Pourquoi corriger les réseaux contre les cyberattaques est « très effrayant » à l’ère de l’IA

TAMPA — Ce modeste correctif logiciel est devenu un gros casse-tête et un problème opérationnel croissant pour les réseaux du Pentagone et de l’industrie de défense en raison de l’explosion des cyberattaques provoquées par l’intelligence artificielle, un sujet qui a dominé l’émission DODIIS de la Defense Intelligence Agency cette semaine.

Plusieurs intervenants ont souligné que les vulnérabilités sont découvertes et exploitées plus rapidement, que les fournisseurs publient des correctifs à un rythme sans précédent et que les réseaux gouvernementaux ne peuvent pas simplement être mis hors ligne à chaque fois qu’un logiciel doit être mis à jour.

Roger Greenwell, CIO de la Defense Information Systems Agency, a décrit un cycle qui impose une lourde charge aux responsables de l’application des correctifs.

« Ce qui m’empêche de dormir la nuit, c’est de reconnaître que nos adversaires utilisent ces capacités pour rechercher des vulnérabilités inhérentes à nos logiciels, aux logiciels industriels, aux logiciels courants », a-t-il déclaré. « La vitesse à laquelle nous devons être en mesure de mettre à jour les correctifs fait travailler très dur nos collaborateurs ces jours-ci.

« Tous ces fournisseurs examinent en profondeur leur code, découvrent des vulnérabilités et proposent des correctifs à un rythme que nous n’avons jamais vu auparavant », a déclaré Greenwell. « Comment vous assurez-vous que ces correctifs sont réellement appliqués à tout ? Comment prenez-vous soin de votre personnel qui travaille rapidement pour y parvenir en essayant de garder une longueur d’avance. »

Le problème est que l’installation de correctifs signifie souvent interrompre les systèmes prenant en charge le renseignement, les communications, le commandement et le contrôle, ainsi que d’autres missions qui ne peuvent pas facilement tolérer d’être hors ligne.

« Nous ne pouvons pas nous permettre de subir des temps d’arrêt », a déclaré Greenwell, ajoutant que la réponse dépend de plus en plus d’architectures résilientes et de produits industriels dotés de « la capacité d’effectuer des correctifs dynamiques, littéralement, à tout moment ».

Colin Hankey, directeur informatique du département d’État responsable de la communauté du renseignement, a déclaré que l’accélération du rythme modifie également les calculs des risques de cybersécurité.

« Nous sommes désormais confrontés à une intensité de correctifs et d’alertes de sécurité qui nous oblige à accepter un peu plus de risques que ce que nous étions prêts à accepter auparavant, car le moment n’est tout simplement pas là », a déclaré Hankey. « Nous n’avons pas la possibilité de nous asseoir et de déterminer exactement quel sera l’impact. C’est très effrayant, et il n’y a pas de réponse facile. »

Le choix se situe de plus en plus entre appliquer rapidement un correctif sans comprendre pleinement ses conséquences opérationnelles ou laisser une vulnérabilité connue exposée. Ou, comme le dit Hankey : « Quel risque acceptez-vous en ne appliquant pas de correctifs ? »

Il existe une autre complication : un correctif à lui seul peut ne pas résoudre le problème.

Edacheril « EP » Matthew, CIO de la Defense Intelligence Agency (DIA), a évoqué un cas dans lequel un outil de cybersécurité de la DIA a identifié une vulnérabilité Zero Day dans l’industrie et a alerté un fournisseur sans pilote. La société a publié un correctif plusieurs semaines plus tard, mais selon Matthew, une autre analyse a montré « que le correctif n’était ni valide, ni efficace », obligeant les responsables à revenir vers le fournisseur avant que la vulnérabilité ne soit finalement corrigée.

Elizabeth Durham-Ruiz, CIO adjointe du Commandement stratégique américain, a défini l’application de correctifs comme une exigence de base en matière de préparation. Au début du conflit russo-ukrainien, a-t-elle déclaré, les responsables « avaient du mal » à savoir si les systèmes pouvaient être interrompus en toute sécurité pour les mises à jour.

« L’idée initiale était que nous allions simplement arrêter d’appliquer des correctifs », a déclaré Durham-Ruiz. C’était intenable, a-t-elle ajouté, et ils ont finalement décidé de mettre en place une équipe entière chargée d’examiner chaque interruption de service autorisée.

Son analogie était la maintenance physique des armes : « Si vous n’effectuiez pas la maintenance de votre système d’armes, si vous ne faisiez pas la maintenance de votre avion ou de votre sous-marin, vous ne pourriez pas avoir confiance dans ce système à l’avenir. »

Pour James Grimsley, CIO adjoint et directeur exécutif du commandement, du contrôle, des communications et des cybersystèmes du US Transportation Command, le problème culturel sous-jacent est le mantra de longue date selon lequel certains systèmes opérationnels doivent rester disponibles en permanence et ne peuvent pas être arrêtés pour un correctif. Ce compromis devient de plus en plus difficile à défendre à mesure que les cybermenaces s’accélèrent.