Les limites de la cyberattaque

Par Eric Rosenbach, Juliette Kayyem et Lara Mitra

La récente vague de cyberattaques très médiatisées par des groupes criminels organisés russes a contraint l’administration du président américain Joe Biden à faire face à une question difficile : comment les États-Unis devraient-ils réagir aux piratages non pas par des gouvernements étrangers hostiles mais par des acteurs criminels non étatiques ? En octobre dernier, des pirates informatiques russes ont ciblé plusieurs systèmes hospitaliers américains avec des ransomwares, perturbant l’accès aux dossiers médicaux électroniques et laissant certains fournisseurs reconstituer des protocoles médicaux de mémoire au milieu d’une pandémie mondiale. Sept mois plus tard, en mai 2021, des pirates ont fermé l’un des plus grands oléoducs des États-Unis, entraînant des pénuries sur la côte est et obligeant l’opérateur à payer une rançon de 4,4 millions de dollars pour rétablir le service.  

Ces attaques et d’autres du même genre sont un rappel qui donne à réfléchir que les infrastructures critiques américaines regorgent de vulnérabilités et que les criminels du monde entier sont plus que capables de les exploiter. Les attaques ont également suscité un nombre croissant d’appels à l’administration Biden non seulement pour renforcer les cyberdéfenses américaines, mais aussi pour passer à la cyberoffensive – pour “frapper Poutine avec une cyberattaque grave”, comme l’a dit le sénateur John Kennedy, républicain de Louisiane. . Mais alors que l’administration évalue ses options à la suite des récentes attaques, elle doit d’abord faire face à une question plus fondamentale : les États-Unis sont-ils en fait capables de lancer des cyberattaques offensives efficaces contre des criminels qui ne sont pas soutenus par un État ?

Le président Biden semble le penser. Lors de son récent sommet avec le président russe Vladimir Poutine, il a proféré une menace audacieuse, voire exagérée, en déclarant que les États-Unis disposaient d’une « capacité cybernétique importante » et en s’engageant à « répondre par la cybercriminalité » si des pirates informatiques russes tentaient de perturber l’infrastructure critique américaine.

Mais les États-Unis ont essayé et largement échoué à exécuter des cyberattaques offensives contre des acteurs non étatiques dans le passé. Dans la bataille contre l’État islamique (également connu sous le nom d’ISIS), il a lancé une cyber-campagne pour détruire l’infrastructure de communication du groupe terroriste, mais un certain nombre de défis importants, à savoir la collecte de renseignements, le développement de cyberarmes et l’approbation légale, ont entravé ces opérations et conduit à des résultats décevants. Depuis lors, les États-Unis ont fait peu de progrès pour relever ces défis, suggérant qu’ils auront du mal à lutter contre les cybercriminels. Pour renverser la vapeur sur les groupes criminels organisés en Russie et ailleurs, les États-Unis doivent améliorer leur capacité à collecter des renseignements sur les cybercriminels, investir dans la recherche et le développement nécessaires pour créer des cyberarmes efficaces et établir une base juridique solide pour les cyber-actions offensives.

RÉÉCRIRE LE CYBER-PLAYBOOK

La récente vague d’attaques de ransomware par des acteurs non étatiques a bouleversé la sagesse conventionnelle sur la nature de la cybermenace contre les États-Unis. Les experts américains en sécurité nationale se sont historiquement concentrés sur la préparation de scénarios de type Armageddon dans lesquels des gouvernements étrangers ciblent des infrastructures critiques et des réseaux cruciaux. Jusqu’à récemment, la cybercriminalité et d’autres activités malveillantes menées par des pirates informatiques indépendants étaient à peine enregistrées au plus haut niveau du gouvernement. En conséquence, l’appareil de sécurité nationale américain n’est actuellement pas câblé pour défendre l’infrastructure critique du pays contre les cyberattaques perpétrées par des groupes criminels organisés.

Le playbook habituel des États-Unis pour répondre aux cyberattaques parrainées par l’État n’est malheureusement pas très utile lorsqu’il est appliqué au crime organisé. Les réponses typiques aux cyberattaques parrainées par l’État, telles que nommer, humilier et inculper ou sanctionner les auteurs, ne dissuaderont pas les groupes criminels organisés russes de mener de futures attaques. Une cyber-action robuste et offensive contre les pirates potentiels peut sembler une alternative attrayante, mais comme l’a révélé la cyber-campagne contre ISIS, elle est difficile à exécuter.

En avril 2016, alors que les États-Unis intensifiaient leur campagne militaire contre l’Etat islamique, le secrétaire à la Défense Ash Carter a ordonné au Cyber ​​Command américain (CYBERCOM) de détruire les réseaux de communication utilisés par l’Etat islamique pour diffuser de la propagande, recruter de nouveaux partisans et planifier des attaques contre la patrie américaine. . Comme l’a dit de façon mémorable l’adjoint de Carter, Robert Work, les États-Unis ont commencé à « larguer des cyberbombes » sur le groupe terroriste.

La campagne a remporté quelques succès. Par exemple, l’opération Glowing Symphony, qui a supprimé la propagande pro-ISIS et semé des erreurs techniques dans toute l’infrastructure informatique de l’organisation, a été considérée comme une grande réussite offensive. Mais dans l’ensemble, la cyber-campagne contre l’Etat islamique n’a été que marginalement efficace, produisant des gains qui ont été lents à se matérialiser et à s’estomper rapidement. Les frappes de CYBERCOM feraient fermer les pages de propagande de l’Etat islamique, par exemple, uniquement pour que le même matériel réapparaisse ailleurs en ligne en quelques jours ou semaines.

Les défis persistants dans la collecte de renseignements, le développement d’armes et l’autorité légale pour les cyber-opérations ont fait obstacle à une cyber-action offensive efficace contre l’Etat islamique – et continuent de faire obstacle à une cyber-action efficace contre d’autres acteurs non étatiques aujourd’hui. La plupart des cyber-opérations offensives prennent des mois, voire des années, pour recueillir les renseignements requis : l’armée a besoin d’un accès à long terme aux réseaux des adversaires afin de savoir quoi cibler. Au cours de la campagne contre ISIS, toute la force de la communauté du renseignement américaine a été formée sur ISIS. Mais même alors, l’utilisation par le groupe terroriste d’applications de cryptage disponibles dans le commerce et de réseaux sans fil spécialisés a contrecarré de nombreux efforts de collecte de renseignements.

L’appareil de sécurité nationale américain n’est actuellement pas câblé pour défendre le pays contre les cyberattaques indépendantes.

Les groupes criminels organisés responsables des récentes attaques de ransomware aux États-Unis sont parmi les cibles les plus difficiles pour la collecte de renseignements. Ils sont composés de pirates informatiques extrêmement habiles à opérer dans le monde trouble du Dark Web, un recoin caché d’Internet où les utilisateurs bénéficient d’un anonymat presque total. Ces pirates informatiques sont disciplinés quant à leur sécurité opérationnelle, car ils savent que les agents de renseignement et d’application de la loi américains recherchent même les plus petites fissures dans leurs systèmes.

Si l’administration Biden décide de tenter des cyberattaques préventives contre ce type de pirates informatiques, le défi de la collecte de renseignements sera aggravé par la résistance de la communauté du renseignement, qui ne voudra pas renoncer à des renseignements potentiellement précieux au profit de cyberoffensives. Cette friction s’est avérée être un point de discorde majeur entre l’armée et la communauté du renseignement tout au long de la cyber-campagne contre-ISIS, la CIA affirmant faussement que les cyber-opérations américaines détruiraient de manière permanente les rapports de renseignement extrêmement précieux sur les réseaux ISIS.

Tout aussi intimidant que la collecte de renseignements est le défi de développer des cyberarmes pour cibler des réseaux spécifiques, un processus qui prend aussi souvent des mois. Les cyber-missions ne sont pas universelles et la plupart des cyber-armes doivent être conçues individuellement pour le réseau et les logiciels de la cible visée. Si les cyberarmes ne sont pas conçues sur mesure pour leurs cibles ou sont déployées à la hâte ou avec négligence, leur utilisation pourrait exposer des failles de cybersécurité mondiales et conduire à de nouvelles attaques de ransomware à grande échelle. Les États-Unis n’ont actuellement pas la capacité de développer des cyberarmes aussi rapidement ou aussi soigneusement qu’il le faudrait, un problème qui pourrait être résolu avec des ressources supplémentaires, mais probablement pas assez rapidement.

Le dernier obstacle aux cyber-opérations offensives contre des acteurs non étatiques est d’obtenir une justification légale. Au cours du processus de planification et d’approbation des opérations contre l’Etat islamique, par exemple, CYBERCOM a obtenu une approbation légale claire pour les cyber-missions en Afghanistan, en Irak et en Syrie parce que l’autorisation d’utilisation de la force militaire et le droit international sur le droit de légitime défense se chevauchaient, fournir une couverture juridique suffisante. Mais ISIS a pu déplacer ses opérations en ligne vers d’autres pays, y compris la Russie , où les États-Unis ne disposaient pas de l’infrastructure légale pour justifier les cyber-opérations contre ISIS. En conséquence, le groupe terroriste a pu poursuivre ses activités en ligne dans des pays où les mains de CYBERCOM étaient légalement liées.

Obtenir l’approbation légale d’opérations militaires offensives rendues publiques reste compliqué, en particulier dans le cas d’acteurs non étatiques tels que les groupes criminels organisés russes. Des arguments plus solides peuvent être avancés pour des opérations contre des gouvernements étrangers, en partie parce que le Congrès les a davantage soutenus à la suite de l’ ingérence de la Russie dans l’élection présidentielle américaine de 2016. Mais il existe une nette différence juridique entre les pirates informatiques travaillant pour le gouvernement russe et les groupes criminels opérant simplement à partir du territoire russe. Biden lui-même a noté qu’il ne semble y avoir “aucune preuve” que le gouvernement russe ait été impliqué dans l’une des récentes attaques de ransomware contre les États-Unis, ce qui signifie que toute justification légale des cyberoffensives contre Moscou serait au mieux ténue.

INFRACTION CRÉATIVE

Il existe cependant des signes encourageants indiquant que Washington souhaite que les faibles résultats obtenus dans la cyber-campagne contre ISIS appartiennent au passé. Bien que les trois principaux défis pour des cyberoffensives efficaces demeurent, les États-Unis ont considérablement amélioré leurs capacités de cyberguerre ces dernières années. Sous la direction du général Paul Nakasone, qui a été choisi pour diriger CYBERCOM par le président Donald Trump et est resté sous Biden, CYBERCOM a développé et exécuté avec succès des cyber-opérations offensives contre des organisations militaires et de renseignement en Iran et en Russie, par exemple. Et l’administration Biden a démontré sa volonté de soutenir la créationcyber-opérations, par exemple, autorisant le FBI à diriger une cyber-mission innovante pour détecter et désactiver les outils d’espionnage d’origine chinoise trouvés sur des milliers d’ordinateurs à travers les États-Unis.     

S’appuyant sur cet élan, l’administration Biden devrait prendre des mesures pour développer des options offensives meilleures, plus rapides et plus fiables pour cibler les cybercriminels non étatiques. Premièrement, la communauté du renseignement américaine doit intensifier sa collecte des renseignements requis sur les groupes de ransomwares russes et chinois en les désignant comme une priorité de premier plan. (Actuellement, l’évaluation annuelle des menaces du bureau du directeur du renseignement national n’inclut même pas le mot « ransomware ».) Deuxièmement, étant donné la nature évasive et obscure des groupes criminels organisés, le gouvernement américain doit concevoir des outils offensifs créatifs qui ciblent l’infrastructure cybercriminelle. sans toucher les civils. Et troisièmement, si les attaques de ransomware contre les infrastructures critiques se poursuivent,

Jusqu’à ce que le gouvernement américain fasse des progrès significatifs sur chacune de ces questions, les décideurs devront accepter que la cyber-option offensive n’est pas vraiment une option, après tout, et que les leçons de la cyberbataille contre ISIS n’ont pas été apprises

ERIC ROSENBACH est co-directeur du Belfer Center à la Harvard Kennedy School et ancien secrétaire adjoint américain à la Défense.

JULIETTE KAYYEM est maître de conférences Belfer en sécurité internationale et directrice de la faculté du Homeland Security Project à la Harvard Kennedy School.

LARA MITRA est membre du Belfer Center de la Harvard Kennedy School.