Analyse de la CISA AA26-237A : attaques similaires, SOC divisés

Certains rapports de red team se lisent comme un film de casse écrit par un SIEM insomniaque. L’AA26-237A de la CISA est plus sobre et plus utile : deux organisations d’infrastructures critiques ont fait face à des techniques similaires, toutes deux ont fini entièrement compromises au niveau du domaine, et l’une d’elles n’a rien détecté, comme l’a résumé The Hacker News. C’est l’équivalent, pour les opérations de sécurité, d’un détecteur de fumée qui attend poliment une invitation dans l’agenda. La leçon n’est pas que les contrôles périmétriques sont inutiles ; c’est que l’ingénierie de détection et la préparation à la réponse décident si une compromission devient un incident ou une autopsie.

Ce qui s’est passé, selon la CISA

L’avis de la CISA, intitulé A Tale of Two SOCs: Insights From Two Red Team ..., présente le travail comme une évaluation de red team, et non comme une intrusion criminelle. C’est important, car l’objectif était la mesure : les organisations pouvaient-elles voir et réagir lorsque des systèmes de confiance cessaient de se comporter comme des systèmes de confiance. The Hacker News a résumé clairement le contraste central : la red team de la CISA a compromis deux organisations d’infrastructures critiques, et l’une n’a rien détecté. Security Affairs a également décrit ces évaluations comme ayant entièrement compromis deux organisations d’infrastructures critiques.

La compromission au niveau du domaine, c’est le moment où la musique passe du violon inquiétant à l’orgue de tribunal. En termes d’entreprise classiques, contrôler le domaine signifie contrôler les identités, et l’identité est la façon dont les environnements modernes décident qui peut toucher aux choses coûteuses et fragiles. Un pare-feu peut encore faire son travail pendant que des identifiants compromis passent tranquillement devant lui avec un badge autour du cou. C’est pourquoi cette étude de cas porte moins sur un point d’entrée ingénieux que sur la capacité des défenseurs à repérer la chaîne une fois qu’elle se met en mouvement.

Le rayon d’impact concernait l’identité et les opérations métier

CyberPress a présenté les mêmes conclusions de la CISA sous l’angle d’Active Directory et des systèmes métier critiques, ce qui donne un indice utile sur la raison pour laquelle une compromission de domaine est si impitoyable. Active Directory n’est pas seulement un annuaire ; c’est le plan de table du bureau, l’armoire à clés et la chaîne d’approbation des managers qui se font passer pour de l’infrastructure. Une fois cette couche contrôlée, la question passe de « qu’est-ce qui est accessible ? » à « qu’est-ce qui ne l’est pas ? »

Les équipes de sécurité devraient traiter la télémétrie d’identité comme un équipement de sécurité de production, et non comme des journaux que quelqu’un pourrait consulter après le déjeuner. Cyber Security News a aussi indiqué que les conclusions révélaient des lacunes dans les SOC et la sécurité cloud. Cette association est importante, car de nombreuses organisations répartissent désormais leurs signaux les plus importants entre des outils endpoint, des fournisseurs d’identité, des consoles cloud et de vieux systèmes sur site qui ont vu des choses qu’aucun serveur ne devrait avoir à voir. Si ces signaux ne se rejoignent pas dans un endroit où les détections sont écrites, testées et assumées, le SOC n’est pas aveugle parce qu’il manque de données. Il est aveugle parce que les données sont dispersées en petits tas de confettis de conformité.

Pourquoi des techniques similaires ont produit

des résultats différents La partie inconfortable du récit de la CISA, telle que reflétée par The Hacker News, est que des techniques similaires peuvent produire des résultats défensifs très différents. Le fait qu’une organisation n’ait rien détecté ne signifie pas que l’autre disposait de capteurs magiques bénis par un sorcier des achats. Cela renvoie au travail terne et héroïque de l’ingénierie de détection : décider quel comportement devrait être suspect, associer ce comportement à la télémétrie disponible, ajuster l’alerte et répéter ce qui se passe lorsqu’elle se déclenche.

Les acteurs de la menace adorent les failles ennuyeuses, parce que les failles ennuyeuses passent à l’échelle. Ils n’ont pas besoin d’un exploit cinématographique si un mauvais usage d’identifiants, des changements d’annuaire ou une activité sur le plan de contrôle cloud se fondent dans le décor. Un vrai programme de réponse suppose que la prévention perdra parfois une manche et pose vite la question suivante : quel signal nous indique que nous sommes en train de perdre cette manche. A Tale of Two SOCs de la CISA est en réalité une étude de caractère sur la préparation, où un défenseur avait un arc narratif et l’autre était apparemment encore dans le prologue.

Ce que cela signifie vraiment pour vous

La traduction pratique de l’avis de la CISA est simple : ne mesurez pas la sécurité uniquement à l’aune de la résistance de la porte d’entrée. Mesurez si votre équipe peut détecter les mouvements au niveau du domaine, les abus d’identité et les changements de contrôle cloud avant qu’un exercice ne devienne une histoire de compromission complète avec notes de bas de page. Si votre rapport de red team finit en PDF dans un dossier appelé final, félicitations, vous avez inventé un bel objet de rayonnage artisanal. Transformez chaque constat en élément de backlog de détection, avec un responsable, un cas de test et un exercice de réponse.

Pour les dirigeants, la leçon n’est pas d’acheter une nouvelle console qui clignote et de l’appeler stratégie. Demandez à votre équipe quels comportements tirés de l’AA26-237A déclencheraient une alerte aujourd’hui, qui recevrait cette alerte et quelle action cette personne entreprendrait en premier. Pour les praticiens, rejouez la leçon en plus petits morceaux : changements Active Directory, chemins d’accès privilégiés, visibilité cloud et passages de relais entre outils. La prochaine chose à surveiller est de savoir si les organisations d’infrastructures critiques utiliseront l’étude de cas de la CISA comme point de discussion en exercice de simulation ou comme mètre étalon pour déterminer si leur SOC peut entendre la vitre se briser.