# Sécurité des SI: saison 2 La cybersécurité au coeur de la stratégie de l'ESRI

Nicolas Eslous

► To cite this version:

Nicolas Eslous. Sécurité des SI: saison 2 La cybersécurité au coeur de la stratégie de l'ESRI. Collection numérique de l'AMUE, Agence de mutualisation des universités et établissements d'enseignement supérieur, 2024, 31, p10-13. hal-04627524

HAL Id: hal-04627524

https://hal.science/hal-04627524v1

Submitted on 27 Jun 2024

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution - ShareAlike 4.0 International License
la collection
numérique

de l'Agence de mutualisation
des universités et établissements
d'enseignement supérieur ou
de recherche et de support
à l'enseignement supérieur
ou à la recherche

<figure><img src="image_2.png" /></figure>

février
2024

Sécurité des SI : saison 2
La cybersécurité au cœur
de la stratégie de l'ESRI

<figure><img src="image_3.png" /></figure>

<figure><img src="image_4.png" /></figure>
<figure><img src="image_5.png" /></figure>

<figure><img src="image_6.png" /></figure>

enjeux
et stratégie

<figure><img src="image_7.png" /></figure>

auteur

**Nicolas Eslous**, Fonctionnaire
de Sécurité des Systèmes
d'Information (FSSI)
des ministères MESR-
MENJ-MSJOP.

<figure><img src="image_8.png" /></figure>

MINISTÈRES
ÉDUCATION
JEUNESSE
SPORTS
ENSEIGNEMENT
SUPÉRIEUR
RECHERCHE

Liberté
Égalité
Fraternité

# Retour sur une crise d'origine cyber : la crise « TORTILLA »

<figure><img src="image_9.png" /></figure>

De l'automne 2022 au début de l'année 2023, les secteurs de l'enseignement supérieur et de la recherche et, dans une moindre mesure, de l'éducation nationale et de la jeunesse, ont subi une vague massive de cyberattaques, qui a nécessité l'activation du dispositif ministériel de gestion de crise cyber, créé début 2022. Le déroulement de cette crise, baptisée « TORTILLA » sera restitué dans cet article.

1ère phase → des fuites massives « à bas bruit » de mots de passe d'étudiants

Début septembre 2022, le responsable de la sécurité des systèmes d'information (RSSI) de RENATER et le responsable du CERT-RENATER font part aux FSSI d'une menace d'un nouveau type, difficilement détectable au niveau des établissements et dont la diffusion semble amorcer une croissance importante.

Cette menace est constituée par des logiciels malveillants, appelés « information stealer » ou « stealer », dont la finalité a pour objet de dérober et exfiltrer les mots de passe et secrets stockés sur un ordinateur. Implantés dans des logiciels contrefaits (par ex. logiciels habituellement payant « crackés »), ils sont diffusés via les réseaux sociaux, des forums et même parfois via des liens publicitaires sur des moteurs recherche grand public. Cette menace mondiale et non spécifique au secteur.

<figure><img src="image_10.png" /></figure>

<figure><img src="image_11.png" /></figure>

## L'éclairage de Cybermalveillance.gouv.fr

De manière générale, les cybercriminels exploitent l'intérêt des internautes à obtenir des fichiers vidéo (films, séries), des logiciels piratés (« crackés ») ou encore des programmes permettant d'améliorer les performances dans les jeux vidéo, de l'ordinateur, etc.

## L'éclairage de Cybermalveillance.gouv.fr

## QU'EST-CE QU'UN STEALER ?

Les virus informatiques de type stealer sont spécialisés dans le vol d'identifiants (mots de passe...), de portefeuilles, de cryptomonnaies, de cookies de session et autres données stockées notamment dans les navigateurs Internet. Une fois exfiltrées, des données sont utilisées par les cybercriminels à des fins frauduleuses ou malveillantes.

<figure><img src="image_12.png" /></figure>

<footnote n="1">1 | La Cellule Opérationnelle de Crise Cyber (COCC) est adossée au centre ministériel de veille et d'alerte (CMVA) et participe au centre ministériel de crise (CMC), pilotés par le Service de Défense et de Sécurité et communs aux trois ministères.</footnote>

<footnote n="2">2 | CERT : Computer Emergency Response Team, qui peut se traduire en centre de détection et de réponse aux incidents de sécurité du numérique ou centre de cyberdéfense.</footnote>
Avec la rentrée universitaire 2022-2023, le retour des ordinateurs personnels des étudiants sur les réseaux universitaires permet de détecter début septembre quelques dizaines d'ordinateurs infectés, évoluant rapidement ensuite à une moyenne de 300 ordinateurs infectés par semaine, répartis dans l'ensemble des établissements. Le volume global sur le semestre s'établira à plus de 4200 signalisations.

Chaque situation était signalée aux RSSI d'établissement, néanmoins la remédiation de ces incidents présentait plusieurs difficultés :

→ Les ordinateurs des étudiants ne relevant pas des parcs gérés par les établissements (informatique personnelle), les RSSI et correspondants SSI dans les composantes devaient réussir à convaincre l'usager de faire analyser son ordinateur.

→ Lorsqu'un étudiant acceptait de confier son ordinateur personnel, les anti-virus disponibles détectaient rarement ce nouveau type de menace. Il restait difficile d'apporter la preuve à l'étudiants que son ordinateur était compromis.

o Seuls de moyens avancés, disponibles uniquement sur certains équipements réseaux de nouvelle génération ou au niveau du CERT-RENATER, permettaient de détecter la compromission.

→ La volumétrie des signalisations dépassait souvent les capacités d'assistance informatique, en particulier dans les grands pôles universitaires.

<figure><img src="image_13.png" /></figure>

## 2ème phase → l'exploitation par d'autres cybercriminels des mots de passe subtilisés

Ces dernières années, les groupes cybercriminels se sont organisés par spécialités. Certaines équipes sont dédiées au développement de logiciels malveillants (dont les « stealer »), puis s'appuient sur d'autres acteurs chargés de la diffusion en masse des logiciels corrompus. D'autres membres interviennent ensuite pour la revente des identifiants subtilisés.

Les groupes cybercriminels offensifs - ceux qui mènent les intrusions - disposent ainsi d'un véritable marché de comptes d'accès subtilisés prêts à l'emploi.

**Le 4 novembre 2022**, une première cyberattaque sur l'université A³ est signalée par un partenaire du Centre Opérationnel de la Sécurité des SI Ministériels (DNE/COSSIM). L'information est immédiatement partagée avec les FSSI, le CERT-RENATER et les RSSI de l'université. L'ANSSI est avisée.

→ L'attaque a pu être stoppée en début de phase de déploiement d'un rançongiciel, qui aurait pu détruire l'ensemble du SI de l'université.

→ Malgré tout, huit serveurs ont été chiffrés par le rançongiciel et l'annuaire électronique est compromis.

→ Face à l'importance de l'incident, l'université fait appel à un prestataire de réponse à incident de sécurité (PRIS)⁴ afin de disposer d'expertises spécialisées pour l'analyse de la situation et la remédiation après incident.

**Le 14 novembre 2022**, une seconde cyberattaque en cours est signalée par le partenaire du COSSIM touchant une université B. Les intrusions sont identifiées sur des serveurs web d'accès distant (un socle technologique nommée « Guacamole ») utilisés par les étudiants pour leurs TP et accès pédagogiques.

<figure><img src="image_14.png" /></figure>

3 | Les noms de établissements sont remplacés par un lettrage, sans lien avec le nom réel.

<figure><img src="image_15.png" /></figure>

4 | Il s'agit de prestataires spécialisés disposant d'une certification attribuée par l'ANSSI. La liste des prestataires de réponse à incident de sécurité numérique est disponible sur le site de l'ANSSI : https://cyber.gouv.fr/prestataires-de-reponse-aux-incidents-de-securite-pris

→ Les analyses menées par les RSSI permettent d'identifier et de partager au CERT-Renater et au COSSIM des premiers marqueurs techniques d'identification des attaquants. **Ce partage sera très important dans la suite des évènements.**

→ Ces marqueurs d'identification des attaquants sont placés en surveillance sur le réseau RENATER.

**Le 24 novembre 2022**, les marqueurs mis en surveillance par le CERT-RENATER permettent d'identifier une nouvelle intrusion en cours dans un autre serveur d'accès à distants d'une école d'ingénieur C.

→ Le mode opératoire d'attaque est le même que celui de l'université B et s'appuie à nouveau sur le socle technologique « Guacamole », ce qui inspirera plus tard le nom de la crise ;

→ L'école d'ingénieur C déconnecte le campus concerné et réalise les analyses et la remédiation de son SI ;
<figure><img src="image_16.png" /></figure>

<figure><img src="image_17.png" /></figure>

<figure><img src="image_18.png" /></figure>

Les 29 et 30 novembre 2022, toujours grâce aux éléments issus de l'université B, deux nouvelles intrusions sont détectées dans l'université D et une école d'ingénieur E qui mettent immédiatement leurs SI en arrêt et initient les opérations de remédiation, avec appui d'un prestataire de réponse à incident pour l'école d'ingénieur E.

Le lundi 5 décembre 2022, alors que pendant le week-end la presse a fait état de cyberattaques importantes sur une collectivité territoriale et un hôpital (hors secteur ESR), nous apprenons que l'IUT E a subi massivement un rançongiciel, qui a détruit la totalité du SI, mais aussi les sauvegardes. L'activité est totalement arrêtée et la reconstruction va nécessairement repartir d'un système d'information vide.

→ Du fait de l'indisponibilité des journaux techniques, il ne sera pas possible de réaliser une analyse détaillée de l'attaque.

→ Seule certitude, les traces au niveau du réseau RENATER montrent qu'il s'agit d'une cyberattaque différente des situations surveillées via les marqueurs techniques connus.

→ Il semble s'agir d'un autre groupe d'attaquants s'appuyant sur des chemins d'attaques différents.

Du fait du caractère systémique des cyberattaques et de l'impact majeur subi pour l'IUT F, le FSSI, en lien avec le Haut Fonctionnaire de Défense et de Sécurité, décide le 5 décembre 2022 de l'activation formelle de la Cellule Opérationnelle de Crise Cyber (COCC) qui mobilise 12 agents :

→ L'ensemble des acteurs SSI du Service Défense et de Sécurité (FSSI et FSSI adj.)

→ L'ensemble des membres du COSSIM (4 membres en 2022)

→ L'ensemble des membres du CERT-RENATER (4 membres en 2022)

→ Les FSSI ministériels de la DNE (2 membres)

L'objectif de la COCC est de coordonner le dispositif d'urgence cyber, d'analyser les situations et leurs évolutions possibles, d'élaborer des plans de réponse cyber et de produire des synthèses exécutives et opérationnelles pour le centre de veille et d'alerte ministériel (CMVA), le HFDS et les cabinets ministériels.

<figure><img src="image_19.png" /></figure>

Des situations d'urgences continuent à être détectées, puis signalées aux RSSI et à l'ANSSI :

→ Le 5 décembre :

intrusion détectée en phase initiale dans l'université G

→ Le 8 décembre : intrusion détectée en phase initiale dans l'IUT H

Le plan de réponse global est élaboré pendant la semaine et fait l'objet d'une communication urgente, avec mentions de limitation de rediffusion, vers l'ensemble des 420 RSSI titulaires et suppléants désignés dans l'enseignement supérieur et la recherche. Le plan de réponse comporte 16 mesures majeures pour la détection d'évènements et la protection à prendre en compte dans chaque établissement.

<figure><img src="image_20.png" /></figure>

Le samedi 10 décembre : une intrusion est détectée en phase initiale dans une école privée d'ingénieur L. Le déploiement du

<figure><img src="image_21.png" /></figure>

## L'éclairage du FSSI

Les FSSI, COSSIM et CERT-RENATER ont désormais la certitude qu'un même groupe d'attaquants mène une campagne de diffusion de rançongiciel sur des établissements français d'enseignement supérieur et de recherche. L'ANSSI est informé de chaque situation.

Les connaissances acquises de leur mode opératoire permettent désormais de mener une « chasse » et de prévenir les établissements ciblés dès la phase initiale d'intrusion.

Ces marqueurs techniques doivent être maintenus sous embargo, sinon les attaquants pourraient se rendre compte qu'ils sont repérés et feraient évoluer leur mode opératoire d'attaque, ce qui ne permettrait plus de les détecter.

Ces « chasses » et la veille renforcée cyber sont désormais menés aussi en heures non ouvrables et week-end par les deux centres de cyberdéfense (CERT-RENATER et DNE/COSSIM) en coordination permanente avec les FSSI via un forum « Tchap » sécurisé, défini dans la procédure de gestion de crise d'origine cyber.

rançongiciel était imminent mais, avec le week-end, aucun contact n'était joignable. Le DSI pourra finalement être contacté juste à temps pour déconnecter l'ensemble du SI.

Le 12 décembre : deux intrusions en phase initiale sont détectées dans l'université J et dans un rectorat d'académie K.

Les 13 et 14 décembre : deux intrusions détectées dans une école d'ingénieur L et dans un centre de recherche de l'EPST M.
<figure><img src="image_22.png" /></figure>

A l'approche des congés de noël, il est décidé en complément de mobiliser les gouvernances afin que les acteurs SI et SSI disposent de soutiens au plus haut niveau. Un message d'urgence SG/HFDS est transmis le 14 décembre à l'ensemble des dirigeants.

**Le 15 décembre :** des demandes de levées de doutes pour de possibles intrusions sont transmises par le CERT-RENATER vers **128 établissements distincts**. Les acteurs SI et SSI sont à pied d'œuvre pour mettre en œuvre les mesures de protection, avant les congés.

**Le 21 décembre :** trois intrusions sont détectées dans l'école d'ingénieur N, une filiale privée d'un EPST O et un laboratoire mixte de recherche P.

**Enfin, à partir du 22 décembre, des levées de doutes complémentaires seront réalisées mais plus aucune intrusion ne sera constatée.**

Lors d'un point de coordination avec l'ANSSI début janvier 2023, il nous sera confirmé qu'au moins deux groupes

distincts étaient en œuvre sur ces cyberattaques (et possiblement un troisième).

<figure><img src="image_23.png" /></figure>

**En l'absence de nouvelles situations au 13 janvier 2023, le FSSI établira la synthèse opérationnelle finale et proposera la clôture de la cellule de crise cyber « Tortilla », ce qui sera accepté par la Secrétaire Générale et HFDS des ministères.**

## L'éclairage conclusif du FSSI

Les mesures et le plan de réponse cyber ainsi que les communications vers les gouvernances et les acteurs de la sécurité des systèmes d'information ont permis une forte mobilisation de toute la communauté. Des impacts encore plus sévères et nombreux ont pu être évités.

Les partages des éléments techniques par les RSSI vers le CERT-RENATER et le COSSIM ont été très important pour être en mesure de détecter et anticiper les actions des cybercriminels.

Le déploiement des mesures de protection a rendu la progression des cyberattaquants de plus en plus difficile. Cela a probablement provoqué l'usure des attaquants, qui ont ensuite changé de cibles.

Cette hypothèse sera ensuite confirmée avec la survenance d'incidents similaires dans un autre pays européen en janvier 2023.

# Recommandations principales en lien avec cette crise :

## Pour les gouvernances :

→ S'assurer de la désignation effective d'au moins un Responsable de la Sécurité des Systèmes d'Information (RSSI), disposant des moyens nécessaires pour mener des actions sur l'ensemble du périmètre de l'établissement ;

→ Compléter autant que possible la désignation du RSSI titulaire par un à plusieurs RSSI suppléants, afin de contribuer à la continuité des missions de RSSI et d'être en mesure de suivre tous les périmètres et campus (dont les composantes et les laboratoires hébergés);

→ Élaborer une trajectoire de renforcement des moyens pour la sécurité du numérique en visant au moins un RSSI à temps plein et disposant d'un budget dédié aux projets de sécurité du numérique ;

→ Identifier les risques numériques principaux pour le périmètre et, en lien avec le RSSI et le DSI, lister les systèmes d'informations cruiaux à protéger et à garantir impérativement en cas d'incident cyber grave ;

→ Définir une organisation locale de crise cyber et s'entrainer par des exercices, en s'appuyant notamment sur les guides et kits de gestion de crise publiées par l'ANSSI.

## Pour les acteurs techniques (DSI, RSSI et responsables d'infrastructures numériques) :

→ Renforcer les cloisonnements des réseaux afin de séparer les zones à faible maitrise (usagers avec ordinateurs personnels ou personnels externes) et celles à plus forte confiance ;

→ Vérifier et actualiser les politiques d'attribution de comptes et de gestion de mots de passe, en particulier pour les services exposés sur Internet (accès distant, vpn, applications web) ;

→ Mener des vérifications régulières des services numériques exposés sur Internet, en s'appuyant par exemple sur le service SILENE de l'ANSSI et le service « Scan'ER » de RENATER ;

→ Réaliser un plan de sécurisation des annuaires électroniques principaux en s'appuyant sur le service Oradad/ADS de l'ANSSI en obtenant le score d'au moins 3 ;

→ Vérifier les politiques de sauvegarde en s'appuyant par exemple sur le guide « Sauvegarde des systèmes d'informations » de l'ANSSI et tester régulièrement les capacités à restaurer.
février
2024

<figure><img src="image_24.png" /></figure>

<figure><img src="image_25.png" /></figure>

<figure><img src="image_26.png" /></figure>

amue.fr

### prochain numéro

Le numéro d'avril 2024 sera consacré aux stratégies du numérique universitaire.

À suivre dans les prochains numéros: formes de mutualisation dans d'autres pays, Usages saison 6

<figure><img src="image_27.png" /></figure>

Ces sujets vous intéressent, vous avez une expérience, un point de vue à partager, vous avez une proposition de thème pour un prochain numéro: contactez l'équipe numérique de l'Amue qui est à votre écoute: numerique@amue.fr

2 rue Albert Einstein + 75013 Paris

Nos réseaux sociaux: @Amue_com

<figure><img src="image_28.png" /></figure>