TIBER-EU : un framework clé dédié aux audits Red Team

Face à des cyberattaques de plus en plus sophistiquées, les entreprises doivent redoubler de vigilance.

Le secteur financier est particulièrement visé. Les conséquences d’une faille de sécurité peuvent être catastrophiques : pertes financières, atteinte à la réputation, fuite de données sensibles. Pour contrer ces menaces, des tests de sécurité réalistes sont indispensables.

Le framework TIBER-EU a été créé pour répondre à ce besoin. Il propose une méthodologie rigoureuse pour réaliser des audits Red Team basés sur des menaces réelles. Ces tests vont au-delà des simples tests d’intrusion. Ils simulent des attaques complexes pour évaluer la résilience des systèmes critiques.

Dans cet article, nous détaillons les principes et objectifs du framework TIBER-EU. Nous précisons également la méthodologie de tests TIBER ainsi que le déroulement d’une mission de ce type.

Guide complet sur TIBER-EU

Qu’est-ce que le framework TIBER-EU ?

Le TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) est un framework européen pour les tests Red Team. Il a été développé par la Banque Centrale Européenne (BCE) en 2018.

Son objectif : améliorer la sécurité des infrastructures financières critiques face aux cyberattaques les plus sophistiquées.

Pour ce faire, les tests TIBER-EU reposent sur des scénarios d’attaques réalistes. Ces scénarios sont élaborés à partir de Threat Intelligence (renseignements sur les menaces).

Ils imitent les tactiques, techniques et procédures (TTP) utilisées par de vrais cybercriminels ; afin de simuler des attaques crédibles contre les systèmes, les processus et les employés d’une organisation.

Par ailleurs, chaque test TIBER-EU est unique. Les scénarios sont adaptés aux risques spécifiques de l’entité testée. Cela permet d’évaluer de manière précise la capacité de l’organisation à détecter, contenir et répondre aux attaques.

Issu du règlement DORA (Digital Operational Resilience Act), TIBER-EU a été conçu pour être utilisé par les autorités financières nationales et européennes. De fait, les tests sont réalisés en coopération avec ces autorités. Cela garantit un niveau de rigueur et de contrôle élevé.

Objectifs des tests TIBER-EU

Le framework TIBER-EU vise à renforcer la résilience des entités face aux cyberattaques sophistiquées. Il propose des tests réalistes et ciblés pour évaluer tous les aspects de la sécurité d’une organisation cible (personnel, processus et technologies).

Ainsi, les principaux objectifs de TIBER-EU sont les suivants :

• Évaluer la résilience face aux menaces avancées : Les attaques simulées dans le cadre des tests TIBER-EU sont basées sur des techniques réellement utilisées par des cybercriminels. L’objectif est de mettre à l’épreuve les systèmes critiques en conditions réelles. Cela permet de mesurer la capacité d’une organisation à résister aux attaques complexes et persistantes.
• Identifier les vulnérabilités critiques : Les tests TIBER-EU ciblent les fonctions essentielles de l’entreprise. En simulant des attaques sur les systèmes, les processus et le personnel, ces tests révèlent les points faibles qui pourraient être exploités par des attaquants. Chaque faille identifiée est une opportunité d’amélioration.
• Améliorer la détection et la réponse : Un des objectifs clés des tests TIBER-EU est d’évaluer la capacité des équipes internes à détecter et à réagir aux attaques. Les scénarios simulés permettent de tester les systèmes de sécurité, les procédures de réponse et l’efficacité des équipes de sécurité. Cela aide à réduire le temps de réponse et à minimiser les dommages en cas d’attaque réelle.
• Favoriser une approche collaborative : Les tests TIBER-EU encouragent la collaboration entre les entités financières, les prestataires de sécurité et les autorités de régulation. Cette approche permet de partager les meilleures pratiques et d’harmoniser les standards de sécurité à travers l’Europe.
• Renforcer la confiance : En démontrant leur capacité à résister à des attaques avancées, les entreprises renforcent la confiance de leurs clients, partenaires et régulateurs. Un test réussi montre un engagement fort envers la sécurité et la résilience.

Méthodologie du framework TIBER-EU

Le framework TIBER-EU repose sur une méthodologie rigoureuse et détaillée pour assurer des tests Red Team réalistes et sécurisés.

Cette méthodologie se divise en trois grandes phases : la préparation, le test et la restitution. Chacune de ces phases est essentielle pour garantir le succès du test et renforcer la sécurité de l’entité évaluée.

Phase de préparation

La phase de préparation est cruciale pour définir le périmètre du test et s’assurer que toutes les parties prenantes sont alignées.

Elle comprend plusieurs étapes clés :

• Scoping (définition du périmètre) : Cette étape permet de définir précisément les fonctions critiques qui seront testées. Le périmètre inclut les systèmes informatiques, les processus internes et le personnel impliqué.
• Sélection des prestataires : Pour mener à bien un test TIBER-EU, il faut choisir deux types de prestataires spécialisés. D’un côté, le fournisseur de Threat Intelligence (TI) qui va collecter des informations sur les menaces et élaborer des scénarios d’attaque ; et de l’autre, le fournisseur de Red Team (RT) qui va exécuter les attaques simulées.
• Planification et gestion des risques : Une fois le périmètre et les prestataires choisis, une planification détaillée est établie. Des mesures de gestion des risques sont mises en place pour éviter les interruptions de service ou les incidents imprévus.

Phase de test : Threat Intelligence et Red Team

Cette phase est le cœur de la méthodologie TIBER-EU. Les attaques simulées sont menées sur les systèmes en production pour évaluer la sécurité réelle de l’organisation.

• Développement des scénarios : Les scénarios sont conçus à partir des informations collectées par le fournisseur de Threat Intelligence. Ils imitent les tactiques, techniques et procédures (TTP) utilisées par des attaquants réels.
• Exécution des attaques : La Red Team lance les attaques en suivant les scénarios établis. Les tests couvrent plusieurs vecteurs d’attaque : intrusions techniques (exploitation de vulnérabilités), ingénierie sociale (phishing, manipulation de personnel), compromission de processus internes, etc.
• Suivi et ajustements : Pendant le test, les scénarios peuvent être ajustés en fonction des résultats obtenus. La Red Team travaille en étroite collaboration avec le fournisseur de TI pour s’assurer de la pertinence des attaques.

La Phase de clôture et de restitution

Une fois le test terminé, une phase de restitution est organisée pour analyser les résultats et identifier les axes d’amélioration.

• Analyse des résultats : Les prestataires établissent un rapport détaillé des vulnérabilités exploitées, des faiblesses détectées et des réussites de l’organisation.
• Rapport final : Ce rapport comprend un résumé des attaques menées, une analyse des capacités de détection et de réponse et des recommandations concrètes pour renforcer la sécurité.
• Debriefing : Une réunion avec les parties prenantes permet de discuter des résultats, des leçons apprises et des actions à mettre en place. Cette étape favorise une amélioration continue de la sécurité.

Réaliser un audit TIBER avec Vaadata, entreprise spécialisée en sécurité offensive

La réussite d’un audit Red Team s’appuyant sur le framework TIBER-EU repose sur le choix de prestataires compétents et expérimentés. Vaadata, spécialisée en sécurité offensive, offre toutes les garanties nécessaires pour mener à bien ces tests.

Grâce à notre expertise, nous aidons des organisations de toutes tailles et de tous secteurs avec des simulations d’attaques sophistiquées, basées sur les TTP des cybercriminels.

La sécurité des informations est une priorité pour Vaadata. C’est pour cela que notre entreprise est certifiée ISO 27001 et ISO 27701. Nous disposons également de l’accréditation CREST, ce qui garantit que tous nos tests et processus respectent les règles de confidentialité les plus strictes en matière de protection des données de nos clients.

Chaque organisation étant unique, nous adaptons nos services et notre méthodologie aux besoins spécifiques de toute organisation.

Auteur : Amin TRAORÉ – CMO @Vaadata