Ce que la cybersécurité a à apprendre des jeux vidéo

Les moyens mis en œuvre pour protéger la sécurité numérique des personnes et des États ne cessent d’évoluer avec le temps. Pour améliorer ces performances, les professionnels de la cybersécurité peuvent se tourner vers un secteur riche en enseignements, celui des jeux vidéo.

Le problèmes des outils de cybersécurité

Pour garantir notre protection, de nouvelles solutions de sécurité sont proposées chaque année par les industriels. Ces solutions, souvent faillibles, peinent à convaincre les utilisateurs puisqu’elles ne permettent pas une réelle implication de l’utilisateur. Pour s’améliorer, l’industrie de la cybersécurité devrait peut-être s’inspirer des règles et pratiques des jeux vidéo.

Les jeux vidéo et l’implication de l’utilisateur

Parmi les caractéristiques des jeux vidéo, et les raisons de la fidélité des joueurs, on trouve en premier lieu la notion de gameplay. Il s’agit de la sensation tactique et de l’interaction du joueur avec le jeu, en dehors des effets visuels et sonores. De la qualité du gameplay dépend le succès du jeu vidéo. S’inspirer de ce concept signifierait pour les industriels de la cybersécurité proposer des outils engageants pour l’utilisateur. En étant l’acteur de sa propre protection, il prendrait conscience de l’importance de perdre certaines mauvaises habitudes.

La force de la communauté des joueurs et l’ensemble des stratégies élaborées, notamment dans les jeux PVP comme Mech Arena ou Total Domination, sont un autre aspect à exploiter pour améliorer les performances des outils de protection numérique. La logique, la ténacité et la vigilance des joueurs sont autant d’attributs à transposer chez les utilisateurs de produits virtuels.

Les jeux RTS, une source d’inspiration méconnue

La cybersécurité et les jeux RTS, des principes communs

Parmi les nombreux types de jeux vidéo, il y en a un dont les mécanismes sont particulièrement intéressants pour la cybersécurité : les jeux RTS (Real-Time Strategy) ou STR en français (Stratégie en Temps Réel). Le principe de ces jeux est de construire des structures et des unités dans le but d’acquérir des ressources pour défendre les zones contrôlées par le joueur en temps réel.

Les similarités entre jeux RTS et protection numérique traditionnelle

Les principes et pratiques des jeux RTS rappellent les règles du monde de la cybersécurité. Dans les deux cas, l’utilisateur doit comprendre la nature du terrain ou de la structure, construire et gérer des structures ou des logiciels, prioriser les alertes et les attaques, gérer les ressources, évoluer dans un climat d’incertitude et maîtriser le micro management et le macro management.

Les différences entre la cybersécurité et les jeux RTS

Si ces similarités sont frappantes, les différences entre ces deux univers le sont tout autant puisqu’il est facile d’apprendre les règles des jeux RTS, mais très difficile de comprendre celles de la cybersécurité. De même, il est difficile de se défendre en équipe dans le monde réel alors que c’est la base des jeux vidéo. Et bien sûr, ne pas réussir à contrer une attaque dans un jeu RTS ne fait que redémarrer la partie, tandis que les conséquences sont bien plus graves lorsqu’il s’agit d’une agression dans la réalité.
En fait, ce sont ces différences qui devraient inspirer les concepteurs d’outils de protection numérique. En faisant des utilisateurs les acteurs de leur propre sécurité et en leur permettant d’apprendre rapidement et facilement les règles de la protection numérique, un grand nombre de menaces et d’attaques pourraient facilement être parées au quotidien.

Le monde de la cybersécurité a tout à gagner à tirer des enseignements d’autres secteurs, notamment ceux du divertissement, pour améliorer la performance de ses produits.

83 vulnérabilités Microsoft dont 7 critiques et 1 activement exploitée

Patch Tuesday Microsoft & Adobe – 83 vulnérabilités Microsoft dont 7 critiques et 1 activement exploitée. 60 vulnérabilités Adobe dont 28 critiques.

Microsoft corrige 83 vulnérabilités avec la publication de son Patch Tuesday de décembre 2021, dont 5 classées comme critiques. L’édition de décembre corrige aussi une vulnérabilité Zero-Day activement exploitée. Les produits concernés par la mise à jour de sécurité de décembre de Microsoft sont Microsoft Office, Microsoft PowerShell, le navigateur Microsoft Edge basé sur Chromium, le noyau Windows, le spooler d’impression et le client du service Bureau à distance. Microsoft corrige des problèmes dans les logiciels, y compris des vulnérabilités par exécution de code à distance (RCE), des failles de sécurité facilitant une élévation des privilèges ainsi que des problèmes d’usurpation et de déni de service. 

Vulnérabilités Microsoft à prioriser et corriger… rapidement. 

CVE-2021-43890 | Vulnérabilité d’usurpation d’identité dans le programme Windows d’installation de paquets AppX. 

Cette vulnérabilité CVSS 7.1 est un Zero-Day identifié comme une vulnérabilité d’usurpation d’identité activement exploitée dans le programme d’installation de logiciels AppX et qui affecte Microsoft Windows. Microsoft a identifié des attaques qui tentent d’exploiter cette vulnérabilité en utilisant des paquets malveillants comprenant la famille de malware Emotet/Trickbot/Bazaloader.

Un attaquant peut créer une pièce jointe malveillante qui sera ensuite utilisée pour des campagnes de phishing. Il suffira ensuite à l’attaquant de persuader l’utilisateur ciblé d’ouvrir cette pièce jointe malveillante. Les utilisateurs dont les comptes sont configurés pour avoir moins de droits utilisateur sur le système seront moins impactés que les utilisateurs ayant des droits administratifs. 

CVE-2021-43215 | Vulnérabilité de corruption de mémoire sur le serveur iSNS pouvant entraîner l’exécution de code à distance 

Cette vulnérabilité d’exécution de code à distance (RCE) cible le protocole Internet Storage Name Service (iSNS) qui facilite les interactions entre les serveurs et les clients iSNS. Un attaquant peut envoyer une requête malveillante au serveur iSNS pour déclencher une exécution de code à distance. Avec un score de sévérité CVSS de 9,8, cette vulnérabilité critique doit être corrigée en priorité. 

CVE-2021-43217 | Vulnérabilité d’exécution de code à distance dans le système de chiffrement de fichiers EFS de Windows. 

Il s’agit d’une vulnérabilité RCE qui cible le système de chiffrement de fichiers (EFS) et qui permet à un attaquant de provoquer un débordement de tampon d’écriture entraînant une exécution de code non mis en bac à sable et non authentifié. Avec un score de sévérité CVSS de 8,1, il s’agit d’une vulnérabilité à corriger rapidement. 

Microsoft est en train de résoudre cette vulnérabilité via un déploiement en deux temps. Ces mises à jour corrigent la vulnérabilité en modifiant la manière dont le système EFS établit les connexions depuis le client vers le serveur. 

Pour obtenir des conseils sur la façon de gérer les modifications requises pour cette vulnérabilité et pour en savoir plus sur le déploiement par étapes, se reporter à l’article KB5009763: EFS security hardening changes in CVE-2021-43217

Lorsque la deuxième phase de mises à jour Windows sera disponible au cours du premier trimestre 2022, les clients seront avertis au moyen d’une révision de cette vulnérabilité de sécurité. Pour être avertis de la disponibilité de cette mises à jour, nous vous invitons à vous inscrire à la liste de diffusion des avis de sécurité qui vous tiendra informés des modifications de contenu qui seront apportées à cet avis. Voir les avis de sécurité technique de Microsoft (Microsoft Technical Security Notifications)

CVE-2021-43905 | Vulnérabilité d’exécution de code à distance dans les applications Microsoft Office 

Il s’agit là d’une vulnérabilité d’exécution de code à distance (RCE) non authentifiée dans les applications Microsoft Office. À corriger rapidement car elle affiche un score de sévérité de 9,6. 

CVE-2021-41333 | Vulnérabilité d’élévation de privilèges dans le spooler d’impression Windows 

Cette vulnérabilité d’élévation de privilèges dans le spooler d’impression Windows qui a été rendue publique peut être facilement attaquée si bien qu’avec un score de sévérité de 7,8 cette vulnérabilité doit être corrigée rapidement. 

CVE-2021-43233 | Vulnérabilité d’exécution de code à distance sur le client Bureau à distance 

Cette vulnérabilité RCE critique contenue dans le déploiement mensuel de Windows doit elle aussi être corrigée rapidement en raison d’un score de sévérité de 7,5. 

Adobe Patch Tuesday – Décembre 2021 

À l’occasion de ce Patch Tuesday, Adobe a publié 11 mises à jour de sécurité pour ses produits qui permettent de corriger 60 vulnérabilités CVE dont 28 sont classées comme critiques et qui impactent les produits Adobe After Effects, Dimension, Experience Manager, Media Encoder, Photoshop, Prelude, ainsi que Premiere Pro et Rush.