Global Security Mag : Qu’allez-vous présenter à l’occasion des Assises de la Sécurité ?

Guillaume Masse : Nous allons présenter et montrer en action notre plateforme cloud Insight. La suite Rapid7 Insight permet aux équipes de sécurité et informatiques de travailler ensemble, et leur donne accès à la gestion des vulnérabilités, à la sécurité des applications cloud, à la détection et à la réponse aux incidents, à l’automatisation, etc.

Nous présenterons également les conclusions de notre rapport de recherche Under the Hoodie, qui en est maintenant à sa troisième édition. Ce rapport s’appuie sur les résultats d’une étude de 180 pentests effectués sur une période de neuf mois, et identifie les vulnérabilités les plus courantes au sein des organisations, en explorant les évaluations de réseaux internes et externes, les intrusions physiques, les techniques d’ingénierie sociale en personne et électroniques ainsi que la revue de code.

GS Mag : Quel sera le thème de votre conférence cette année ?

Guillaume Masse : Cette année nous organisons un atelier intitulé Under The Hoodie : retour sur les enseignements tirés d’une année de pentests et leurs applications dans nos solutions. Le contenu que nous présenterons a permis de découvrir les vulnérabilités les plus courantes au sein des organisations et de déterminer comment les hackers les utilisent pour compromettre les systèmes et les données. Au cours de la session, nous examinerons :
• Les principales conclusions du rapport, notamment les vulnérabilités et les erreurs de configuration les plus couramment exploitées
• Les méthodes mises en œuvre pour compromettre les cibles et accéder à de la donnée sensible
• Des suggestions sur comment utiliser les données du rapport pour détecter et prévenir efficacement les failles sur votre réseau.

GS Mag : Quelles sont les principales menaces que vous avez pu identifier en 2019 ?

Guillaume Masse : Notre recherche a révélé que les couches de transport faibles constituaient la vulnérabilité de réseau externe la plus répandue dans les organisations, constituant plus d’un cinquième de l’ensemble des vulnérabilités. Les couches de transport faibles, qui peuvent exposer des données telles que des mots de passe ou d’autres informations confidentielles en transit grâce aux normes de chiffrement anciennes ou inexistantes, sont plus courantes que les erreurs de configuration réseau (18%), les stratégies de mot de passe faibles (11%), les logiciels obsolètes (11%) et les correctifs de sécurité manquants (4%).

Dans l’ensemble, nous voyons des attaquants compromettre des comptes de messagerie professionnels individuels, souvent en raison de la réutilisation de mots de passe. Nous avons conclu lors d’une étude distincte que les organisations de tous les secteurs ont de graves problèmes de gestion des correctifs ou des versions de systèmes connectés à Internet. Le fait de garder ce type de progiciels obsolètes indispensables connectés à Internet peut poser un risque sérieux pour les organisations, quelque soit leur taille.

GS Mag : Quid des besoins des entreprises ?

Guillaume Masse : Prenez les mesures nécessaires pour que votre entreprise ne soit pas une cible facile. Assurez-vous que vous avez une visibilité complète sur votre réseau et que les principes fondamentaux sont en place : bon logiciel anti-virus (AV), pare-feu, gestion des vulnérabilités et des correctifs, etc. Il est également important de comprendre vos données, vos collaborateurs et vos processus. Identifiez où vous pourriez avoir des faiblesses. Nous recommandons également aux entreprises de mettre en place un programme robuste de détection des incidents et d’intervention et de le tester régulièrement.

GS Mag : De quelle manière votre stratégie est-elle amenée à évoluer pour adresser ces enjeux ?

Guillaume Masse : Rapid7 s’est donné pour mission d’aider les entreprises à réduire les risques dans l’ensemble de leur environnement connecté grâce à la visibilité, à l’analyse et à l’automatisation offertes par la plateforme cloud Insight. En tant que fournisseur de solutions de sécurité avec 20 ans d’expérience, Rapid7 a pris la décision en 2013 d’évoluer au-delà de nos solutions traditionnelles sur site comme Nexpose et Metasploit. Nous avons développé notre première offre de plateforme cloud, InsightIDR, une plateforme SIEM principalement basée sur les nouveaux principes de sécurité de l’UEBA et de l’EDR. Depuis lors, nous avons acquis d’autres technologies de pointe complémentaires : AppSpider, l’un des principaux outils de DAST ; Komand ; une solution SOAR et, plus récemment, tCell (RASP & WAF) et Netfort (DPI) - les combinant au sein de notre plateforme cloud intégrée Insight pour permettre à nos clients d’évaluer et de surveiller de manière centralisée un écosystème de plus en plus disparate, révélant, hiérarchisant et répondant rapidement et avec précision aux menaces .

GS Mag : La sécurité et la privacy « by design » sont devenues incontournables aujourd’hui. De quelle manière intégrez-vous ces principes au sein de votre entreprise et de votre offre ?

Guillaume Masse : Veiller à ce que toutes les données des clients ne soient utilisées que de manière conforme à leurs attentes est une responsabilité que nous prenons très au sérieux. Nous soutenons nos directives de confidentialité avec des couches de sécurité pour protéger vos données. Veuillez visiter rapid7.com/privacy-policy pour consulter notre politique de confidentialité.
Rapid7 a mis en place des politiques et des procédures pour sécuriser ses données et ses produits, de sorte que nous puissions continuer à fournir des solutions garantissant la sécurité de nos clients. Tous nos employés sont soumis à une vérification rigoureuse de leurs antécédents, tant financiers que criminels.
Rapid7 subit annuellement des audits SOC 2 Type II pour assurer l’efficacité des contrôles relatifs à la sécurité. En outre, la plate-forme cloud Insight est entièrement hébergée par AWS, conformément aux normes SOC 2, SOC 3, FedRAMP Partner Package, ISO 27001 : Déclaration d’applicabilité 2013 et à de nombreuses autres normes.
Nous subissons régulièrement des tests d’intrusion effectués par des fournisseurs externes pour tester nos contrôles de sécurité.
En outre, tous les fournisseurs tiers sont soumis à une évaluation formelle de la sécurité des fournisseurs par l’équipe de sécurité de l’information de Rapid7. Nous adoptons une approche fondée sur les risques pour les évaluations de sécurité des fournisseurs afin de nous assurer que tous les fournisseurs respectent nos normes de sécurité, de qualité et de confidentialité.

GS Mag : Quels sont vos conseils en la matière, et plus globalement pour limiter les risques ?

Guillaume Masse : Chaque organisation est différente, unique même. C’est pourquoi vous devez vous assurez-vous de bien comprendre les menaces qui pèsent sur vous, être sûr que vous êtes en mesure de surveiller et d’évaluer avec précision l’ensemble de vos actifs en ce qui concerne leur exposition et leur vulnérabilité face à ces menaces, puis être en mesure d’intervenir rapidement et de manière appropriée pour enquêter sur tout incident potentiel.
Faites également appel à un conseiller extérieur de confiance - un bon test d’intrusion mettra au défi vos hypothèses autant que vos moyens de défense.

GS Mag : Enfin, quel message souhaitez-vous faire passer aux RSSI ?

Guillaume Masse : Un des défis les plus difficiles pour les RSSI aujourd’hui est de communiquer et d’influencer la direction afin de financer des initiatives pouvant être totalement préventives et conçues pour se prémunir contre quelque chose qui n’a pas encore eu lieu. Nous pensons que si les RSSI fondent cette conversation sur le risque, il créera un langage commun qui résonnera avec leur management.
Le passage au cloud, associé à des processus de développement et de déploiement agiles, constitue également un défi pour les RSSI. Ce que les RSSI sont invités à faire n’a pas beaucoup changé, mais la façon dont ils doivent le faire a beaucoup évolué. Il est important qu’ils travaillent avec des fournisseurs qui comprennent le quoi, comment et qui est nécessaire pour obtenir des résultats en matière de sécurité, et que leurs solutions sont conçues pour répondre aux besoins et aux exigences du RSSI dans ce nouvel environnement hybride et cloud.