Global Security Mag : Vous venez de remporter le coup de cœur du public prix de l’innovation et le Prix de l’innovation organisés par les Assises de la Sécurité, pouvez-vous nous présenter votre entreprise ?

Emmanuel Gras : Alsid est une société créée le 15 juin 2016, précisément un an avant la finale du prix de l’innovation des Assises de la Sécurité. C’est donc une belle coïncidence, et une superbe façon de fêter le premier anniversaire de notre société. Avec Luc, nous avons décidé de nous lancer dans l’aventure entrepreneuriale pour aider les entreprises à se protéger des cyberattaques. Nous concevons une solution de cyber sécurité permettant aux décideurs d’identifier les risques qui pèsent sur leurs infrastructures Active Directory et de réagir efficacement en cas d’incident sur ces dernières.
Nous nous appuyons sur l’expérience que nous avons acquise lors de notre vie professionnelle antérieure, au centre opérationnel de l’ANSSI. Durant nos missions, nous avons eu de nombreuses occasions de lutter contre des groupes d’attaquants, et notamment d’analyser leur mode opératoire. Le point commun entre toutes ces attaques ? La plupart d’entre elles ciblent un composant central commun a ? toutes les entreprises : les infrastructures d’annuaire, dont l’implémentation la plus courante est Active Directory (AD), développé par Microsoft.
GS Mag : Comment fonctionne votre solution ?

Emmanuel Gras : Notre produit, Directory Security Compliance (DSC), est une solution SaaS clé en main permettant a ? des de ?cideurs de piloter en temps re ?el la sécurité des réseaux de leur entreprise. Gra ?ce a ? une interface moderne accessible sur tous types de périphériques, DSC permet une gestion rapide et efficace des problématiques de sécurité.

DSC propose de suivre l’évolution de la sécurité d’une ou plusieurs infrastructures AD grâce à un mécanisme de contrôle appelé "indicateurs d’exposition" (IOE). Ces indicateurs sont calculés automatiquement afin d’établir un niveau de sécurité présenté sous la forme d’un score. Ils sont le fruit de plusieurs années de recherche et sont mis à jour en fonction de l’évolution de la menace. De plus, ces IOE sont conçus pour prendre en considération la nature du système d’information supervise ?. Cette approche permet d’adapter le niveau de sécurité d’un client par rapport à son contexte d’exploitation.

Avec ses capacités d’analyse en temps réel, nous sommes en mesure de détecter instantanément l’apparition d’écarts de sécurité. Conscient que la détection ne corrige pas les problèmes de sécurité identifiés, DSC propose pour chaque vulnérabilité un plan d’action compréhensible et adapte ? au client. En particulier, le produit génère la liste exhaustive des éléments déviants et propose un plan d’action permettant de corriger rapidement les problèmes identifiés. La solution permet donc aux équipes sécurité et d’administration de maintenir un niveau de sécurité maximal des ressources les plus critiques.

Contrairement à un audit de sécurité dont l’exactitude des résultats se dégrade au fil du temps, DSC offre une vision consolidée et mis à jour en temps-réel de l’état de sécurité d’une infrastructure AD, facilitant ainsi son pilotage efficace.

GS Mag : Quels sont ses principaux atouts ?

Emmanuel Gras : DSC propose une approche moderne du déploiement logiciel. Sans agent, ni appliance physique, il permet d’offrir un service aux métiers sans engendrer de contraintes d’exploitation supplémentaire. De plus, notre solution ne crée aucun risque d’atteinte au bon fonctionnement d’une infrastructure AD : elle repose sur l’utilisation d’interfaces de programmation légitimes et ne nécessite aucun droit d’administration. Ainsi, il n’y a aucune adhérence entre le produit et l’infrastructure AD, facilitant ainsi les opérations de maintenance.

Grâce à des tableaux de bord précis, notre produit permet également d’abstraire la difficulté technique liée à la compréhension du modèle de sécurité d’AD et permet de justifier de l’efficacité des budgets engagés dans des projets de sécurisation. Un utilisateur non-spécialiste peut ainsi catégoriser le niveau de menace et effectuer des arbitrages avisés. Enfin, à l’opposé des standards du marché focalisés sur des approches de détection, nous adoptons une posture proactive permettant d’identifier les vulnérabilités avant qu’un attaquant ne puisse en profiter.

GS Mag : Qu’est-ce selon vous qui a convaincu le jury des Assises de la Sécurité de vous attribuer ces prix ?

Emmanuel Gras : Il est assez difficile de répondre à cette question, le mieux serait de leur poser la question !
Plus sérieusement, nous avons essayé de mettre en avant le positionnement un peu particulier de notre solution et notre société par rapport à ce qui se trouve habituellement sur le marché :
–  Une expertise pointue et prouvée en sécurité AD : nous avons publié plusieurs outils et articles sur le sujet, et voulons faire profiter nos clients de notre savoir et nos connaissances en les proposant dans un produit simple à utiliser.
–  Un déploiement non-intrusif, simple, rapide, et ne demandant pas de privilèges. Cela semble être une évidence, mais un produit de sécurité AD nécessitant les plus hauts droits d’administration pour fonctionner ne devrait pas exister en 2017. Tant Microsoft que l’ANSSI insistent fortement sur ce point.
–  Une approche proactive plutôt que réactive, afin d’essayer de prévenir de lourdes pertes financières en cas d’attaque sur les infrastructures de nos clients.
–  Une aide à la remédiation sous forme de recommandations contextualisée : plus que pointer les problèmes, nous voulons que nos clients progressent vite. Petite anecdote récente : chez un de nos clients, un architecte sécurité a commencé à implémenter les recommandations dès la prise en main de l’interface de DSC. Extrêmement rapide dans son action, il a pu améliorer fortement le niveau de sécurité de son infrastructure en moins d’une heure ! Ces évolutions rapides ne sont pas réservées aux petits périmètres, il s’agissait dans ce cas d’un groupe de plus de 40.000 employés.

GS Mag : Comment va évoluer votre offre pour l’année 2017/2018 ?

Emmanuel Gras : L’état de l’art en matière de sécurité évoluant constamment, notre produit se doit d’être une solution en constante amélioration. Ainsi, DSC est vendu sous la forme d’un abonnement annuel permettant au souscripteur de l’offre de bénéficier de l’amélioration continue des fonctionnalités du produit et des moyens de détecter les dernières techniques d’attaque contre Active Directory. Grâce à des sources de threat intelligence et à travers nos études de R&D, les chercheurs en sécurité d’Alsid continueront donc à modéliser et intégrer constamment de nouveaux scénarios d’attaque. A titre d’exemple, nous avons présenté une nouvelle méthodologie d’attaque sur AD à la conférence SSTIC, et auront même le privilège de l’exposer aux conférences Black Hat et DEFCON cet été. Une superbe opportunité de montrer le savoir-faire français outre-Atlantique !

GS Mag : Quelle sera votre stratégie commerciale pour cette année ?

Emmanuel Gras : L’enjeu principal d’Alsid pour l’année à venir sera l’élargissement de sa base de clientèle. Cela passera par la consolidation des relations avec ses clients historiques et l’acquisition de nouveaux clients grands compte en vente directe. Nous souhaitons consolider notre position sur le marché français, notre marché naturel, avant de nous tourner vers les marchés européens.

GS Mag : Quel est votre message aux RSSI ?

Emmanuel Gras : Il y a quelques temps, je plaidais pour que la sécurité AD soit mieux prise en compte par les RSSI, en tant que composant central d’authentification et d’autorisation. Remporter le prix de l’innovation des Assises de la Sécurité montre que cette prise de conscience a bel et bien lieu, c’est très encourageant !

J’ai envie de rajouter aujourd’hui que si la prise de conscience est la première étape, la suivante est l’action. Une fois que le risque pesant sur leur infrastructure AD est bien mesuré, beaucoup de RSSI se trouvent démunis ou découragés devant l’ampleur de la tâche ou la complexité apparente de mise en œuvre. Nous avons conçu DSC précisément pour les assister sur ce sujet : prioriser, analyser, guider. Certaines des infrastructures que nous supervisons avancent à pas de géants grâce à nos recommandations. En identifiant les actions « quick-win », il est tout à fait possible de progresser vite et à moindre coût grâce à des actions efficaces et bien ciblées. Il n’y a pas de situations désespérées si on sait comment s’atteler à la tâche.