Les enseignements que nous tirons de notre incident de sécurité

Christopher BurgerDirecteur de la sécurité des systèmes d’information | F5

La semaine dernière, nous avons révélé un important incident de sécurité impliquant un acteur malveillant étatique extrêmement sophistiqué. En tant que RSSI, je sais ce que l’on ressent lorsque ce genre de nouvelle vient d’un partenaire. Je comprends à quel point cette situation a été difficile et perturbante pour nos clients. Nous leur présentons nos plus sincères excuses et assumons l’entière responsabilité de cet incident.

Au cours de la semaine écoulée, nous avons échangé avec des centaines de nos clients ainsi qu’avec des groupes de responsables de la sécurité des systèmes d’information. Je tiens à remercier nos clients et l’ensemble de la communauté de la cybersécurité pour l’esprit de collaboration dont vous avez fait preuve durant cette période difficile.

Nous nous engageons à tirer les enseignements de cet incident et nous savons que nous pouvons améliorer certains aspects. Le principal enseignement que nous en tirons à ce stade est que nos contrôles étaient inégaux : robustes dans certains domaines, mais pas dans d’autres. Nous ferons mieux.

Les équipes de toute l’entreprise se sont mobilisées pour prendre rapidement des mesures coordonnées visant à rétablir la confiance et à renforcer durablement le niveau de sécurité. Nous avons amélioré l’automatisation de la gestion de notre inventaire et de nos correctifs, et renforcé notre surveillance à des fins de détection et de réponse. Nous développons nos capacités Zero Trust dans l’ensemble de notre infrastructure et de nos opérations, et nous collaborons avec CrowdStrike afin d’apporter une visibilité avancée sur les terminaux à F5 BIG-IP. Nous déployons notamment CrowdStrike EDR sur les appareils BIG-IP situés à la périphérie de notre réseau d’entreprise. Nous proposons également cette même protection à nos clients pour leurs parcs BIG-IP.

Nous continuons à travailler sans relâche pour remédier à la situation, en étroite collaboration avec nos clients à chaque étape. À mesure que notre enquête progresse et que nous tirons les enseignements de cet incident, nous partagerons nos conclusions afin de contribuer à renforcer l’ensemble de la communauté de la cybersécurité.

À cette fin, vous trouverez ci-dessous les questions que nos clients me posent le plus souvent en ce moment, ainsi que des réponses et des recommandations :

À quel type de données clients l’auteur de la menace a-t-il eu accès ?

Certains des fichiers exfiltrés de notre plateforme de gestion des connaissances contenaient des informations concernant un faible pourcentage de clients. Il est important de souligner que nous ne disposons toujours d’aucun élément indiquant que des données provenant de nos systèmes CRM, financiers, de gestion des dossiers d’assistance ou F5 iHealth ont été consultées ou exfiltrées. Les données clients concernées que nous avons identifiées sont principalement des notes internes sur les interactions avec les clients, qui peuvent inclure des informations utilisées pour le dépannage, le développement de fonctionnalités et les demandes de correction de bugs.

Notre examen approfondi de ces fichiers est toujours en cours. Bien que nous avancions rapidement, nous prenons le temps nécessaire pour fournir des informations exactes. Nous avons déjà informé les clients dont nous avons identifié les données à ce jour et nous continuerons à les tenir directement au courant à mesure que nous en apprendrons davantage.

Les informations exfiltrées ont-elles été divulguées publiquement ou sur le Dark Web ?

Nous n’avons constaté aucune diffusion publique ou sur le Dark Web des informations exfiltrées lors de cet incident, ni aucun signe d’exploitation active des vulnérabilités auxquelles les auteurs ont eu accès.

La CISA a publié une directive d’urgence concernant cet incident. Les clients doivent-ils s’inquiéter ?

Bien que nous n’ayons connaissance d’aucune vulnérabilité critique ou permettant l’exécution de code à distance qui n’aurait pas été divulguée, ni d’aucune exploitation des vulnérabilités que nous avons divulguées la semaine dernière, la directive de la CISA vient renforcer (1) notre vive recommandation, formulée dans notre avis, invitant les clients à mettre à jour leur logiciel BIG-IP dès que possible, et (2) nos recommandations de configuration, selon lesquelles les interfaces de gestion ne doivent jamais être exposées à l’Internet public et doivent toujours être protégées au moyen d’une segmentation appropriée, d’une isolation du réseau et de contrôles d’accès.

Les mises à jour annoncées dans notre bulletin de sécurité trimestriel corrigent des vulnérabilités de gravité élevée présentes dans les informations auxquelles l’acteur malveillant a accédé. Nous avons également mis à disposition des ressources supplémentaires pour aider nos clients à renforcer et à surveiller leurs environnements F5 ici. Nous continuerons à collaborer étroitement avec la CISA et nos clients afin de garantir la clarté, la transparence et la confiance dans nos produits.

Pourquoi n’avez-vous pas divulgué l’incident plus tôt ?

Nous savons qu’il est important de communiquer rapidement sur les incidents de sécurité, et nous nous sommes efforcés de divulguer cet incident dans les meilleurs délais, de manière responsable, précise et exploitable. Nous avons également travaillé en étroite collaboration avec les forces de l’ordre et nos partenaires gouvernementaux.

Quel est l’impact de l’accès de l’acteur malveillant au code source de BIG-IP ?

Tout d’abord, nous ne disposons d’aucun élément indiquant que notre chaîne d’approvisionnement logicielle, notamment notre code source ainsi que nos pipelines de compilation et de publication, a été modifiée. Cette évaluation a été confirmée par des examens indépendants menés par NCC Group et IOActive, deux sociétés de recherche de premier plan dans le domaine de la cybersécurité. Afin de maintenir une surveillance rigoureuse, nous continuerons à faire appel à elles pour mener des analyses régulières.

Deuxièmement, nous invitons instamment nos clients à mettre à jour leur logiciel BIG-IP dans les plus brefs délais. Les nouvelles versions ont été téléchargées 24 000 fois, ce qui signifie qu’un nombre important de nos clients sont en passe d’utiliser le logiciel mis à jour. Nous avons également fourni plus de 200 versions personnalisées à nos clients.

Dans les semaines à venir, nous lancerons également un programme de primes aux bugs afin de renforcer davantage la sécurité de nos produits.

Comment puis-je commencer à utiliser CrowdStrike Falcon sur BIG-IP ?

CrowdStrike Falcon Sensor et Overwatch Threat Hunting sont désormais disponibles en accès anticipé sur BIG-IP Virtual Edition (VE), et le seront prochainement sur les systèmes matériels BIG-IP. En permettant aux clients de F5 d’intégrer directement Falcon Sensor de CrowdStrike à la plateforme F5 BIG-IP et de tirer parti du service managé de traque des menaces CrowdStrike Falcon Adversary OverWatch, les deux entreprises étendent la sécurité adaptative basée sur l’IA au périmètre du réseau, là où les entreprises exposent leurs flux d’applications et d’API les plus critiques.

F5 offre aux clients BIG-IP éligibles un accès gratuit jusqu’au 14 octobre 2026 afin de leur permettre d’adopter immédiatement une sécurité basée sur l’IA et une traque des menaces au niveau du réseau, sans frais initiaux. Les clients F5 BIG-IP intéressés peuvent obtenir plus d’informations et commencer ici.

Allez-vous publier d’autres correctifs ? Devons-nous nous attendre à de nouvelles versions prochainement ?

Nous prévoyons de maintenir notre rythme actuel de mises à jour et de correctifs pour BIG-IP. Nous traiterons et communiquerons toute vulnérabilité conformément à notre politique de réponse aux vulnérabilités. Cela étant, à ce jour et sur la base de notre analyse des journaux disponibles, nous n’avons connaissance d’aucune vulnérabilité critique ou permettant l’exécution de code à distance qui n’aurait pas été divulguée, et nous n’avons connaissance d’aucun signalement faisant état de l’exploitation active d’une quelconque vulnérabilité F5 non divulguée.

Pouvons-nous obtenir des indicateurs de compromission (IOC) ?

Les IOC sont mis à la disposition des clients F5 sur demande. Les clients peuvent ouvrir un dossier d’assistance MyF5 ou contacter l’assistance F5 ou directement leur équipe de compte afin d’obtenir les IOC ainsi qu’un guide de recherche des menaces.

Le guide de recherche des menaces a été élaboré par CrowdStrike et n’est pas spécifique à F5. Il est destiné à vous aider à rechercher l’acteur malveillant dans votre propre environnement.

Quelles sont les versions corrigées de BIG-IP ?

Les versions mises à jour de BIG-IP que les clients doivent installer :

• BIG-IP 17.5.1.3
• BIG-IP 17.1.3
• BIG-IP 16.1.6.1
• BIG-IP 15.1.10.8

Vous trouverez plus d’informations sur ces versions et sur les vulnérabilités que nous avons corrigées dans la notification trimestrielle de sécurité du mois d’octobre.

Que devons-nous faire si nous utilisons une version en fin de vie (EOL) qui n’est pas prise en charge par F5 ?

Nous vous recommandons vivement de mettre à jour toutes les versions logicielles en fin de vie (EOL) vers des versions actuellement prises en charge par F5 afin de bénéficier des dernières mises à jour et améliorations de sécurité.

Vous pouvez contacter le support F5 directement pour obtenir de l’aide concernant la mise à jour de vos systèmes BIG-IP.

À propos de l’auteur

Christopher BurgerDirecteur de la sécurité des systèmes d’information | F5

Chris Burger est directeur de la sécurité des systèmes d’information chez F5, où il pilote la stratégie, les programmes et la gouvernance en matière de cybersécurité. Dirigeant pragmatique dans le domaine de la cybersécurité, Chris possède plusieurs décennies d’expérience dans la réponse aux incidents de sécurité, les opérations et l’ingénierie. Avant de rejoindre F5, il a été le premier RSSI de Slalom, chargé de superviser la stratégie et la gouvernance de l’entreprise en matière de sécurité afin d’accompagner ses activités et sa croissance à l’échelle mondiale. Au cours de sa carrière, Chris a dirigé des équipes de cybersécurité dans les secteurs fortement réglementés des services financiers et des télécommunications, notamment chez Washington Mutual, Corbis, Clearwire et Russell Investments.

Autres articles de Christopher Burger