Les indicateurs de compromission (IoC)

Enjeux

Finalité

On comprend aisément l’apport de valeur que constituent les indicateurs de compromission pour les autorités en charge de protéger les intérêts de la nation :

• sur le plan quantitatif :
  • ils permettent de mesurer l’ampleur de la menace en termes de volumétrie
  • ils montrent la répartition des secteurs géographiques les plus touchés
  • ils permettent d’identifier les pays d’origine en lien avec la menace
• sur le plan qualitatif :
  • ils permettent de décrire finement les modes opératoires
  • ils permettent d’attribuer une identification des bandes organisées derrières les exactions

Pour renforcer l’efficacité des indicateurs de compromission, les autorités se sont appuyées sur un standard technique générique pour décrire ces informations, ce qui leur permet :

• d’échanger ces informations au niveau d’instances internationales
• de permettre l’intégration de cette matière dans des outils techniques

Création des IoC

L’ANSSI met à disposition un l’outillage spécialisé permettant « la recherche, l’extraction et la mise à disposition des données forensiques » appelé DFIR ORC [2]. Lorsqu’un incident de sécurité apparaît au niveau du système d’information, cet outillage permet d’analyser la manière dont les systèmes utilisant la technologie Microsoft Windows auront été potentiellement compromis. En effet, dans son mode opératoire le plus fréquent, la menace cherche prioritairement à obtenir une élévation de privilèges pour permettre, par la suite, des déplacements latéraux à travers le système d’information. La gestion des privilèges étant le plus souvent centralisée et très imbriquée avec le système d’exploitation Windows, l’ANSSI, en toute bonne logique, a centré son expertise et sa capacité d’analyse sur ces environnements. De ce fait, pour faciliter le déploiement de l’outillage le plus rapidement, il est rappelé que l’outillage « a été entièrement conçu afin de fonctionner dans l’écosystème Microsoft Windows de façon décentralisée et à grande échelle ».
Dans la phase de préparation, une configuration spécifique de l’outil permet d’adapter les réglages par défaut au contexte local pour lequel une analyse est requise.

Une fois terminé, l’outillage fabrique un ensemble de fichiers contenant les résultats de l’analyse au format CSV.

Notons également que la collecte d’information par cet outillage est susceptible d’embarquer des données à caractère personnel. L’exploitation des résultats collectés doit bien prévoir de faire disparaître ces informations qui ne sont pas utiles dans le cadre d’opérations d’analyse forensique.