Le cas de Reality Leah Winner et l’ère des menaces internes

Reality Leah Winner, une personne de 25 ans travaillant sous contrat avec le gouvernement fédéral, aurait selon plusieurs procureurs, imprimé des documents top-secret de la NSA contenant des informations détaillées sur l’enquête en cours portant sur l’implication russe dans le piratage des élections de novembre dernier. Elle les aurait ensuite envoyés par e-mail à The Intercept. Cet incident soulève plusieurs questions concernant la protection des informations sensibles face aux menaces internes.

Toute d’abord, Reality Winner aurait-elle dû avoir accès à des documents ayant trait à l’enquête sur le piratage russe ? La société Pluribus avait-elle mis en place des processus visant à contrôler régulièrement les accès et des systèmes de révocation de l’accès aux documents et e-mails auxquels les employés n’ont pas besoin d’accéder ?

D’après l’affidavit publié, Mme Winner n’était employée chez Pluribus International Corporation que depuis février 2017, mais disposait d’une habilitation de sécurité « top-secret » depuis 2013. Son accès était en effet légitime, mais rien n’indique que l’accès au document qui a fuité était justifié par le poste qu’elle occupait. En fait, Mme Winner admet dans l’affidavit qu’elle n’avait pas « le besoin de savoir ».

Une épidémie de l’accès libre

Ceci conduit à se poser une question bien plus large sur le contrôle d’accès : un employé ou sous-traitant doté d’une habilitation « top-secret » doit-il avoir accès à tout ? Dans le même esprit, un CEO doit-il avoir accès à tous les fichiers et e-mails sensibles de son entreprise ? La plupart des professionnels de la sécurité répondraient que non. Il s’agit indubitablement d’une infraction à la règle du moindre privilège.

Un accès excessif peut entraîner un risque accru de menaces internes, et le problème ne fait alors qu’empirer. Dans le cadre d’une étude récente de Ponemon Institute, 62 % des utilisateurs interrogés ont déclaré avoir accès à des données d’entreprise qu’ils ne devraient probablement pas voir et 76 % des professionnels en informatique ont indiqué avoir subi des pertes ou vols de données au cours des deux dernières années.

L’épidémie du l’accès libre peut avoir des conséquences encore plus graves lorsque des comptes sont piratés. Même si Mme Winner n’avait pas intentionnellement communiqué les documents aux médias, ces informations auraient été vulnérables si son compte avait été visé par une attaque externe.

C’est à se demander si Pluribus avait une vision claire de ses informations les plus sensibles. De nombreuses organisations ne savent plus où sont conservées leurs informations les plus sensibles, qui y a accès et qui pourrait utiliser cet accès de manière abusive — dans le  Rapport Varonis 2017 sur les risques liés aux données, nous indiquons que 47 % des organisations possèdent au moins 1000 fichiers sensibles accessibles à tous les employés.

Détecter les menaces internes en associant des métadonnées

Pour couronner le tout, il semblerait qu’il y ait eu une faille au niveau de la détection des menaces internes. C’est seulement lorsque le magazine a contacté un service de renseignement non cité que les enquêteurs fédéraux ont entamé un audit afin de déterminer qui avait accédé au document divulgué. Était-il habituel que Mme Winner accède à des fichiers concernant l’enquête sur le piratage russe des élections ? Même si elle disposait d’un droit d’accès, certaines anomalies dans ses schémas d’accès aux données auraient peut-être pu éveiller les soupçons concernant un abus d’initié.

Enfin, l’un des aspects les plus intéressants de l’histoire est probablement comment The Intercept a conduit accidentellement à démasquer Mme Winner en publiant une copie du document divulgué, lequel contenait des métadonnées de suivi. Mme Winner a eu accès aux données et les a imprimées. Les enquêteurs ont su que ces données avaient été imprimées à cause des micro-points présents sur la page et ont ainsi pu remonter jusqu’à une imprimante spécifique et une date. Ils ont réduit leur liste de suspects à six personnes, dont une qui avait eu un contact par e-mail avec The Intercept.

Crédit image :

C’est la combinaison de plusieurs types de métadonnées légales qui a permis de déterminer que Mme Winner était l’auteur de la fuite. L’identification de l’imprimante et de la date n’aurait pas suffi à confondre Mme Winner de manière concluante, si une relation n’avait pas été établie avec l’envoi de l’e-mail.

Vous voulez en savoir plus sur les menaces internes et les techniques qui permettent de les contrer ? Troy Hunt a diffusé une vidéo de formation d’une heure intitulée The Enemy Within. Elle est totalement gratuite. Cliquez ici pour vous inscrire.

Si vous voulez maîtriser les menaces internes au sein de votre organisation, Varonis peut vous aider.