Les cyberattaques évoluent rapidement en sophistication et en ampleur. La frontière entre le monde numérique et le monde physique est devenue plus floue. Des cyberattaquants étrangers ont utilisé des logiciels malveillants destructeurs pour effacer les données des disques durs et ont tenté d'infiltrer des systèmes industriels. Ils pourraient prendre des mesures tout aussi préjudiciables à l'avenir, compte tenu des événements politiques récents et des menaces verbales.
Toute personne chargée de la préparation cybernétique d'une organisation occupe actuellement un poste clé. L'adage « la meilleure défense, c'est l'attaque » ne s'applique pas ici. Dans ce cas précis, la meilleure défense, c'est une bonne défense.
En pratique, vous devez disposer d'un plan de réponse aux incidents (RI) et d'un plan de continuité des activités (PCA) prêts à l'emploi et testés. Vous devez aller au-delà de l'identification des risques - en essayant de vous en protéger par des méthodes telles que l'authentification multifactorielle et de les détecter à l'aide d'analyseurs de virus et de systèmes SIEM - et y répondre. Vous devez suivre le processus de bout en bout et réfléchir à l'avance à la manière dont vous allez vous rétablir.
Les services d’identité sont au cœur de la plupart des menaces persistantes avancées (APT). Sachant cela, il est judicieux de tester votre plan de continuité des activités (BCP) et votre plan de reprise après sinistre (DRP) pour Active Directory (AD) au moins tous les 13 mois. Si peu de gens le font, c’est parce que cette tâche est fastidieuse et difficile à mener à bien correctement. Effectuer un test de restauration sur l’environnement de production n’est pas envisageable, et tester un environnement standard n’est que partiellement utile. La méthode la plus efficace consiste à effectuer une sauvegarde de l’environnement de production et à la restaurer dans un laboratoire isolé.
Nous disons à nos clients que la meilleure façon de tester leurs plans de PCA et de PRD est de mettre en correspondance les processus organisationnels critiques avec les applications qui les supportent et, en fin de compte, avec l'infrastructure qui supporte ces applications. Il n'y a pas deux organisations identiques, et pour certaines d'entre elles, la restauration du siège social peut être la priorité absolue, suivie de celle des succursales (un scénario courant pour les institutions financières), alors que pour d'autres, ce sera l'inverse (un scénario courant pour les entreprises manufacturières).
Opter pour un accord de niveau de service (SLA) identique pour l’ensemble de votre infrastructure est la décision la plus simple à prendre, mais cela implique, dans la plupart des cas, que les applications critiques se retrouvent dans la même file d’attente que les applications non critiques. Dans la plupart des entreprises, cela signifie que tout passe par Active Directory (AD). Malgré cela, nous avons constaté que la planification de la reprise après sinistre d’AD est souvent négligée, alors qu’elle constitue l’un des éléments les plus critiques de toute approche de la reprise après sinistre axée sur la cybersécurité.
La restauration après sinistre (AD DR) est un processus fastidieux. Il a fallu neuf jours à la société danoise Maersk pour restaurer son environnement AD après l'attaque du malware NotPetya en 2017. Selon Andy Powell, responsable de la sécurité des systèmes d'information (RSSI) chez Maersk, environ55 000appareils du réseau mondial de Maersk ont été entièrement infectés en sept minutes.
En cas de sinistre informatique, Active Directory (AD) est un élément essentiel, car il constitue la base de la restauration de tous les autres éléments du réseau. Tant que vous n’avez pas réussi à restaurer votre AD, vous ne pouvez pas faire grand-chose d’autre. Se contenter d’arrêter les systèmes dès le début d’une attaque ne suffit pas. Vous devez identifier les vecteurs d’attaque probables et les points faibles potentiels, et partir du principe que même vos serveurs AD de secours pourraient être compromis.
Andy Powell conseille de s'assurer que l'on peut récupérer l'AD en moins de 24 heures. D'où la question suivante : quand avez-vous testé votre plan de reprise d'activité AD pour la dernière fois ? Quand avez-vous testé pour la dernière fois votre plan de reprise d'activité ? Tout aussi important, votre plan de reprise AD a-t-il été mis à jour pour inclure des cyber-scénarios tels qu'une attaque par ransomware ou wiper ?
En conclusion, il faut parfois une menace imminente pour que les entreprises prennent plus au sérieux leurs plans fondamentaux de détection et de réponse aux menaces. C'est le moment d'essayer de prendre de l'avance en comblant les lacunes de vos plans de continuité des activités et de réduction des risques en recherchant les maillons les plus faibles, à commencer par votre infrastructure AD et les applications qui en dépendent.
Chers professionnels de la sécurité AD, c'est à vous de briller. L'AD n'est pas seulement aussi crucial que les autres couches d'une stratégie de sécurité : aujourd'hui, nous dirions même qu'il l'est encore davantage. Et c'est à vous qu'il revient de convaincre le reste de votre équipe que l'AD doit être au cœur de votre plan de défense.
