In CyberWar, size does matter

De nombreux stratégistes et experts de la chose militaire avancent l'idée selon laquelle le combat cyber (cyberwar) serait purement asymétrique. Le cyber serait le domaine par excellence où le faible pourrait faire trembler le fort « à moindre frais ». La thèse va même plus loin et l'on évoque alors parfois « le pouvoir égalisateur du cyber » en référence aux écrits de Pierre Marie Gallois, stratégiste de l’ère nucléaire.

Ceux-là n'ont visiblement jamais supervisé un système d'information ni essayé de s'introduire ne serait-ce que dans un serveur web... La réalité est bien plus cruelle, pour atteindre un objectif, défensif comme offensif, il faut des moyens, beaucoup de moyens. Ainsi, dans ce domaine comme dans les autres, point de révolution, les capacités et donc l’efficacité des armées repose toujours et encore sur : une ressource humaine en quantité suffisante, des compétences pointues, acquises et entretenues, une organisation opérationnelle efficace et une doctrine commune.

Dans le cyber la taille compte et le petit ne fait pas vraiment trembler le gros. Pourtant l'asymétrie au niveau tactique existe (elle représente même une large majorité des actions quotidiennes sur un système – la cyber-pollution) mais son impact demeure bien souvent limité. Ceux qui ont les moyens de se défendre et d'organiser la supervision et la résilience de leurs systèmes ne craignent par pour leur survie (tout juste pour leur image). La taille compte ensuite car elle génère de nouvelles failles, des faiblesses et fait changer d'échelle la politique de défense d'un système. A partir d'un certain point, la taille impose de conduire une manœuvre, de piloter finement les changements, les nouveaux déploiements... la taille appelle la stratégie.

Ainsi donc, dans le cyberespace, « size does really matter ».

L'asymétrie tactique existe mais son impact est limité

l'assaillant isolé, « l'insurgé numérique » sans soutien particulier, peut obtenir des gains tactiques mais son action ne peut changer le cours des évènements. L'équivalent numérique du combat asymétrique se retrouve dans la lutte entre des groupes de hackers (plus ou moins agiles) et les gouvernements. On a beaucoup glosé sur la Syrian Electronic Army (l'armée syrienne électronique) groupe agissant contre les intérêts occidentaux pour soutenir le régime syrien. Ce dernier a en effet a son tableau de chasse quelques trophées symboliques, des « flags », qui ne relèvent pas nécessairement d'un niveau technique considérable mais qui traduisent plus surement les faiblesses dans les dispositifs de sécurité et dans les comportements des cibles. Au bilan, ce sont des comptes de réseaux sociaux détournés, des sites défacés, des messageries électroniques piratées. Du cyber-bruit qu'il faut étudier, suivre, analyser mais dont l'impact opérationnel est quasi nul. L'asymétrie est donc une réalité, le petit, sans grands moyens peut attaquer « le gros », à l'image de la mouche du coche il harcèle, perturbe, ralenti, interroge mais ne neutralise pas, ne change pas fondamentalement la donne stratégique.

Plus on est gros plus on est vulnérable plus il faut de moyens pour se défendre

La taille compte également en matière de défense. La taille de nos réseaux domestiques, la multiplicité des architectures et des matériels, rend la défense périmétrique bien complexe à implémenter. Par ailleurs, les usages au sein de l'entreprise comme des administrations complexifient le travail de la SSI et donc en cas d'incident des équipes de cyberdéfense. Chacun importe son « monde numérique » sur son lieu de travail et la frontière entre sphère publique et privée a clairement disparue. Le BYOD, le besoin de connexion permanente sont autant de nouvelles vulnérabilités que l'utilisateur contribue à créer. Sur un plan plus technique, ce sont les interactions entre systèmes de contrôle et de production qui complexifient l'équation. Nos organisations plus complexes, plus automatisées deviennent des « obèses numériques » qui nécessitent de plus en plus de ressources pour assurer leur fonctionnement et leur sécurité. Pour l'acteur malveillant, la surface d'attaque ne fait que s'accroitre, plus gros donc plus fragile...

La constitution d'une capacité défensive crédible passe donc par le maintien d'un effort constant et la mobilisation de ressources importantes. L'attribution et les investigations techniques nécessitent également des ressources considérables qui dépassent le simple cadre du nombre de personnes qualifiées mobilisables. Ces actions imposent à la fois la maîtrise de quantités de données importantes (big data, capacités de stockage et de traitement) mais également des ressources pour leur traitement (puissance de calcul, cryptanalyse...).

Une course vers un horizon fuyant ?

Comprendre l'importance des ressources et des moyens pour conduire une politique efficace de cyberdéfense pose nécessairement la question des choix et des arbitrages à conduire dans un contexte économique contraignant. Mais résumer le mouvement en cours à une simple « fuite en avant » dispendieuse reviendrait à ne voir qu'une partie du problème et à négliger le potentiel de croissance associé à cette course. Le numérique et ses technologies sont un domaine où la frontière entre applications militaires et civiles est quasi inexistante. Au bilan, le point focal de ce mouvement demeure de disposer de systèmes plus rapides, plus sécurisés, garantissant un accès aux services sans restrictions, autant de domaines qui s'appliquent directement à l'ensemble de la communauté nationale.

Les forces terrestres et le cyberespace

Le centre de doctrine et d'emploi des forces (CDEF) vient de publier un "cahier du Retex" particulièrement intéressant. Cette dernière publication traite en effet des "forces terrestres et le cybberespace comme nouveau champ de bataille" (mai 2014).

Le document dans son chapitre introductif distingue les notions de "guerre de l'information" et de "guerre cybernétique". Cette dernière couvre un spectre plus limité que la première. Les auteurs rappellent les propositions de définitions publiées dans Cyberstratégie (NUVIS 2012). 

la cyberguerre (ou guerre numérique) comme « l’ensemble des actions militaires visant à la maîtrise du cyberespace afin, soit d’y conduire des opérations spécifiques, soit de préparer l’exploitation vers un autre espace de conflit (terre, air, mer) ».

Puis le document décrit les acteurs de l'affrontement dans le cyberespace, analyse les menaces qui pésent sur les forces terrestres avant d'effectuer un rapide tour d'horizon des réponses apportées aux niveaux interalliés et nationaux. Enfin, la dernière partie du rapport se penche sur le rapport entre la manœuvre terrestre et la "cyberguerre".

Document synthétique s'appuyant sur des sources variées, ce "cahier" offre au non spécialiste une excellente clef de lecture des aspects opérationnels du cyberespace militaire. Ce travail illustre également la réflexion actuelle au sein de l'armée de terre qui vient prolonger la vision plus large interarmées.

Rendez-vous au FILM !

Rendez-vous le vendredi 18 juillet et le samedi 19 juillet pour échanger autour de "Cybertactique"durant le Festival International du Livre Militaire (FILM).
Ce festival sera l'ocasion de rencontrer les auteurs et leurs ouvrages dans le cadre exceptionnel des Ecoles de Saint-Cyr Coëtquidan. Le cyber y sera à l'honneur avec également un des auteurs de "Attention Cyber!".

Qu'est-ce que le FILM ? Le festival rassemble pendant 2 jours des auteurs et des maisons d’édition dans une librairie spécialisée de 850 m2 , autour de la culture de Défense sur des thèmes aussi variés que l’histoire, la stratégie, les conflits contemporains, la jeunesse, la BD… En cette année marquée par le centenaire de la Première Guerre mondiale et le 70e anniversaire du débarquement en Normandie, l’actualité littéraire est très riche. Le festival 2014 se veut être un lien entre cette actualité et le grand public. Lire la suite sur le site web des écoles de Saint-Cyr Coëtquidan.

Hérodote a lu "Cybertactique", pourquoi pas vous ?

 A lire dans la revue Hérodote une recension de Cybertatique par Thomas Le Port (P 297).

"Bertrand Boyer, Cybertactique. Conduire la guerre numérique, Nuvis, Paris, 2014. Il s’agit du deuxième ouvrage de Bertrand Boyer après Cyberstratégie : l’art de la guerre numérique en 2012. Préfacé par le contre-amiral Arnaud Coustillère, officier général responsable de la cyberdéfense au ministère de la Défense, cette nouvelle œuvre de Bertrand Boyer aborde désormais non plus la cyberstratégie mais la cybertactique.

La distinction entre tactique et stratégie peut se décliner de diverses façons – toutes abordées dans l’ouvrage. Parmi celles proposées on peut lire : « La tactique se distingue fondamentalement de la stratégie car elle est un “art appliqué”, la tactique n’est pas le fruit du raisonnement théorique, elle s’applique à un ennemi, une situation, une technologie, pendant un instant et en un lieu. »

Bertrand Boyer, saint-cyrien, breveté de l’École de guerre et diplômé de Télécom ParisTech, propose un ouvrage clair, synthétique et méthodologique. Les tableaux et schémas sont assez nombreux et permettent de maintenir cet aspect pédagogique durant toute la lecture. La qualité majeure de l’ouvrage est qu’elle s’adresse à tous et sera une réelle source de réflexion pour les lecteurs de tous horizons qui s’intéressent aux problématiques liées à la cyberdéfense.

Dans ce deuxième ouvrage, il approfondit à une échelle plus opérationnele la notion de cyberdéfense, partant des conclusions de son premier ouvrage pour développer la question de la conduite des opérations dans le cyberespace, pour enfin aborder les défis de ce qu’il appelle désormais la guerre numérique.

Les concepts et doctrines émergents de la tactique numérique sont particulièrement présents et abordent par exemple l’organisation ainsi que la vision états-uniennes de la cyberdéfense. Qu’en est-il de l’organisation et du processus décisionnels aux États-Unis ? Les concepts de Network-Centric Warfare (NCW) et de Fourth Generation Warfare (4GW) sont, entre autres, abordés.

Après avoir détaillé les flous terminologiques liés au concept de cyberstratégie, notamment en se posant de multiples questions comme « le cyberespace est-il géopolitique ? » ou « le cyberespace est-il espace, territoire, ou autre chose ? », Bertrand Boyer aborde une classification méthodique dans un but tactique de tous les éléments composant la cyberdéfense : notamment les acteurs concernés, la cible, la nature de l’attaque, la raison de l’attaque, l’arme utilisée. Il construit au fil des pages une grille d’analyse qu’il transpose simultanément aux doctrines de la tactique militaire française ainsi qu’aux méthodes de renseignement. Ceci n’est pas une vision originale des démarches françaises mais elle synthétise finalement ce qui a été fait jusqu’à aujourd’hui.

Les outils utilisés dans les opérations numériques connues, tels Stuxnet, Flame, Duqu, ou moins connues, tels Wiper ou Gauss, sont analysés par le prisme de l’intérêt tactique et du fonctionnement opérationnel.

C’est par des études comparatives que l’auteur amène une nouvelle réflexion sur la cybertactique. Ses études trouvent leurs sources dans la doctrine militaire française, les écrits de théoriciens comme Clausewitz, Napoléon et Galula ou, plus atypique, à travers des comparaisons éthologiques. La comparaison entre la tactique en zone urbaine et la cybertactique, appuyée sur la tactique générale du Centre de doctrine et d’emploi des forces de l’armée de terre (p. 121), met en relief des parallèles qui prêtent à réfléchir. Dans un tableau (p. 172), Bertrand Boyer transpose le modèle contre-insurrectionnel de Galula au monde numérique. L’image du loup, chassant de façon solitaire ou en meute, offre par exemple une analyse comportementale du hacker. Aussi, plus globalement, les modalités stratégiques comme le choc, le feu et la manœuvre sont directement appliquées au cyberespace.

Bertrand Boyer entame finalement ici l’audacieux projet de poser les bases des prochaines réflexions tactiques adaptées au cyberespace. L’avenir nous dira si son objectif est atteint, mais la qualité de l’ouvrage peut nous le laisser penser, d’autant qu’il a reçu le prix du Livre cyber au Forum international de cybersécurité 2014.

Thomas Le Port"