Simulation d'adversaire et exercices encadrés

Plus un exercice ressemble à une vraie attaque, plus il est utile, et plus il est risqué s'il est mal préparé. Un exercice qui coupe la production d'une usine, expose des données réelles de clients ou provoque la panique d'un service n'est pas un bon exercice. Cette dernière leçon du chapitre décrit comment on cadre une simulation d'adversaire pour qu'elle reste sûre, légale et formatrice, et vous fait rédiger la fiche de préparation promise au début du chapitre.

Il existe plusieurs niveaux de simulation

Toutes les simulations ne se valent pas en risque et en coût. On les range du plus simple au plus complexe :

• L'exercice sur table (tabletop) : l'équipe se réunit autour d'un scénario fictif (« un ransomware chiffre le serveur de fichiers un vendredi soir ») et déroule ses décisions : qui appelle qui, qui prend la décision d'isoler, qui informe la direction, les clients, l'autorité de protection des données. Aucun système n'est touché. C'est l'exercice le plus accessible et un excellent point de départ.
• L'exercice technique en laboratoire : on rejoue des comportements d'attaque sur une copie de l'environnement ou sur un laboratoire. C'est la base de la purple team.
• L'exercice technique limité sur l'environnement réel : quelques scénarios précis, sur des systèmes identifiés, avec supervision étroite.
• La simulation d'adversaire complète : un scénario de bout en bout, sur plusieurs semaines, avec une équipe de défense qui n'est pas informée. C'est le plus riche, le plus exigeant et le plus encadré.

La bonne règle : commencez par le niveau le plus bas qui répond à la question posée. Un exercice sur table suffit souvent à révéler que personne ne sait qui a le droit de couper l'accès à Internet.

Les cadres de référence

Vous n'avez pas à inventer la méthode : plusieurs référentiels existent.

• Le guide technique du NIST sur les tests de sécurité (nist.gov) décrit la planification, l'exécution et l'analyse d'une évaluation de sécurité.
• Des cadres sectoriels, notamment dans la finance au niveau européen, définissent la manière de conduire des exercices de red team fondés sur le renseignement sur la menace.
• En France, l'ANSSI qualifie des prestataires d'audit de la sécurité des systèmes d'information (PASSI) : s'adresser à un prestataire qualifié est un gage de sérieux. Les informations sont disponibles sur cyber.gouv.fr.
• Le framework MITRE ATT&CK (attack.mitre.org) fournit le catalogue des comportements à simuler.

Les cinq piliers d'une simulation encadrée

1. L'autorisation et le périmètre

L'autorisation doit venir d'une personne qui a le pouvoir d'engager l'organisation (direction, RSSI selon la gouvernance). Si des systèmes sont hébergés chez un tiers (un fournisseur de cloud, un prestataire), leur accord est aussi nécessaire : l'autorisation de votre client ne couvre pas les systèmes d'autrui.

2. Les règles d'engagement

Nous les avons vues : objectifs, techniques autorisées et interdites, horaires, contacts, gestion des données. Ajoutez les conditions d'arrêt : toute détérioration inattendue d'un service, toute découverte d'un incident réel déjà en cours (cela arrive : un testeur peut découvrir la trace d'un vrai attaquant) déclenche une suspension et un appel immédiat au contact.

3. La sûreté des actions

On privilégie les actions réversibles et non destructrices. On évite les actions qui risquent de saturer un système. On convient d'un moyen de nettoyer : chaque fichier, compte ou configuration créé pour l'exercice est listé et supprimé à la fin.

4. La protection des données et des personnes

Un exercice peut permettre d'accéder à des données personnelles réelles : on en collecte le minimum nécessaire à la preuve (une capture d'écran qui montre l'accès, pas une copie de la base). Les éventuels volets humains (par exemple des courriels de sensibilisation simulés) doivent être définis avec les ressources humaines et le délégué à la protection des données : on ne piège pas les personnes pour les sanctionner, on mesure et on forme.

5. Le retour d'expérience

Un exercice sans restitution est un exercice perdu. La restitution se fait dans un esprit constructif, sans chercher de coupables : on parle de processus, d'outils, de formation, pas de fautes individuelles. Le rapport final contient le récit, les constats, les recommandations hiérarchisées et un plan de suivi.

Ce qui peut mal se passer, et comment l'anticiper

Une fiche de préparation en une page

Pour clore le chapitre, voici le plan de la fiche que vous allez ajouter à votre portfolio :

1. Contexte et objectif de l'exercice (en deux phrases) ;
2. Type de simulation choisi et justification (sur table, laboratoire, limité, complète) ;
3. Périmètre : ce qui est inclus, ce qui est exclu ;
4. Comportements simulés (références ATT&CK) ;
5. Règles d'engagement : interdits, horaires, contacts, conditions d'arrêt ;
6. Gestion des données ;
7. Indicateurs de réussite : comment saura-t-on que l'exercice a été utile ? ;
8. Retour d'expérience : qui, quand, sous quelle forme.

À vous de jouer

Rédigez la fiche de préparation d'un exercice sur table pour Atelier Boréal, sur le scénario « le serveur de fichiers est chiffré un vendredi soir par un rançongiciel ». Précisez les participants, trois décisions à prendre pendant l'exercice et deux indicateurs de réussite.