Alors que depuis 2011 le nombre de cyberattaques visant les intérêts nationaux français ont été multipliés par 4 pour atteindre les 780 incidents répertoriés en 2013, la cyberdéfense est devenue une priorité d’ordre nationale. Le ministère de la Défense a initialisé en 2014 l'exercice DEFNET visant à tester les capacités de défense en cas d'actions de piratage à grande échelle dans le cadre d’une réflexion autour du projet de création d'une réserve de cyberdéfense à vocation opérationnelle (RCVO). Un exercice réalisé en coopération avec l'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) et qui a impliqué les principales forces armées françaises (armées de Terre, de l’Air ainsi que la Marine) mais associe également des établissements de recherche et d'enseignement supérieur spécialisé en informatique, parmi lesquels l'EPITA. L'objectif de DEFNET 2015 est simple : faire un exercice touchant les appareils militaires de l'État - la technologie informatique et numérique militaire - mais aussi les entreprises civiles. Pour cette seconde partie, les étudiants d'écoles de l'enseignement supérieur dont l'EPITA étaient mis à contribution. Sous la houlette du capitaine Sébastien Bombal, capitaine RC, directeur des opérations Orange Cyberdéfense, responsable de la majeure SRS (Système, Réseau et Sécurité) EPITA et encadrant de l'exercice 41 étudiants de cette école ont participé à cet exercice à l'École militaire de Paris, dans les locaux de l'Enseignement militaire supérieur scientifique et technique. Les étudiants, tous en 4e année SRS, ont été répartis par groupes de 15 sur 3 jours et ont eu quelques heures du 23 au 25 mars, pour s'approprier un système d'information créé pour l'occasion d'une entreprise fictive appelée MyCompany qui semble avoir été touchée par une attaque. Privés de connexion Internet, avec pour seul outil un ordinateur préalablement fourni, les étudiants ont alors dû comprendre l'intrusion, récupérer les preuves techniques, identifier les éléments de compromission potentiels (malware...) et analyser l'impact qui pourrait être lié aux vols de données pour enfin soumettre leur synthèse à l'Etat-Major des Armées.
« Chaque journée, une quinzaine d'étudiants de 4e année intervenaient sur le même exercice. Chaque étudiant était en binôme. Ce dernier avait à sa disposition un ordinateur fourni dans le cadre de l'exercice et un environnement complétement virtuel qui représentait le système d'information de MyCompany qui, manifestement, avait eu un problème. Suite à ce "comportement suspicieux", les étudiants devaient, avec leurs codes d'accès et leurs machines, comprendre et vérifier s'il s'était bien passé quelque chose pour, éventuellement, retrouver des traces d'attaque. » Autrement dit : l'enquête était confiée aux étudiants de l'EPITA » rapporte le capitaine Sébastien Bombal.
Pour lui, « il y a plusieurs intérêts à cette participation. Le premier, c'est de proposer un travail pratique sur lequel les étudiants puissent s'exercer. Le deuxième, c'est d'évoluer dans un cadre différent. Ils ne sont pas à l'école et n'ont pas accès à tous les outils dont ils ont l'habitude. Ils ont une contrainte de temps, avec une certaine rigueur et un certain enjeu qui, même s'il est fictif, reste important. Le troisième, c'est qu'il s'agit aussi d'un exercice qui peut être très valorisant pour les participants au vu des entités reconnues associées ».
Le capitaine Sébastien Bombal
Pour le sous-lieutenant Aude, doctorante en droit international public, spécialiste des questions de cyberdéfense et réserviste dans l'Armée de terre au CESAT, le DEFNET est justement plus qu'un simple exercice : « Il n'y a pas encore de réserve opérationnelle de cyberdéfense. Ce genre d'initiative avec les étudiants est donc important parce que c'est chez eux que se trouvent les compétences. On les retrouve bien sûr à l'Armée mais, dans la mesure où il n'y a pas assez de monde, il faut également aller chercher ces compétences ailleurs. C'est d'ailleurs pour cette raison qu'on décide de devenir réserviste : cela permet à chacun d'apporter ses compétences propres - dans le cas des étudiants, des compétences techniques - pour faire quelque chose d'utile avec et les mettre au service de notre pays ou, dans le cas de l'exercice d'aujourd'hui, au service d'une entreprise à qui nous apportons notre soutien. C'est ce qui motive. » Encadrant de l'exercice, le sous-lieutenant Aude a particulièrement été surprise par « la rapidité » des EPITéens. « C'est bon signe pour la suite car les étudiants représentent le public visé par la future réserve de cyberdéfense à vocation opérationnelle. Quand on est étudiant, on a du temps..., que l'on peut éventuellement consacrer à cette réserve. »
Le sous-lieutenant Aude (à droite) encadrait les étudiants
Du côté des étudiants, Thomas Perronin de la promo 2016 EPITA, explique que « participer à un exercice de cette envergure permet de mettre en place des mécanismes de défense vraiment utiles : la sécurité aujourd'hui, c'est essentiel. Considérer les étudiants comme des ressources disponibles pour pouvoir aider et défendre des entreprises, l'État, c'est gratifiant. Plus tard, je veux travailler dans le domaine de la cybersécurité. C'est pour ça que j'ai choisi d'intégrer l'EPITA et que j'ai rejoint la majeure SRS ».
Forte de son expérience dans le domaine de la cybersécurité, l'EPITA a créé en janvier 2013 un centre de formation en cybersécurité. Pensée pour répondre aux besoins les plus précis, la formation s'adapte à toutes les fonctions de l'entreprise ou de l'administration, de l'assistante au RSSI. Les formations SecureSphere sont validées en collaboration avec l'ANSSI.
en savoir plus sur la formation en cybersécurité de l'EPITA