Lexique de la cyberdéfense

Nghia NGUYEN — 2023-07-09T21:18:39Z

Anonymous – Nom d'un collectif non structuré de hackers activistes né sur INTERNET en 2003. Les contours de ce groupe restent flous et sont sujets à des interprétations assez libres. La liberté d'expression dans le cyberespace semble être la ligne directrice de cybermilitants dont les causes embrassées peuvent être très éloignées les unes des autres. Avec des actions – cyberattaques par déni de service – aussi bien contre des entités que contre des États, les Anonymous ont participé à l'émergence du concept de cyberguérilla.
APT – L'Advanced Persistent Threat est un élément de classification des cyberattaques. Une APT se caractérise par son niveau de sophistication, son organisation et sa persistance à l'endroit d'une cible. De fait, elle nécessite des équipes de spécialistes disposant de moyens importants ainsi que d'une organisation quasi militaire. Ces caractéristiques les désignent comme des émanations d'États et les situent dans la catégorie des attaques les plus dangereuses.
Astrosurfing - Technique de manipulation de l'opinion utilisée en politique, dans la publicité et les relations publiques, visant à inventer des mouvements/tendances qui n'existent pas.

Backdoor – Ou « porte dérobée » désigne un accès secret à un logiciel, un ordinateur ou un réseau à l'insu de son/ses utilisateur(s). La backdoor peut être installée en toute légalité afin de faciliter les opérations de maintenance du système d'exploitation. Par l'intermédiaire de vers informatiques ou de chevaux de Troie, des backdoors peuvent cependant être installées par des acteurs malveillants. L'objectif étant de permettre l'espionnage, le vol de données voire la prise de contrôle d'un système.

Cabir – Virus développé en 2004, qui ciblait les téléphones mobiles.
Commwarrior – Virus développé en 2005, qui ciblait les téléphones mobiles.
Conficker – Ver informatique détecté en 2008, qui a infecté près de 9 millions d'ordinateurs dont ceux du DoD, du MoD et du MINARM. Responsable de l'une des plus importantes cyberattaques, il agit sous Windows en neutralisant les fonctions de sécurité et de mise à jour, permettant ainsi l'intrusion d'autres virus et vers.
Cozy Bear - Groupe de hackers russes désigné APT29, à qui est attribuée la cyberattaque de 2020 ciblant les institutions américaines (cf. SolarWinds). Cozy Bear serait une unité du FSB ou un groupe en relation avec.
CryptoLocker – Rançongiciel détecté en 2013 et fonctionnant sur le mode d'un cheval de Troie sous Windows. Il nécessite une clé de déchiffrement pour récupérer les données (cf. LockBit infra).
Cyberattaque - Action hostile, offensive ou défensive contre un site, un système ou un dispositif informatiques à travers le réseau cybernétique.
Cyberdéfense - Volet défensif de la cyberguerre stricto sensu, volontairement confondu dans un premier temps avec la cyberguerre afin de ne pas avouer l'existence d'un volet offensif, ou du moins ne pas renseigner sur les méthodes et tactiques cybernétiques employées (cf. L2I infra). La frontière entre la défense et l'attaque demeure cependant très relative dans un cyberespace où tout le monde espionne tout le monde à commencer par les États eux-mêmes. La distinction se ferait surtout au niveau des doctrines officielles de ces derniers, des règles et des seuils qu'ils s'imposeraient. Dans les faits, la cyberdéfense utilise les cyberattaques pour identifier, infiltrer et neutraliser les menaces. Les cyberattaques sont aussi régulièrement utilisées pour tester les défenses cybernétiques et révéler par anticipation les failles des systèmes.
Cyberespace - Notion fondamentale qui fonde l'existence même de la cyberguerre. Avec l'espace exo-atmosphérique, le cyberespace est un champ de confrontation nouveau qui vient s'ajouter aux milieux de conflictualités traditionnels (terre, air, mer). Espace créé par l'ensemble des ordinateurs et objets connectés, le cyberespace est un champ immatériel qui s'inscrit cependant dans les milieux physiques (terre, air, mer, espace) sans lesquels il ne pourrait exister. Le cyberespace est, en fait, constitué de 3 couches : matérielle, logicielle et cognitive. La couche matérielle désigne l'ensemble des infrastructures qui rendent possible l'interconnexion : data centers (cf. infra), serveurs, terminaux, câbles terrestres et sous-marins, satellites... Cette couche peut-être attaquée physiquement (destruction, sabotage). La couche logicielle est l'ensemble des systèmes d'information qui permettent l'échange des données dans les réseaux. C'est une architecture logique qui emploie un langage commun afin que terminaux et logiciels puissent communiquer. Cette couche nécessite un travail permanent de mises à jour des systèmes d'information car c'est d'elle que partent et sont menées les cyberattaques. La couche cognitive c'est ce qui est accessible aux utilisateurs et leur parvient directement selon leurs usages. Elle est le lieu direct de la guerre informationnelle et constitue, avec la couche logicielle, la sphère informationnelle que cible la guerre cognitive.
Cyberguerre - Guerre menée dans le cyberespace (cf. supra) à partir de cyberattaques (cf. supra). C'est à tort que l'on pourrait penser la cyberguerre comme virtuelle et non létale, car les cyberattaques peuvent provoquer des dégâts humains et économiques - directs comme indirects - considérables. En frappant les SCADA (cf. infra) d'infrastructures vitales (énergétiques par exemple), elles peuvent ainsi provoquer des catastrophes technologiques et industrielles. Paralysie des chaînes logistiques (industrielles, commerciales, militaires), des systèmes de communication, isolement des populations, sont de nos jours des objectifs réels et parfaitement réalisables de la cyberguerre. La cyberguerre ce sont aussi toutes les opérations frappant la sphère informationelle et participant à la guerre cognitive. Le caractère massif et viral des intoxications, manipulations et pollutions informationnelles participe à l'affaiblissement ou à la neutralisation de l'Esprit de défense.
Cyber Storm – Exercice de cyberdéfense destiné à tester les systèmes en cas de cyberattaques massives des infrastructures américaines. Cyber Storm est un exercice biannuel organisé par le CISA. Il fut réalisé pour la première fois en février 2006.
Cybercriminalité – Activités criminelles utilisant et s'exerçant dans le cyberespace.
Cybersquatting - Type de cyberattaque consistant à enregistrer un nom de domaine identique à celui d'une entreprise, d'une enseigne, d'une personne... afin d'en détourner les revenus publicitaires produits par le trafic généré par le nom de domaine.

Data center – Traduction anglaise de « centre de données ». Les data centers sont des lieux où sont rassemblés les équipements centraux permettant le fonctionnement des réseaux et des systèmes d'information. Occupant des espaces de plus en plus vastes (cf. UDC infra) et climatisés en permanence, ils concentrent essentiellement des équipements de stockage de données (serveurs et baies de stockage).
DCS - Le Distributed Control System ou système numérique de contrôle-commande (SNCC) désigne le système de contrôle d'un procédé industriel. Il se présente avec un interface homme-machine et un réseau de communication numérique.
DEFNET - Exercice annuel de cyberdéfense de l'Armée de Terre depuis 2013. Mis en oeuvre par le COMSIC, DEFNET s'articule généralement autour de trois volets : entraîner la chaîne de sécurité des systèmes, entraîner les spécialistes et les réservistes, imaginer et tester des scenarii de cyberattaques.
Déni de service (attaque en) - Ou Distributed Denial of Service (DDoS) en anglais désigne un type de cyber-attaque consistant à saturer un serveur en lui envoyant un grand nombre de requêtes simultanées ou à exploiter une faille de sécurité. Le déni de service dégrade le fonctionnement du serveur voire le met temporairement hors service. Utilisé pour bloquer une entité, atteindre le prestige d'une institution, occasionner des pertes financières pour les entreprises, le déni de service peut aussi être utilisé en diversion d'un pillage de données.

ECHELON (réseau) - ECHELON est le nom donné à un réseau planétaire d'écoute, de surveillance et d'interception des télécommunications mis en place par les États-Unis et leurs alliés intégrés dans le traité UKUSA (cf. infra). Développé dans le plus grand secret et dans plusieurs pays durant la Guerre froide, ECHELON repose sur un réseau de stations et une capacité de traitement de données les plus puissants au monde. Interceptant les télécopies, les communications téléphoniques, les courriels et les métadonnées qui y sont attachées, ECHELON espionne aussi les satellites et les câbles sous-marins. Concernant ces derniers, il utilise le sous-marin nucléaire d'attaque USS Jimmy Carter SSN-23, classe Seawolf, particulièrement équipé et adapté pour l'écoute électromagnétique. ECHELON est piloté par les agences des pays liés au traité UKUSA, et dédiées au renseignement d'origine électromagnétique au premier rang desquelles figure la plus puissante : la NSA (cf. infra).

False flag - Ou « fausse bannière », se dit d'une cyberattaque dont les auteurs trompent sur leur identité et leurs objectifs.

GhostNet - Nom donné à un réseau de cyberespionnage ciblant les intérêts de la communauté tibétaine dans le monde. Le réseau était constitué de 1295 ordinateurs infectés dispersés dans 103 États. Contrôlé de la Chine, le réseau GhostNet est révélé par le Canada en 2009.
Gothic Panda - Aussi appelé Buckeye est un groupe de hackers chinois désigné APT3. Il opère de 2007 à 2017, date de son démantèlement par les Américains (arrestation de membres vivant aux États-Unis). Gothic Panda ciblait les secteurs de la Défense, des hautes technologies, des transports, de l'ingénierie.

Hive – Groupe cybercriminel spécialisé dans le rançongiciel à qui l'on doit de nombreuses attaques des ministères costaricains (mai 2022) au Conseil départemental de Seine-Maritime (octobre 2022). Détecté en juin 2021 et considéré depuis comme une menace majeure, il est démantelé après une infiltration par le FBI et EUROPOL en janvier 2023 (opération Dawnbreaker).
Honker – « Hacker rouge ». Nom donné aux hackers chinois dont les motivations sont essentiellement patriotiques.

Institut de recherche 54 – Unité militaire de guerre cybernétique chinoise.
INTERNET des objets - L'INTERNET des objet ou INTERNET of Things (IoT) est la mise en réseau des objets physiques au-delà des seuls ordinateurs, tablettes et smartphones. Parallèlement aux usages industriels de l'IoT, de plus en plus d'objets et d'équipements du quotidien comportent désormais des capteurs et disposent de logiciels leur permettant de communiquer entre eux (box, appareils électroménagers, télévisions...). L'IoT a notamment permis le développement de la domotique c'est-à-dire l'ensemble des systèmes interopérables qui agissent dans les maisons et les bâtiments (gestion des réseaux, commandes d'appareils). Dans le domaine militaire, l'IoT permet le développement du combat collaboratif à partir de systèmes et de plateformes capables de communiquer et d'interagir entre eux (avions, drones, robots, munitions rôdeuses...).
INTRANET - Réseau de communication interne d'une institution, d'un organisme ou d'une entreprisse.

L2I - La Lutte Informatique d'Influence (L2I) désigne la doctrine militaire française de guerre informationnelle menée dans le cyberespace. Elle est officiellement annoncée le mercredi 20 octobre 2021, mais est seulement présentée dans ses « éléments publics ».
LockBit - Nom à la fois d'un virus et du groupe de hackers russes qui le diffuse. Rançongiciel de type CryptoLocker (cf. supra), c'est-à-dire nécessitant une clé de déchiffrement pour déverouiller systèmes et fichiers, LockBit est également connu sous le nom de « virus.abcd ». Il est détecté en 2019 et soupçonné d'être mis en oeuvre par des hackers russes. LockBit se diffuse automatiquement et en toute autonomie à partir d'une primo-infection. Il cible des entreprises, des organismes privés ou d'État plus que des particuliers. Constamment amélioré, il bénéficie de nouvelles fonctions malveillantes (neutralisation des fonctions de sécurité, publication de données personnelles...). En juillet 2023, les terminaux de conteneurs du port de Nagoya (Japon) ont été paralysés par la version LockBit 3.0. Le 19 février 2024, l'opération Cronos menée par la National Crime Agency britannique, en collaboration avec le FBI, EUROPOL et l'UNcyber de la Gendarmerie nationale, parvient à prendre le contrôle du site principal de LockBit dont l'identité russe est confirmée.

Les forces ayant participé au blocage du site principal de LockBit ont fait apparaître leur logo sur sa page d'entrée le 19 février 2024

Malware – Mot anglais pour désigner un « logiciel malveillant » à savoir un programme informatique destiné à nuire soit par le vol de données, le cyber-espionnage ou la mise hors service d'un ordinateur ou d'un réseau.
MyDoom.A – Virus informatique détecté en janvier 2004 et infectant les messageries sous Windows.

NSA – La National Security Agency est l'agence américaine spécialisée dans le renseignement électromagnétique, le cryptage et la sécurité des systèmes d'information. Créée en 1952, elle est installée à Fort George Meade (Maryland) et emploie plus de 20 000 personnes.

Opération Aurora – Cyberattaque chinoise de type APT (cf. supra) ayant visé en 2010 une trentaine d'entreprises essentiellement américaines.
Opération Shady-RAT – RAT est l'acronyme de Remote Access Tool. Cyberattaque géante ayant permis l'intrusion de serveurs de nombreuses entités étatiques et internationales. Révélée en 2011, elle est soupçonnée d'avoir été organisée par la Chine.
Opération Titan Rain – Cyberattaque de type APT (cf. supra) déclenchée en 2003 et attribuée à la Chine. Pendant trois années, elle cible de manière coordonnée les systèmes d'information militaires, scientifiques et aéronautiques américains.

Pegasus – Logiciel espion destiné aux smartphones Android et Iphone, il est développé par la firme israélienne NSO Group. D'abord conçu pour surveiller des acteurs criminels et terroristes, Pegasus n'est vendu qu'aux États et agences spécialisées mais il finit par infecter des milliers d'appareils dans 55 pays. Il permet ainsi à certains gouvernement d'accéder à toutes les données contenues dans un smartphone mais d'écouter également les conversations y compris les conversations cryptées. De nombreuses personnes sans rapport avec la criminalité et le terrorisme (journalistes et opposants politiques) ont ainsi été surveillés grâce à Pegasus. Le scandale éclate en 2021 suite à l'utilisation du logiciel par l'Azerbaïdjan, le Rwanda, l'Arabie Saoudite et le Maroc à l'encontre de leurs opposants politiques. En mettant à la disposition des États un outil d'espionnage sans équivalent, NSO Group pose la question de la frontière à tracer entre sécurité nationale et vie démocratique.
PIRANET - Plan gouvernemental français piloté par l'ANSSI et le SGDSN. Il organise les processus de gestion de crise en cas de cyberattaques massives.
Proxy - Logiciel jouant le rôle d'intermédiaire entre différents hôtes/différents réseaux pour faciliter ou surveiller les échanges. Se dit aussi des serveurs.
Psyb0t – Un virus informatique détecté en 2009 qui s'en prend aux routeurs et modem haut débit.

Rançongiciel – Ou ransomware en anglais, est un logiciel d'extorsion qui prend en otage des données personnelles (en verrouillant l'accès ou en les cryptant) afin de réclamer une rançon en échange.

SCADA - Le Supervisory Control and Data Acquisition ou système de contrôle et d'acquisition de données en temps réel désigne un système logiciel permettant de surveiller un processus, de dresser un rapport de fonctionnement, de mettre en oeuvre des machines (moteurs, pompes, capteurs...). Les SCADA sont essentiellement utilisés dans l'industrie où ils permettent de surveiller en temps réel, à distance ou sur place, les processus.
Snake – Logiciel espion mis en œuvre par l'unité russe Turla (FSB) situé à Riazan (oblast de Riazan). Développé au début des années 2000, Snake a opéré pendant près de vingt ans permettant de dérober des documents sensibles dans plusieurs pays membres de l'OTAN. Il est détecté depuis au moins une décennie mais est constamment remis à jour pour continuer sa mission. Snake s'avère être l'un des logiciels espions les plus sophistiqués de sa génération, capable de s'exécuter sous Microsoft Windows, MacOs et Linux. Les Etats-Unis parviennent à le neutraliser en 2023 avec l'opération Medusa. Pour cela, le FBI a mis au point un logiciel spécifique, capable de prendre le contrôle de Snake : Persée.
SolarWinds - Société américaine située à Austin (Texas) dont la spécialité est le développement de logiciels et de plateformes permettant la gestion de réseaux. En 2020, une cyberattaque classée APT (cf. supra) frappe les institutions fédérales américaines. Elle compromet la plateforme Orion de SolarWinds, ce qui permet d'atteindre plusieurs ministères dont le DoD. Cette cyberattaque APT est attribuée à la Russie.
Stone Panda - Aussi appelé Cicada, CVNX ou Red Appolo et désigné APT10 est un groupe de hackers chinois soupçonné d'être une émanation du Ministère de la Sécurité Intérieure chinois. Ses opérations sont détectées à partir de 2013 et semblent s'intéresser plus particulièrement à la France, au Canada, au Japon, à l'Inde et à l'Afrique du Sud.
Stuxnet – Ver informatique utilisé dans l'opération Olympic Games dont l'objectif était de cibler des installations industrielles participant au programme nucléaire iranien. Le ver a infecté plusieurs dizaines de milliers de systèmes informatiques, pas uniquement en Iran, avant d'être détecté en 2010. Utilisant les failles de Microsoft Windows, Stuxnet était capable d'espionner mais aussi de modifier certains programmes industriels. Du fait des moyens demandés, l'opération Olympic Games a été classée comme une APT (cf. supra) et attribuée à une coopération entre les Etats-Unis et Israël.

Typosquatting - Type de cyberattaque réalisé à partir de la contrefaçon d'un nom de domaine. Celui-ci est légèrement modifié mais suffisamment ressemblant pour capter une partie du trafic du nom de domaine original.

UDC – Le Utah Data Center est installé à Camp Williams non loin de la ville de Bluffdale (Utah). Situé sur un ancien terrain d'aviation, il est le plus grand des 6 data center gérés par la NSA (cf. supra). Opérationnel depuis 2014, il a une capacité de stockage et de traitement des données estimée à peut-être 12 milliards de gigaoctets (exaoctets). Permettant également l'écoute et l'interception, l'UDC, bien que dirigé par la NSA, travaille au profit de l'ensemble de la communauté du renseignement américaine.
UKUSA (traité) - Le United Kingdom-United States communication intelligence Agreement est un traité resté longtemps secret. Signé le 5 mars 1946 entre la Grande-Bretagne et les États-Unis, il intégra par la suite le Canada, l'Australie et la Nouvelle-Zélande. Le traité UKUSA permet une collaboration étroite en matière de renseignement d'origine électromagnétique (ROEM) et d'échange d'informations entre ces cinq États également appelés les five eyes (cf. ECHELON supra).
Unité 61398 – L'unité 61398, désignée APT1 (cf. supra), est une unité militaire de cyber-espionnage chinoise basée à Shanghai. Elle est soupçonnée d'avoir lancée une opération de cyber-espionnage de grande ampleur – révélée en 2013 - ayant touché des entreprises étatsuniennes, canadiennes et britanniques dans les domaines des télécommunications, de l'espace, de l'ingénierie et de l'énergie.
Unité 61486 – Unité militaire chinoise spécialisée dans le renseignement spatial. Elle est désignée APT2 (cf. supra) et surnommée Putter Panda.
Unité 8-200 – Unité militaire israélienne de cyberdéfense créée en 1952. Située à Camp Moshe Dayan, elle est spécialisée dans le renseignement électromagnétique et la sécurité des systèmes informatiques.

Ver informatique – Logiciel malveillant qui se duplique dès son exécution et se répand via le réseau sans infiltrer les logiciels hôtes.
Virus informatique – Logiciel malveillant qui se duplique et se répand dans les réseaux à partir de tous les moyens d'échange de données. Il s'infiltre dans les logiciels hôtes pour s'exécuter.
Voldemort - Identifié en août 2024, Voldemort est un logiciel d'usurpation des identités des autorités fiscales. Il utilise la plateforme Google Sheets - peu sécurisée car légale et massivement utilisée - pour infiltrer les ordinateurs et en prendre le contrôle. Voldemort cible essentiellement les entreprises, notamment les compagnies d'assurance, et serait d'abord utilisé (par un État) comme un outil de collecte de renseignement.

WannaCry – Rançongiciel ayant permis une cyberattaque massive à l'échelle mondiale en mai 2017. Infectant 300 000 ordinateurs dans plus de 150 pays, il est soupçonné d'avoir été conçu par la Corée du Nord.

Zeus – Ou Zbot est un ensemble de logiciels malveillants qui s'exécutent sous Microsoft Windows. Détecté en juillet 2007, le package permet notamment de voler des données, de saisir des formulaires de remplissage, d'installer un rançongiciel.

La Revue stratégique de cyberdéfense

Nghia NGUYEN — 2018-03-02T15:34:16Z

La Revue stratégique de cyberdéfense est un document doctrinal publié en février 2018 par le Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN).

Le SGDSN évalue, à cette date, l'état de la menace cybernétique - ces différentes déclinaisons, les caractéristiques des attaques, les vulnérabilités... - mais aussi les responsabilités de l'État dans la cyberdéfense de la Nation et de la société. La notion de souveraineté numérique est ainsi étroitement liée à celle de souveraineté nationale.

Ce document de 167 pages émet des recommandations fondamentales sur le court et le moyen terme parmi lesquelles on retiendra l'élaboration d'une doctrine d'action adaptée aux cyber-attaques, mais aussi et surtout une formation dès le plus jeune âge aux enjeux de la cybersécurité (1). L'École y est donc particulièrement citée où, de la Maternelle au Lycée, le SGDSN demande à ce qu'il y ait une éducation « dès le plus jeune âge » à la cyberdéfense (2).

Le Secrétariat général demande également une capacité de formation des enseignants sur la question, que l'Éducation nationale pourrait organiser à partir de MOOC (3). Cette sensibilisation/formation en amont constitue donc un aspect à part entière de l'enseignement de défense, que la Revue stratégique intègre dans les « enjeux humains » de la cyberdéfense.

Recommandations du SGDSN pour l'Éducation nationale (4)

Intégration des règles de la cybersécurité dans les apprentissages transmis par l'École de l'École élémentaire à la classe de terminale :

Une éducation au numérique incluant la maîtrise des exigences en matière de cybersécurité à l'école élémentaire, au collège et dans tous les cursus du lycée.
Des MOOCS sur la transmission des règles de cybersécurité dédiés aux enseignants en formation initiale et en formation continue conçus par le ministère de l'Éducation nationale avec le fort soutien de l'ANSSI. (5)

__________

Cf. « Revue stratégique de cyberdéfense », SGDSN, février 2018, pp. 126-129.
Ibid. « Il appartient à l'École de la République d'éduquer les élèves à la cybersécurité », p.127.
Ibid. p. 128.
Ibid. p. 143.
Sur la recommandation de former les professeurs en matière d'enseignement de défense, lire aussi le Protocole interministériel 2016.

(Source - Jim Urquhart, Reuters)

Éducation à la Défense et à la Sécurité nationale

Lexique de la cyberdéfense

La Revue stratégique de cyberdéfense

Le cyber, nouvelle arme de dissuasion planétaire