Cybersécurité, cyberdéfense : le 5e champ de bataille

Dans ce douzième numéro de Pensez stratégique, le podcast de l'Académie de défense de l'École militaire, Daniel Desesquelle reçoit le général de corps d'armée Aymeric Bonnemaison, commandant de la cyberdéfense, et le général d'armée (2S) Marc Watin-Augouard, fondateur du Forum international de la cybersécurité. Après la terre, la mer, l'air et l'espace, le cyberespace est devenu un champ de bataille où l'adversaire agit masqué, sous le seuil de la guerre. Les deux officiers racontent comment la France protège ses systèmes, attribue les attaques, répond aux manipulations de l'information, et ce que la guerre en Ukraine a appris aux cybercombattants.

Un champ de bataille qui ne dort jamais

Dans ce numéro de Pensez stratégique, Daniel Desesquelle confronte deux regards sur la cyberdéfense française : celui du général de corps d’armée Aymeric Bonnemaison, commandant de la cyberdéfense (COMCYBER), et celui du général d’armée (2S) Marc Watin-Augouard, qui a créé en 2007 le Forum international de la cybersécurité (FIC) pour que civils et militaires, État, entreprises et universités se parlent. Ce dernier commence par préciser le vocabulaire : il juge le mot cyberespace dépassé, car le numérique « irrigue l’ensemble de nos activités », « comme le système nerveux ». La cybersécurité est selon lui un état, qui repose sur trois piliers : la sécurité des systèmes d’information, la lutte contre la cybercriminalité et la cyberdéfense, qui protège ce qui est essentiel à la nation et comprend aussi un volet offensif. Avec mille milliards de machines connectées annoncées pour 2030, les surfaces d’attaque s’étendent : « à partir du moment où vous êtes connecté, vous êtes attaquable ». Le général Bonnemaison situe l’élément déclencheur pour les militaires en 2007, avec l’attaque russe par déni de service contre l’Estonie après le retrait d’une statue soviétique, puis le Livre blanc de 2008. Venu de la guerre électronique, il explique ce qui a changé : on écoutait autrefois les flux, on va aujourd’hui chercher les données dans le système de l’adversaire, avec deux risques, l’espionnage et la neutralisation. L’intrus peut rester caché longtemps et frapper au moment choisi, en coordination avec une action dans un autre milieu. Plutôt que de paix, de crise et de guerre, les armées parlent désormais de compétition, de contestation et d’affrontement, et le commandant de la cyberdéfense estime que ses équipes vivent les trois à la fois.

Pour le général Watin-Augouard, le premier rempart reste l’individu : l’ingénierie sociale exploite ce que chacun expose en ligne, d’où l’insistance des deux officiers sur l’hygiène informatique, du soldat au plus grand chef.

Russie, Chine et attaques masquées

Les deux invités reviennent sur des attaques qui ont marqué les esprits. Celle contre TV5 Monde, d’abord présentée comme l’œuvre d’un groupe terroriste, a été attribuée à la Russie : pour le général Bonnemaison, l’exemple montre qu’une fausse piste lancée tôt reste dans les esprits. Le général Watin-Augouard cite une attaque russe visant l’Ukraine dont Saint-Gobain, Renault et la SNCF ont subi les effets, puis le sabotage d’une centrale nucléaire iranienne, mené de 2006 à 2010 au moyen d’une clé USB introduite par un ingénieur dans un système pourtant fermé, qui a mis hors d’usage un millier de centrifugeuses. Le cybercriminel ordinaire, explique le commandant de la cyberdéfense, pêche au chalut et passe à autre chose quand la cible résiste ; un État ou un service de renseignement prend son temps et sait où il veut aller. Il cite parmi les principaux acteurs la Russie, la Chine, la Corée du Nord et l’Iran. La Russie mêle depuis longtemps renseignement, guerre informationnelle et effets cyber ; la Chine privilégie l’espionnage économique et le prépositionnement sur des systèmes, comme dans deux campagnes signalées par les Américains, l’une destinée à entraver une intervention américaine dans le Pacifique, l’autre tournée vers l’espionnage. Entre alliés, la coopération existe surtout en lutte informatique défensive, où les commandements cyber échangent traces et modes d’action. Pour le général Watin-Augouard, il est plus facile d’aligner des avions dans une coalition que de bâtir une coalition cyber, parce qu’on y dévoile ses faiblesses.

Même les réseaux militaires fermés doivent parfois se connecter, pour les chaînes d’approvisionnement ou les mises à jour, y compris par les ondes : autant de portes possibles, rappelle le général Bonnemaison.

Défendre, attaquer, influencer

Le commandant de la cyberdéfense décrit ses deux missions : protéger les systèmes d’information et les systèmes d’armes des armées et du ministère, par délégation de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), et conduire les opérations dans le cyberespace, qu’il présente comme un milieu « sécant » aux autres, construit par l’homme sur la technologie. Il dispose d’environ 4 000 à 4 500 cybercombattants, et la France a choisi de les répartir au plus près des unités plutôt que de créer une armée du cyber, à la différence de l’Allemagne ou de Singapour : un cybercombattant embarqué sur une frégate reste un marin qui connaît ses systèmes. La doctrine repose sur trois volets. La lutte informatique défensive (LID) surveille les réseaux, corrige les vulnérabilités et intervient sur place après une attaque, l’attribution restant un long travail mené avec les services de renseignement face à un adversaire qui se masque. La lutte informatique offensive (LIO) vise à connaître les intentions de l’adversaire ou à neutraliser ses moyens. La lutte informatique d’influence (L2I) est née, selon le général Bonnemaison, face à la propagande de recrutement de Daech, puis aux campagnes russes en Afrique francophone, notamment en République centrafricaine. Les armées la conduisent uniquement hors du territoire national, où c’est Viginum, placé auprès du Premier ministre, qui détecte les campagnes inauthentiques. « On a le droit à la ruse, mais pas à la perfidie », résume-t-il. Pour le général Watin-Augouard, « le XXIe siècle, ce sera la guerre des esprits », et nos cerveaux sont les systèmes de traitement de données « les moins bien protégés ». Sur l’Ukraine, le général Bonnemaison tire une leçon d’optimisme : la défense construite depuis 2014 a contenu la première vague d’attaques russes de février 2022, malgré la chute d’un système de communication par satellite. La lutte s’est ensuite déplacée vers la guerre électronique, où l’on se bat « pour chaque MHz », avant une régénération des capacités offensives russes, visible dans l’attaque contre un grand opérateur ukrainien de 15 millions d’abonnés.

L’échange se termine sur la protection réussie des Jeux olympiques et paralympiques, sur l’idée d’une culture cyber partagée par tous les citoyens et sur un appel aux jeunes, que le COMCYBER cherche à attirer dès le lycée avec des épreuves de type « capture the flag ».

Les références de l’épisode

• Forum international de la cybersécurité (FIC) : créé en 2007 par le général Watin-Augouard pour réunir civils et militaires, État, entreprises et universités.
• Institut des hautes études de défense nationale (IHEDN) : le général Watin-Augouard y a dirigé la majeure « souveraineté numérique et cybersécurité ».
• Agence nationale de la sécurité des systèmes d’information (ANSSI) : chargée des systèmes civils et des infrastructures critiques, elle délègue au COMCYBER le périmètre des armées.
• Viginum : service placé auprès du Premier ministre, qui détecte les campagnes de manipulation de l’information sur le territoire national.
• Directive NIS 2 : directive européenne qui demande aux opérateurs et entités essentiels de renforcer leur protection.
• Livre blanc de 2008 : il prenait déjà en compte la menace cyber, selon le général Bonnemaison.
• Attaque contre l’Estonie (2007) : élément déclencheur de la prise de conscience des militaires.
• Attaque contre TV5 Monde : présentée d’abord comme terroriste, attribuée ensuite à la Russie.
• Pôle d’excellence cyber : coopération entre la région Bretagne et le ministère des Armées.
• Agence ministérielle de l’intelligence artificielle de défense (AMIAD) : installée à proximité du COMCYBER.
• Direction générale de l’armement (DGA) : fournisseur des systèmes de protection, présente en Bretagne.

Au fil de l’épisode

• 00:00:54 : Présentation des deux invités et ordre de grandeur des cyberattaques
• 00:02:44 : Cyberespace, cybersécurité, cyberdéfense : les définitions
• 00:05:15 : La création du COMCYBER et l’attaque contre l’Estonie en 2007
• 00:07:16 : De la guerre électronique à la cyberattaque : des flux aux données
• 00:10:09 : Les cibles potentielles et l’hygiène informatique
• 00:12:53 : La naissance de l’ANSSI et le retard français des années 2000
• 00:14:34 : Le périmètre et les missions du commandant de la cyberdéfense
• 00:17:25 : Compétition, contestation, affrontement : sommes-nous en guerre ?
• 00:18:27 : Systèmes civils ouverts, systèmes militaires fermés
• 00:20:47 : L’attaque contre TV5 Monde et les fausses pistes
• 00:22:13 : Cybercriminels et attaquants étatiques
• 00:23:43 : Une centrale nucléaire iranienne sabotée par une clé USB
• 00:24:09 : Russie, Chine, Corée du Nord, Iran : des stratégies différentes
• 00:26:51 : Faut-il se méfier de ses alliés ?
• 00:29:48 : Cesson-Sévigné et le pôle cyber breton
• 00:31:32 : La loi de programmation militaire et les moyens du COMCYBER
• 00:32:45 : Les cybercombattants, leurs profils et leur recrutement
• 00:34:39 : Pourquoi la France n’a pas créé d’armée du cyber
• 00:37:11 : L’épée et le bouclier à l’heure de l’intelligence artificielle
• 00:39:09 : LID, LIO et L2I : les trois volets de la cyberdéfense
• 00:41:10 : De la propagande de Daech aux campagnes russes en Afrique
• 00:43:48 : Défenseur ou attaquant : la spécialisation des cybercombattants
• 00:44:33 : Remonter jusqu’à l’attaquant : imputation et attribution
• 00:46:44 : Un avion de patrouille maritime pris pour cible radar au-dessus de la Baltique
• 00:47:46 : Les leçons de la guerre en Ukraine
• 00:51:58 : Culture cyber et vigilance
• 00:53:21 : Les Jeux olympiques et l’appel à la jeunesse

FAQ

Qu’est-ce que le Commandement de la cyberdéfense ?

Selon le général de corps d’armée Aymeric Bonnemaison, qui le dirige, le Commandement de la cyberdéfense (COMCYBER) a deux missions : protéger et défendre les systèmes d’information, de communication et d’armes des armées et du ministère, par délégation de l’ANSSI, puis concevoir et conduire les opérations militaires dans le cyberespace. Il réunit environ 4 000 à 4 500 cybercombattants.

Que signifient LID, LIO et L2I ?

Ce sont les trois volets de la stratégie française de cyberdéfense. La lutte informatique défensive (LID) surveille et protège les réseaux, la lutte informatique offensive (LIO) vise les systèmes de l’adversaire pour connaître ses intentions ou les neutraliser, et la lutte informatique d’influence (L2I) détecte et caractérise les manipulations de l’information autour des opérations extérieures.

Pourquoi la France n’a-t-elle pas créé une armée du cyber ?

Le général Bonnemaison explique qu’une armée à part serait moins proche des missions. La France répartit ses cybercombattants dans les régiments, sur les bâtiments et sur les bases aériennes : sur une frégate, le cybercombattant est aussi marin et connaît les systèmes à protéger. L’Allemagne et Singapour ont fait le choix inverse d’une structure dédiée.

Que retenir de la guerre en Ukraine pour la cyberdéfense ?

Pour le commandant de la cyberdéfense, une défense bien construite peut contenir l’adversaire : l’Ukraine, qui avait bâti une capacité entre 2014 et 2022, a résisté à la première vague d’attaques russes, malgré la chute d’un système de communication par satellite. Le combat s’est ensuite déplacé vers la guerre électronique, où chaque fréquence se dispute.

Qui surveille les manipulations de l’information sur le territoire français ?

Selon le général Bonnemaison, les armées ne conduisent la lutte informatique d’influence qu’à l’extérieur du pays, dans un cadre fixé par la loi. Sur le territoire national, c’est Viginum, placé auprès du Premier ministre, qui détecte les campagnes inauthentiques coordonnées par un adversaire extérieur, sans viser les opinions des personnes.