S’inspirer de l’épidémiologie pour lutter contre les cybermenaces

Le monde contem­po­rain s’est construit autour du numé­rique qui est désor­mais au cœur de l’activité des entre­prises, des asso­cia­tions et de l’État. Paral­lè­le­ment, cette nou­velle confi­gu­ra­tion a engen­dré la pro­li­fé­ra­tion d’acteurs mal­veillants. En tirant par­ti de cette nou­velle oppor­tu­ni­té, ils tentent d’atteindre des buts poli­tiques, finan­ciers ou même mafieux. L’un des enjeux les plus pré­gnants devient la mise en place de stra­té­gies de sécu­ri­té infor­ma­tique per­met­tant de se pro­té­ger de ces cybermenaces.

La réac­tion natu­relle face à une menace est sou­vent de fuir ou d’essayer de se pro­té­ger. Il s’agit d’un méca­nisme natu­rel qui vise à écar­ter une menace qui vient d’être détec­tée. Cette réac­tion per­met aux êtres vivants de sur­vivre face à leurs pré­da­teurs et à se pro­té­ger de leurs enne­mis. Pour autant, une stra­té­gie plus per­ti­nente dans la nature, comme pour tout sys­tème numé­rique, est plu­tôt d’anticiper les menaces afin de ne pas s’y expo­ser¹.

Dans le domaine de la cyber­sé­cu­ri­té, il est donc pré­co­ni­sé d’identifier les risques poten­tiels dans le cadre d’une démarche de pro­tec­tion. C’est ce que per­met la démarche d’analyse des risques EBIOS², pré­co­ni­sée par l’ANSSI. D’autre part, il faut s’appuyer sur des méca­nismes de détec­tion en temps réel tels que les méca­nismes de « Dyna­mic Fore­cas­ting »³.

Durant ces recherches⁴, les cher­cheurs se sont ins­pi­rés des méca­nismes épi­dé­mio­lo­giques afin d’identifier les virus infor­ma­tiques. Cette idée est très simi­laire au fait de confondre un cri­mi­nel avec ses empreintes digi­tales ou son ADN : le cyber­cri­mi­nel laisse, lui aus­si, des empreintes numériques.En effet, les virus infor­ma­tiques dis­posent d’une signa­ture-type qui per­met de les iden­ti­fier (exemples : MyDoom.A, Psyb0t, Tcher­no­byl, Confi­cker, Cryp­to­lo­cker…). C’est d’ailleurs très sou­vent le méca­nisme qu’utilisent les anti­vi­rus pour les détec­ter. Par exemple, depuis août 2016, un mal­ware nom­mé Mirai et spé­cia­li­sé sur les objets connec­tés évo­lue pour infec­ter des sys­tèmes infor­ma­tiques. Ce com­por­te­ment pour­rait faire pen­ser à celui d’un virus comme la COVID-19. 

Par ailleurs, notre objec­tif dépasse la simple iden­ti­fi­ca­tion d’un virus. Nous sou­hai­tons déter­mi­ner ses méca­nismes de pro­pa­ga­tion pour mieux pro­té­ger les sys­tèmes d’information inter­con­nec­tés. Les sys­tèmes d’information de l’État peuvent être par­ti­cu­liè­re­ment sou­mis à des inter­ac­tions avec les usa­gers, avec des par­te­naires éco­no­miques ain­si qu’avec d’autres admi­nis­tra­tions. Dès lors, un virus peut non seule­ment pro­ve­nir d’une attaque, mais éga­le­ment d’une pro­pa­ga­tion pro­ve­nant d’un par­te­naire infecté.

Le modèle SEIR (Sen­sible, Expo­sé, Infec­té et Réta­bli) est un outil épi­dé­mio­lo­gique bien éta­bli. Il est uti­li­sé dans la lutte contre les pan­dé­mies⁵, mais éga­le­ment dans le domaine de la cyber­sé­cu­ri­té⁶.

Adap­té à notre contexte, ce modèle per­met de caté­go­ri­ser les maté­riels infor­ma­tiques dans dif­fé­rents stades vis-à-vis de la conta­mi­na­tion par le virus étu­dié. Ain­si, un maté­riel est consi­dé­ré « sen­sible » s’il est vul­né­rable aux attaques, « expo­sé » s’il a été en contact avec le virus, « infec­té » s’il a été com­pro­mis et « réta­bli » s’il a été infec­té et a fait l’objet de mesure de remise en état lui confé­rant une immu­ni­té contre ce virus.

Ce modèle est éga­le­ment maî­tri­sé par les épi­dé­mio­lo­gistes depuis long­temps⁷. Dans le contexte des envi­ron­ne­ments numé­riques, il cor­res­pond à la situa­tion ou un éco­sys­tème atteint un niveau de pro­tec­tion suf­fi­sant lorsqu’il a été suf­fi­sam­ment expo­sé et pro­té­gé par des contre-mesures. Il acquiert alors une forme d’im­mu­ni­té qui contre­carre les cybe­rat­taques repo­sant sur le virus considéré.

Au cours de nos recherches, nous avons iden­ti­fié des limites des approches ini­tiales du modèle SEIR. Tout en offrant un cadre pré­cieux, il ne tient pas compte des com­plexi­tés telles que la varia­tion des vul­né­ra­bi­li­tés des sys­tèmes ou l’évolution des types d’at­taques. Par ailleurs, le modèle d’immunité col­lec­tive est concep­tuel­le­ment puis­sant, mais il manque d’une méthode concrète pour par­ve­nir à cette immu­ni­té. Et cela pré­sente des risques en cas d’infection mas­sive du système.

Ain­si, nous avons pro­po­sé un modèle SEIR mul­ti-niveau avec opti­mi­sa­tion des res­sources. Ce modèle raf­fi­né intègre deux aspects clés :

• Mul­ti-niveau : il tient compte des dif­fé­rents niveaux de matu­ri­té et de pro­tec­tion de la sécu­ri­té entre les dif­fé­rentes par­ties pre­nantes, telles que les gou­ver­ne­ments, les entre­prises pri­vées et les uti­li­sa­teurs individuels.
• Menaces dif­fé­ren­ciées : il dif­fé­ren­cie les cyber­me­naces en fonc­tion de leur pro­ba­bi­li­té et de leur impact potentiel.

Le modèle uti­lise des para­mètres tels que le taux de trans­mis­sion, la période de latence et le taux de récu­pé­ra­tion pour décrire la pro­pa­ga­tion des cybe­rat­taques à tra­vers dif­fé­rents sys­tèmes. Il sou­ligne l’im­por­tance de for­ti­fier la cyber­sé­cu­ri­té dans l’en­semble de l’é­co­sys­tème, car le maillon le plus faible repré­sente le plus grand risque.

Enfin, un avan­tage signi­fi­ca­tif de l’utilisation de ce type de modèle, pro­vient de la capa­ci­té à pré­dire, au moins à court terme, le com­por­te­ment du virus. D’une part, des seuils peuvent être déter­mi­nés et d’autre part, la réso­lu­tion d’équations dif­fé­ren­tielles per­mettent de pré­voir le com­por­te­ment et de déclen­cher des alertes ou des réponses auto­ma­ti­sés via des méca­nismes EDR (End­point Detec­tion and Res­ponse).

Un aspect fon­da­men­tal de cette nou­velle pro­po­si­tion consiste à mettre l’accent sur l’op­ti­mi­sa­tion des res­sources dans un contexte de moyens finan­ciers limi­tés. Ce modèle tient compte des bud­gets limi­tés alloués à la cyber­sé­cu­ri­té et concentre les efforts sur les risques majeurs. Cette approche per­met de mettre en place une stra­té­gie spé­ci­fique à chaque sys­tème, en se concen­trant sur la dimen­sion qui rédui­ra le plus pos­sible l’in­fec­tion glo­bale. L’op­ti­mi­sa­tion convexe, une méthode mathé­ma­tique très répan­due⁸ est recom­man­dée pour résoudre ce pro­blème d’al­lo­ca­tion des ressources.

Les pro­po­si­tions for­mu­lées semblent pro­met­teuses pour amé­lio­rer la sécu­ri­té des sys­tèmes infor­ma­tiques, en par­ti­cu­lier au sein de l’administration. Elles s’inspirent des méthodes épi­dé­mio­lo­gistes très adap­tées au sui­vi et à la lutte contre la pro­pa­ga­tion des virus. Des tra­vaux sont actuel­le­ment envi­sa­gés pour confron­ter ses pro­po­si­tions à la réa­li­té, les implé­men­ter dans des sys­tèmes opé­ra­tion­nels et conti­nuer à accroître la cyber­sé­cu­ri­té des sys­tèmes critiques.

Clause de non-res­pon­sa­bi­li­té : Le conte­nu de cet article n’engage que ses auteurs et n’a pas de por­tée autre que celle de l’information et de la recherche académique.