place et les outils AISI développés pour les PME ET ETI en cas de réponse à incident de sécurité.

Pouvez-vous nous parler des méthodes utilisées par les cybercriminels et repérées par votre SOC ?

Depuis le début de l’année, la fréquence des attaques a augmenté avec une amplification des menaces par ransomware.
Les méthodes utilisées par les cybercriminels sont souvent les mêmes : vulnérabilités non corrigées, mauvaise configuration du cloud, d’un VPN ou d’un routeur, email reçu et téléchargé avec une pièce jointe corrompue.
Ce qui évolue, ce sont les outils utilisés : de plus en plus performants, accessibles et faciles à utiliser. Cobalt strike est l’un des plus employés. Extrêmement discret, il est simple à programmer, à configurer et très efficace. Quakbot et Agent Tesla sont également largement déployés. Ils disposent d’une diversité de configuration et de structure, et peuvent être modifiables à l’infini. Il est donc difficile de faire une signature pérenne.

Quelle est la procédure AISI lors d’une réponse à incident ?

Dans le contexte d’une réponse à incident de sécurité, nous avons un process bien établi.
Généralement, nous nous déplaçons chez le client pour récupérer les éléments et lancer les outils AISI d’analyse et d’enquête : SCOUT, COMMODORE, The EYE et HUNTER.

Les investigateurs disposent de peu de temps pour analyser les quantités colossales de données et l’analyse forensique est une prestation coûteuse pour les PME et ETI. Ainsi, nos ingénieurs ont développé ces logiciels afin de répondre à ces deux problématiques. L’objectif est d’identifier rapidement le malware et le mode opératoire de l’attaquant tout en prenant en compte les moyens et besoins des clients PME et ETI.

SCOUT est un logiciel de collecte et d’archivage des artéfacts. Il permet de récupérer tous les éléments nécessaires afin de comprendre et de connaître le cheminement du cybercriminel même si les postes sont éteints et le réseau informatique coupé. SCOUT chiffre ensuite toutes ses archives afin de minimiser les risques d’altérations et de fuite de données.
Une fois les données collectées, nous lançons COMMODORE. C’est notre logiciel d’analyse. Il traite et enrichit les informations des archives SCOUT.
Pour visualiser toutes les données, nous avons développé THE EYE. Les analystes AISI s’appuient sur cet outil afin d’identifier la frise des évènements (Time Line de l’attaquant). Ils peuvent remonter jusqu’aux premiers signes de l’attaque et identifier le logiciel malveillant. Ils réalisent ensuite le rapport d’enquête final avec tous les indices de compromission et configurent notre dernier logiciel HUNTER afin de répondre à l’incident.
HUNTER permet de supprimer le maliciel et les traces de persistance. L’objectif étant de reconstruire ou de faire évoluer le SI sur des bases saines.

Comment c’est passée votre dernière mission ?

Dernièrement, nous avons travaillé sur l’incident réponse d’une entreprise de logiciels et Cloud. Nous avons œuvré avec les équipes du client à distance en leur fournissant les process, les outils et les éléments pour lancer les premières investigations. Tout était corrompu, rien n’était épargné ! Avec la collaboration des équipes sur place et le déploiement des outils AISI, nous avons identifié le malware rapidement. Nous avons ensuite nettoyé et fait évoluer le système d’information afin que l’entreprise puisse reprendre au plus vite son activité. Nous avons installé SentinelOne (antivirus) et monté une cellule SOC Réponse à Incident.
Le SOC permet de surveiller le SI, de détecter et répondre en cas d’incident sécurité au plus vite. Notre équipe SOC est composée d’experts sécurité, de pentesters, de chefs de projets spécialisés dans la protection de vos données. Certifiés, ils assurent une veille des vulnérabilités et se forment régulièrement aux nouveaux outils afin de vous assurer le meilleur niveau de protection.

Vous souhaitez en savoir plus sur les logiciels AISI et l’offre SOC as a Service ? CONTACTEZ notre Expert !

Nouvellement Intégrateur-revendeur de la solution Alsid, AISI accompagne les entreprises dans l’évolution de leurs infrastructures afin de les rendre plus performantes et sécurisées (détection d’incidents de sécurité et réponses aux attaques).
Retour sur un partenariat clé en compagnie de Miguel de Oliveira, PDG AISI et Johann Demangeot, VP Sales chez Alsid.

Quel constat actuel pouvez-vous faire concernant l’Active Directory ?

Miguel : « Dans notre catalogue de produits, nous avions des solutions qui permettaient de couvrir plusieurs vecteurs d’attaques mais il nous manquait celle qui nous permettrait d’être focus sur l’AD. La solution Alsid répondait parfaitement aux besoins des PME et ETI que constituent nos clients. La taille de l’entreprise cliente n’était pas un frein à la mise en place de la solution et cela représentait une force non négligeable. Si nous avons choisi Alsid, c’est principalement pour être dans une démarche d’amélioration continue de la conformité de l’AD et également de pouvoir monitorer en temps réel les failles de sécurité ou les tentatives d’attaques des hackers. Aujourd’hui, nous sommes capables d’accompagner nos clients sur une maturité en termes de sécurité. »

Johann : « Ce partenariat est important car Alsid a été créé il y a 4 ans et nous avons démarré notre activité par des collaborations sur le haut de marché uniquement (des grands comptes, des Cac 40…). Assez rapidement, nous nous sommes rendu compte que la problématique AD n’est pas unique aux grands comptes mais bien une problématique de cybersécurité globale pour tous types d’entreprises (tailles et secteurs). Ce qui nous a intéressé est que le positionnement d’AISI est clair puisqu’il fait le choix du milieu de marché, sur lequel il y a bien moins d’acteurs. Cela d’autant plus que nous recherchons un réseau de partenaires qui soit finalement experts et vecteurs de valeurs pour nos clients. AISI est très pertinent sur son segment de marché et la solution Alsid lui est adaptée, tant d’un point de vu positionnement tarifaire, que d’un point de vue pratique. En quelques semaines après la signature de notre partenariat, nous avons réussi à gagner et délivrer des premiers résultats très facilement. »

Pourquoi l’Active Directory est le dénominateur commun d’une majorité de cyberattaques qu’on voit aujourd’hui ?

Johann : « La première raison est qu’AD fête ses 20 ans et donc la plupart des designs d’architecture AD qui ont été réalisés, l’ont été à une époque où la sécurité n’était pas forcément prise en compte dans ses designs. Les infrastructures AD comprenaient alors dès l’origine des vulnérabilités, aujourd’hui exploitées par les attaquants et d’autant plus facilement qu’il existe des outils disponibles et gratuits sur Internet permettant d’exploiter ses failles de manière quasi automatisée. Le deuxième élément constitutif (et repris dans beaucoup de chemins d’attaques), est le fait qu’AD est déployé absolument partout ! En général, à partir du moment où la société compte plus de 100 salariés, celle-ci a besoin d’un annuaire pour gérer ses ressources informatiques. De ce point de vu, il s’agit donc d’un sujet qui concerne presque tous types d’entreprises et dans tous les secteurs. Les attaquants, finalement, savent qu’en ciblant l’AD, ils s’ouvrent un immense champ des possibles. Enfin la troisième raison est que l’AD n’est pas un élément figé et que chaque modification apportée peut créer de nouvelles vulnérabilités auprès des hackers. »

Quelles sont les raisons qui vous ont amené à travailler ensemble ?

Miguel : « Dans notre catalogue de produits, nous avions des solutions qui permettaient de couvrir plusieurs vecteurs d’attaques mais il nous manquait celle qui nous permettrait d’être focus sur l’AD. La solution Alsid répondait parfaitement aux besoins des PME et ETI que constituent nos clients. La taille de l’entreprise cliente n’était pas un frein à la mise en place de la solution et cela représentait une force non négligeable. Si nous avons choisi Alsid, c’est principalement pour être dans une démarche d’amélioration continue de la conformité de l’AD et également de pouvoir monitorer en temps réel les failles de sécurité ou les tentatives d’attaques des hackers. Aujourd’hui, nous sommes capables d’accompagner nos clients sur une maturité en termes de sécurité. »

Johann : « Ce partenariat est important car Alsid a été créé il y a 4 ans et nous avons démarré notre activité par des collaborations sur le haut de marché uniquement (des grands comptes, des Cac 40…). Assez rapidement, nous nous sommes rendu compte que la problématique AD n’est pas unique aux grands comptes mais bien une problématique de cybersécurité globale pour tous types d’entreprises (tailles et secteurs). Ce qui nous a intéressé est que le positionnement d’AISI est clair puisqu’il fait le choix du milieu de marché, sur lequel il y a bien moins d’acteurs. Cela d’autant plus que nous recherchons un réseau de partenaires qui soit finalement experts et vecteurs de valeurs pour nos clients. AISI est très pertinent sur son segment de marché et la solution Alsid lui est adaptée, tant d’un point de vu positionnement tarifaire, que d’un point de vue pratique. En quelques semaines après la signature de notre partenariat, nous avons réussi à gagner et délivrer des premiers résultats très facilement. »

Peut-on considérer que la force de ce partenariat est qu’il soit précurseur ?

Johann : « En effet, aujourd’hui, être capable de mettre à disposition des ETI un outil qui soit extrêmement pointu sur la problématique de l’AD avec un partenaire qui sait le déployer, lui donner de la valeur et l’intégrer à son offre de service, cela n’est pas si courant. »

Miguel : « Oui, nous arrivons à démocratiser l’expertise sécurité autour d’AD. »

Quelles sont vos ambitions de collaboration ?

Miguel : « Notre ambition est que nous puissions très rapidement répondre aux besoins des clients qui nous sollicitent pour sécuriser leur AD. Nous aimerions présenter à nos 180 clients cette démarche de sécurisation de l’AD pour qu’ils puissent l’intégrer dans leurs projets 2021, notamment dans un contexte où le système d’information a été élargi à toutes les personnes travaillant en home office. En général, dans une ETI ou PME, nous mettons 189 jours à détecter une attaque. L’ambition d’Alsid et d’AISI est de réduire au maximum à quelques jours, quelques heures, voire même quelques minutes, la capacité de détecter une attaque. Avec notre technologie, nous pourrons être extrêmement réactifs. »

Johann : « Grâce à ce partenariat, nous allons continuer d’augmenter notre capacité à adresser le marché de manière plus granulaire et plus large. Nous espérons qu’avec cette collaboration nous apporterons de la valeur nouvelle auprès des clients et qu’ils verront leur niveau de sécurité progresser très rapidement. »

Depuis des mois, les cyberattaques de type ransonware et/ou cryptolockers se sont dramatiquement multipliées touchant tout type d'organisation.

Pour Rodolphe Amewoui, CTO AISI, toute organisation est une cible potentiel pour un hacker. la communauté cybersécurité avait déjà identifié ces menaces et estime que l’année 2020 serait propice à ces attaques qui requièrent un temps de préparation assez long de la part du hacker.

Rodolphe nous en dit plus sur ces attaques et sur l’impact du télétravail sur la sécurité des entreprises.

Comment la crise sanitaire a-t-elle favorisé les cyberattaques?

La mise en place du télétravail aussi massif que soudain a été un facteur aggravant. Même si une réflexion sécuritaire était déjà en place dans la plupart des entreprises, les DSI ont dû donner accès à certaines ressources de la société depuis de nouveau lieu de travail, en l’occurrence le domicile du salarié, offrant ainsi un terrain de jeux conséquent aux hackers. Si le confinement a créé ou favorisé le télétravail, il a aussi élargi les surfaces d’attaque : il faut souligner que se doter d’un VPN, n’est pas suffisant, il faut qu’il soit sécurisé et surtout mis à jour – par exemples des failles SSL ont été identifiées récemment.

Le confinement a contraint certains employés ne possédant pas d’ordinateur professionnel à travailler sur leurs outils personnels. Par conséquence, certaines entreprises ont pris le parti de déployer des VPN sur des postes personnels. Cette pratique, à proscrire, étend le réseau de l’entreprise jusqu’au poste personnel des collaborateurs sans prendre en compte les critères de sécurité mis en place (GPO, certificats, et plus globalement la posture du poste). L’ordinateur personnel, parfois utilisé par plusieurs membres de la famille, peut-être déjà corrompu et favoriser ainsi des accès opportunistes de la part des hackers.

Recrudescence des attaques en 2020.... Qui sont les cibles?

Après une année 2019 très chargée, (conférence CLUSIF: Panorama de la cybercriminalité 2019, avec Pierre-Antoine BONIFACIO et Sylvain CORREIA-PRAZERES), nous enregistrons pour 2020 une tres forte augmentation des attaques.

Aujourd’hui, aucune structure ne peut affirmer qu’elle n’est pas une cible potentielle. Lors du premier semestre 2020, nous avons par exemple enregistré beaucoup d’attaques contre les collectivités locales qui ont été victimes des ransomwares Mespinosa / Pysa dont les techniques sont assez classiques (phishing, faille réseau,…) pour à terme compromettre les comptes administrateurs du domaine et casser le coffre-fort des mots de passe. La ville de Marseille et sa Métropole ont évité la catastrophe de peu, il y a quelque mois.

Plus récemment, les attaques Emotet ont touché de nombreuses organisations. Nous notons également une recrudescence des tentatives d’attaque sur notre parc client, que nous avons pu stopper.

Comment les hackers attaquent-ils ?

Les moyens d’attaque sont multiples, nous reviendrons d’ailleurs sur ce sujet lors de nos prochaines newsletters. Parmi les plus utilisées, nous retrouvons :Phishing;Big game hunting;Exploitation de vulnérabilité connue ou inconnue (0-Day);Achat de toolkit qui permet de démocratiser les attaques (même un novice peut utiliser cet outil pour mener une attaque).

A titre d’exemple, fin 2019, de nombreuses vulnérabilités ont été dévoilées. Ces failles concernaient des équipements réseau et/ou sécurité : la “non mise à jour” par les clients et les «toolkits» commercialisés sur le Darkweb ont permis à de nombreux hackers d’exploiter facilement les vulnérabilités des organisations de toutes tailles et de les attaquer.

Si vous souhaitez plus d'information ou télécharger notre méthodologie sur la mise en place du SOC selon AISI, contactez-nous.

Comment se défendre?

La cybersécurité a évolué et il ne s’agit plus d’intégrer diverses solutions de sécurité. Certaines technologies sont devenues obsolètes comme par exemple les anti-virus dont l’analyse est basée sur la comparaison de signatures (hash).

Aujourd’hui les entreprises doivent être en capacité de choisir les technologies les plus efficientes, de bien les paramétrer, (ce qui implique une maitrise parfaite de la technologie et d’effectuer les mises à jour) et d’analyser au quotidien les informations qu’elles génèrent (alertes, signaux faibles, etc.). Cette protection efficace repose sur l’intelligence humaine et pour cela, l’entreprise doit s’entourer d’experts : veilleurs, cyberanalystes.

Nous savons que les équipes IT en interne mobilisées sur la production, ne disposent pas des ressources et des moyens pour chercher et analyser ces données. C’est pourquoi aujourd’hui le SOC avec des experts dédiés m’apparaît comme indispensable pour détecter, traiter et bloquer tout acte malveillant.

Le endpoint représente le dernier maillon d’une attaque par ransomware. Le hacker agit de manière progressive et très discrète durant plusieurs semaines ou plusieurs mois. Lors des premières phases de l’attaque, il peut laisser des traces de son activité, c’est ce que nous appelons signaux faibles que seul un expert cybersécurité dédié peut détecter. L’un des rôles de nos analystes est de repérer, d’analyser et de prendre les bonnes actions de remédiation avant que le hacker ne s’étende sur le réseau ou parvienne à élever ces privilèges.

L’externalisation de sa cybersécurité en la confiant à des experts représente une option sérieuse et doit etre estimée et proposée à minima à la Direction Générale par le DSI ou RSSI. Sans SOC, on est aveugle. Il apporte de la visibilité sur le SI et des armes pour réduire les surfaces d’attaque. La cybersécurité est une course contre la montre, il faut se montrer très réactif et idéalement anticiper les prochaines actions d’un attaquant.

Comment réagir en cas d'attaque ?

Avant tout, il faut se faire accompagner le plus vite possible, idéalement en 24/7, par une équipe de professionnels qui procèdera immédiatement au Forensics.

« Les règles en cas d’attaque:
FORENSICS FORENSICS FORENSICS

Les experts vont analyser minutieusement les logs, chercher qui a chiffré et comment. Ils vérifient auprès des CERT (Computer Emergency Response Team) si des clés de décryptage sont déjà à disposition. Ils doivent également au mode opératoire: est-ce que le ransomware efface les données ou est-ce qu’il les efface et les réécrit?

L’équipe établira une liste des priorités pour déployer une stratégie de défense et s’assure que le hacker n’est plus connecté et que certaines données peuvent-être sauvées. Elle accompagne également l’entreprise dans ses démarches règlementaires et judiciaires.
Passé le choc, les experts recherchent à relancer au plus vite l’activité de l’entreprise. En cas d’attaque, il faut repartir de zéro et ne surtout pas reconstruire le SI sur une infra qui a été compromis.

Témoignage de Pierre-Antoine, notre responsable Cybersécurité

Pierre-Antoine Bonifacio, Manager Cybersécurité chez AISI : « Les PME et les ETI sont la cible d’attaques très structurées et doivent pouvoir se protéger avec des solutions adaptées à leurs métiers tout en étant viables économiquement. »

Notre expert Cybersécurité, passé par l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information), Pierre-Antoine Bonifacio, fait le point sur les cyber-menaces et les enjeux que les entreprises doivent anticiper pour 2020 en trois questions.

      1. Pourquoi avoir rejoint AISI ?

Auparavant, j’ai travaillé au sein de l’ANSSI dont l’une des missions consiste à diffuser de bonnes pratiques cybersécurité auprès des entreprises et des particuliers. Toutefois, lorsqu’une PME ou une ETI subissent une attaque, elles sont vite désemparées. Dans ce contexte, j’ai rejoint AISI, car je voulais donner un impact plus concret à mon action. Je voulais accompagner ce type de structure et leur offrir des solutions préventives ou curatives en adéquation avec leur contraintes techniques et surtout économiques.

En ce sens, l’approche AISI à la fois bien structurée et pragmatique m’a conquis. Il faut savoir qu’en matière de cybersécurité, les hackers jouent sur la durée et les défaillances humaines. Aujourd’hui, un DSI a du mal à retracer tout l’historique d’un SI qui en outre à sa propre vie si je puis dire, entre les mises à jour automatiques, les utilisateurs qui installent leurs propres applications car leurs droits n’ont pas été bien délimités ou tout simplement lorsqu’ils se connectent avec leurs terminaux personnels.

Dans un premier temps un audit de sécurité et un pen test (test d’intrusion) permet d’évaluer le niveau de sécurité et identifier les priorités. Souvent, les Directions générales ne mesurent pas la hauteur des enjeux liés à la cybersécurité. Cette phase d’audit leur fait prendre conscience de leur vulnérabilité, par exemple on n’imagine pas le nombre d’informations, qui sont disponibles quand on sait bien chercher. Cette cartographie des ressources online achevée, on procède à une attaque sur les services web WEB pour récupérer plus d’information et, peut être, pénétrer le SI via d’autres vecteurs. Aujourd’hui la plupart des attaques démarrent par un phishing, une fois le poste de l’utilisateur corrompu, il est facile d’entrer sur le réseau de l’entreprise. Sur chaque jalon du parcours d’attaque, AISI conçoit une contre-mesure afin de renforcer la sécurité du SI dans sa globalité. L’objectif consiste pour chaque point à pouvoir détecter une activité suspecte, l’analyser et la neutraliser.

Nous proposons une solution qui trouve le juste équilibre entre les besoins de protection et l’expérience utilisateur surtout à l’heure où les salariés sont plus mobiles et l’entreprise plus ouverte auprès de ses parties prenantes.

Nous n’oublions pas non plus l’aspect humain qui est essentiel pour nous. Une équipe interne ne peut avoir un œil sur tout et notamment sur les consoles des solutions de sécurité. C’est pourquoi nous avons une offre de services managés qui intègrent des solutions innovantes avec des niveaux de SLA définis avec le client.

      2. Comment se déroule une attaque ?

Tout d’abord, j’aimerais casser un mythe véhiculé par le cinéma le hacker est un informaticien comme un autre. Une attaque se fait en plusieurs étapes. L’entreprise peut donc réagir en se dotant de services de supervision, car il est vrai que lorsque l’intrusion est enfin détectée, il est souvent trop tard. Il faut savoir, que le hacker, une fois introduit va avancer prudemment. Il va tester ses droits d’utilisateur, déployer de nouvelles applications, effacer quelques données pour tester les réactions. Il faut en moyenne trois jours pour devenir administrateur d’un domaine et entre deux et quatre mois avant le chiffrement complet d’un Système d’information (pour des sociétés ayant une plus grande maturité en sécurité).

Les outils automatisés sont indispensables mais il faut toujours néanmoins une surveillance humaine qui permet de comprendre qu’un événement a priori anodin (signaux faibles), est signe d’une attaque.

En 2019, les attaques ont montré un véritable professionnalisme de la part des hackers et malheureusement une forte rentabilité. Beaucoup trop d’entreprises victimes de ransonware ont été condamnées à payer. En effet, quelle organisation peut-elle se permettre de stopper son activité ne serait que quelques jours car son SI est totalement inutilisable sans se mettre en péril ?

Pour 2020, ce type d’attaque où le hacker prend le contrôle, installe le cryptolocker et passe au chiffrement risque de s’amplifier. Nous assisterons à beaucoup d’opérations d’extorsion et d’intelligence économique. Les hackers menaceront de rendre les données totalement inaccessibles ou de les rendre public. Ils pourront également vendre sur le Dark Web, l’accès qu’ils auront créé.

      3. Quels sont les types d’attaques les plus récurrentes et les plus problématiques ?

Emotet + Trickbot +  Ryuk : le triptyque de l’horreur.

Le hacker aura avancé en toute discrétion pendant des semaines pour devenir maître du domaine. Il déploiera les deux maliciels Emotet ou Trickbot sur tous les systèmes du réseau. Ensuite, le ransomware Ryuk entrera en œuvre simultanément sur tous les poste et verrouillera tout le système.

Ces attaques de type APT (Advanced Persistent Threats) sont fréquentes et c’est pourquoi nous allons y consacrer un Webinar très prochainement.

La cybersécurité est une question complexe et les risques sont souvent méconnus ou mal évalués. La première étape consiste à sensibiliser les décideurs d’une entreprise aux menaces auxquelles ils s’exposent. L’onde de choc d’un incident se répand à tous les niveaux de l’entreprise. L’équipe IT est sous pression aux vues des conséquences économiques en terme de perte d’activité et surtout, le SI étant totalement corrompu, il faut le reconstruire très vite en repartant de zéro, cela génère des coûts supplémentaires.

En matière de cybersécurité il faut savoir dialoguer entre tous les acteurs de l’entreprise qui n’appréhendent pas la question sous le même angle. C’est pourquoi, n’hésitez pas à prendre rendez-vous avec nos équipes pour un workshop gratuit ou répondre à toutes vos questions. 

La mise en conformité RGPD : un enjeu commercial pour les entreprises

Vincent intervient pour le compte d’AISI sur les sujets d’audit et de conformité RGPD. Voici à travers ces quelques lignes son éclairage sur ce sujet d’actualité.

Vincent, vous agissez auprès des équipes AISI et aidez les entreprises à se mettre en conformité aux nouvelles normes RGPD. Quelles sont vos missions ?

Ma mission consiste à accompagner les entreprises dans l’application des recommandations de la CNIL et plus largement dans la protection des données.

Pour rappel, le Règlement Général sur la Protection des Données (RGPD) est entré en vigueur depuis le 25 Mai 2018 et toutes les entreprises disposant de données personnelles doivent s’y conformer.

Pour quelles tailles / types de structures intervenez-vous habituellement ?

J’interviens auprès de tous types de structures, de la petite PME au grand Groupe. Pour n’en citer qu’un, j’accompagne les équipes de SFR Distribution dans leur mise en conformité. Dans un tout autre domaine, notre équipe travaille avec l’EPF (enseignement supérieur), Soflog en logistique. Des PME innovantes comme Unowhy ou Visiodent (conception et commercialisation d’imageries et de radiologies numériques pour les chirurgiens-dentistes) font également appellent à nos services.

Pour quelle raison vous contactent-ils ?

Il y a deux types de demandes :

• les sociétés qui nous contactent dans un schéma de sous-traitance, afin de répondre aux demandes des clients ou de grands groupes d’être en conformité RGPD, ce point est devenu une exigence notamment dans le cadre d’appels d’offre,
• les grands groupes pour des raisons de conformité et d’image de marque.

En outre concernant l’industrie B2C plus particulièrement, les attentions portées au respect de la protection de la donnée personnelle est un argument de vente pour séduire les consommateurs. C’est devenu un enjeu commercial.

Pourriez-vous nous décrire le déroulement d’une prestation type ?

Les prestations démarrent le plus souvent par un audit (de 6 à 10 jours), effectué via des entretiens et une revue documentaire ainsi que l’analyse des sites webs et applications utilisées pour évaluer le degré de conformité de la société. Ensuite, nous établissons les contre-mesures (par exemple : manquement des informations obligatoires dans les pages dédiées à la politique de confidentialité et aux cookies sur un site internet). Ensuite, le client peut s’orienter s’il le souhaite vers un accompagnement partiel par chantiers ou un accompagnement global.

Il est important de préciser qu’il n’existe pas à date de certification officielle ou d’attestation justifiant de la mise en conformité.  A titre d’engagement et en cas de contrôle, l’entreprise doit présenter une liste des documents demandées par la CNIL et servant à « documenter sa conformité ».

En cas d’accompagnement partiel ou nul, quel profil côté entreprise doit gérer ce sujet à votre avis ?

La CNIL fournit des outils qui permettent aux petites structures de pouvoir faire sans l’accompagnement d’un expert. Cependant, dans la majorité des sociétés, les DSI sont souvent désignées pour gérer ce sujet. Le problème étant que le RGDP s’étend sur plusieurs domaines et la DSI n’a pas toutes les capacités pour y répondre. En effet, au-delà des sujets de webmarketing ou de sécurité informatique, le RGPD touche notamment les  RH (recrutement, gestion des employés, gestion de la carrière) ou bien la vidéosurveillance ainsi que des nouvelles technologies de type biométrie. Le champ d’application est large et ne peut donc pas être supporté par une seule entité.

Avez-vous noté une évolution des demandes clients depuis l’entrée en vigueur de la norme RGPD ?

La période avant le 25 Mai 2019 et les mois qui ont suivi, nous avons remarqué une réelle prise de conscience des sociétés. Certaines ont dans un premier temps “attendu de voir” ce qui se passait puis ont ensuite pris la décision de procéder aux démarches nécessaires. Les entreprises agissent doucement, prennent le temps de bien faire les choses sur le long terme. Nous mettons à disposition des outils cartographiques qui doivent être régulièrement utilisés pour être efficaces, l’implication aussi bien financière qu’humaine n’est donc pas négligeable. Elle varie en fonction de l’industrie, du type de produits, du nombre de services. Un acteur du B2C (volume de données important) ou de la santé (données sensibles) devra investir plus de moyens pour procéder à une conformité totale.

Et avez-vous d’ores et déjà des échanges concernant le E-Privacy 2019?

Cette directive qui devrait voir le jour en 2019 est encore méconnue. Elle a pour objectif de de mettre à jour les textes actuels, avec notamment des sujets sur le consentement préalable (cookies sur les navigateurs), la géolocalisation, la constitution d’annuaire ou encore le traitement des métadonnées. Nous vous partagerons en temps voulu toutes les informations relatives à cette nouvelle réglementation.

Bruneau, un des leaders Français de la vente de fourniture et de mobilier de bureaux pour les entreprises, a décidé d’investir dans une solution pour protéger ses endpoints (Poste de travail et serveurs). Jeremy Lebon, ingénieur de production au sein de la direction informatique, témoigne.

En quelques mots, pouvez-vous nous expliquer ce que fait Bruneau, et votre rôle au sein de votre entreprise ?

Fondée en 1955, Bruneau est une entreprise de e-commerce B2B en produits, équipements et mobilier de bureau, présente en France, en Espagne et dans le Benelux. Au fil des années, Bruneau a évolué d’une activité de vente à distance par catalogue vers une activité e-commerce, avec aujourd’hui plus d’un million de commandes par an et 85% du CA  réalisé sur ses sites internet. L’IT et le digital sont désormais omniprésents dans tous les processus de l’entreprise (marketing, CRM & vente, gestion de l’offre produit, logistique et distribution, SAV, achats, finances..). De ce fait, la sécurité de l’ensemble du système d’information est progressivement devenu un enjeu majeur de l’entreprise.          

Pouvez-vous m’expliquer un peu plus en détail comment cette migration s’est effectuée ? Et quelles étaient les raisons de ce changement?

J’avais déjà entendu parler des services de cybersécurité qu’ AISI proposait, ainsi que de la solution Sentinel One. Nous étions équipés d’un antivirus que nous jugions efficace. Malheureusement, nous avons été infecté plusieurs fois par 2 cryptolockers différents qui ont eu raison de certaines données. Bien évidemment, elles étaient sauvegardées et nous avons pu effectuer la restauration immédiatement, mais malheureusement l’antivirus n’a pas fait son travail.
En discutant avec AISI, nous en sommes venus à la conclusion qu’il fallait une solution adaptée aux attaques d’aujourd’hui. De là, nous avons lancé un Proof Of Concept (POC) avec AISI, qui a notamment vérifié la performance de la solution grâce à des hacking lab en injectant des malwares dont la signature n’est pas connue sur des postes protégés par SentinelOne vs des postes non protégés..

Les cyberattaques sont considérées comme le risque numéro 1 pour les entreprises. Quelle est votre stratégie pour y pallier ?

Bruneau est considéré comme une PME importante et leader dans son secteur. Tous les sujets qui tournent autour de la cybersécurité étaient plus ou moins d’actualité pour nous. C’est souvent difficile pour les directions de valider l’achat d’une application coûteuse pour sécuriser un parc informatique sans avoir été attaqué auparavant.
Pour nos méthodes de protection, nous avions trois grands axes. Tout d’abord,, mais nous communiquions auprès de nos employés pour les sensibiliser. “En ce moment, il y a une grande vague d’attaques, soyez vigilants.” Nous faisons des rappels régulièrement sur les bonnes pratiques en termes de protection informatique. Ensuite, nous mettions régulièrement à jour les serveurs et les postes utilisateurs.

Enfin, se tenir informé de ce qu’il se passe dans le monde entier est un travail permanent, encore moins facile à gérer car nous sommes déjà très occupés avec notre activité. Et c’est là où je trouve que les équipes AISI représentent une vraie plus-value. Quand une vague d’attaques se déclare, nous recevons rapidement un mail pour nous avertir.

Comment et pourquoi avez-vous choisi Sentinel One ?

Nous avons pour habitude de comparer les solutions existantes sur le marché, mais cette fois-ci c’était différent. Ayant déjà entendu parler de l’efficacité et de la réactivité d’AISI et de Sentinel One, notre choix s’est fait rapidement. Et il faut dire aussi que nous avons rapidement été séduits par la solution. L’efficacité du produit nous a été démontré via la démonstration d’une attaque en temps réel et comment Sentinel One peut éviter le chiffrement des fichiers. Après un mois de test de la solution, nous avons décidé d’opter pour elle.

Qu’est-ce que la solution a changé pour vos utilisateurs ?

J’aurai tendance à vous répondre que la solution n’a rien changé, dans le sens ou les déploiements ont été indolores pour les utilisateurs. L’agent a été installé sur tous les postes de travail sans souci. Au quotidien, pas de changement. Le reporting se fait toujours depuis la console directement par les administrateurs. Là-dessus, Sentinel One est encore performant, car le but d’une solution n’est pas de pas mettre de nouvelles contraintes aux utilisateurs, mais bien au contraire de leur simplifier les choses.

Quelle différence faites-vous entre votre ancienne méthode de sécurisation de votre infrastructure et la nouvelle ?

Sentinel One nous apporte beaucoup plus d’informations en ce qui concerne l’analyse comportementale au niveau du poste de travail. Je pense que c’est essentiel pour combattre les problématiques des nouvelles attaques. Cela n’avait rien à voir avec notre ancienne solution antivirus. Et puis Sentinel One, c’est une solution full SAAS, donc nous n’avons rien hébergé en interne. Les déploiements sont quasiment automatisés de A à Z.

Recommanderiez-vous la solution Sentinel One à vos homologues ?

Complètement. Je pense que ce type de solution doit être testée avant d’être choisie mais il n’y a pas à discuter longuement pour comprendre sa performance. Je recommanderais tout autant AISI pour leurs conseils et leur sérieux. C’est agréable de travailler avec des gens compétents et efficaces. En moins d’un mois, ils ont su répondre à nos besoins.

Si vous aviez un message à transmettre aux autres entreprises, quel serait-il ?

Les attaques cyber ne vont faire que progresser avec le temps et les nouvelles technologies. La cyber sécurité de notre infrastructure est un investissement hautement apprécié. Et une autre chose remarquable avec la solution Sentinel One, c’est qu’elle évolue avec le temps. Régulièrement, la solution est mise à jour grâce à de nouveaux paramètres qui renforcent chaque fois un peu plus la protection de nos postes. C’est un investissement sans faille.

Pour toute question, n’hésitez pas à nous contacter.

Le vendredi 14 Septembre dernier, un établissement financier de plusieurs centaines de collaborateurs a fait face à une attaque informatique via un ransomware. Les équipes de AISI ont été contactées pour pallier rapidement à cette menace. AISI est intervenu en s’appuyant sur la solution Sentinel One

@Miguel – AISI
Comment avez vous été informé de l’attaque ?

Nous avons reçu un appel le vendredi 19h30 de la part du DSI de cet établissement (suite à la recommandation d’un partenaire) nous demandant d’intervenir au plus vite suite à une attaque ayant généré le chiffrement de leur serveur de comptabilité. Apparemment la machine avait été infectée par un Ransomware, tout comme certains postes de travail, par conséquent l’intégralité du système d’information a été mis hors ligne pour limiter l’impact de l’attaque. Pourtant, le client bénéficiait de deux solutions d’antivirus (Poste de travail + serveurs) n’ayant pas stoppé l’attaque. Dès ce premier appel nous avons demandé à notre partenaire Sentinel One de nous préparer une console de management pour ce client.

@Lionel – Sentinel One
Comment avez vous pu aider AISI ?

Suite à l’appel d’AISI, nous avons mis à disposition en 30 min une console d’administration dédiée à ce client ainsi que les agents associés. Ainsi les équipes d’AISI pouvaient utiliser notre solution pour éradiquer la menace, investiguer et protéger les endpoints du client contre une éventuelle propagation ou récidive de l’attaque. Les agents pour récupérer les logs, investiguer et analyser la menace.
La console était opérationnelle à 20h et prête pour le déploiement. A partir de ce moment, j’ai contacté Fabien, Rodolphe et Miguel de AISI pour nous aider à déployer la solution.

@Fabien – AISI
Une fois l’appel du client reçu, comment s’est déroulée votre intervention ?

Nous avons fait un point avec Rodolphe et Miguel pour définir des hypothèses quant au ransomware qui avait infecté les machines. Nous avons proposé au client une conférence téléphonique à 22h afin de lui présenter notre plan d’action.Durant cette conférence téléphonique, le client a validé notre approche et le démarrage de notre intervention dès le lendemain. Il a été défini qu’une première prestation serait effectuée le samedi (2 ingénieurs sécurité) et une seconde le dimanche (3 ingénieurs sécurité).

Comment s’est déroulée l’intervention ?

Le client avait déjà confiné une grande partie de son SI. Nous avons identifié avec son aide le poste potentiellement infecté (patient 0). Nous avons étudié les logs du poste pour confirmer son infection et pour comprendre pourquoi, comment et à quelle heure le ransomware a été déclenché. Puis l’analyse de la machine par Sentinel One a confirmé notre analyse, la machine que nous avions identifiée était bien infectée. Les journées de Samedi & dimanche ont ensuite permis l’analyse des autres endpoints et  le déploiement de la solution Sentinel One sur l’ensemble du parc informatique. Ce déploiement s’est fait sans reconnecter les endpoints du site au système d’information. Puis afin de protéger et analyser les devices mobiles un déploiement de Sentinel One a été effectué via le MDM du client.

Quel était l’objectif de ce ransomware ?

C’est un comportement classique de ransomware, qui crypte les fichiers présents sur le parc informatique. Le but étant d’inciter l’utilisateur à payer une rançon pour obtenir une clé de déchiffrement.

@Fabien – AISI
Quelle a été la réaction de votre client suite à ce déploiement rapide ? 

Impressionné. Nous avons été réactifs et rapides pour comprendre et isoler l’attaque afin d’éviter qu’elle se déploie et qu’elle se régénère sur le réseau. Le problème était résolu le lundi, avec quelques ajustements à régler mais l’ensemble des équipes ont pu reprendre le travail comme ci rien ne s’était passé. Le client nous a avoué que peu de prestataires (y compris la société d’infogérance avec laquelle il travaillait) auraient pu à sa connaissance faire preuve d’une telle réactivité.
Cette prestation a également permis de confirmer la robustesse des solutions Sentinel One.

@Lionel – Sentinel One
Aviez vous déjà vécu ce type de situation avec d’autres clients/prospects ? 

Oui, j’ai déja a 2 ou 3 reprises eu ce type d’intervention à gérer. En effet, les antivirus classiques ne protègent plus suffisamment des nouvelles menaces, qui sont de plus en plus sophistiquées. Et les conséquences, comme les pertes d’activité, peuvent être désastreuses pour une entreprise. Je souligne les compétences d’AISI à comprendre les malwares & ransomwares et ainsi répondre parfaitement à la problématique du client lors de ce type de prestation d’Incident Response.

Que conseilleriez-vous à un responsable informatique pour éviter ce type de situation ?

Nous conseillons d’utiliser les dernières technologies en matière de sécurité, et par conséquent des solutions qui s’appuient sur l’analyse comportementale pour mieux détecter les attaques de dernière génération telles que Sentinel One.  Tout en s’appuyant sur un prestataire de type MSSP (Managed Security Services Provider) tel que AISI qui grâce à son expertise, sa réactivité et son implication les clients pourront anticiper ce type d’attaque, ou le cas échéant être accompagnés pendant et après ce type d’attaque.  Dans ce cas précis, AISI a su relever le challenge et solutionner le problème en un temps record.

Contacter-nous pour plus d’information.

Interview Fondation A. de Rothschild

S’entourer d’experts dans un domaine en permanente évolution est primordial pour assurer la sécurité de notre organisation.

Suite au déploiement d’un NAC (Network Access Control), Philippe Rouilhac, Directeur des Systèmes d’Information et des Technologies Médicales à la Fondation A. de Rothschild, nous partage son expérience et sa collaboration avec deux acteurs clés du marché, AISI, Pure Player Cybersécurité & Infrastructure et Forescout, éditeur et constructeur de solutions de sécurité.

La multiplication des objets connectés et la recrudescence des cyberattaques contre les entreprises du milieu de la santé augmentent. Quelle est votre stratégie pour y pallier ?
Pour lutter contre ces attaques, nous avons appris à estimer les risques et leurs conséquences, parfois désastreuses. En effet, le milieu hospitalier a fait face durant les années 2016 et 2017, à de nombreuses attaques obligeant certains établissements, notamment en Angleterre, à fermer leurs portes, le temps de réparer les dégâts causés par une attaque. Pour ce faire et surtout car nous évoluons dans un environnement mouvant, nous devons rester humbles, reconnaître nos limites et collaborer avec des professionnels à même de nous prodiguer les meilleurs conseils pour protéger notre organisation et nos patients de façon optimale.

Pourquoi avez-vous souhaité mettre en place un NAC ?

Plusieurs raisons ont motivé notre choix. J’ai participé fin Décembre 2016 à une conférence autour de la sécurité, organisée par le Ministère de la santé. Les nombreux témoignages de professionnels victimes d’attaques ont été un premier élément déclencheur. Nous avons alors décidé de faire réaliser un test d’intrusion (pentest) afin de mesurer le niveau de sécurité de nos infrastructures. Il a été détecté un risque d’intrusion interne via les prises réseau permettant entre autres, la connexion des téléphones dans les chambres des patients.

Quels besoins métiers étaient associés à cette réflexion ?

Pour les métiers du médical l’informatique est perçue souvent comme une complication et la sécurité qui lui est associée comme une véritable gêne. Nous avions donc principalement réuni des professionnels de l’informatique car nous avons un peu plus conscience des risques encourus, ce qui n’est pas encore le cas des autres métiers, pourtant très sensibles aux risques sécuritaires de leur propre domaine. Nous avons une responsabilité par rapport à la vie de nos patients et nous devons envisager le pire. Notre rôle consiste aussi à évangéliser l’intérêt et le pourquoi de nos actions, et faire comprendre au-delà de l’environnement professionnel la nécessité d’une bonne protection contre les risques informatiques.

A quel moment ce besoin s’est-il fait ressentir ?

Depuis environ 5 ans, la Fondation A. Rothschild modernise ses infrastructures et dématérialise ses processus au travers du déploiement du Dossier Patient Informatisé et de ses logiciels connexes. Cette hétérogénéité de solutions logicielles et l’accroissement des interconnexions sur site et surtout entre sites ou avec des organismes externes augmentent le facteur risque.
Les événements de 2017 ont aussi permit de factualiser les potentiels effets d’une architecture technique non sécurisée, de sensibiliser les acteurs et d’évaluer les conséquences des attaques. Nous avons donc priorisé des investissements pour renforcer les infrastructures et faire évoluer la sécurité au sein de la Fondation.

De quels dangers souhaitez-vous vous protéger ?

Toute tentative d’intrusion est un risque. Nous avons catégorisé les dangers en deux parties :
les dangers externes, arrivant par la messagerie, internet, tels que les ransomwares qui bloquent ou modifient les systèmes avec pour seule motivation, une volonté de nuire,
et les risques internes, à ne pas négliger, inhérents aux réseaux informatiques, filaires ou non et aussi l’utilisateur, l’informaticien lui-même n’étant pas à oublier.
L’éducation pédagogique pour sensibiliser nos utilisateurs et les rendre ainsi plus vigilants est clé. Les outils limitent les dangers, l’utilisateur final reste le dernier rempart aux attaques.

Combien d’utilisateurs sont concernés par la mise en place du NAC ?

Il y a environ 1300 collaborateurs travaillant à la Fondation, près de 1000 postes de travail et plus de 2000 dispositifs médicaux. Nous dénombrons entre 3500 et 4000 prises réseaux aux blocs, en consultation, dans les locaux administratif ainsi que dans les chambres des patients. Nous disposons de réseaux Wifi, propres aux professionnels de l’établissement mais aussi accessibles à nos patients. Tous ces points d’entrée sur nos réseaux sont concernés par cette sécurisation.

Quel est le profil de vos utilisateurs ?

Les patients à qui nous offrons des services d’accès entièrement sécurisés. Les utilisateurs internes, professionnels de santé comme administratifs, qui disposent d’accès personnels et sécurisés aux logiciels. Enfin, les équipes informatiques, avec qui nous avons défini une politique sécuritaire permettant de cloisonner précisément les accès en fonction des usages.

Quels ont été les bénéfices pour vos utilisateurs suite au déploiement du NAC ?

A nos informaticiens, le NAC donne une visibilité optimale sur l’ensemble des objets et éléments connectés au réseau, permettant un confort dans la gestion quotidienne du réseau. A titre d’exemple, l’accès au réseau est purement stoppé à tout objet non référencé. Un protocole pour tout nouvel appareil est indispensable pour autoriser sa connexion au réseau de la Fondation. Ce qui peut être considéré comme une contrainte reste essentielle au maintien de la protection.
Les utilisateurs et les patients quant à eux utilisent nos réseaux en toute sécurité.

Pourquoi avez-vous choisi AISI pour vous accompagner ?

Nous avions dans un premier temps challengé les experts AISI via le pentest. La qualité de la restitution nous a confortés dans notre volonté de poursuivre avec cette équipe sympathique, non intrusive et accumulant de solides références dans le domaine médical.

Comment et pourquoi avez-vous fait le choix de ForeScout ?

Nous avions réalisé un benchmark de deux solutions du marché pour évaluer les forces de notre future solution NAC. Nous avons ensuite opté pour Forescout pour la souplesse de la solution, sa facilité d’installation et le peu de ressource que sa gestion demande au quotidien. Les équipes AISI nous avaient également conseillé d’opter pour cette solution.

Avez-vous optimisé votre TCO (Total Cost of Ownership) ?

La course à la sécurité est une course que je considère perdue d’avance. L’ouverture des systèmes de plus en plus grande, la volonté de nuire de plus en plus forte ne font qu’augmenter sans cesse les risques. Contrairement à un projet classique qui répond à un besoin donné et pour lequel on peut mesurer son ROI, je considère l’investissement pour rendre notre architecture de plus en plus sécurisée comme une sorte de police d’assurance. On paye au cas où il arriverait quelque chose et le jour où cela arrive, vous êtes finalement ravis d’avoir souscrit ce contrat. J’ai peur que payer pour de la prévention soit devenu indispensable pour limiter le plus possible les risques. En ce qui concerne spécifiquement le NAC, il y a au final un gain de temps sur les modifications des VLANs qui sont automatisées. Ce qui est très pratique dans un environnement comme le nôtre où nous sommes confrontés régulièrement à des déménagements internes de personnels.

Recommanderiez-vous Forescout et AISI à vos homologues du domaine de la santé ?
Oui, sans aucun doute. Des partenaires à l’écoute, efficaces et disponibles. Le binôme AISI & Forescout a rempli sa mission.

Contacter-nous pour plus d’information.