Les CSIRT


Historique

La seconde moitié des années 80 vit le réseau Arpanet, développé par le DoD (le Département de la Défense américain), sortir de la phase de R&D pour devenir une réalité pratique sous l’impulsion du monde universitaire. L’efficacité et la constante amélioration des divers services, dont le courrier électronique, rendirent rapidement ce réseau indispensable pour de nombreux sites.

En novembre 1988, un étudiant de l’Université de Cornell lâcha sur ce réseau un programme qui se propageait et se répliquait tout seul. Ce programme, connu sous le nom de « ver Internet », exploitait diverses failles de sécurité du système Unix (le système d’exploitation de la plupart des ordinateurs connectées sur le réseau). Bien que programmé sans intentions malveillantes, ce premier virus informatique, se répandit rapidement tout en engorgeant les machines infectées par de multiples copies du ver. À cette époque, le réseau comprenait environ 60 000 ordinateurs. Avec seulement 3 à 4% de machines contaminées, le réseau devint complètement indisponible pendant plusieurs jours jusqu’à ce que des mesures conservatoires soient prises (dont la déconnexion de nombreuses machines du réseau).

Pour éliminer ce « ver Internet », une équipe d’analyse ad hoc fut créée avec des experts du MIT, de Berkeley et de Purdue. Le code du virus fut reconstitué et analysé ce qui permit, d’une part, d’identifier et corriger les failles du système d’exploitation, et d’autre part, de développer et diffuser des mécanismes d’éradication. À la suite de cet incident, le maître d’ouvrage d’Arpanet, la Defense Advanced Research Projects Agency (DARPA), décida la mise en place d’une structure permanente, le CERT Coordination Center (CERT/CC) semblable à l’équipe réunie pour résoudre l’incident.

Depuis Internet n’a cessé de croître pour devenir le réseau que nous connaissons aujourd’hui, avec une multiplication rapide des machines connectées (plusieurs milliards) et des sources d’agression.

 

Rôle et mission

Les tâches prioritaires d’un CSIRT sont les suivantes :

  • centralisation des demandes d’assistance suite aux incidents de sécurité (attaques) sur les réseaux et les systèmes d’informations : réception des demandes, analyse des symptômes et éventuelle corrélation des incidents ;
  • traitement des alertes et réaction aux attaques informatiques : analyse technique, échange d’informations avec d’autres CSIRT, contribution à des études techniques spécifiques ;
  • établissement et maintenance d’une base de donnée des vulnérabilités ;
  • prévention par diffusion d’informations sur les précautions à prendre pour minimiser les risques d’incident ou au pire leurs conséquences ;
  • coordination éventuelle avec les autres entités (hors du domaine d’action) : centres de compétence réseaux, opérateurs et fournisseurs d’accès à Internet, CSIRT nationaux et internationaux.

Les CSIRT qui en font la demande et en obtiennent l’autorisation, peuvent utiliser le terme de CERT, signifiant Computer Emergency Response Team dans leur nom.

Les CSIRT dans le monde

Le site du FIRST (Forum of Incident Response and Security Teams)

Les CSIRT membres du FIRST

La TF-CSIRT (Task-Force européenne de CSIRTs)

La liste des membres de la TF-CSIRT sur la page du Trusted Introducer

L’EGC (Groupe de CSIRT gouvernementaux européens)

L’APCERT (Groupe de CSIRT de la région Asie-Pacifique)

Le CERT/CC (CERT Coordination Center)