L'ordonnance de la CISA qui exige la suppression des dispositifs de bord du réseau afin de soutenir

La United States Infrastructure and Cybersecurity Agency (CISA) a lancé une ordonnance obligatoire qui oblige les organismes fédéraux à identifier et à retirer de leurs réseaux les dispositifs frontaliers - tels que les routeurs, les pare-feu et les commutateurs - qui ne reçoivent plus de mises à jour de sécurité de leurs fabricants. Avec cette mesure, l'administration cherche à faire face au risque que, selon la CISA, facilite l'exploitation systématique par les acteurs avancés et laisse les systèmes critiques exposés aux vulnérabilités nouvellement découvertes.

Le problème fondamental est simple et urgent: Lorsqu'un ordinateur ou un logiciel entre dans son stade de « fin de support », il cesse de recevoir des correctifs. Cela fait de cette équipe une cible permanente pour les attaquants à la recherche de vulnérabilités non corrigées. La nouvelle directive, appelée Directive opérationnelle contraignante 26-02, exige des organismes fédéraux qu'ils agissent dans des délais précis : qu'ils inventent des dispositifs dans une liste de fin de support dans quelques mois, qu'ils suppriment immédiatement ceux pour lesquels des mises à jour sont disponibles et qu'ils terminent le remplacement de tous les équipements hors support dans un délai plus large. Vous pouvez lire le texte de la directive sur la page officielle de la CISA Voilà..

La norme divise les actions en phases: d'abord, une identification rapide et prioritaire des dispositifs vulnérables; puis, la désinstallation immédiate ou la mise à jour de l'équipement où le fabricant offre encore des correctifs; à moyen terme, le retrait du matériel qui était déjà hors de support avant la commande; et enfin, la mise en œuvre de processus continus pour découvrir et surveiller l'inventaire de l'infrastructure de bord. Parallèlement, la CISA encourage les exploitants de réseaux non fédéraux à mettre en oeuvre les mêmes recommandations en consultant une fiche d'information de l'équipe IC3 disponible ici.

Pourquoi se concentrer sur les dispositifs de bord ? Parce que ces appareils contrôlent le flux de trafic entre les réseaux internes et externes; un routeur ou un pare-feu vulnérable peut être la passerelle vers un réseau entier. En outre, ils sont souvent gérés de façon moins rigoureuse que les serveurs ou les postes de travail, sont installés dans des environnements hétérogènes et restent parfois sans révision. Cette combinaison en fait un vecteur attrayant pour les campagnes d'exploitation automatisée et pour les acteurs qui cherchent à s'approprier des atouts plus précieux au sein d'une organisation.

Le mandat est le résultat d'incidents et de tendances observés par la CISA elle-même et la communauté de la sécurité : exploitation étendue des dispositifs en fin de vie, attaques ciblées qui utilisent des vulnérabilités sans correctifs ou de faibles références, et l'existence de campagnes persistantes qui utilisent ces faiblesses pour introduire des ransomwares, des portes arrière ou des informations de vol. L'agence a publié des directives similaires ces dernières années; par exemple, en 2023, elle a publié un autre ordre de fermeture des interfaces de gestion exposées sur Internet - un problème connexe - et en parallèle lancé des programmes pilotes pour avertir les organisations des risques de ransomware sur leurs appareils réseau.

Que peuvent faire les organisations aujourd'hui, même si elles ne sont pas des organismes fédéraux? La première mesure est simple dans le concept mais nécessite du travail: savoir ce qui est connecté au réseau. La mise à jour et l'automatisation de l'inventaire de l'équipement et des versions de logiciels et de micrologiciels constituent la base de tout effort de sécurité. Il est ensuite recommandé de séparer le trafic, d'appliquer des contrôles d'accès stricts pour les interfaces de gestion, de surveiller la détection des intrusions et de s'appuyer sur des mesures compensatoires (listes blanches, inspection en colis profonds ou segmentation) tout en remplaçant l'équipement essentiel. La CISA et d'autres organismes offrent des guides et des fiches techniques comportant des mesures concrètes; la directive IC3 et la fiche d'information sont de bons points de départ et le cadre de cybersécurité du NIST peut aider à hiérarchiser les risques et les contrôles ( Cadre de cybersécurité NIST).

Toutefois, il existe une dimension pratique qui complique souvent la mise en œuvre : les coûts et la gestion du cycle de vie. Les organisations doivent faire face à des budgets limités, à des contrats de fournisseurs et à l'interopérabilité des systèmes existants. C'est pourquoi la CISA structure la directive avec des délais: elle permet de prioriser les actifs plus critiques et d'appliquer des solutions temporaires dans les moins urgentes, avec toujours l'obligation d'atteindre une infrastructure soutenue. Toutefois, l'agence souligne que le fait de ne plus avoir recours à l'équipement n'est plus une option acceptable en termes de risque.

Le message implicite pour le secteur privé et les administrateurs de TI est clair : même si l'ordre n'est obligatoire que pour certaines agences, personne ne devrait se fier à des appareils qui ne reçoivent pas de correctifs. Les défenseurs du réseau doivent supposer que les agresseurs cherchent déjà ces portes arrière et agissent en conséquence. Pour ceux qui veulent une couverture médiatique et une analyse thématique, les médias spécialisés ont suivi de près l'annonce; par exemple, vous pouvez trouver un rapport technique sur l'ordre et ses implications dans les médias de sécurité tels que BleepingComputer Voilà..

En fin de compte, cette directive est un appel à l'attention: la surface d'attaque n'est pas abstraite, elle est composée d'équipements physiques et virtuels avec des dates d'expiration. Identifier, corriger ou remplacer et maintenir des processus de découverte continue - c'est la façon de réduire les risques évitables -. Les organisations qui prennent ces mesures seront désormais mieux placées pour résister aux campagnes d'exploitation qui, selon la CISA, sont déjà déployées contre les dispositifs de bord dans le monde entier.