Version 1 (16/11/2022)
L'ANSSI est amenée à partager des informations à caractère opérationnel de natures diverses (ex. : indicateurs de compromission, rapports d'analyse), avec différents types de communautés et d'entités.
Formaliser les règles de partage au préalable consolide la confiance entre les différentes parties et favorise l'opérationnalisation des échanges.
L'utilisation des informations peut révéler des capacités de détection à des observateurs extérieurs, il est donc nécessaire de définir un cadre précis sur l'utilisation qui peut en être faite.
Convenir d'un marquage lisible et compréhensible permet de normaliser les échanges, sans nuire à l'efficacité opérationnelle, et favorise la convergence des pratiques.
L'ANSSI applique un double marquage sur les informations à caractère opérationnel :
- TLP (Traffic Light Protocol) pour la diffusion de l'information
- PAP (Permissible Actions Protocol) pour l'utilisation de l'information
NB : ce marquage opérationnel ne se substitue pas aux marquages de protection (ex. : Diffusion restreinte) ou de classification (ex. : Secret, Très Secret).
1. Marquage TLP pour la diffusion
Le Traffic Light Protocol (TLP), initié par le FIRST, utilise quatre niveaux de couleurs pour définir les périmètres de diffusion des informations.
| Niveau | Périmètre de diffusion | Exemples |
|---|---|---|
| TLP:RED | Diffusion limitée au seul périmètre interne d'une entité juridique, sur la base du besoin d'en connaître. | Partage en interne de l'équipe au sein d'une unité identifiée sur la base du besoin d'en connaître ; partage avec des sous-traitants internes (régie). |
| TLP:AMBER | Diffusion limitée à quelques entités identifiées, liées par un engagement (ex : une communauté fermée). | Partage avec des sous-traitants et partenaires externes, filiales, groupes ; prestataires : partage auprès de l'ensemble de leurs clients. |
| TLP:GREEN | Diffusion libre au sein d'une communauté (ouverte ou fermée) bien identifiée, repartage libre au sein de ces communautés (prestataires inclus). | Partage avec les sous-traitants, groupes, filiales, partenaires, pairs de la communauté sans diffusion publique. |
| TLP:CLEAR | Diffusion publique, sans restriction, partage libre entre les différentes communautés, y compris sur Internet. | — |
Une communauté est un ensemble d'acteurs qui partagent des intérêts, des contraintes voire des règles communes pour résoudre une problématique ou rendre un service :
- Ouverte : liens informels, appartenance implicite.
- Fermée : liens formels (charte, contrat, règlementation), appartenance explicite.
NB : dans la version TLP 1.0, le marquage TLP:CLEAR était dénommé TLP:WHITE.
2. Marquage PAP pour l'utilisation
Le Permissible Actions Protocol (PAP), introduit en 2016 dans les taxonomies MISP, précise les limites d'exposition des informations.
| Niveau | Conditions d'utilisation | Exemples |
|---|---|---|
| PAP:RED | Utilisation limitée aux investigations numériques ou à la détection, sur des infrastructures dédiées : accès limité au besoin d'en connaître, infrastructure isolée des réseaux publics, seules les actions non visibles par les attaquants sont autorisées. | Collecte réseau/système sur un réseau isolé et maîtrisé ; analyse sur une infrastructure dédiée ; services IaaS/SaaS autorisés avec garanties de confidentialité. |
| PAP:AMBER | Utilisation limitée à une exploitation passive de la donnée, c'est-à-dire aux seules actions non directement visibles des sources malveillantes. | Recherches en sources ouvertes ; analyse d'infrastructure pour identifier des éléments malveillants. Les interactions à visée exploratoire avec l'infrastructure attaquante sont prohibées. |
| PAP:GREEN | Utilisation encadrée autorisant les interactions non intrusives avec des sources malveillantes. | Blocage au niveau du pare-feu des flux malveillants ; blocage au niveau du proxy des flux sortants malveillants. |
| PAP:CLEAR | Utilisation libre dans le respect des licences et de la loi, pas de contrainte relative à l'exploitation ou à la manipulation de l'information. | — |
NB : par cohérence avec le renommage de TLP:WHITE en TLP:CLEAR, l'ANSSI a choisi de privilégier désormais l'appellation PAP:CLEAR.
3. Politiques de partage appliquées par l'ANSSI
L'ANSSI définit huit combinaisons TLP/PAP valides (P1 à P8), en excluant délibérément certaines combinaisons (N/A).
| PAP:RED | PAP:AMBER | PAP:GREEN | PAP:CLEAR | |
|---|---|---|---|---|
| TLP:RED | P1 | P2 | N/A | N/A |
| TLP:AMBER | P3 | P4 | P5 | N/A |
| TLP:GREEN | N/A | P6 | P7 | N/A |
| TLP:CLEAR | N/A | N/A | N/A | P8 |
- P1 – TLP:RED / PAP:RED : la source malveillante ne doit pas suspecter qu'elle a été identifiée.
- P2 – TLP:RED / PAP:AMBER : intervention sur un parc suspecté compromis.
- P3 – TLP:AMBER / PAP:RED : besoins similaires à P1, mais périmètre de diffusion plus large.
- P4 – TLP:AMBER / PAP:AMBER : toucher des entités sujettes à une même campagne malveillante.
- P5 – TLP:AMBER / PAP:GREEN : permettre à des entités identifiées d'adopter une attitude proactive contre la menace.
- P6 – TLP:GREEN / PAP:AMBER : besoins similaires à P4, périmètre de diffusion plus large.
- P7 – TLP:GREEN / PAP:GREEN : diffuser largement une information utilisable directement.
- P8 – TLP:CLEAR / PAP:CLEAR : diffusion publique d'une information à caractère opérationnel.
En dehors du TLP:GREEN et du TLP:CLEAR, il n'est pas possible, pour un tiers ayant reçu une information indirectement de l'ANSSI, de repartager cette information à son tour.
En cas de besoin, il devra contacter l'ANSSI, de concert avec le récipiendaire initial, qui formalisera son accord ou se chargera de partager l'information avec ce nouvel interlocuteur.
4. Précautions de sécurité
La politique de marquage de l'ANSSI n'a pas vocation à imposer des contraintes de protection de l'information. Néanmoins, compte tenu des marquages TLP et PAP, les parties sont vivement incitées à appliquer les mesures suivantes :
| Mesure | P1 | P2 | P3 | P4 | P5 | P6/P7 | P8 |
|---|---|---|---|---|---|---|---|
| Formaliser un cadre d'échange | ✔ | ✔ | ✔ | ✔ | ✔ | ||
| Chiffrer les données en transit | ✔ | ✔ | ✔ | ✔ | ✔ | ||
| Assurer la traçabilité du transfert | ✔ | ✔ | ✔ | ✔ | ✔ | ||
| Contrôler l'accès aux données stockées | ✔ | ✔ | ✔ | ✔ | ✔ | ||
| Assurer la traçabilité des accès | ✔ | ✔ |
Il est de la responsabilité des parties prenantes de mettre en œuvre les mesures de sécurité appropriées.
Les informations qui ne sont plus utilisées doivent être détruites si l'Agence en fait la demande expresse. Sinon elles ont vocation à être archivées.
Le destinataire de l'information peut toujours contacter l'Agence pour confirmer le niveau de marquage ou pour faire évoluer les mesures relatives à l'archivage.
FAQ et cas d'usage