août 28th, 2013

Mon entreprise est-elle truffée de wanabe Snowden ou de proto-Mannings en puissance ? Lorsque l’ennemi de l’intérieur est à la mode (intérieur de l’Etat ou intérieur d’un ensemble industriel), les vendeurs de solutions de protection chantent à l’unisson. Faut dire que le cas particulier, le storytelling, l’émotion de l’évènement à chaud, ça secoue un peu plus la fibre anxiogène que les froides statistiques. Et comme accessoirement ça fait vendre….

Chez Dell, on associe les employés frustrés et les cyber-activistes (pour peu, on écopait des terroristes). Attention, prévient le Enterprise Brand and Executive Threat Surveillance team, ces infidèles sont capables de conduire des attaques encore plus sophistiquées qu’un déni de service ! Tremblez patrons, fuyez DirCom. Si les conseils de prudence distillés tout au long de l’article sont bels et bons (cloisonnement du réseau et des services IP, listes de bannissement IP, proxy et autres outils anti-DdoS etc.), il peut également être intéressant de se demander s’il n’existe pas une raison qui légitimerait ces attaques … L’humain n’est pas une ressource, une ressource, ça ne réagit pas sous la pression. Un type de question ou de remarque malheureusement absentes dans ce papier de Dell Secureworks.

Certes, certains employés sont réellement indélicats. La preuve, explique Brian Krebs, celui-ci qui fit écrouler le réseau de son ex-employeur, la société Concepta (œuvrant dans le domaine de la sécurité des S.I.). Par le plus grand des hasards, Kevin Courtois, cet amoureux du Syn ACK, avait monté son propre cabinet de conseils en protection contre… les attaques en déni de service.

L’affaire prend une tournure radicalement différente lorsque les attaques affectent non plus seulement Concepta, mais également le fournisseur d’accès de Concepta, l’opérateur Xittel. La presse s’en émeut, la police enquête, mais Xittel espère des résultats plus rapides, et engage un expert, Robert Masse. Lequel parvient sous couverture à obtenir des aveux du prestataire de services DdoS. Courtois est arrêté, Krebs narre par le menu la foultitude d’erreurs par excès de confiance commises par le pirate : quelques « like » sur Facebook de l’intéressé à l’attention d’un spécialiste des attaques DdoS, une intrusion consciencieuse de l’ordinateur de son ex-patron et quelques gaffes techniques dignes d’un débutant.

Il y a à peu près une semaine, ce sont 4 ingénieurs I.T. de la banque Goldman Sachs qui ont été relevés de leurs fonctions. Non pas pour avoir hacké les machines de leur employeur, mais pour avoir déployé une mise à jour plus que malheureuse ayant semé la perturbation sur les outils destinés aux traders. Les indications erronées ont à leur tour provoqué des échanges d’actions à pertes, et bien, précise l’agence Reuters, que plus de 80 % des ordres passés aient pu être annulés, Goldman Sachs a tout de même essuyé quelques pertes. La faute aux employés du service informatique, mais en aucun cas aux outils de « fast trading » et au système spéculatif dans son ensemble …

D’ailleurs, cette histoire prouve à quel point le monde de la finance sait que le crime ne profite jamais aux petites gens, mais aux cadres supérieurs et aux patrons. Ceux qui ont coûté le plus cher au système sont des Kerviel, des Adoboli, des Rusnak… encouragés en ce sens par quelques tonitruands « non-dits » les poussant à des pratiques très profitables. La science du storytelling est une arme à double tranchant.

Parfois, le système dérape sans même qu’il y ait le moindre échange de valeur boursière. Le juge d’instruction de Manhattan a inculpé cette semaine trois personnes coupables d’avoir volé des bouts de programmes issus de logiciels de trading automatisé employés par l’entreprise Flow Traders US LLC. Les portions de code étaient tout simplement exfiltrées à grands renforts d’échanges mails, nous apprend le WSJ. Tout le paradoxe de ce forfait est qu’il ne vole pas directement les richesses de l’entreprise, mais une partie de l’outil qui permet de fabriquer des richesses elles-mêmes créées sans que l’entreprise ne dispose du moindre outil de production ou du plus petit stock de marchandise. Des employés qui agissent à l’encontre d’une entreprise qui remplace l’humain par des robots, ça ne rappelle rien à personne ? Des entreprises qui se sont depuis toutes faites (ou presque) écraser par des concurrents asiatiques …