36C3 - The Case for Scale in Cyber Security

Hérault: Vincenzo Izzo est un entrepreneur et un
investisseur dans le monde de la sécurité informatique.

Il a lancé plusieurs start-ups, qui ont été rachetées.
Maintenant,il conseille d'autres entrepreneurs

sur comment créer des start-ups,
les faire racheter, et recommencer.

Il est aussi directeur chez CrowdStrike
et chercheur associé au MIT Media Lab

Je vérifie l'heure, pour qu'on ne
commence pas en retard,

et c'est le moment de commencer à parler de sécurité informatique à grande échelle.
Accueillez chaleureusement Vincenzo !

applaudissements

Vincenzo Izzo: Bonjour à tous,merci
d'être ici. Comme l'a dit Karen, j'ai

eu une carrière variée, mais je viens
avant tout du monde technique

et ce dont je veux parler aujourd'hui, c'est une tendance
que, je pense, on considère comme acquise

et c'est, peut-être, évident, mais c'est aussi quelque
chose qu'on ne remarque pas assez. Je veux parler de

la sécurité à l'échelle du Cloud.
Plus précisément, par "l'échelle du Cloud" je veux parler

de cette capacité qu'on a à analyser énormément de données
et à déployer une puissance de calcul facilement.

Et je veux parler du rôle que cela a joué dans
notre industrie pendant les dix dernières années.

Mais avant de parler de ça, je pense qu'il
est important de donner un peu de contexte.

J'ai rejoint l'industrie il y a une quinzaine d'années, et à l'époque,

même le Chaos Communication Congress était beaucoup plus petit.

Et la communauté était minuscule. L'industrie était plutôt une niche.
Et vers 2010, quelque chose s'est produit.

Les gens ont réalisé qu'il y avait de plus en plus d'attaques initiées par des États.

De l'opération Aurora contre Google au Mandiant Report, APT1,

le premier document sur les méthodes de l'armée Chinoise
pour hacker, disons, les infrastructures du monde occidental,

afin de voler des documents.
Et cela a changé l'industrie, massivement.

Deux choses ont changé à cause de
cette attention.

La première est la notoriété. On est passés
d'une industrie, comme je disais, plutôt confidentielle,

à quelque chose dont tout le monde parle.
Si vous ouvrez n'importe quel journal,

il y a presque toujours un article sur la
sécurité informatique.

Les comités de direction parlent de sécurité.
Et, quand j'ai commencé, la sécurité

n'était pas quelque chose dont on parlait.
On disait "infosec". Maintenant,

plus personne ne se souvient du terme.
Alors, la notoriété est une chose,

mais ce n'est pas tout ce qui a changé.
L'autre changement, c'est l'argent

investi dans le secteur. En 2004, selon les
estimations, le budget global de la sécurité

était entre 3.5 et
10 milliards de dollars.

Aujourd'hui, c'est plus de 120 milliards.
Ça ressemble à une courbe exponentielle.

Mais cet argent est venu avec un
changement majeur en termes de qui

est dans l'industrie aujourd'hui.
Beaucoup d'entreprises qui vendaient

des logiciels de sécurité ont disparu.
Et à la place, on trouve

deux types d'acteurs.
On a les grosses entreprises tech,

comme Google, Amazon, Apple, etc.
qui ont décidé

de prendre la sécurité au sérieux.
Certaines cherchent à tirer profit

de la sécurité, d'autres l'utilisent comme
un slogan pour vendre plus de téléphones.

L'autre type de gens ou d'entreprises, ce
sont les gros vendeurs de sécurité dans le Cloud.

Et le point commun entre ces deux groupes
c'est qu'ils se servent de plus en plus

du Cloud pour résoudre des problèmes
de sécurité.

Et ce dont je veux parler aujourd'hui, c'est que,
d'un point de vue technique, cette échelle a eu

un impact important sur l'approche qu'on a
des problèmes, mais aussi sur le type

de personnes qui travaillent dans cette
industrie aujourd'hui. Je vais vous donner

quelques exemples sur les changements que
nous avons traversés. Je pense que l'une

des choses importantes à se souvenir
est que cette échelle a, au moins sur la

dernière décennie, donné une plus grande
importance à la défense qu'à l'attaque. Ce

n'est pas un état immuable, mais je pense
que c'est une tendance importante qui est

négligée. Laissez-moi commencer par la sécurité
des points d'accès. Dans les années 80, quelques

personnes ont commencé à travailler sur
les systèmes IDS. L'idée derrière ça est

assez simple. Vous voulez créer un
comportement bénin de base pour une

machine, et si cette machine commence à
présenter un comportement anormal, vous la

signalez comme potentiellement malveillante.
C'était le premier article publié sur un système

IDS basé sur l'hôte. Maintenant, le problème
avec ces systèmes IDS est qu'ils n'ont

jamais vraiment réussi à devenir un produit
commercial. Et la raison pour ça... Il y a

principalement deux raisons pour ça. La
première est qu'il est vraiment difficile

d'interpréter les résultats. Il est très
difficile de comprendre "Hey, voici une

anomalie et voici pourquoi elle pourrait
en fait être un incident de sécurité". Le

second problème est que vous avez beaucoup
de faux positifs et il est difficile d'établir

un comportement bénin de base d'un unique
machine, car le comportement d'un machine

peut avoir beaucoup de variance. Ce qui s'est
passé, c'est que commercialement nous sommes

restés longtemps bloqués avec des antivirus,
des vendeurs d'AV et des signatures. Faisons

un bond jusqu'en 2013. Comme je l'ai mentionné,
le rapport APT1 est sorti et les compagnies

d'AV ont admis qu'elles n'étaient pas utiles
pour détecter des choses comme Stuxnet ou

Flame. Il y a alors eu un nouveau venu
dans le milieu, le nom à la mode était EDR

Détection et Réponse sur les points d'accès.
Mais si vous enlevez l'emballage marketing

de l'EDR, ce qu'il est vraiment, c'est en
fait un système de détection d'intrustion

à l'échelle de l'hôte. En d'autres termes,
l'échelle et la possibilité de l'échelle Cloud

ont rendu les systèmes IDS possibles de 2
manières. La première que parce que vous avez