CISA révèle des failles critiques dans les infrastructures essentielles via des simulation
Une équipe rouge de la CISA (Cybersecurity and Infrastructure Security Agency) a mené simultanément des simulations d'attaques sur deux organisations d'infrastructures critiques. Dans un cas, rien n'a été détecté ; dans l'autre, la brèche a été contenue en quelques minutes. Dans les deux scénarios, les attaquants ont obtenu un contrôle total du domaine, accédé à des systèmes sensibles et même fouillé les emails du SOC de la première victime — le tout sans alerte jusqu'au débriefing de la CISA.
Deux résultats opposés issus du même scénario
L'avis de la CISA AA26-237A détaille comment « Organisation A », une entité du secteur des services gouvernementaux et des infrastructures, a été compromise pendant des semaines sans déclencher le moindre signalement. Les attaquants ont exploité une application web utilisant encore des identifiants par défaut, envoyé des emails d'hameçonnage depuis une adresse interne, puis se sont déplacés vers quatre postes de travail. Ils ont ensuite exploité un modèle mal configuré de services de certificats Active Directory (ESC1) pour générer des certificats administrateur et se propager — y compris dans des environnements cloud — tandis que les analystes du SOC traquaient des milliers de fausses alertes.
De son côté, « Organisation B », du secteur de l'eau et des eaux usées, a repéré l'intrusion rapidement, isolé les systèmes et forcé l'équipe rouge à adopter une posture de brèche assumée. La différence ne résidait pas dans la compétence des attaquants, souligne la CISA, mais dans la discipline de détection et de réponse.
La surcharge d'alertes et des SOC cloisonnés ont scellé le sort de la première victime
Le rapport de la CISA met en lumière comment le SOC de l'Organisation A était submergé par le bruit : des alertes de haute gravité masquaient les vrais signes d'intrusion. Les analystes examinant les alertes SCCM n'ont pas pu identifier le propriétaire du système, ont écarté l'activité comme routinière et l'ont marquée comme fausse alerte — pendant que les attaquants observaient. Plusieurs SOC utilisant des outils EDR incompatibles et sans visibilité partagée ont aggravé le problème. Même lorsqu'une équipe repérait quelque chose, il n'existait ni processus d'escalade clair ni procédure écrite ; le personnel se contentait d'attendre, laissant les attaquants agir en toute liberté.
Pourquoi c'est important
Cet épisode rappelle que les outils de détection seuls ne suffisent pas à bloquer les intrusions : ce sont les personnes, les processus et la coordination qui font la différence. Les organisations aux SOC fragmentés, aux files d'attente d'alertes saturées et aux protocoles d'escalade faibles risquent de passer à côté de menaces réelles sous leurs yeux. Les conclusions de la CISA servent d'avertissement : investir dans l'ajustement des alertes, la visibilité inter-équipes et des playbooks de réponse aux incidents sans ambiguïté, ou risquer de devenir la prochaine Organisation A — ignorant tout jusqu'à ce qu'il soit trop tard.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.