La compromission de la chaîne d'approvisionnement d'une compagnie d'assurance internationale n'a pas commencé chez son fournisseur principal, mais chez une entreprise d'intégration logicielle qui fournissait des services de développement d'API à son fournisseur de gestion des sinistres. La chronologie de l'attaque, reconstituée lors de l'analyse post-incident, s'étendait sur trois organisations et quarante-huit jours. Premier jour : les identifiants GitHub de l'entreprise d'intégration logicielle ont été compromis par une attaque par bourrage d'identifiants visant le compte personnel d'un développeur qui réutilisait un mot de passe exposé lors d'une violation antérieure. L'attaquant a utilisé les identifiants du développeur pour accéder aux dépôts de code de l'entreprise d'intégration, qui contenaient des identifiants d'API pour l'environnement de développement du fournisseur de gestion des sinistres. Douzième jour : l'attaquant a utilisé les identifiants d'API pour accéder à l'environnement de développement du fournisseur de gestion des sinistres et a passé onze jours à cartographier l'environnement, à établir sa persistance et à identifier le chemin menant aux données des clients. Vingt-troisième jour : l'attaquant a pivoté de l'environnement de développement vers l'environnement de production au moyen d'un compte de service mal configuré qui disposait d'un accès inutile à la production. Du vingt-troisième au quarante-sixième jour : l'attaquant a passé vingt-trois jours dans l'environnement de production à cartographier l'emplacement des données des clients, à tester des chemins d'exfiltration et à préparer les données pour leur extraction. Quarante-septième jour : exfiltration massive de données de sinistres d'assurance. Quarante-huitième jour : le SOC de la compagnie d'assurance a détecté un transfert de données anormal depuis la plage IP du fournisseur. La compagnie d'assurance avait évalué le fournisseur de gestion des sinistres. Le fournisseur de gestion des sinistres avait évalué l'entreprise d'intégration. Les deux évaluations avaient conclu à une posture de sécurité satisfaisante. Aucune n'avait détecté ni contenu l'attaque qui progressait le long de leur chaîne d'approvisionnement depuis quarante-huit jours.
Pourquoi c’est important
Le temps de présence des attaquants via les fournisseurs est important pour la TPRM, car l'exposition des données du client ne commence pas lorsque l'attaquant pénètre dans l'environnement du client, mais lorsqu'il accède à un environnement quelconque situé sur le chemin de la chaîne d'approvisionnement menant aux données du client. Le temps de présence de quarante-huit jours du scénario d'introduction représente quarante-huit jours de préparation de l'attaque dans la chaîne d'approvisionnement avant que le client ne subisse le moindre impact direct. Réduire le temps de présence dans la chaîne d'approvisionnement exige à la fois d'améliorer la capacité de détection de chaque fournisseur et de mettre en place les mécanismes de coordination entre organisations qui permettent de détecter plus rapidement les attaques à sauts multiples.
Le délai moyen de détection au niveau du fournisseur est l'indicateur direct du risque lié au temps de présence dans la chaîne d'approvisionnement. Un fournisseur dont le délai moyen de détection est de trente jours offre à un attaquant trente jours de présence en moyenne pour préparer sa progression le long de la chaîne d'approvisionnement. Réduire le MTTD du fournisseur réduit le temps de présence disponible pour préparer une attaque de la chaîne d'approvisionnement. Le MTTD de chaque fournisseur situé sur le chemin de la chaîne d'approvisionnement est un indicateur de risque cumulatif : la somme des temps de présence le long de ce chemin correspond au temps total dont dispose l'attaquant pour préparer l'attaque finale contre le client.
Là où la plupart des équipes se trompent
L'erreur la plus constante consiste à ne pas mesurer ni demander le MTTD des fournisseurs en tant qu'indicateur de risque de la chaîne d'approvisionnement. Les évaluations individuelles des fournisseurs confirment les capacités de détection. Le MTTD tiré d'incidents réels révèle combien de temps les attaquants ont opéré avant d'être détectés : le temps de présence empirique plutôt que la capacité de détection théorique.
- MTTD du fournisseur non demandé : capacité de détection confirmée sans temps de présence empirique
- Points d'entrée des quatrièmes parties non évalués : entrée de l'attaque deux sauts en amont dans la chaîne d'approvisionnement
- Temps de présence à travers les frontières organisationnelles non considéré comme indicateur de risque du portefeuille
- Instantanés d'évaluation acceptés sans tenir compte des changements opérationnels survenus depuis l'évaluation
- Aucune surveillance continue offrant une visibilité sur le temps de présence entre les évaluations
À quoi ressemblent les bonnes pratiques
Les programmes matures de gestion du temps de présence dans la chaîne d'approvisionnement demandent le MTTD réel tiré des registres d'incidents des fournisseurs, surveillent les notations de sécurité continues pour repérer les signaux d'une présence persistante d'un attaquant et tiennent compte des points d'entrée des quatrièmes parties dans l'analyse des risques de la chaîne d'approvisionnement.
- Demander le MTTD réel tiré de l'historique des incidents du fournisseur : empirique et non théorique
- Surveillance continue des notations de sécurité pour repérer les signes de présence d'un attaquant entre deux évaluations
- Évaluation des points d'entrée des quatrièmes parties : ce qui peut atteindre le fournisseur et par quel moyen
- Partage du renseignement sur les menaces entre organisations pour accélérer la détection des attaques à sauts multiples
- Temps de présence dans la chaîne d'approvisionnement comme indicateur de portefeuille : MTTD cumulé le long du chemin de la chaîne d'approvisionnement
Outils
Renseignement sur la chaîne d'approvisionnement : Interos, RiskRecon
Les plateformes de renseignement sur la chaîne d'approvisionnement surveillent la chaîne d'approvisionnement étendue, y compris les relations avec les quatrièmes parties, et repèrent les cas où les fournisseurs des fournisseurs subissent des événements de sécurité susceptibles de révéler une compromission pouvant se propager le long de la chaîne d'approvisionnement. Pour les professionnels de la TPRM, surveiller le renseignement sur la chaîne d'approvisionnement afin de repérer les événements touchant les quatrièmes parties fournit l'alerte précoce sur les attaques à sauts multiples que les évaluations individuelles des fournisseurs ne peuvent pas détecter.
Enjeux de gouvernance
Le défi de gouvernance posé par le temps de présence dans la chaîne d'approvisionnement est la limitation du périmètre d'évaluation. Les points d'entrée des quatrièmes parties se situent à deux sauts du client : ce sont les fournisseurs des fournisseurs, en dehors du périmètre d'évaluation direct du client et souvent en dehors du périmètre d'évaluation formel que le fournisseur applique à ses propres sous-traitants. La réponse de gouvernance consiste à combiner des outils de visibilité sur les quatrièmes parties, des demandes de MTTD aux fournisseurs et une surveillance continue capable de signaler la présence d'un attaquant sans nécessiter d'évaluation directe des quatrièmes parties.
- Demander le MTTD constaté lors d'incidents réels chez le fournisseur : temps de présence empirique
- Surveiller les événements de sécurité touchant les quatrièmes parties de la chaîne d'approvisionnement
- Demander les pratiques d'évaluation des sous-traitants du fournisseur
- Intégrer le risque lié aux quatrièmes parties dans l'évaluation de la sécurité de la chaîne d'approvisionnement
- Surveillance continue de la sécurité pour repérer tôt les signaux de présence d'un attaquant
Si vous êtes une petite équipe
Posez une seule question à vos trois fournisseurs les plus à risque : lors de vos incidents de sécurité des deux dernières années impliquant des données clients, quel a été le délai moyen de détection entre l'accès initial de l'attaquant et la découverte ? Ce MTTD empirique est l'indicateur unique le plus instructif sur le risque lié au temps de présence dans la chaîne d'approvisionnement, plus instructif que toute évaluation des capacités, car il décrit combien de temps les attaquants ont réellement opéré avant d'être détectés, et non combien de temps l'architecture de détection laisse supposer qu'ils auraient pu opérer.
- Demander aux fournisseurs leur MTTD empirique issu d'incidents réels impliquant des données clients
- Comparer le MTTD empirique au délai de détection théorique établi lors de l'évaluation des capacités
- Surveiller les notations de sécurité continues pour repérer les signaux de présence d'un attaquant
- Évaluer les points d'entrée des quatrièmes parties pour les relations les plus à risque avec des fournisseurs
Ce qu’il faut exiger
Demandez directement :
« Pour les incidents de sécurité survenus dans votre environnement au cours des deux dernières années, quel a été le délai moyen de détection, ou sa fourchette, entre l'accès initial et la découverte, et la détection est-elle venue principalement de la surveillance de votre propre SOC ou d'une notification externe ? »
Preuves attendues
- MTTD empirique issu d'incidents réels
- Source de la détection : SOC interne ou notification externe
- Temps de présence le plus long constaté lors d'incidents récents
- Tendance du temps de présence : en amélioration ou stable
Un fournisseur qui confirme une capacité de détection mature doit être invité à communiquer son MTTD empirique issu d'incidents réels. Le délai de détection théorique décrit l'architecture. Le MTTD empirique décrit la performance de cette architecture face à de véritables attaquants.
Comment le prouver
- Registres du MTTD empirique du fournisseur
- Surveillance des quatrièmes parties de la chaîne d'approvisionnement
- Surveillance continue de la sécurité pour repérer les signaux de présence d'un attaquant
- Indicateur de portefeuille du temps de présence dans la chaîne d'approvisionnement
À retenir
Quarante-huit jours à travers trois organisations. Le client a détecté l'attaque le quarante-huitième jour. L'attaque avait commencé le premier jour chez une entreprise d'intégration logicielle, une quatrième partie. La progression le long de la chaîne d'approvisionnement était achevée avant que le SOC du client ne génère la première alerte. La posture de sécurité individuelle de chaque organisation avait été jugée satisfaisante au moment de l'évaluation. Le temps de présence s'est accumulé dans les intervalles entre les évaluations, à travers les frontières organisationnelles et dans le retard de détection de trois équipes de sécurité indépendantes enquêtant sur la même attaque depuis des côtés différents. Le MTTD empirique tiré d'incidents réels est la description la plus honnête du risque lié au temps de présence chez un fournisseur. Demandez-le. La capacité de détection théorique décrit ce qui devrait se passer. Le MTTD empirique décrit ce qui s'est réellement passé.