Veille Cyber #2 : CISA, MFA et IA en SOC

La CISA (Cybersecurity and Infrastructure Security Agency), l’agence fédérale américaine de cybersécurité, a subi une fuite exposant des identifiants AWS GovCloud . Des parlementaires ont demandé des explications officielles. L’agence, connue pour publier des guides de durcissement et gérer le catalogue KEV, s’est retrouvée dans la position inconfortable de l’élève qui rate son propre examen.

Pourquoi c’est important ? Les secrets cloud (clés d’accès, jetons API, mots de passe de service) sont l’un des points faibles les plus courants en production. Ils finissent dans des fichiers de configuration, des logs, des dépôts publics ou des variables d’environnement mal protégées. Quand une organisation comme la CISA est touchée, le message est clair : ce problème ne concerne pas que les petites structures.

Honnêtement, ce qui me frappe ce n’est pas tant la faille que le contexte. En SOC, les alertes pour des secrets exposés dans Git font partie du quotidien. Le réflexe correctif existe : rotation de clé, révocation immédiate, audit de l’étendue de l’accès. Mais il faut l’avoir automatisé avant l’incident, pas après. La vraie question c’est : est-ce que vous sauriez détecter une clé cloud exposée dans votre code ce soir ?

Source : KrebsOnSecurity ↗.

Le FBI alerte sur Kali365 , une plateforme de phishing vendue comme service (PhaaS). Elle cible les comptes Microsoft 365 et contourne la double authentification via une technique dite AiTM (Adversary-in-the-Middle). Un faux site Microsoft joue le rôle d’intermédiaire : la victime entre ses identifiants et valide sa MFA normalement, mais l’attaquant récupère le jeton de session en temps réel. Il peut ensuite se connecter sans avoir eu besoin du code à six chiffres.

Pourquoi c’est important ? La MFA reste essentielle. Mais comprendre ses limites l’est tout autant. Les MFA par SMS ou par code TOTP (Google Authenticator) sont vulnérables à l’AiTM. Arriver en entretien avec cette nuance en tête, c’est déjà se démarquer de la majorité des candidats.

La vraie question c’est : quelle MFA résiste vraiment ? Les clés physiques FIDO2 (type YubiKey) vérifient le domaine du site lors de l’authentification. Si le site est un faux, la clé refuse. Pas parfait dans tous les contextes, mais nettement plus robuste face à ce type d’attaque. C’est pour ça que les organisations les plus exposées migrent vers FIDO2.

Source : BleepingComputer ↗.

Cisco a expérimenté l’IA générative pour produire des rapports d’incident dans ses équipes SOC. Le résultat est nuancé : les rapports sortent plus vite, mais les analystes ont relevé des imprécisions, un manque de contexte technique et des formulations trop génériques pour être directement exploitables.

Pourquoi ça compte ? Si vous visez un poste SOC, la question est directe : l’IA va-t-elle remplacer les analystes ? La réponse de Cisco est non, pas sans supervision humaine. L’IA peut prendre en charge la structure de base, mais quelqu’un doit valider et apporter le contexte que l’outil n’a pas.

Je dois dire que c’est l’actualité qui me parle le plus cette semaine. En SOC, les rapports d’incident prennent du temps, surtout en fin de nuit. Si l’IA génère un premier jet et que l’analyste se concentre sur la partie critique, c’est un gain réel. Déléguer sans relire, c’est là que ça se complique.

Source : The Register ↗.

À vendredi prochain. D’ici là, un réflexe simple : si vous avez un projet sur GitHub, scannez-le pour des secrets exposés. Vous seriez surpris de ce qui traîne depuis des mois. Lénaïck