RSSI on Zwindler's Reflection

RSSI on Zwindler's Reflectionhttps://blog.zwindler.fr/tags/rssi/Recent content in RSSI on Zwindler's ReflectionHugo -- gohugo.iofr-frLicensed under CC BY-SA 4.0Sat, 30 Jul 2022 12:00:00 +0000Comment veulent-ils que nous mettions à jour huit cents serveurs toutes les semaines !?https://blog.zwindler.fr/2022/07/30/comment-veulent-ils-que-nous-mettions-a-jour/Sat, 30 Jul 2022 12:00:00 +0000https://blog.zwindler.fr/2022/07/30/comment-veulent-ils-que-nous-mettions-a-jour/<img src="https://blog.zwindler.fr/2022/07/manutan.webp" alt="Featured image of post Comment veulent-ils que nous mettions à jour huit cents serveurs toutes les semaines !?" /><p>C’est avec cet extrait d’un article de #LeMagIT que j’ai lancé (un peu malgré moi) un gros débat sur Twitter 🐦.</p> <p><img src="https://blog.zwindler.fr/2022/07/lemagit.avif" loading="lazy" ></p> <p>(Et il y a encore plus grave dans l’article, j’ai rajouté une note, plus loin)</p> <p>Pour vous résumer la chose, j’ai lu un témoignage de Manutan qui a subit une cyberattaque en février 2021.</p> <p><a class="link" href="https://www.lemagit.fr/etude/Recit-comment-Manutan-sest-sorti-de-la-cyberattaque-du-21-fevrier" target="_blank" rel="noopener" >Le Mag IT - Récit : comment Manutan s’est sorti de la cyberattaque du 21 février</a></p> <p>Le directeur des opérations IT du groupe explique que Microsoft n’a pas voulu les aider (enfin si, mais pas gratuitement et pas au pied levé 😏) car ils ne mettaient pas à jour leurs serveurs.</p> <p>“Comment veulent-ils que nous mettions à jour huit cents serveurs toutes les semaines !?”</p> <p>Je tombe de ma chaise 🪑</p> <p>Quelques réponses que j’ai reçu à la suite de ça :</p> <h2 id="tout-les-kevin-je-sais-tout-qui-pense-que-cest-vraiment-possible-dupdate-800-machine-toute-les-semaines">“tout les Kevin je sais tout qui pense que c’est vraiment possible d’update 800 machine toute les semaines” </h2><p>(oui quelqu’un m’a répondu ça)</p> <p>Loin de moi l’idée de nier la difficulté de maintenir un parc de serveurs dans un environnement industriel + Windows (je connais, je l’ai déjà fait).</p> <p>Et bien entendu qu’il faut rester humble : même avec la meilleure des sécurités, une attaque reste toujours possible pour un criminel suffisamment motivé.</p> <p>Mais quand même ! Que quelqu’un ose écrire, sans rougir, après attaque au cryptolocker, qu’ils ne mettent pas à jour leur parc, car c’est trop compliqué ???</p> <p>Avec toutes les cyber attaques qui pleuvent depuis des années ? Avec tous les messages martellés par ANSSI, la gendarmerie et le gouvernement ?</p> <h2 id="cest-chaud-surtout-sil-y-a-des-applications-spécifiques-avec-des-technos-différentes">“cest chaud… surtout s’il y a des applications spécifiques avec des technos différentes…” </h2><p>Que certains systèmes industriels soient mal conçus, peu maintenus par l’éditeur, impossible à mettre à jour sans interruption, ce sont des faits.</p> <p>Pour autant, ça ne veut pas dire que c’est acceptable, hein ?</p> <p>A nous, professionnels de l’IT de peser sur les décideurs pour éviter d’en arriver là ! La maintenabilité et les logiciels à sources ouvertes devraient être dans la liste des critères pour choisir une solution logicielle / industrielle, quelle qu’elle soit.</p> <h2 id="une-plate-forme-de-qa-iso-prod-avec-des-tests-automatisé-de-non-régression-est-vu-comme-une-charge-et-non-pas-comme-mandatory-">“Une plate-forme de QA Iso prod avec des tests automatisé de non régression est vu comme une charge et non pas comme mandatory. 🤷‍♂️” </h2><p>Les outils/moyens pour automatiser les mises à jours ET les tests de régression existent (même sous Windows 😏). Encore faut-il y mettre les moyens (financiers, humains) et former les opérationnels ! Pas toujours facile à faire entendre à un ComEx, mais c’est là aussi le rôle et la responsabilité du DSI / RSSI. Ca me parait un peu facile de s’en défausser par la suite.</p> <p>L’humain est aussi capital et souvent sous-estimé par rapport à l’outillage (acheter un EDR ou faire un audit de sécu oneshot, c’est rassurant, mais est ce suffisant ???).</p> <p><img src="https://blog.zwindler.fr/2022/07/lemagit2.avif" loading="lazy" ></p> <p>[EDIT] J’avais mal compris ce passage. Mais en fait, ils avaient les outils pour détecter l’intrusion (qui a duré 3 mois avant le lancement du cryptolocker) mais <strong>personne n’a regardé les alertes</strong> ! Clairement là c’est super grave.</p> <h2 id="si-encore-il-ny-avait-que-les-serveurs-industriels-passons">Si encore il n’y avait que les serveurs industriels, passons </h2><p>Quand vraiment il n’y a pas de solutions (ou un passif trop important), il faut isoler les systèmes problématiques. Réseaux séparés (physiques ou logiques), pas d’accès à Internet, surveillance accrue… Je connais des industriels qui y arrivent très bien, ce n’est pas impossible.</p> <p>Mais pour finir, sur les 800 serveurs touchés chez Manutan, il n’y avait pas QUE des serveurs industriels.</p> <p>Tout y est passé : AD, messagerie, bureautiques, espaces de stockages partagés. Des systèmes “standards” qui <strong>eux</strong> auraient <strong>dû</strong> être à jour, car il n’y a pas de difficulté technique particulière sur ces genres de briques techniques…</p> <h2 id="derniers-mots">Derniers mots </h2><p>On peut quand même reconnaitre à Manutan d’avoir eu les bons réflexes post incident : faire les morts auprès des cybercriminels, chercher de l’aide, ne pas payer la rançon, restaurer les systèmes de manière méthodique.</p> <p>Ils ont visiblement été bien accompagnés par leur partenaire.</p> <p>Enfin, on peut surtout saluer la transparence de ce REX.</p> <p>Bravo pour tout ça.</p> <p>Mais clairement, il nous reste encore beaucoup de chemin à parcourir et on va avoir besoin d’encore beaucoup de pédagogie pour sécuriser nos SI…</p> <h2 id="liens">Liens </h2><ul> <li><a class="link" href="https://www.lemagit.fr/etude/Recit-comment-Manutan-sest-sorti-de-la-cyberattaque-du-21-fevrier" target="_blank" rel="noopener" >Le Mag IT - Récit : comment Manutan s’est sorti de la cyberattaque du 21 février</a></li> <li>Mon thread Twitter (lien mort, j’ai quitté Twitter)</li> <li><a class="link" href="https://www.linkedin.com/posts/denis-germain_lemagit-cyberattaque-microsoft-activity-6959123398283169792-WeMR?utm_source=linkedin_share&utm_medium=member_desktop_web" target="_blank" rel="noopener" >La même chose sur LinkedIn</a></li> </ul>