Traffic Light Protocol

Le partage de renseignements avec d'autres organisations peut être extrêmement bénéfique, qu'il s'agisse de renforcer la réputation de l'organisation ou de prévenir les attaques contre la chaîne d'approvisionnement, mais dans le même temps, nous ne voulons pas divulguer qu'une attaque a eu lieu dans certaines circonstances. Le protocole Traffic Light, abrégé en TLP, est un moyen de classer les informations à partager. Il est couramment utilisé pour les rapports de sécurité et les renseignements sur les menaces. Nous allons passer en revue quelques exemples, mais d'abord, couvrons l'histoire du TLP et vous présentons les différentes classifications.

Qu'est-ce que le TLP ?

Le Traffic Light Protocol a été initialement créé au début des années 2000 par le Centre national de coordination de la sécurité des infrastructures du gouvernement britannique afin de promouvoir un meilleur partage d'informations sensibles. Bien qu'elle n'ait pas été conçue spécifiquement à l'origine pour la cybersécurité, notre secteur a largement adopté cette approche pour partager des informations sensibles relatives aux cyberattaques et à la documentation interne.

L'objectif du TLP est de permettre à l'auteur des informations d'origine d'indiquer comment il souhaite que ses informations soient diffusées, par exemple en les partageant uniquement avec des personnes spécifiques, au sein d'une organisation, au sein de communautés de confiance ou dans le domaine public. Il est extrêmement important que si vous recevez un document utilisant le système TLP, vous n'enfreigniez pas le niveau de distribution prévu, car l'ensemble du protocole repose sur la confiance.

Classifications TLP

TLP blanc

Les informations classées TLP WHITE peuvent être partagées publiquement, mais les règles relatives aux droits d'auteur s'appliquent toujours. Les rapports ou les mises à jour qui utilisent ce TLP sont distribués gratuitement pour le bien de tous.

Exemple :

L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) partage un certain nombre de rapports d'analyse TLP:WHITE sur les malwares et a partagé librement les indicateurs de

compromission associés. D'autres organisations offrent la possibilité à quiconque de s'abonner à une liste d'e-mails qui enverra des mises à jour de sécurité et des rapports pouvant être partagés librement. Nous suggérons aux étudiants de consulter quelques rapports d'analyse de la CISA, ils sont géniaux ! — Alertes et conseils en matière de cybersécurité | CISA

TLP Vert

Les informations classées TLP GREEN peuvent être partagées au sein de communautés, telles que les centres de partage et d'analyse d'informations (ISAC), qui sont des groupes d'organisations opérant dans le même secteur ou les mêmes industries. Ces informations ne doivent pas être partagées en dehors des communautés concernées, par exemple en les publiant publiquement sur Internet.

Exemple :

L' « Organisation A » opère dans le secteur de l'aviation et forme un ISAC avec quatre autres entreprises qui opèrent également dans le secteur de l'aviation. Un jour, l'organisation A fait l'objet d'une cyberattaque de la part d'APT33, un acteur de la menace basé en Iran connu pour cibler ce secteur. Au cours du processus de réponse aux incidents, l'organisation A collecte un certain nombre d'indicateurs de compromission (IOCs) tels que l'adresse e-mail qui a envoyé un e-mail de harponnage, les hachages de fichiers malveillants, les adresses IP utilisées pour les communications de commande et de contrôle, etc. L'organisation A a le choix de divulguer les organisations membres de l'ISAC du CIO afin d'aider d'autres entreprises à se défendre contre le même acteur, mais cela signifie que ces entreprises (qui peuvent être concurrentes sur le marché des affaires) sauront que l'organisation A a été victime d'une cyberattaque réussie (qui pourrait nuire à la réputation, aux ventes prévues, au cours des actions, etc. en cas de fuite publique).

TLP Ambre

Les informations classées TLP AMBER ne peuvent être partagées en interne au sein d'une organisation que sur la base du besoin d'en connaître afin de limiter les personnes ayant accès à ces informations.

Exemple :

Les rapports de tests d'intrusion, les rapports d'engagement de l'équipe Red et les résultats des scans de vulnérabilité sont susceptibles de porter la mention TLP AMBER, car ils contiennent des informations sur de graves failles de sécurité pouvant être exploitées pour réaliser certaines actions. Seules des personnes spécifiques au sein de l'organisation auraient besoin de voir ces documents, et s'ils étaient divulgués publiquement, il est possible que des acteurs malveillants découvrent ces rapports sensibles et puissent les utiliser pour lancer des cyberattaques efficaces contre l'organisation, car ils disposent désormais d'informations détaillées sur les systèmes, la configuration du réseau et les vulnérabilités présentes au sein de cette entreprise.

TLP Rouge

Les informations classées TLP RED sont extrêmement sensibles et peuvent avoir de graves conséquences si elles tombent entre de mauvaises mains. Si une réunion en ligne ou en personne est classée TLP RED, les informations ne doivent pas être partagées avec des personnes qui ne sont pas présentes à la réunion. En ce qui concerne les communications électroniques telles que les e-mails, si un e-mail est TLP RED, seuls les destinataires listés doivent être exposés au contenu, et celui-ci ne doit en aucun cas être partagé sans l'autorisation de l'auteur.

Exemple :

Lors d'une chasse aux menaces, l'équipe bleue a découvert ce qu'elle pense être un adversaire avancé au sein du réseau doté de privilèges d'administrateur de domaine (accès et autorisations les plus élevés possibles). Une réunion a lieu entre l'équipe de chasse, l'équipe de réponse aux incidents de sécurité (SIRT) et d'autres membres du personnel. En raison de la nature de cette attaque, l'organisation ne souhaite pas que soient diffusées des informations susceptibles d'avertir l'adversaire qu'il a été découvert. Seules les personnes présentes à la réunion sont donc autorisées à discuter de ce qui s'est passé.