Mitre et ses partenaires construisent une base de connaissance sur les menaces

L’organisation à but non lucratif américaine Mitre pense que le moment est venu de créer un répertoire commun pour centraliser les tactiques, techniques et procédures (TTP) connues utilisées par les initiés qui décident de rompre le contrat de confiance avec leurs employeurs. Elle s’est même proposée de servir de lieu d'information sur les menaces d'initiés. À la mi-février, le Center for Threat Informed Defense exploité par Mitre Engenuity, et soutenu par plusieurs acteurs multisectoriels de premier plan, dont Citigroup Technology, Microsoft, Crowdstrike, Verizon et JP Morgan Chase, a publié ses principes de conception et sa méthodologie « Design Principles and Methodology » pour la base de connaissance Insider Threat TTP Knowledge Base sur les menaces internes.

Les initiés malveillants, « une menace unique »

Parallèlement à l’annonce de cette base de connaissance TTP, Jon Baker, directeur de la recherche et du développement au Center for Threat-Informed Defense, a fait, sur le blog de Mitre Engenuity, une déclaration qui devrait susciter l’approbation de tous les RSSI : « Les initiés malveillants représentent une menace unique pour les entreprises ». Dans son message, M. Baker reconnaît que l'accent est mis sur la cybermenace et les activités « observables par un SOC dans l'environnement informatique ». Mais les RSSI seraient bien avisés de tenir compte de l’avis de M. Baker qui recommande de ne pas « se concentrer sur les tactiques, techniques et procédures de la dernière menace d'initié à avoir fait la une des journaux ».

14 techniques d'initiés malveillants

Le TTP met en évidence 14 domaines d'intérêt distincts, qui comprennent 54 techniques pouvant révéler un comportement d’initié malveillant :

• Reconnaissance

• Développement de ressources

• Accès initial

• Exécution

• Persistance

• Escalade de privilèges

• Évasion de défense

• Accès aux identifiants

• Découverte

• Mouvement latéral

• Collecte

• Commande et contrôle

• Exfiltration

• Impact

On dit souvent que l'initié de confiance qui ne sort pas de son couloir de nage ne sera jamais repéré par le programme de gestion des menaces internes. Cette initiative de Mitre va à l’encontre de ce point de vue et veut démontrer que même ceux qui restent dans leur couloir de nage peuvent être détectés quand ils prennent des mesures pouvant justifier a posteriori leur rupture de confiance.

Tactiques courantes d'initiés malveillants

Les principes de conception du programme incluent, très judicieusement, une évaluation du niveau de compétence requis pour chaque TTP et mettent en évidence des actions ayant entraîné l’ouverture d’une enquête soit parce qu’elles ont eu lieu réellement, soit parce qu‘elles ont été identifiées comme des cas d’initiés malveillants « probables » ou « possibles ».

Voici leurs conclusions :

• « Les menaces d'initiés utilisent couramment des TTP non sophistiquées pour accéder aux données et les exfiltrer ».

• « Les menaces internes tirent souvent parti des accès privilégiés existants pour faciliter le vol de données ou d'autres actions malveillantes ».

• « Les initiés mettent régulièrement en scène les données qu'ils ont l'intention de voler avant de les exfiltrer ».

• « Les supports externes/amovibles restent un canal d'exfiltration courant ».

• « Le courriel reste un canal d'exfiltration courant ».

• « Le stockage dans le cloud représente à la fois une cible de collecte pour les initiés et un canal d'exfiltration courant ».

Dans un second temps, le programme a pondéré ces menaces en les classant par « fréquence d'utilisation », à l’aide d’étiquettes « Fréquente », « Modérée » ou « Peu fréquente », pour fournir une probabilité sur l’usage de chaque technique et focaliser l’attention sur celles qui se produisent le plus fréquemment. Les documents GitHub qui l'accompagnent doivent aider les équipes à catégoriser leurs expériences. Les entités disposant de ressources limitées devraient concentrer leur attention sur « les menaces probables » et garder les « menaces possibles » pour un examen ultérieur, si le temps le permet. Selon M. Baker, se concentrer sur les menaces possibles, bien qu'improbables et créatives, « fait dévier les programmes de lutte contre les menaces internes et aux SOC ». Il cite à ce sujet Frederick le Grand qui disait : « Celui qui défend tout ne défend rien ». Les RSSI devraient donc se focaliser sur celles qui offrent le meilleur rendement.

Se concentrer sur les scénarios les plus probables

Si la subornation d'un employé par un État-nation est une possibilité bien réelle, l'action malveillante d’un initié est le plus souvent destinée à servir les intérêts propres de l'individu et de sa carrière. Par exemple, des individus qui récoltent des informations pour lancer leur propre entreprise, ou ceux qui vendent la propriété intellectuelle et les secrets commerciaux de leur employeur, ou ceux qui volent des informations/données à la demande d’un futur employeur, comme condition de leur embauche. L'objectif de la création de la TTP et de la communauté est de faire en sorte que « l'initié ne puisse plus agir sous couvert d'une utilisation légitime et de détecter la menace de l'initié avant qu'elle n'ait un impact coûteux et gênant sur l’entreprise ». Ce projet passe par le partage des processus et des procédures, l’organisation de webinaires et de conférences, afin de favoriser le partage des cas d’usage et de permettre aux « défenseurs d’apprendre les uns des autres ». Structurer son action en fonction de la probabilité de cette menace interne semble assez logique et les RSSI devraient au minium examiner les TTP de Mitre pour en estimer l'applicabilité, savoir comment en adopter la philosophie et se joindre à la communauté d'entités qui rament toutes dans la même direction pour contrecarrer l'initié malveillant.