GRC Interchange 2011 Paris

Jeudi 1er Decembre, 2011

Risque & Securite Informatique:
“Babel Minute Zero” ou
Le cas extreme du Cyber-conflit
Guy-Philippe Goldstein

Pourquoi une fiction?
« Babel Minute Zéro », le point de départ

« Ce qui est improbable n’est pas
impossible »

© Guy-Philippe Goldstein, Decembre 2011

“La Romance Scientifique” comme reservoir d’hypotheses

1914 1984

Bombe Atomique Cyberspace
Hackers

Particulierement adaptee aux cyberconflits

“Whether hacker warfare is a useful instrument of
policy is a question that defense analysts and science
fiction writers may be equally well placed to answer.”

Martin Libicki, « What is information operations? », 1995


Analyse du Risque

Probabilité de réalisation du
risque au cours de la période + Impacts du risque
Si risque réalisé

100%

Court Moyen Long Faible Modéré Fort
terme terme terme

Temps écoulé T Cout de l’impact €


Impact

Incidence

Mitigation du risque


Sibérie, 1982

Source: Thomas C. Reed, At the Abyss: An Insider's History of the Cold War, Presidio Press, 2004

Estonie, 2007 – Estonie vs. Patriotes Russes (et Kremlin?)

Blocage des operations de e-Banking des principaux groupes bancaires du pays


Brésil, 2008

“We know that in other countries, cyber attacks have plunged entire cities into
darkness”
President Obama, May 2009

Source: CBS, 60 Minutes, 8 Novembre 2009


Syrie, 2007- Operation Orchard

Suppression du systeme radar syrien

Avant Apres


Virus Stuxnet – 2009(?) – 2010(?)

Sabotage de systemes de controle industriel:
Destruction de centrifugeuses pour l’enrichissement d’Uranium a Natanz en Iran (?)


L’État-major U.S. prend la menace au sérieux

General James E. Cartwright, Former Commander of the U.S. Strategic Command, Vice-
Chairman of the Joint Chief of Staff:

Report to Congress, U.S.-China Economic and Security Review Commission, 11/2007


Les raisons: La révolution digitale
En 2007, le monde a été englouti par le Cyberespace


Analyse du Risque

Impacts du risque si risque réalisé

1990-2000 2020-2030?
Probabilité Probabilité

Faible Modéré Fort Faible Modéré Fort

Cout de l’impact € Cout de l’impact €


La paix peut dépendre des armes nouvelles
Exemple 1: Les Fortifications Vauban (1650)


Exemple 2: Les armes nucleaires (1960)


Exemple 3: Les forces blindees et aeriennes (1930)


Les cyberarmes et leurs risques

Pas de designation claire de l’agresseur

mais des armes fabriquees par les Etats-Nations

Des effets strategiques – sans paliers d’escalades claires

Des armes de premiere frappe

qui creent un risque d’escalade


Les cyberarmes et leurs risques:
Pas de designation claire de l’agresseur

BLACKOUT >10 jours
? ?

?
?


Les cyberarmes et leurs risques:
Pas de designation claire de l’agresseur surtout quand TOUT LE MONDE est
attaque !

Exemple: Conficker (2008)

7 million d’ordinateurs infectes dans plus de 200 pays

Les cyberarmes et leurs risques d’utilisation
Les cyberarmes sont-elles reellement assymetriques?......

Explosif (RDX)
10 ans


Les cyberarmes sont-elles reellement assymetriques?......

Explosif (RDX) VBS/Loveletter ILOVEYOU Virus
10 ans 10 ans


Les cyberarmes les plus dangereuses ne peuvent etre developpees que par des
Etats-Nations

Les Pirates ont besoin des Etats

Effort continu de R&D

Acces au meilleur talent

ETAT Acces a un financement large

Acces a du renseignement et acces
privilegie aux industries IT

.


Les pirates ont TOUJOURS eu besoin des Etats

THE BLACK HAND PFLP FARC

Kingdom of Serbia Soviet Union Venezuela

Lashkar-e-Taiba Hezbollah Al Qaeda

Pakistan Iran Saudi Arabia/ Pakistan

Le potentiel strategique

?


Ou se trouvent les lignes rouges?......

1
BLACK-OUT:

2
• APRES COMBIEN
3 D’HEURES/JOURS
Y A T-IL UN
4 NOMBRE
SIGNIFICATIF DE
VICTIMES?....
5


Pas d’alertes avancees .

• ZERO DAY: IMPACT IMMEDIAT

• ULTRA SPECIALISEE

• PAS DE DETECTION AVANCEE


Pas de distinctions fonctionnelles observables sur les capacites

UNITE DE DEFENSE UNITE D’ATTAQUE


Des armes de premiere frappe

Ultra Precise
Aggresseur inconnu
“First Strike
Pas d’alerte avancee
Weapons”
Pas de surveillance/controle
Effets strategiques


Les Cyber Armes augmentent le risque de conflit mondial

Robert Jervis “ Security Under the Cooperation Dilemma” Model (1978):

(Perception)

Avantage à l’Attaque Avantage à la Défense

Posture de l’Ennemi
pas claire:
Offensive Doubly Dangerous
ou
Défensive??? CYBERWAR

Posture de l’Ennemi Doubly Stable
claire



Robert Jervis “ Security Under the Cooperation Dilemma” Model (1978):

(Perception)

Avantage à l’Attaque Avantage à la Défense

Posture de l’Ennemi Doubly Dangerous
pas claire: Europe, June 1914
Offensive
ou
Défensive???

Posture de l’Ennemi Doubly Stable
claire


Hier


Aujourd’hui

Brouillard de la
CYBER-
? GUERRE


L’escalade
Demain?

General Kevin Chilton,
US Strategic Command
(Forces Stratégiques US):

“Toutes les options sont
sur la table s’il faut
répondre a une cyber
attaque contre les Etats-
Unis d’Amérique.”
Mai 2009

Confirme par le Wall Street
Journal en Juin 2011


Analyse du Risque

Probabilité de réalisation du risque

Probabilite
100%

Escalade

Seuil ?

Tension politique


Analyse du Risque

Probabilité de réalisation du risque

Probabilite
100%
TECHNOLOGIE
SANS DOCTRINE

Escalade

Seuil ?? Seuil ?

Tension politique


Mitigation
1. Integrer aux processus de decision strategiques

EN DEVELOPPEMENT

Source: Stuart STARR, Daniel KUEHL, Terry PUDAS, « PERSPECTIVES ON BUILDING A CYBER FORCE STRUCTURE”, 2010, NDU


Mitigation
2. Mise en place dispositif technique

DIGITAL INFORMATION SYSTEM

SOFTWARE (VIRTUAL /SEMANTIC DOMAIN)

INSTRUCTIONS & HUMAN BRAIN
DIGITAL DATA
PROTOCOLS (DEVELOPPER)

(b. XIX th) (b. 1950s – 1960s)

HUMAN
COMPONENT
HARDWARE PHYSICAL DOMAIN

ELECTRO-MAGNETIC HUMAN BRAIN
COMPUTING &
SPECTRUM/ (EMETTER &
STORAGE HARDWARE
TELCO HARDWARE RECEPTER)
(b. Late XIX th) (b. 1940s)


Mitigation
3. Mise en place de nouvelles doctrines

DOCTRINE: DISSUASION NUCLEAIRE


Mitigation
4. Alertes avancees, reporting, echange d’information

NATIONAL INTERNATIONAL

PARTENARIATS
PUBLICS-PRIVES
Exemple:

GCHQ

IN-Q-TEL


Mitigation: Les 10-20 prochaines annees

Floating point
operations Target
per second
10^18 2020
10^17

10^16

10^15 K Computer
Cray Jaguar
10^14
Tianhe IA
10^13

10^12

10^11 X50 to x350
10^10 Tous les 10 ans
10^9

10^8

10^7

10^6

10^5

10^4
Colossus 1
10^3

10^2

10

1 Zuse Z1
1930 1940 1950 1960 1970 1980 1990 2000 2010 2020

Mitigation: Les risques emergents – “Known unknwown; Unknown unknown”
5. Imaginer & Simuler

2025-2030+

?
2010

2007
Stuxnet
SCADA
penetration

Estonia
1988 E-Riot

Morris Worm


GRC Interchange 2011 Paris

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Andere mochten auch

Andere mochten auch (20)

GRC Interchange 2011 Paris