Dans l’ombre, l’ANSSI diffuse ses indicateurs de compromission

Comme nous l’expliquions récemment, l’ANSSI ne publie quasiment plus aucun indicateur de compromission depuis maintenant deux ans. L'année dernière, une seule exception avec FIN 12 en septembre 2023. Il faut remonter à décembre 2021 pour retrouver un indicateur. En 2021, six indicateurs ont été mis en ligne, contre cinq en 2020, la première année des indicateurs.

• L’ANSSI ne publie quasiment plus d’indicateurs de compromission depuis deux ans

Lors de la conférence de presse sur le panorama des cybermenaces, et alors que la pression des attaquants se fait de plus en plus forte (notamment par des Russes), nous avons demandé à Vincent Strubel (directeur général de l’ANSSI) et Mathieu Feuillet (sous-directeur opérations) pourquoi les indicateurs étaient aux abonnés absents.

Ne pas dévoiler trop vite son jeu

« Quand on a des indicateurs de compromission, on a plusieurs façons de les partager. Soit on les publie, soit on les partage dans un certain nombre de cercles de diffusion, en France ou à l'international. On fait souvent le choix de ne pas les publier. À partir du moment où on les publie, on informe également l'attaquant des moyens de détection qu'on a face à lui ». Les responsables de l’ANSSI affirment au passage diffuser « énormément de choses » dans ces cercles, aussi bien en France qu’à l’international.

Pour l’ANSSI, il est donc plus efficace de diffuser les marqueurs de manière confidentielle, en passant par des éditeurs de cybersécurité ou d’antivirus par exemple. Cela permet ainsi de retarder « le moment où l'attaquant voit de quelle manière on arrive à le détecter ». Une fois informé, il peut en effet adapter son attaque pour passer sous les radars. Une version cyber du jeu du chat et de la souris.

Visibilité contre efficacité

Mais il y a « toujours un équilibre à trouver », ajoute Mathieu Feuillet. D’ailleurs, « on va sans doute dans l'avenir republier des éléments parce qu'on pense que ce sera pertinent. Cela permet à l'inverse d'aller beaucoup plus vite dans la diffusion des marqueurs », ajoute-t-il.

C’est donc une question de curseur entre rapidité et efficacité. Les cercles de diffusion « confidentiels » sont moins visibles, mais ils ont « une efficacité qui, dans certains cas, est meilleure que la publication sur le site Internet » de l’ANSSI. Il ne semble pas y avoir de règles, plutôt du cas par cas.

L’ANSSI « mise beaucoup sur les réseaux de CSIRT »

« On ne s’interdit pas pour autant d’en publier dans certains cas. On l’a fait sur APT28, sur FIN 12, sur LockBit en partenariat. Dans certains cas, on le fait. Dans d’autres, on diffuse plutôt via les CSIRT [Computer Security Incident Response Team, ndlr]. On mise beaucoup sur les réseaux de CSIRT au niveau national et au niveau européen comme un bon outil pour coordonner de la réponse avec des protocoles bien établis pour diffuser l'information de manière efficace », ajoute Vincent Strubel.

Les CSIRT peuvent être « privés, commerciaux, ou à compétence gouvernementale ou nationale comme le CERT-FR », rappelle l’ANSSI. Ainsi, ils « sont amenés à échanger continuellement des informations et des retours d’expérience entre partenaires de confiance ».

Le CERT-FR – qui vient de fêter ses 25 ans – « est le représentant de la France au CSIRTs Network, le réseau des CSIRT à périmètre national de l’Union européenne ». Toujours dans l’Hexagone, il existe aussi de nombreux CERT régionaux. « Ils traitent les demandes d’assistance des acteurs de taille intermédiaire (ex : PME, ETI, collectivités territoriales et associations) et les mettent en relation avec des partenaires de proximité », précise l’ANSSI.

• • 25 ans du CERT-FR : du « bug de l’an 2000 » au « Covid dans la figure »