La cybersécurité dans le secteur de la défense en 2026 : des frontières renforcées, un contenu non contrôlé

Plus de 80 % des entreprises du secteur aérospatial et de la défense ont été victimes d'une violation de sécurité au cours des douze derniers mois.^[3] Le secteur enregistre environ 1 250 incidents cybernétiques chaque semaine,^[4] avec une augmentation de 300 % des attaques depuis 2018 et 61 % des entreprises touchées par des ransomwares au cours de l'année écoulée.^[5] Une violation coûte en moyenne 5,46 millions de dollars, sans compter les perturbations des programmes classifiés, l'exposition au contre-espionnage ou le risque contractuel qui découle de la compromission d'un fournisseur.^[6]

Threat Intelligence de Google a confirmé en février 2026 que les groupes d'espionnage liés à la Chine ont ciblé les secteurs de la défense et de l'aérospatiale plus que tout autre acteur étatique au cours des deux dernières années^[7], en exploitant des terminaux périphériques, des appareils VPN et des canaux de transfert de fichiers pour établir des accès de longue durée. La Russie, l'Iran et la Corée du Nord opèrent dans le même secteur industriel. Les campagnes DDoS menées par des hacktivistes génèrent plus de 76 % du volume d'incidents dans ce secteur (soit le double de la moyenne intersectorielle^[8]), mais ce n'est pas le volume qui importe. La menace stratégique est précise et patiente. Elle ne frappe pas à la porte. Elle s'introduit par le biais de contenus qui inspirent déjà confiance.

Les techniques LOTL (Living Off the Land), qui exploitent des outils système légitimes déjà présents sur le réseau, permettent aux attaquants d'agir sans déclencher de détection. Au moment où l'analyse comportementale se déclenche, un acteur sophistiqué est souvent déjà présent depuis suffisamment longtemps pour avoir cartographié l'environnement, identifié les cibles de grande valeur et préparé l'exfiltration. La détection est nécessaire. Elle n'est pas suffisante. C'est au point d'entrée qu'il faut agir, et non à l'intérieur du réseau.

Le modèle « Zero Trust » s'est imposé comme la norme en matière de sécurité sur les réseaux de défense et gouvernementaux, et ce à juste titre. Authentification continue, principe du moindre privilège, contrôle de l'état des appareils, microsegmentation : ces mesures de contrôle sont indispensables et doivent faire partie intégrante de toute architecture de défense. Le problème ne réside pas dans le modèle « Zero Trust » lui-même. Le problème vient du fait qu'on le considère comme la solution miracle à un problème qu'il n'a jamais été conçu pour résoudre. L'accès Zero Trust a été conçu pour contrôler qui accède à un réseau. Il n'a pas été conçu pour vérifier ce qui est acheminé au-delà d'une frontière une fois que les utilisateurs y ont accès. 

Cette limitation est spécifique. Le modèle Zero Trust vérifie l'identité de celui qui franchit la frontière. La vérification du contenu détermine ce qui est autorisé à passer. Une politique Zero Trust vérifie correctement qu'un utilisateur authentifié sur un appareil autorisé demande un transfert légitime. Elle ne permet pas de savoir si le fichier transféré contient une macro malveillante, une charge utile malveillante concaténée ou une faille « zero-day » intégrée dans un format de document de confiance. 

Les campagnes malveillantes évoquées en introduction de cet article (les 393 jours passés par BRICKSTORM dans des environnements du secteur aérospatial et de la défense, les cinq années pendant lesquelles Volt Typhoon a pris pied dans des infrastructures critiques américaines) n’ont pas contourné les contrôles d’accès. Elles ont réussi à s’introduire via du contenu que ces contrôles n’avaient aucune raison de soupçonner.  

La gestion des identités et des accès constitue la première couche indispensable. La vérification du contenu au point d'entrée physique, à la frontière de classification et au niveau de la chaîne logistique logicielle est la couche qui détermine ce qui est réellement autorisé à atteindre sa destination. Ensemble, elles forment un tout cohérent. Prises séparément, chacune laisse des lacunes que l'autre ne comble pas. 

Le changement le plus significatif sur le plan opérationnel dans le paysage des menaces liées aux fichiers pour la période 2025-2026 réside dans l’utilisation de l’IA pour la génération de logiciels malveillants et les techniques d’évasion structurelle. L’équipe de veille sur les menaces de Google a identifié des familles de logiciels malveillants capables de muter en temps réel pendant la phase d’attaque^[14], les coûts de développement des exploits passant de plusieurs semaines de travail à pratiquement zéro^[15].

Les recherches OPSWATont mis en évidence un exemple concret : la technique du PDF concaténé, qui consiste à ajouter structurellement un PDF malveillant à un fichier sain. Lors de tests effectués sur 34 moteurs d’analyse, le taux de détection est passé de 34 à 5 une fois les fichiers concaténés.^[16] Trois moteurs qui signalaient auparavant la menace ont cessé de le faire. Le lecteur de PDF de l’utilisateur a affiché le contenu de phishing exactement comme le souhaitait le pirate. L'infrastructure de sécurité a évalué un document différent de celui que l'utilisateur avait ouvert.

Il n'y a aucune signature de logiciel malveillant à détecter. Aucune faille à repérer. Seulement une organisation structurelle d'un format de fichier légitime qui amène les scanners et les lecteurs à percevoir un contenu différent. À la frontière entre deux niveaux de classification, un simple fichier utilisant cette technique peut passer de « NON CLASSIFIÉ » à « SECRET » sans déclencher d'alerte. Cette faille n'est pas purement théorique.

La technologie CDR (Content Disarm and Reconstruction) traite ce problème au niveau des mécanismes. Le CDR ne cherche pas à identifier les contenus malveillants ; il décompose plutôt chaque fichier en ses éléments constitutifs, supprime tous les contenus actifs et exécutables, quelle que soit la structure du fichier, puis reconstitue une version propre et fonctionnellement intacte.

Une variante générée par l'IA sans signature connue, un document malveillant à structure concaténée, un fichier Office contenant une macro, une archive exploitée : tous sont neutralisés par le même processus, car le CDR supprime le mécanisme d'exécution avant que le fichier n'atteigne sa destination.

Le CDR est un système de contrôle des limites des fichiers. Il ne traite pas des activités LOTL au sein d'un réseau, ni de la présence d'attaquants déjà implantés dans l'environnement.

Les exigences en matière de solutions interdomaines ont évolué. Les communautés d'intérêt nécessitant un échange de données sont désormais plus diversifiées. Les types de données se sont diversifiés, passant des fichiers de productivité standard aux charges de travail système, aux flux de renseignements et aux formats natifs du cloud. La conception d'une solution interdomaines (CDS) pérenne nécessite une approche modulaire et orchestrée, et non une appliance statique.

MetaDefender Managed File Transfer l'acquisition et le transfert sécurisés des fichiers entre réseaux classifiés et non classifiés, en appliquant les politiques de transfert, la logique de routage et les pistes d'audit tout au long du flux de travail. Les fichiers transitent par la pileCore MetaDefender Core afin d'être inspectés à chaque point de passage. Ensemble, ils forment une architecture interdomaines cohérente et régie par des politiques : MetaDefender Managed File Transfer le flux, tandis que MetaDefender Core ce qui le traverse.

La norme CMMC 2.0 est entrée en vigueur dans les contrats du ministère de la Défense le 10 novembre 2025. Pour la première fois, la cybersécurité des sous-traitants du secteur de la défense fait l'objet d'une vérification externe plutôt que d'une simple auto-certification. L'article 866 de la loi NDAA pour l'exercice 2026 impose au ministère de la Défense d'harmoniser les exigences en matière de cybersécurité de la base industrielle de défense (DIB) d'ici le 1er juin 2026, en réduisant le nombre de règles spécifiques aux contrats, mais en renforçant et en uniformisant leur application.

Ces deux évolutions sont importantes. Aucune d'entre elles ne comble toutefois les lacunes décrites ci-dessus. Les 110 mesures de contrôle du niveau 2 du CMMC ont été conçues pour rehausser le niveau de référence dans l'ensemble du secteur industriel plutôt que d'imposer des mesures spécifiques visant à contrer ces surfaces d'attaque. Ces mesures n'exigent pas l'inspection des supports physiques aux points d'entrée des installations, la vérification du contenu des fichiers aux frontières entre domaines, la visibilité des composants logiciels au niveau des dépendances, ni l'inspection du contenu en ligne avec une séparation réseau assurée par le matériel.

Un prestataire peut réussir une évaluation de niveau 2, y compris la vérification C3PAO, même si aucune de ces lacunes n'a été comblée. Seules 21 % des entreprises du secteur de la défense avaient choisi une technologie conforme au CMMC en 2025.^[17] En décembre 2025, seuls 92 C3PAO avaient été agréés sur une base industrielle comptant plus de 80 000 sous-traitants.^[18] L'infrastructure de conformité n'a pas suivi le rythme.

Il existe une deuxième distinction importante dans le cadre de l'accréditation. Le CMMC régit les pratiques de sécurité du prestataire. Il ne certifie pas les outils utilisés pour mettre en œuvre ces pratiques. La certification « Critères communs » (rendue obligatoire par la norme NSTISSP n° 11 pour les produits d'assurance de l'information destinés aux systèmes de sécurité nationale) vérifie les propriétés de sécurité d'un produit spécifique par le biais d'une évaluation réalisée par un laboratoire indépendant accrédité. Un produit certifié CC utilisé pour satisfaire à un contrôle CMMC fournit à l'évaluateur C3PAO des preuves vérifiées en laboratoire.

Le CMMC et les Critères communs sont des référentiels complémentaires. L'un régit les activités de l'organisation, l'autre vérifie que l'outil remplit bien les fonctions qu'il prétend offrir. Il est important de bien distinguer les deux.

MetaDefender environ 20 des 110 contrôles du niveau 2 du CMMC — un sous-ensemble pour lequel la plupart des infrastructures de sécurité n'ont pas été conçues. Le contrôle d'accès, la journalisation des audits, la réponse aux incidents et la sécurité du personnel ne font pas partie de son champ d'application. Son atout réside dans sa précision : il s'agit de contrôles rigoureux aux points de contrôle que votre infrastructure existante ne peut atteindre, certifiés selon les normes d'un laboratoire indépendant.

Les organisations les mieux placées pour les trois prochaines années ne sont pas celles qui disposent des budgets de sécurité les plus importants ni celles qui ont coché le plus grand nombre de contrôles CMMC. Ce sont celles qui ont cartographié leur surface d'attaque réelle — les points d'entrée physiques, les limites de classification, les interfaces OT-IT, la chaîne d'approvisionnement logicielle — et qui ont mis en place des contrôles validés à chaque niveau.

La détection au sein du réseau sera toujours en retard par rapport à un adversaire sophistiqué qui s'est déjà implanté. C'est au niveau de la prévention à la périphérie, avant l'exécution d'un fichier, avant la connexion d'un appareil et avant qu'une charge utile ne franchisse une ligne de classification, que réside notre atout. C'est là OPSWAT .

Demandez un entretien pour discuter de votre environnement et de votre architecture spécifiques.

Vous êtes encore en train de définir votre architecture CDS ? Téléchargez le Guide d'achat des solutions interdomaines pour les secteurs public et de la défense, élaboré par des experts CDS à l'intention des responsables de programmes, des architectes en sécurité et des équipes chargées des achats qui évaluent les besoins actuels en matière de solutions interdomaines.