Services du CSIRT : Différence entre versions

Version actuelle datée du 15 juillet 2019 à 16:37

Sommaire

1 CSIRT DOCAPOSTE

CSIRT DOCAPOSTE

(Computer Security Incident Response Team)
La mission du CSIRT au sein du C.O.S.C

Gestion du document

Date de la première version :	28/01/2018
Date de la dernière version :	04/06/2018
Version :	1.2
Source :	C.O.S.C : Centre Opérationnel de Sécurité et de Cyberdéfense

Missions du CSIRT DOCAPOST

De plus en plus fréquentes, les attaques informatiques (cyber-attaque) touchent aujourd’hui nombre de particuliers, entreprises et administrations. L’objectif est souvent d’obtenir des informations confidentielles dans le but de les exploiter voir de les revendre.

Pour faire face aux menaces liées à la cybercriminalité, Le Groupe DOCAPOST a créé sa propre entité de cyberdéfense basée sur un modèle dit « intégré à l’organisation » et qui a pour missions :

D’élaborer les stratégies de défense.
De prévenir de tout incident de sécurité ou menace par des actions de formation, prévention, d’information ou de détection.
De gérer tout incident de sécurité pour en réduire les dommages éventuels.

La Cellule Cyberdéfense s’inscrit dans la communauté des CSIRT (Computer Security Incident Response Team). Elle est en relation directe avec le CERT SLCC (Service de Lutte Contre la Cybercriminalité) du groupe La Poste ainsi qu’avec l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information).

Les services proactifs

Pour élaborer sa stratégie de défense et réduire les risques opérationnels, la Cellule Cyberdéfense met en œuvre et maintien les services suivants :

Veille technologique
Recherches et développements
Annonces des évolutions réglementaires liées à la sécurité.
Mise en place d’audits de sécurité technique sur 3 niveaux :
Scan de vulnérabilité automatique en surface
Scan de vulnérabilité en profondeur effectués par des analystes
Audit de sécurité technique (Configuration, Code) / Test d’intrusion technique (PenTest)
Analyse et maintien des moyens cryptographiques
Mise en œuvre des protocoles, processus, mécanismes et outils de détection/remédiation en cas d’incident de sécurité.
Configuration et maintenance de la sécurité.
Accompagnement des démarches basées sur la sécurité défensive.

Les services réactifs

En cas de cyber-menace ou d’incident de sécurité le CSIRT du groupe DOCAPOST à l’obligation de rendre les services suivants :

Alertes et avertissements
Analyses
Traitements
Appui à la réponse aux incidents de sécurité
Elaboration d’un plan de remédiation en cas d’attaque avérée.

Gestion des incidents

Le CERT La Poste, a en charge la centralisation des incidents de sécurité du Groupe DOCAPOST déclarés sur l'ensemble du Groupe La Poste et en provenance de l’extérieur puis de transférer l'incident au CSIRT DOCAPOST. La centralisation permet d'avoir une vue macroscopique sur le niveau de sécurité. Cela favorise une meilleure réactivité dans la mesure où un incident se réplique souvent à plusieurs endroits.

Tout correspondant interne peut faire appel à l’équipe du CSIRT en cas d’incident de sécurité. La capacité opérationnelle d’intervention se concrétise à travers :

Des expertises développées en interne
Des méthodologies internes
Des fiches de réaction rapide sur incident, envoyées immédiatement à tout acteur qui rencontre un incident particulier
Des outils d’analyse

Les responsables et correspondants sécurité internes de DOCAPOST peuvent s’appuyer sur le CSIRT DOCAPOST pour d=les actions suivantes :

Comprendre, contenir et remédier à une menace
Solliciter des organismes extérieurs
Coordonner des actions techniques et collaborer avec les entités juridiques

Les correspondants externes peuvent solliciter le CERT La Poste pour les actions suivantes :

Notification d'un incident
Solliciter une entraide particulière

Cybercriminalité

Les menaces susceptibles d’impacter les services du groupe DOCAPOST sur Internet sont diverses (phishing, escroquerie, cybersquatting, typosquatting, détournement de noms de domaine, etc.). Les techniques employées sont en évolution constante. Des services de surveillance sont mis en oeuvre pour identifier ces menaces.

Lorsqu'un contenu illicite est détecté, des processus de réactions permettent alors d'enclencher rapidement les actions correctives.

La veille Internet et cybercriminalité se décompose de la façon suivante :

Surveillance de nombreux canaux de communication, de sites ou de ressources pouvant amener à une *Atteinte au Groupe DOCAPOST
Enquête et investigation Internet
Suppression de contenu frauduleux
Suivi et analyse des problématiques de cybercriminalité

Vulnérabilités

Le CSIRT DOCAPOST est le point d'entrée central pour les vulnérabilités sur l'ensemble du Système d’Information du Groupe DOCAPOST. Les actions menées par le CSIRT dans le cadre de ce service sont les suivantes :

Collecter et agréger les vulnérabilités
Qualifier l’information et définir un niveau de sévérité
Alerter et assister les correspondants concernés par les vulnérabilités

Ce service permet à l’ensemble des correspondants du groupe de prendre connaissance des nouvelles vulnérabilités sur leur périmètre respectif pour déployer les correctifs de sécurité ou les mesures de contournement adéquates.

Veille technologique

Le CSIRT DOCAPOST met à disposition un service de veille technologique sur l’actualité sécurité à tous ses correspondants internes. Un bulletin quotidien est envoyé par courriel pointant les articles Internet les plus marquants de la journée.

Ce bulletin permet de diffuser de l’information pertinente sur les problématiques de sécurité et les enjeux pour les entreprises à tous les correspondants concernés dans l'entreprise.

@@ Ligne 4 : / Ligne 4 : @@
 [[fichier:DocapostCyberdefense.logo15.textlong.regular.png|150px]]
 | style="width: 70%; background-color: #EBECEC; text-align: center;"|
-==='''CSIRT DOCAPOST'''===
+==='''CSIRT DOCAPOSTE'''===
 (Computer Security Incident Response Team)<br>
 '''La mission du CSIRT au sein du C.O.S.C'''
@@ Ligne 26 : / Ligne 26 : @@
 Date de la dernière version :
 | style="width: 70%; background-color: white;"|
-/05/2018
+/06/2018
 |-
 | style="width: 30%; background-color: white; text-align: left;"|
 Version :
 | style="width: 70%; background-color: white;"|
-.1
+.2
 |-
 | style="width: 30%; background-color: white; text-align: left;"|
 Source :
 | style="width: 70%; background-color: white;"|
-COSC  :  Centre Opérationnel de Sécurité et de Cyberdéfense<br>
+C.O.S.C  :  Centre Opérationnel de Sécurité et de Cyberdéfense<br>
 |}
 ==== <center><div style="color:#FFFFFF; background-color: #046AAF">'''Missions du CSIRT DOCAPOST'''</div></center> ====
-<div style="color:#194466;>En pleine recrudescence, de nombreuses attaques ciblent les particuliers, les entreprises et les administrations. Elles visent à obtenir des informations afin de les exploiter ou de les revendre.
+<div style="color:#194466;>De plus en plus fréquentes, les attaques informatiques (cyber-attaque) touchent aujourd’hui nombre de particuliers, entreprises et administrations. L’objectif est souvent d’obtenir des informations confidentielles dans le but de les exploiter voir de les revendre.
-Pour s’en prémunir, Le Groupe DOCAPOST a créé sa propre entité dédiée à la Cybercriminalité basée sur un modèle intégré à l’organisation en collaboration avec le CERT La Poste et qui a pour missions :
-*D’élaborer les stratégies de défense pour le Groupe DOCAPOST ainsi que des services rendus
+Pour faire face aux menaces liées à la cybercriminalité, Le Groupe DOCAPOST a créé sa propre entité de cyberdéfense basée sur un modèle dit « intégré à l’organisation » et qui a pour missions :
-*De prévenir de tout incident de sécurité ou des menaces par des actions de formation, prévention, d’information ou de détection
+*D’élaborer les stratégies de défense.
-*De gérer tout incident de sécurité et d’en réduire les dommages qui en découlent
+*De prévenir de tout incident de sécurité ou menace par des actions de formation, prévention, d’information ou de détection.
+*De gérer tout incident de sécurité pour en réduire les dommages éventuels.
+La Cellule Cyberdéfense s’inscrit dans la communauté des CSIRT (Computer Security Incident Response Team). Elle est en relation directe avec le CERT SLCC (Service de Lutte Contre la Cybercriminalité) du groupe La Poste ainsi qu’avec l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information).
-==== <center><div style="color:#FFFFFF; background-color: #046AAF">'''Les Service proactifs'''</div></center> ====
-Afin d’élaborer la meilleur stratégie de défense et d’analyser tout risque opérationnel, le C.O.S.C (Centre Opérationnel de Sécurité et de Cyberdéfense) met en œuvre les services suivants :
+==== <center><div style="color:#FFFFFF; background-color: #046AAF">'''Les services proactifs'''</div></center> ====
+Pour élaborer sa stratégie de défense et réduire les risques opérationnels, la Cellule Cyberdéfense met en œuvre et maintien les services suivants :
 *Veille technologique
 *Recherches et développements
-*Annonces des évolutions des règlementations en vigueur liées à la sécurité
+*Annonces des évolutions réglementaires liées à la sécurité.
-*Implémentation des audits de sécurité technique sur 3 niveaux :
+*Mise en place d’audits de sécurité technique sur 3 niveaux :
-**Scan de vulnérabilité automatique de surface
+*Scan de vulnérabilité automatique en surface
-**Scan de vulnérabilité en profondeur évalué par des analystes
+*Scan de vulnérabilité en profondeur effectués par des analystes
-**Audit de sécurité technique (Configuration, Code) / Test d’intrusion technique (PenTest)
+*Audit de sécurité technique (Configuration, Code) / Test d’intrusion technique (PenTest)
 *Analyse et maintien des moyens cryptographiques
-*Mise en œuvre des protocoles, process, mécanismes et outils de détection et remédiation aux incidents de sécurité
+*Mise en œuvre des protocoles, processus, mécanismes et outils de détection/remédiation en cas d’incident de sécurité.
-*Configuration et maintenance de la sécurité
+*Configuration et maintenance de la sécurité.
-*Accompagnement de toutes démarches basées sur la sécurité défensive
+*Accompagnement des démarches basées sur la sécurité défensive.
-==== <center><div style="color:#FFFFFF; background-color: #046AAF">'''Les Services réactifs'''</div></center> ====
+==== <center><div style="color:#FFFFFF; background-color: #046AAF">'''Les services réactifs'''</div></center> ====
-Dans ses fonctions de CSIRT, le C.O.S.C a dans son obligation de rendre les services suivants liés à toutes cyber-menaces ou incidents de sécurité :
+En cas de cyber-menace ou d’incident de sécurité le CSIRT du groupe DOCAPOST à l’obligation de rendre les services suivants :
+*Alertes et avertissements
-*Alertes et avertissement
+*Analyses
-*Analyse
 *Traitements
 *Appui à la réponse aux incidents de sécurité
-*Élaboration et proposition de la stratégie défensive à mettre en œuvre lors d’une attaque avérée
+*Elaboration d’un plan de remédiation en cas d’attaque avérée.
 ==== <center><div style="color:#FFFFFF; background-color: #046AAF">'''Gestion des incidents'''</div></center> ====
-Le CERT La Poste se charge de centraliser les incidents de sécurité déclarés sur l'ensemble du Groupe La Poste et transfert l'incident au CSIRT DOCAPOST. La centralisation permet d'avoir une vue macroscopique sur le niveau de sécurité. Cela favorise une meilleure réactivité dans la mesure où un incident se réplique souvent à plusieurs endroits.
+Le CERT La Poste, a en charge la centralisation des incidents de sécurité du Groupe DOCAPOST déclarés sur l'ensemble du Groupe La Poste et en provenance de l’extérieur puis de transférer l'incident au CSIRT DOCAPOST. La centralisation permet d'avoir une vue macroscopique sur le niveau de sécurité. Cela favorise une meilleure réactivité dans la mesure où un incident se réplique souvent à plusieurs endroits.
 Tout correspondant interne peut faire appel à l’équipe du CSIRT en cas d’incident de sécurité.
@@ Ligne 112 : / Ligne 114 : @@
 ==== <center><div style="color:#FFFFFF; background-color: #046AAF">'''Vulnérabilités'''</div></center> ====
-Le CSIRT du Groupe DOCAPOST est le point d'entrée central pour les vulnérabilités sur l'ensemble du Système d’Information du Groupe DOCAPOST. Les actions menées par le CSIRT dans le cadre de ce service sont les suivantes :
+Le CSIRT DOCAPOST est le point d'entrée central pour les vulnérabilités sur l'ensemble du Système d’Information du Groupe DOCAPOST. Les actions menées par le CSIRT dans le cadre de ce service sont les suivantes :
 *Collecter et agréger les vulnérabilités