4 - La menace cyber en France et l'action de la DGSI pour la contrer

Description

Pour vous permettre de mieux comprendre l'état de la menace en France et comment la DGSI et ses partenaires s'organisent pour la contrer, nous avons réuni deux experts de la DGSI en matière de cyberdéfense.

(Sources médias : Euronews "Cyberattaques : face à une menace qui explose, la France présente sa riposte", France 24 : "Cyberattaques contre plusieurs ministères français : une enquête est ouverte").

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Speaker #0
Bonjour et bienvenue sur le podcast de la DGSI. Nous avons intitulé la menace cyber en France et l'action de la DGSI pour la contrer. Vous avez certainement entendu les médias relater des attaques informatiques au cours des mois passés.
Speaker #1
L'hôpital de Villefranche-sur-Saône il y a deux jours, celui de Dax la semaine dernière. Des systèmes informatiques paralysés dans l'attente du versement d'une rançon.
Speaker #2
Une cyberattaque massive. visant des infrastructures numériques de l'État en France. Plusieurs groupes de pirates informatiques ont revendiqué l'attaque, qui dit avoir bloqué 17 000 adresses IP et plus de 300 noms de domaines boussole d'Internet.
Speaker #0
Cette couverture médiatique montre que les institutions françaises, des services publics tels que des hôpitaux, des municipalités ou des musées plus récemment, ou des entreprises françaises font l'objet d'attaques numériques qui visent à les espionner, les affaiblir. quelquefois les rançonner ou encore à les décrédibiliser aux yeux des citoyens. Il s'agit là uniquement de la partie immergée de l'iceberg des attaques cyber. Car la démocratisation d'Internet à travers le monde depuis les années 2000, la multiplication d'objets connectés, peu sécurisés, vous en avez forcément chez vous, que ce soit dans un cadre professionnel ou personnel, l'interconnexion et surtout l'interdépendance des mondes physiques et virtuels, tout cela ouvre un nouvel espace des opérations cyber hostiles. Pour vous permettre de mieux comprendre l'état actuel de la menace en France et comment nos équipes au sein de la DGSI et ses partenaires s'organisent justement pour la contrer, nous avons réuni deux experts de la DGSI en matière de cyberdéfense. Avec leurs équipes, ils ont notamment pour mission d'identifier et d'analyser les menaces étatiques qui payent sur nos intérêts. Leur identité, vous le savez, est protégée par le secret de la défense nationale. C'est pourquoi nous les appellerons aujourd'hui Benoît et Christophe. Bonjour et merci d'accepter de lever un peu le voile sur vos activités. Avant d'entrer dans le détail des menaces cyber qui pèsent sur la France, pourriez-vous peut-être éclairer nos auditeurs sur les missions de la DGSI ? Elles sont souvent moins connues en matière cyber qu'en matière terreau ou en matière contre-espionnage. Donc peut-être que dans les grandes lignes, Benoît, pourriez-vous nous indiquer justement quelles sont vos missions ?
Speaker #3
Oui, bien sûr. Notre mission consiste en la lutte contre les menaces d'origine informatique, aussi bien ciblant les intérêts fondamentaux de la nation que les actes... acteurs relevant de la compétence de la DGSI. Focaliser sur ce qu'on appelle les modes opérateurs d'attaque dans toutes leurs composantes, les techniques, les tactiques, les procédures, les commanditaires et les intermédiaires entrant en jeu. Notre travail va se décliner selon 4 axes, 4 axes successifs. En premier lieu, la détection, c'est-à-dire l'identification de la survenance ou de la préparation d'une attaque. A partir de cette détection, nous allons chercher à caractériser cette attaque informatique, c'est-à-dire en comprendre son fonctionnement. et ses objectifs.
Speaker #0
Ça, c'est un terme qu'on utilise vraiment, qui est très spécifique, de caractérisation. En termes de renseignement, c'est quelque chose qui est à la clé et souvent la difficulté majeure, justement.
Speaker #3
Exactement. C'est là où le principal de notre travail se focalise et effectivement, c'est un terme qui fait le consensus au sein de la communauté. À partir d'une caractérisation, nous allons chercher à faire ce qu'on appelle une imputation, c'est-à-dire être en mesure de connaître l'identité de l'attaquant, voire le Graal, arriver à remonter jusqu'à ses commanditaires. Et puis, dernière étape, l'entrave. L'entrave qu'on va chercher à mener tant en anticipation qu'en réaction et qui peut être de plusieurs natures, généralement complémentaires, administratives, judiciaires ou encore diplomatiques.
Speaker #0
Alors, lorsque vous parlez d'entrave judiciaire ou entrave diplomatique, qu'est-ce que ça signifie ? Qu'est-ce que ça veut dire pour vous ?
Speaker #3
L'entrave judiciaire, ça peut consister à aller réquisitionner un hébergeur, par exemple, sur le territoire national et lui demander de couper ses serveurs puisqu'ils sont partie prenante. de l'infrastructure de l'attaquant pour couper court, mettre fin à une attaque. S'agissant de la réponse diplomatique, elle peut consister à la convocation de l'ambassadeur d'un pays pour lequel nous aurions détecté que l'attaque était issue ou encore faire une réaction politique à part ce qu'on appelle une attribution publique par le politique ou le diplomate pour exposer sur la place publique une attaque en provenance de tel acteur ou de tel pays. à viser les intérêts fondamentaux de la nation.
Speaker #0
C'est un peu ce qu'on appelle le name and shame, c'est ça ? Exactement. D'une certaine façon, pour les inciter à ne pas recommencer ou en tout cas à leur faire comprendre qu'on les a identifiés, qu'on sait qui ils sont et comment ils ont procédé.
Speaker #3
Exactement.
Speaker #0
C'est un système qui fonctionne bien ?
Speaker #3
Ça dépend des pays. Peut-être pour conclure, pour cette rapide introduction, il faut bien avoir en tête que nous orientons notre action tant sur les individus que sur les infrastructures techniques en jeu, individus qui peuvent évoluer de manière pérenne ou temporaire sur le territoire national.
Speaker #0
D'accord. Lorsque vous parlez d'infrastructure technique, vous pensez à quoi ?
Speaker #3
L'ensemble des serveurs qui peuvent avoir été loués ou... promis et qui servent à conduire, mener une attaque informatique.
Speaker #0
On en arrive justement un peu à ce cœur, à l'état de la menace, qu'on puisse comprendre ce qu'il se passe, parce qu'on l'a vu en introduction, on entend régulièrement dans les informations un certain nombre d'attaques, il y a de toute nature. Et qu'est-ce qui, pour vous, est un élément décisif ? Qu'est-ce qui fait qu'aujourd'hui, on peut dire qu'on est exposé à ce type de menace ? en France et à quel moment on peut se le dire ? Quels sont les indicateurs qui vont permettre de le quantifier peut-être ?
Speaker #4
Alors, bonjour tout d'abord. Il y a deux approches complémentaires. Déjà, effectivement, il y a l'approche technique qui nous permet d'avoir des capteurs, je dirais, particulièrement bien placés, comme Benoît vient de l'expliquer, dans les infrastructures attaquantes. Donc, d'être capable de déterminer... qu'il y ait une évolution dans l'intensité ou dans l'intention en tout cas de l'attaquant. Et puis il y a également la prise en compte, ce qui fait que c'est un continuum de renseignements, c'est-à-dire que le monde cyber et le monde réel, si je puis dire, ne sont pas séparés. Et c'est d'où tout l'intérêt d'être placé au sein de la DGSI, de pouvoir échanger avec nos autres collègues, parce que la menace va aussi s'intensifier en fonction des intérêts géopolitiques du moment. ou des grands événements. Donc par exemple, effectivement, quand on a les Jeux olympiques hébergés en France en 2024, on peut s'attendre à ce qu'il y ait une polarisation de ces acteurs adverses sur cet événement. Donc là, on va avoir un rehaussement de la menace.
Speaker #0
Quand vous parlez de géopolitique, vous pensez par exemple au conflit russo-ukrainien, vous pensez au conflit israélo-palestinien ?
Speaker #4
Complètement, c'est des événements qui vont avoir une répercussion. Alors, ils ont... Tout d'abord, une répercussion, on va dire, en termes de renseignements traditionnels, même si je n'aime pas trop opposer le traditionnel et le numérique, puisque, comme je disais, c'est une continuité. Mais effectivement, on va avoir une répercussion à ce niveau-là. Ce genre de conflits vont amener des États à se positionner à travers le... Parce qu'en fait, ce qu'il faut comprendre, c'est que ce qu'on appelle généralement les modes opératoires d'attaque...
Speaker #0
Les MOA, c'est ça ? Les MOA,
Speaker #4
tout à fait, qui souvent, en anglais, sont les APT. C'est un peu une traduction, comme Benoît l'a expliqué, les techniques tactiques et procédures. Ce sont des modes opératoires qui sont en grande partie reliés à... qui sont les bras armés numériques de services de renseignement adverses. Donc c'est à travers cette détection qu'on peut comprendre les intérêts. Et les intérêts, généralement, on les distingue en trois types. Il y a effectivement, je dirais, de manière assez traditionnelle, encore une fois, l'espionnage. Il y a ensuite tout ce qui est opération de déstabilisation et on parlait des Jeux Olympiques, ça peut être une excellente chambre d'écho puisque c'est un événement qui est extrêmement populaire pour mener des opérations de déstabilisation. Et on a aussi une zone un peu plus grise qui est le but lucratif où c'est beaucoup plus difficile de distinguer ce qui est vraiment à but lucratif de ce qui est à but de déstabilisation, la frontière entre les deux étant un petit peu ténue.
Speaker #0
Ce que vous entendez par but lucratif, c'est vraiment pour pouvoir avoir des rançons ? Ce sont ces approches-là dont vous parlez ?
Speaker #4
C'est tout à fait ça. Et comme je disais, les frontières sont un peu floues. Parce qu'effectivement, on a le phénomène des rançons judiciaires qui sont devenues vraiment une manière majeure, on va dire, de perturber les écosystèmes des services d'information. des systèmes d'information, pardon, que ce soit des entreprises ou des autorités locales ou les hôpitaux. Enfin, je dirais qu'il n'y a pas un secteur, que ce soit public comme privé, qui n'ait pas été touché par ce phénomène. Mais ça peut aussi permettre à des services qui veulent justement rentrer dans cette déstabilisation d'incapacité tel ou tel secteur. Et ça, c'est vrai que c'est plus difficile à déterminer parce qu'il y a une rançon qui est demandée, mais parfois elle n'est jamais collectée. où elle est demandée pour la forme, mais on comprend que le but initial, c'était plutôt de déstabiliser.
Speaker #0
Et du coup, par rapport à cela, vous travaillez avec différents acteurs aujourd'hui, parce qu'il y a pas mal de partenaires. Il y en a certains que certains de nos auditeurs connaissent. On parle de l'ANSI, mais il y en a certainement d'autres aussi. Comment ça se passe ? C'est un travail en coopération, en collaboration ? Il y a des champs spécifiques ?
Speaker #3
Tout d'abord, d'une part, on travaille de manière... extrêmement rapprochés avec d'autres entités de la DGSI, que sont par exemple le contre-espionnage et la sécurité économique. C'est une véritable force pour nous d'être au sein de la DGSI pour cela. Et par ailleurs, et je dirais peut-être même également surtout, nous travaillons au sein de l'écosystème national de cyberdéfense au travers de ce qu'on appelle le... Le Centre de coordination des crises cyber, le C4, il regroupe d'une part la DGSE, qui va être elle focalisée sur les infrastructures techniques des attaquants situés à l'étranger, l'ANSI, qui va analyser les systèmes d'information des victimes pour essayer de comprendre ce qui a pu se passer lors de l'attaque, le Comcyber des armées, qui est en quelque sorte le pendant de l'ANSI pour le ministère des armées, la DGA, la Direction Générale de l'Armement, pour son expertise technique transversale qu'elle apporte au sein du C4, Et... l'ADG ici, qui elle, va œuvrer à l'instar de l'ADG SE sur les infrastructures techniques des attaquants, mais elle, située, déployée sur le territoire national. Alors cette instance, je voudrais vraiment insister là-dessus, c'est une véritable force pour la France, de par la complémentarité des périmètres d'action, des moyens, des capteurs, que chacun des partenaires amène en quelque sorte au pot commun, et dont les résultats sont donc mis en commun afin de permettre une action véritablement efficiente à l'échelle nationale. Et puis, enfin, cyberdéfense obligeant, nous coopérons au quotidien avec nos homologues étrangers, extrêmement nombreux, et je dirais même de plus en plus nombreux, aussi bien pour simplement nous avertir mutuellement de campagnes d'attaques en cours ou à venir, mais également, et je devrais peut-être même dire surtout, afin de mener des investigations communes, pour faire des dossiers d'investigation visant à caractériser, imputer, et peut-être même entraver en commun, des campagnes d'attaques en cours ou à venir.
Speaker #0
On entend souvent un terme technique de remédiation. Est-ce que vous pourriez nous expliquer de quoi il s'agit et si la DGSI justement intervient dans ce champ ?
Speaker #3
Donc la remédiation, ça consiste en quelque sorte à remettre sur pied, à remettre en marche un système d'information qui aura été compromis. C'est une action qui, pour le coup, est complètement en dehors du C4 et même des prérogatives de la DGSI, qui est du ressort unique de l'ANSI, qui est chef de file en la matière pour tout ce qui touche à la remédiation.
Speaker #0
Alors, on a évoqué tout à l'heure les Jeux Olympiques qui viennent de se terminer. J'imagine que les attaques cyber ont fait partie de l'arsenal qui a été déployé par un certain nombre de pays opposants ou autres d'ailleurs. Vous avez évoqué, Benoît, justement du travail avec les différents acteurs et partenaires, notamment internationaux, étrangers. Qu'est-ce que vous pouvez nous dire aujourd'hui, justement, en termes de bilan sur le volet cyber des Jeux Olympiques et la façon dont on a pu travailler avec ces partenaires ?
Speaker #4
Alors déjà, pour le bilan, j'irais, si on va tout en bas de la ligne du bilan, je pense qu'on peut être assez positif parce qu'on n'a pas eu à souffrir d'une crise cyber majeure. Sur ce type d'événement, c'est effectivement quelque chose que l'on redoute et le redoutant s'y prépare. Donc je dirais que si on remonte tout en haut des lignes du bilan, on remonte à plusieurs mois, voire plusieurs années, parce que c'était un événement effectivement qui était majeur pour notre pays, sur lequel on a investi depuis longtemps.
Speaker #0
Ça veut dire que le résultat n'est pas le fruit du hasard ?
Speaker #4
Le résultat n'est pas le fruit du hasard. Après, il y a toujours une partie, quelque part, un peu de chance quand on se positionne sur des territoires aussi mouvants et aussi complexes. Mais effectivement, il y a eu en tout cas un effort considérable de fait depuis pas mal de temps. sur un prépositionnement sur ces infrastructures d'attaque, sur aussi comprendre ce que pouvaient être les objectifs stratégiques, si je puis dire, des adversaires, de manière à renforcer, et c'est là que le C4 prend toute son ampleur, parce que si nous, de manière très schématique, nous sommes beaucoup plus orientés sur la connaissance de la menace, ça n'aurait pas de sens si ce n'était pas partagé pour renforcer les lignes de défense. possible cible impactée. Et donc ça, c'est ce qui a été fait en amont des jeux. Ce qui fait qu'effectivement, sur la période des jeux, ça n'a tout de même pas été de tout repos, puisqu'on a eu quand même de l'activité suffisamment pour s'occuper très correctement. Ce qu'on a observé par rapport à cette menace qui pesait sur les jeux, c'est qu'encore une fois, on retombait sur, je dirais, nos grands classiques, à savoir une menace qui était plus versée vers l'espionnage et comprendre un peu et comprendre sur Tout ce qui, par exemple, va être anti-dopage, les secteurs un peu sensibles. On a une Meusnasse qui visait plutôt à déstabiliser, donc avec des préparations pour savoir sur quel ou quel aspect, on va dire, impacter les jeux. Et notamment, on a eu toute une discussion sur la qualité de l'eau de la Seine. Donc tout ça, ça n'est pas passé inaperçu des attaquants. Et puis...
Speaker #0
Qui aurait amplifié, du coup...
Speaker #4
Oui, alors ça, c'est effectivement une très bonne question, parce qu'en fait, la menace, je dirais, quand elle ne peut pas mettre dans le cœur de la cible, parce qu'effectivement, le cœur de la cible était très bien renforcé, elle va essayer, je dirais, en deuxième rideau, voire en troisième rideau. Donc, on peut attaquer des petites infrastructures et faire beaucoup de bruit autour. C'est un peu ce qu'on appelle l'amplification d'opération. C'est-à-dire qu'effectivement, on va avoir... Un mode hybride d'expression, c'est qu'on va faire une attaque qui, par exemple, une attaque en déni de service qui va durer que quelques heures.
Speaker #0
En déni de service, ça veut dire qu'on n'a plus accès au site internet, à l'usage de ses serveurs, etc. En fait,
Speaker #4
c'est saturer les serveurs d'une cible avec énormément de requêtes, de manière à ce que les requêtes légitimes ne puissent plus passer. Donc effectivement, pour l'utilisateur lambda, le service est down, comme on dit. Dans notre jargon, il est inaccessible pendant quelques temps. Et ça se contourne, je dirais maintenant, assez rapidement. On est de quelques minutes à quelques heures. Mais en revanche, c'est vrai qu'après, on peut se saisir de cet événement de sécurité sur les réseaux sociaux pour faire beaucoup de bruit autour. Donc on a connu ce genre d'opération pendant les Jeux.
Speaker #0
Est-ce que vous avez pu développer des expertises, des moyens techniques spécifiques ? liées justement aux enjeux des JO et qui vont vous servir dans la durée ? Ou est-ce que c'est quelque chose qui, à un instant T, s'arrête ? Christophe ?
Speaker #4
Alors, je disais qu'on va capitaliser parce qu'effectivement, on a beaucoup appris sur les jeux. Donc, on va capitaliser tout ce qu'on a appris. Comme je le disais, on a fait des efforts en amont. Et donc, l'idée, c'est aussi de continuer sur cette dynamique. On a cité tout à l'heure la coopération internationale et on tient vraiment à saluer l'apport que ça a permis, je dirais la contribution que ça a permis à la sécurité numérique des jeux. Toutes ces bonnes pratiques, on va les capitaliser et en faire des process. A la fois parce qu'on sait aussi qu'il y aura bientôt encore des jeux en France. Donc il ne s'agit pas de perdre l'expérience. Et puis toutes sortes d'événements, mais même en mode nominal, on en tire des enseignements.
Speaker #0
On entend souvent parler d'intelligence artificielle. Est-ce qu'il y a des choses que vous pouvez nous dire ou est-ce que ça reste de l'ordre du trait secret sur les moyens que vous pouvez utiliser pour contrer des attaques ou au contraire des moyens utilisés pour les attaques ?
Speaker #4
On peut plus facilement partager sur le deuxième point, parce que sur le premier, effectivement, ça reviendrait à un peu révéler nos capacités. C'est quelque chose qu'on fait avec une grande modération. Donc en revanche, sur le deuxième point, oui, et en réaction, si vous voulez, on a l'intelligence artificielle adverse, c'est-à-dire qui est mise au service des attaquants et on a d'ores et déjà des constatations. Par exemple, on parlait tout à l'heure des rançons logicielles. C'est vrai que quand un message, parce qu'en gros, un des vecteurs d'infection principale des rançons logicielles, c'était ce qu'on appelle le phishing, c'est-à-dire le mail non désiré sur lequel il y a un lien qui va compromettre la machine. Et bien, quand ce mail-là n'était pas pertinent ou mal rédigé dans la langue de celui qui réceptionnait ce message, ça ne passait pas. Avec l'intelligence artificielle, maintenant, on peut non seulement adresser des mails extrêmement pertinents au secteur d'activité, Merci. mais également extrêmement bien rédigé et avec des pièces jointes tout aussi crédibles. Et donc, ça va renforcer, je dirais, l'impact que peut avoir. Donc ça, c'est un exemple. On a aussi des cas où on sait que les attaquants eux-mêmes utilisent l'intelligence artificielle, par exemple, pour analyser du code, parce qu'il existe relativement peu de codes sans vulnérabilité. Et donc, l'intelligence artificielle va avoir ce pouvoir d'analyser ces lignes de code et de dire à l'attaquant, là, effectivement, il y a peut-être une faille à exploiter. Donc que ce soit utilisé par les adversaires, c'est déjà un fait avéré. Et donc c'est pour ça que nous, de l'autre côté, on s'organise aussi pour en tirer profit.
Speaker #0
Alors par rapport à tout ce que vous nous dites, je pense que certains auditeurs ne vont pas manquer de trouver un intérêt à rejoindre la DGSI ou connaître des personnes qui pourraient être intéressées justement à rejoindre vos équipes. Qu'est-ce que vous pourriez leur dire pour ceux qui... se posent la question, s'interrogent sur que vais-je faire à la DGSI si je suis un spécialiste cyber par exemple ?
Speaker #3
Ce qu'on peut dire c'est qu'on est en pleine croissance, on recrute énormément de talents, de profils variés, donc évidemment des techniciens, des ingénieurs, le domaine de la cyber défense l'induisant, mais également des profils issus de filières plus généralistes. On va recruter des profils de type géopolitique ou encore juridique. L'important étant d'avoir avant tout une impétence pour le monde du numérique et des nouvelles technologies. C'est le seul prérequis nécessaire pour nous rejoindre. On recherche évidemment des talents en sortie d'école, mais également des postes où nous avons des postes à pourvoir pour des profils plus expérimentés. qui seraient peut-être en quête d'un peu plus de sens dans leur métier que ce que peut leur offrir le secteur privé, ou encore désireux d'expérimenter des technologies uniquement réservées aux services de renseignement. Et en la matière, nous sommes plutôt bien dotés.
Speaker #0
Vous créez un peu de secrets autour de ça. J'imagine que vous n'aurez pas à en dire grand-chose. Non,
Speaker #3
c'est compliqué, mais ce que je dois quand même dire, c'est qu'on dispose de moyens conséquents. On dispose également d'un cadre juridique qui fait que le travail que nous exerçons au quotidien ne serait peut-être pas forcément autorisé au secteur privé. Et en ça, nos métiers sont assez extraordinaires. Et si vous me permettez, Nathalie, pour la fin de cet entretien, j'ajouterais également que nous recrutons un très grand nombre d'ingénieurs et de techniciens dans des domaines connexes mais néanmoins complémentaires à la cyberdéfense, que sont le forensic ou encore la recherche ou l'emploi opérationnel de vulnérabilité informatique. et qui, pour lesquels nous offrons là également un contexte de travail extrêmement extraordinaire, si je peux me permettre. Et si je ne peux malheureusement pas en dire plus dans le cadre de cette interview qui est non classifiée, je ne peux qu'inviter toutes celles et ceux qui voudraient nous rejoindre, ou en tout cas en savoir un peu plus pour voir s'ils pourraient correspondre à nos besoins et à leurs besoins et à leurs envies, de postuler sur nos offres d'emploi et de venir nous rencontrer, de venir discuter avec nous. nous pour éventuellement peut-être continuer un bout de chemin ensemble à l'avenir.
Speaker #0
Eh bien l'offre est ouverte, merci beaucoup, j'en profite pour indiquer du coup à nos auditeurs qu'ils peuvent aller sur le site, qu'il y a tout un espace lié au recrutement avec les modalités de candidature, que ce soit spontané ou pour répondre aux différentes offres d'emploi qui sont publiées, mais également sur des signalements, puisque nous avons un certain nombre d'adresses mail spécifiques liées aux signalements qu'ils peuvent également retrouver. Il me reste à vous remercier pour toutes ces explications. Et vous, chers auditeurs, à vous retrouver très prochainement pour un prochain podcast. A bientôt.
Speaker #4
Merci.

Description

Hébergé par Ausha. Visitez ausha.co/politique-de-confidentialite pour plus d'informations.

Transcription

Speaker #0
Bonjour et bienvenue sur le podcast de la DGSI. Nous avons intitulé la menace cyber en France et l'action de la DGSI pour la contrer. Vous avez certainement entendu les médias relater des attaques informatiques au cours des mois passés.
Speaker #1
L'hôpital de Villefranche-sur-Saône il y a deux jours, celui de Dax la semaine dernière. Des systèmes informatiques paralysés dans l'attente du versement d'une rançon.
Speaker #2
Une cyberattaque massive. visant des infrastructures numériques de l'État en France. Plusieurs groupes de pirates informatiques ont revendiqué l'attaque, qui dit avoir bloqué 17 000 adresses IP et plus de 300 noms de domaines boussole d'Internet.
Speaker #0
Cette couverture médiatique montre que les institutions françaises, des services publics tels que des hôpitaux, des municipalités ou des musées plus récemment, ou des entreprises françaises font l'objet d'attaques numériques qui visent à les espionner, les affaiblir. quelquefois les rançonner ou encore à les décrédibiliser aux yeux des citoyens. Il s'agit là uniquement de la partie immergée de l'iceberg des attaques cyber. Car la démocratisation d'Internet à travers le monde depuis les années 2000, la multiplication d'objets connectés, peu sécurisés, vous en avez forcément chez vous, que ce soit dans un cadre professionnel ou personnel, l'interconnexion et surtout l'interdépendance des mondes physiques et virtuels, tout cela ouvre un nouvel espace des opérations cyber hostiles. Pour vous permettre de mieux comprendre l'état actuel de la menace en France et comment nos équipes au sein de la DGSI et ses partenaires s'organisent justement pour la contrer, nous avons réuni deux experts de la DGSI en matière de cyberdéfense. Avec leurs équipes, ils ont notamment pour mission d'identifier et d'analyser les menaces étatiques qui payent sur nos intérêts. Leur identité, vous le savez, est protégée par le secret de la défense nationale. C'est pourquoi nous les appellerons aujourd'hui Benoît et Christophe. Bonjour et merci d'accepter de lever un peu le voile sur vos activités. Avant d'entrer dans le détail des menaces cyber qui pèsent sur la France, pourriez-vous peut-être éclairer nos auditeurs sur les missions de la DGSI ? Elles sont souvent moins connues en matière cyber qu'en matière terreau ou en matière contre-espionnage. Donc peut-être que dans les grandes lignes, Benoît, pourriez-vous nous indiquer justement quelles sont vos missions ?
Speaker #3
Oui, bien sûr. Notre mission consiste en la lutte contre les menaces d'origine informatique, aussi bien ciblant les intérêts fondamentaux de la nation que les actes... acteurs relevant de la compétence de la DGSI. Focaliser sur ce qu'on appelle les modes opérateurs d'attaque dans toutes leurs composantes, les techniques, les tactiques, les procédures, les commanditaires et les intermédiaires entrant en jeu. Notre travail va se décliner selon 4 axes, 4 axes successifs. En premier lieu, la détection, c'est-à-dire l'identification de la survenance ou de la préparation d'une attaque. A partir de cette détection, nous allons chercher à caractériser cette attaque informatique, c'est-à-dire en comprendre son fonctionnement. et ses objectifs.
Speaker #0
Ça, c'est un terme qu'on utilise vraiment, qui est très spécifique, de caractérisation. En termes de renseignement, c'est quelque chose qui est à la clé et souvent la difficulté majeure, justement.
Speaker #3
Exactement. C'est là où le principal de notre travail se focalise et effectivement, c'est un terme qui fait le consensus au sein de la communauté. À partir d'une caractérisation, nous allons chercher à faire ce qu'on appelle une imputation, c'est-à-dire être en mesure de connaître l'identité de l'attaquant, voire le Graal, arriver à remonter jusqu'à ses commanditaires. Et puis, dernière étape, l'entrave. L'entrave qu'on va chercher à mener tant en anticipation qu'en réaction et qui peut être de plusieurs natures, généralement complémentaires, administratives, judiciaires ou encore diplomatiques.
Speaker #0
Alors, lorsque vous parlez d'entrave judiciaire ou entrave diplomatique, qu'est-ce que ça signifie ? Qu'est-ce que ça veut dire pour vous ?
Speaker #3
L'entrave judiciaire, ça peut consister à aller réquisitionner un hébergeur, par exemple, sur le territoire national et lui demander de couper ses serveurs puisqu'ils sont partie prenante. de l'infrastructure de l'attaquant pour couper court, mettre fin à une attaque. S'agissant de la réponse diplomatique, elle peut consister à la convocation de l'ambassadeur d'un pays pour lequel nous aurions détecté que l'attaque était issue ou encore faire une réaction politique à part ce qu'on appelle une attribution publique par le politique ou le diplomate pour exposer sur la place publique une attaque en provenance de tel acteur ou de tel pays. à viser les intérêts fondamentaux de la nation.
Speaker #0
C'est un peu ce qu'on appelle le name and shame, c'est ça ? Exactement. D'une certaine façon, pour les inciter à ne pas recommencer ou en tout cas à leur faire comprendre qu'on les a identifiés, qu'on sait qui ils sont et comment ils ont procédé.
Speaker #3
Exactement.
Speaker #0
C'est un système qui fonctionne bien ?
Speaker #3
Ça dépend des pays. Peut-être pour conclure, pour cette rapide introduction, il faut bien avoir en tête que nous orientons notre action tant sur les individus que sur les infrastructures techniques en jeu, individus qui peuvent évoluer de manière pérenne ou temporaire sur le territoire national.
Speaker #0
D'accord. Lorsque vous parlez d'infrastructure technique, vous pensez à quoi ?
Speaker #3
L'ensemble des serveurs qui peuvent avoir été loués ou... promis et qui servent à conduire, mener une attaque informatique.
Speaker #0
On en arrive justement un peu à ce cœur, à l'état de la menace, qu'on puisse comprendre ce qu'il se passe, parce qu'on l'a vu en introduction, on entend régulièrement dans les informations un certain nombre d'attaques, il y a de toute nature. Et qu'est-ce qui, pour vous, est un élément décisif ? Qu'est-ce qui fait qu'aujourd'hui, on peut dire qu'on est exposé à ce type de menace ? en France et à quel moment on peut se le dire ? Quels sont les indicateurs qui vont permettre de le quantifier peut-être ?
Speaker #4
Alors, bonjour tout d'abord. Il y a deux approches complémentaires. Déjà, effectivement, il y a l'approche technique qui nous permet d'avoir des capteurs, je dirais, particulièrement bien placés, comme Benoît vient de l'expliquer, dans les infrastructures attaquantes. Donc, d'être capable de déterminer... qu'il y ait une évolution dans l'intensité ou dans l'intention en tout cas de l'attaquant. Et puis il y a également la prise en compte, ce qui fait que c'est un continuum de renseignements, c'est-à-dire que le monde cyber et le monde réel, si je puis dire, ne sont pas séparés. Et c'est d'où tout l'intérêt d'être placé au sein de la DGSI, de pouvoir échanger avec nos autres collègues, parce que la menace va aussi s'intensifier en fonction des intérêts géopolitiques du moment. ou des grands événements. Donc par exemple, effectivement, quand on a les Jeux olympiques hébergés en France en 2024, on peut s'attendre à ce qu'il y ait une polarisation de ces acteurs adverses sur cet événement. Donc là, on va avoir un rehaussement de la menace.
Speaker #0
Quand vous parlez de géopolitique, vous pensez par exemple au conflit russo-ukrainien, vous pensez au conflit israélo-palestinien ?
Speaker #4
Complètement, c'est des événements qui vont avoir une répercussion. Alors, ils ont... Tout d'abord, une répercussion, on va dire, en termes de renseignements traditionnels, même si je n'aime pas trop opposer le traditionnel et le numérique, puisque, comme je disais, c'est une continuité. Mais effectivement, on va avoir une répercussion à ce niveau-là. Ce genre de conflits vont amener des États à se positionner à travers le... Parce qu'en fait, ce qu'il faut comprendre, c'est que ce qu'on appelle généralement les modes opératoires d'attaque...
Speaker #0
Les MOA, c'est ça ? Les MOA,
Speaker #4
tout à fait, qui souvent, en anglais, sont les APT. C'est un peu une traduction, comme Benoît l'a expliqué, les techniques tactiques et procédures. Ce sont des modes opératoires qui sont en grande partie reliés à... qui sont les bras armés numériques de services de renseignement adverses. Donc c'est à travers cette détection qu'on peut comprendre les intérêts. Et les intérêts, généralement, on les distingue en trois types. Il y a effectivement, je dirais, de manière assez traditionnelle, encore une fois, l'espionnage. Il y a ensuite tout ce qui est opération de déstabilisation et on parlait des Jeux Olympiques, ça peut être une excellente chambre d'écho puisque c'est un événement qui est extrêmement populaire pour mener des opérations de déstabilisation. Et on a aussi une zone un peu plus grise qui est le but lucratif où c'est beaucoup plus difficile de distinguer ce qui est vraiment à but lucratif de ce qui est à but de déstabilisation, la frontière entre les deux étant un petit peu ténue.
Speaker #0
Ce que vous entendez par but lucratif, c'est vraiment pour pouvoir avoir des rançons ? Ce sont ces approches-là dont vous parlez ?
Speaker #4
C'est tout à fait ça. Et comme je disais, les frontières sont un peu floues. Parce qu'effectivement, on a le phénomène des rançons judiciaires qui sont devenues vraiment une manière majeure, on va dire, de perturber les écosystèmes des services d'information. des systèmes d'information, pardon, que ce soit des entreprises ou des autorités locales ou les hôpitaux. Enfin, je dirais qu'il n'y a pas un secteur, que ce soit public comme privé, qui n'ait pas été touché par ce phénomène. Mais ça peut aussi permettre à des services qui veulent justement rentrer dans cette déstabilisation d'incapacité tel ou tel secteur. Et ça, c'est vrai que c'est plus difficile à déterminer parce qu'il y a une rançon qui est demandée, mais parfois elle n'est jamais collectée. où elle est demandée pour la forme, mais on comprend que le but initial, c'était plutôt de déstabiliser.
Speaker #0
Et du coup, par rapport à cela, vous travaillez avec différents acteurs aujourd'hui, parce qu'il y a pas mal de partenaires. Il y en a certains que certains de nos auditeurs connaissent. On parle de l'ANSI, mais il y en a certainement d'autres aussi. Comment ça se passe ? C'est un travail en coopération, en collaboration ? Il y a des champs spécifiques ?
Speaker #3
Tout d'abord, d'une part, on travaille de manière... extrêmement rapprochés avec d'autres entités de la DGSI, que sont par exemple le contre-espionnage et la sécurité économique. C'est une véritable force pour nous d'être au sein de la DGSI pour cela. Et par ailleurs, et je dirais peut-être même également surtout, nous travaillons au sein de l'écosystème national de cyberdéfense au travers de ce qu'on appelle le... Le Centre de coordination des crises cyber, le C4, il regroupe d'une part la DGSE, qui va être elle focalisée sur les infrastructures techniques des attaquants situés à l'étranger, l'ANSI, qui va analyser les systèmes d'information des victimes pour essayer de comprendre ce qui a pu se passer lors de l'attaque, le Comcyber des armées, qui est en quelque sorte le pendant de l'ANSI pour le ministère des armées, la DGA, la Direction Générale de l'Armement, pour son expertise technique transversale qu'elle apporte au sein du C4, Et... l'ADG ici, qui elle, va œuvrer à l'instar de l'ADG SE sur les infrastructures techniques des attaquants, mais elle, située, déployée sur le territoire national. Alors cette instance, je voudrais vraiment insister là-dessus, c'est une véritable force pour la France, de par la complémentarité des périmètres d'action, des moyens, des capteurs, que chacun des partenaires amène en quelque sorte au pot commun, et dont les résultats sont donc mis en commun afin de permettre une action véritablement efficiente à l'échelle nationale. Et puis, enfin, cyberdéfense obligeant, nous coopérons au quotidien avec nos homologues étrangers, extrêmement nombreux, et je dirais même de plus en plus nombreux, aussi bien pour simplement nous avertir mutuellement de campagnes d'attaques en cours ou à venir, mais également, et je devrais peut-être même dire surtout, afin de mener des investigations communes, pour faire des dossiers d'investigation visant à caractériser, imputer, et peut-être même entraver en commun, des campagnes d'attaques en cours ou à venir.
Speaker #0
On entend souvent un terme technique de remédiation. Est-ce que vous pourriez nous expliquer de quoi il s'agit et si la DGSI justement intervient dans ce champ ?
Speaker #3
Donc la remédiation, ça consiste en quelque sorte à remettre sur pied, à remettre en marche un système d'information qui aura été compromis. C'est une action qui, pour le coup, est complètement en dehors du C4 et même des prérogatives de la DGSI, qui est du ressort unique de l'ANSI, qui est chef de file en la matière pour tout ce qui touche à la remédiation.
Speaker #0
Alors, on a évoqué tout à l'heure les Jeux Olympiques qui viennent de se terminer. J'imagine que les attaques cyber ont fait partie de l'arsenal qui a été déployé par un certain nombre de pays opposants ou autres d'ailleurs. Vous avez évoqué, Benoît, justement du travail avec les différents acteurs et partenaires, notamment internationaux, étrangers. Qu'est-ce que vous pouvez nous dire aujourd'hui, justement, en termes de bilan sur le volet cyber des Jeux Olympiques et la façon dont on a pu travailler avec ces partenaires ?
Speaker #4
Alors déjà, pour le bilan, j'irais, si on va tout en bas de la ligne du bilan, je pense qu'on peut être assez positif parce qu'on n'a pas eu à souffrir d'une crise cyber majeure. Sur ce type d'événement, c'est effectivement quelque chose que l'on redoute et le redoutant s'y prépare. Donc je dirais que si on remonte tout en haut des lignes du bilan, on remonte à plusieurs mois, voire plusieurs années, parce que c'était un événement effectivement qui était majeur pour notre pays, sur lequel on a investi depuis longtemps.
Speaker #0
Ça veut dire que le résultat n'est pas le fruit du hasard ?
Speaker #4
Le résultat n'est pas le fruit du hasard. Après, il y a toujours une partie, quelque part, un peu de chance quand on se positionne sur des territoires aussi mouvants et aussi complexes. Mais effectivement, il y a eu en tout cas un effort considérable de fait depuis pas mal de temps. sur un prépositionnement sur ces infrastructures d'attaque, sur aussi comprendre ce que pouvaient être les objectifs stratégiques, si je puis dire, des adversaires, de manière à renforcer, et c'est là que le C4 prend toute son ampleur, parce que si nous, de manière très schématique, nous sommes beaucoup plus orientés sur la connaissance de la menace, ça n'aurait pas de sens si ce n'était pas partagé pour renforcer les lignes de défense. possible cible impactée. Et donc ça, c'est ce qui a été fait en amont des jeux. Ce qui fait qu'effectivement, sur la période des jeux, ça n'a tout de même pas été de tout repos, puisqu'on a eu quand même de l'activité suffisamment pour s'occuper très correctement. Ce qu'on a observé par rapport à cette menace qui pesait sur les jeux, c'est qu'encore une fois, on retombait sur, je dirais, nos grands classiques, à savoir une menace qui était plus versée vers l'espionnage et comprendre un peu et comprendre sur Tout ce qui, par exemple, va être anti-dopage, les secteurs un peu sensibles. On a une Meusnasse qui visait plutôt à déstabiliser, donc avec des préparations pour savoir sur quel ou quel aspect, on va dire, impacter les jeux. Et notamment, on a eu toute une discussion sur la qualité de l'eau de la Seine. Donc tout ça, ça n'est pas passé inaperçu des attaquants. Et puis...
Speaker #0
Qui aurait amplifié, du coup...
Speaker #4
Oui, alors ça, c'est effectivement une très bonne question, parce qu'en fait, la menace, je dirais, quand elle ne peut pas mettre dans le cœur de la cible, parce qu'effectivement, le cœur de la cible était très bien renforcé, elle va essayer, je dirais, en deuxième rideau, voire en troisième rideau. Donc, on peut attaquer des petites infrastructures et faire beaucoup de bruit autour. C'est un peu ce qu'on appelle l'amplification d'opération. C'est-à-dire qu'effectivement, on va avoir... Un mode hybride d'expression, c'est qu'on va faire une attaque qui, par exemple, une attaque en déni de service qui va durer que quelques heures.
Speaker #0
En déni de service, ça veut dire qu'on n'a plus accès au site internet, à l'usage de ses serveurs, etc. En fait,
Speaker #4
c'est saturer les serveurs d'une cible avec énormément de requêtes, de manière à ce que les requêtes légitimes ne puissent plus passer. Donc effectivement, pour l'utilisateur lambda, le service est down, comme on dit. Dans notre jargon, il est inaccessible pendant quelques temps. Et ça se contourne, je dirais maintenant, assez rapidement. On est de quelques minutes à quelques heures. Mais en revanche, c'est vrai qu'après, on peut se saisir de cet événement de sécurité sur les réseaux sociaux pour faire beaucoup de bruit autour. Donc on a connu ce genre d'opération pendant les Jeux.
Speaker #0
Est-ce que vous avez pu développer des expertises, des moyens techniques spécifiques ? liées justement aux enjeux des JO et qui vont vous servir dans la durée ? Ou est-ce que c'est quelque chose qui, à un instant T, s'arrête ? Christophe ?
Speaker #4
Alors, je disais qu'on va capitaliser parce qu'effectivement, on a beaucoup appris sur les jeux. Donc, on va capitaliser tout ce qu'on a appris. Comme je le disais, on a fait des efforts en amont. Et donc, l'idée, c'est aussi de continuer sur cette dynamique. On a cité tout à l'heure la coopération internationale et on tient vraiment à saluer l'apport que ça a permis, je dirais la contribution que ça a permis à la sécurité numérique des jeux. Toutes ces bonnes pratiques, on va les capitaliser et en faire des process. A la fois parce qu'on sait aussi qu'il y aura bientôt encore des jeux en France. Donc il ne s'agit pas de perdre l'expérience. Et puis toutes sortes d'événements, mais même en mode nominal, on en tire des enseignements.
Speaker #0
On entend souvent parler d'intelligence artificielle. Est-ce qu'il y a des choses que vous pouvez nous dire ou est-ce que ça reste de l'ordre du trait secret sur les moyens que vous pouvez utiliser pour contrer des attaques ou au contraire des moyens utilisés pour les attaques ?
Speaker #4
On peut plus facilement partager sur le deuxième point, parce que sur le premier, effectivement, ça reviendrait à un peu révéler nos capacités. C'est quelque chose qu'on fait avec une grande modération. Donc en revanche, sur le deuxième point, oui, et en réaction, si vous voulez, on a l'intelligence artificielle adverse, c'est-à-dire qui est mise au service des attaquants et on a d'ores et déjà des constatations. Par exemple, on parlait tout à l'heure des rançons logicielles. C'est vrai que quand un message, parce qu'en gros, un des vecteurs d'infection principale des rançons logicielles, c'était ce qu'on appelle le phishing, c'est-à-dire le mail non désiré sur lequel il y a un lien qui va compromettre la machine. Et bien, quand ce mail-là n'était pas pertinent ou mal rédigé dans la langue de celui qui réceptionnait ce message, ça ne passait pas. Avec l'intelligence artificielle, maintenant, on peut non seulement adresser des mails extrêmement pertinents au secteur d'activité, Merci. mais également extrêmement bien rédigé et avec des pièces jointes tout aussi crédibles. Et donc, ça va renforcer, je dirais, l'impact que peut avoir. Donc ça, c'est un exemple. On a aussi des cas où on sait que les attaquants eux-mêmes utilisent l'intelligence artificielle, par exemple, pour analyser du code, parce qu'il existe relativement peu de codes sans vulnérabilité. Et donc, l'intelligence artificielle va avoir ce pouvoir d'analyser ces lignes de code et de dire à l'attaquant, là, effectivement, il y a peut-être une faille à exploiter. Donc que ce soit utilisé par les adversaires, c'est déjà un fait avéré. Et donc c'est pour ça que nous, de l'autre côté, on s'organise aussi pour en tirer profit.
Speaker #0
Alors par rapport à tout ce que vous nous dites, je pense que certains auditeurs ne vont pas manquer de trouver un intérêt à rejoindre la DGSI ou connaître des personnes qui pourraient être intéressées justement à rejoindre vos équipes. Qu'est-ce que vous pourriez leur dire pour ceux qui... se posent la question, s'interrogent sur que vais-je faire à la DGSI si je suis un spécialiste cyber par exemple ?
Speaker #3
Ce qu'on peut dire c'est qu'on est en pleine croissance, on recrute énormément de talents, de profils variés, donc évidemment des techniciens, des ingénieurs, le domaine de la cyber défense l'induisant, mais également des profils issus de filières plus généralistes. On va recruter des profils de type géopolitique ou encore juridique. L'important étant d'avoir avant tout une impétence pour le monde du numérique et des nouvelles technologies. C'est le seul prérequis nécessaire pour nous rejoindre. On recherche évidemment des talents en sortie d'école, mais également des postes où nous avons des postes à pourvoir pour des profils plus expérimentés. qui seraient peut-être en quête d'un peu plus de sens dans leur métier que ce que peut leur offrir le secteur privé, ou encore désireux d'expérimenter des technologies uniquement réservées aux services de renseignement. Et en la matière, nous sommes plutôt bien dotés.
Speaker #0
Vous créez un peu de secrets autour de ça. J'imagine que vous n'aurez pas à en dire grand-chose. Non,
Speaker #3
c'est compliqué, mais ce que je dois quand même dire, c'est qu'on dispose de moyens conséquents. On dispose également d'un cadre juridique qui fait que le travail que nous exerçons au quotidien ne serait peut-être pas forcément autorisé au secteur privé. Et en ça, nos métiers sont assez extraordinaires. Et si vous me permettez, Nathalie, pour la fin de cet entretien, j'ajouterais également que nous recrutons un très grand nombre d'ingénieurs et de techniciens dans des domaines connexes mais néanmoins complémentaires à la cyberdéfense, que sont le forensic ou encore la recherche ou l'emploi opérationnel de vulnérabilité informatique. et qui, pour lesquels nous offrons là également un contexte de travail extrêmement extraordinaire, si je peux me permettre. Et si je ne peux malheureusement pas en dire plus dans le cadre de cette interview qui est non classifiée, je ne peux qu'inviter toutes celles et ceux qui voudraient nous rejoindre, ou en tout cas en savoir un peu plus pour voir s'ils pourraient correspondre à nos besoins et à leurs besoins et à leurs envies, de postuler sur nos offres d'emploi et de venir nous rencontrer, de venir discuter avec nous. nous pour éventuellement peut-être continuer un bout de chemin ensemble à l'avenir.
Speaker #0
Eh bien l'offre est ouverte, merci beaucoup, j'en profite pour indiquer du coup à nos auditeurs qu'ils peuvent aller sur le site, qu'il y a tout un espace lié au recrutement avec les modalités de candidature, que ce soit spontané ou pour répondre aux différentes offres d'emploi qui sont publiées, mais également sur des signalements, puisque nous avons un certain nombre d'adresses mail spécifiques liées aux signalements qu'ils peuvent également retrouver. Il me reste à vous remercier pour toutes ces explications. Et vous, chers auditeurs, à vous retrouver très prochainement pour un prochain podcast. A bientôt.
Speaker #4
Merci.

Embed