Mais c'est quoi TLP ?
Dans les années 2000, le Centre national de coordination de la sécurité des infrastructures du gouvernement britannique adopte un système, le Traffic Light Protocol (#TLP) pour partager facilement des informations sensibles entre tout type d’organisation ou avec des particuliers.
En 2016, le Forum of incident reponse and security teams (#FIRST) a défini une première norme: #TLP1.0
En 2022 #TLP2.0 est né, adopté la même année par la #CISA ( et le reste du monde).
Cette version est toujours en vigueur.
𝟒 𝐧𝐢𝐯𝐞𝐚𝐮𝐱 +𝟏
Afin d'indiquer de manière simple le degrés de sensibilité de l'information et donc, ultérieurement son partage, un code à 4 couleurs a été mis en place. 4 couleurs indiquant 4 niveaux différents. (A noter que le niveau WHITE du TLP1.0 disparait au profit du CLEAR sur TLP2.0)
⚪ CLEAR
🟢 GREEN
🟠 AMBER
🟠 AMBER + STRICT
🔴 RED
Ces labels sont normés (police, couleurs, alignements)
⚠️ 𝐼𝑙 𝑛𝑒 𝑟𝑒𝑚𝑝𝑙𝑎𝑐𝑒 𝑒𝑛 𝑎𝑢𝑐𝑢𝑛 𝑐𝑎𝑠 𝑙𝑒𝑠 𝑚𝑎𝑟𝑞𝑢𝑎𝑔𝑒𝑠 𝑜𝑓𝑓𝑖𝑐𝑖𝑒𝑙𝑠 𝑒𝑛 𝑣𝑖𝑔u𝑒𝑢𝑟 𝑒𝑡 𝑛𝑒 𝑑𝑜𝑛𝑛𝑒 𝑎𝑢𝑐𝑢𝑛𝑒 𝑝𝑟𝑜𝑡𝑒𝑐𝑡𝑖𝑜𝑛 𝑗𝑢𝑟𝑖𝑑𝑖𝑞𝑢𝑒.
⚪ CLEAR
Divulgation libre, les destinataires peuvent diffuser cette information dans le monde entier sans aucune limite.
Les informations présentent un risque minimal ou nul de mauvaise utilisation, conformément aux règles et procédures applicables à la diffusion publique. Sous réserve des règles standard de copyright, les informations mentionnées en TLP:CLEAR peuvent être partagées sans restrictions.
🟢 GREEN
Divulgation limitée, les destinataires peuvent la diffuser au sein de leur communauté.
L'information est utile pour accroître la sensibilisation au sein d'une communauté. Les destinataires peuvent partager les informations avec l’appellation TLP:GREEN avec leurs pairs et les organisations partenaires au sein de leur communauté, mais pas via des canaux accessibles au public.
Les informations ayant la mention TLP:GREEN ne peuvent pas être partagées en dehors de la communauté.
🟠 AMBER
Divulgation limitée, les destinataires ne peuvent diffuser ces informations que sur la base du besoin d'en connaître au sein de leur organisation et de ses clients.
L'information nécessite un soutien pour être traitée efficacement, mais elle présente un risque pour la confidentialité, la réputation ou les opérations si elle est partagée en dehors des organisations concernées.
Les destinataires peuvent partager les informations avec la mention TLP:AMBER avec les membres de leur propre organisation et de ses clients, mais uniquement sur la base du besoin d'en connaître.
🟠 AMBER + STRICT
Restreint le partage à l'organisation uniquement.
🔴 RED
Divulgation limitée aux destinataires uniquement, aucune autre divulgation n'est autorisée.
L' information ne peut pas être traitée efficacement sans risque significatif pour la vie privée, la réputation ou les opérations des organisations concernées.
Les destinataires ne peuvent donc pas partager les informations avec l’appellation TLP:RED avec qui que ce soit.
Et le PAP alors?
On peut compléter le #TLP par le #PAP ( Permissible Actions Protocol) qui précise jusqu’à quel point une information donnée peut être exposée.
Il conserve le même code couleur que le TLP : (cf article de l'ANSSI)
⚪ PAP:CLEAR
Utilisation libre dans le respect des licences et de la loi, pas de contrainte relative à l’exploitation ou à la manipulation de l’information.
🟢 PAP:GREEN
Utilisation encadrée autorisant les interactions non intrusives avec des sources malveillantes.
🟠 PAP:AMBER
Utilisation limitée à une exploitation passive de la donnée, c’est-à-dire aux seules actions non directement visibles des sources malveillantes.
🔴 PAP:RED
Utilisation limitée aux investigations numériques ou à la détection, sur des infrastructures dédiées.
💡En résumé :
TLP (Traffic Light Protocol), pour la diffusion des informations
PAP (Permissible Actions Protocol), pour l’utilisation des informations.
La combinaison des 2 protocoles peut-s'avérer utile pour une gestion documentaire d'une GED ( Gestion Electronique des Données).
Sources :
🔹 https://www.cert.ssi.gouv.fr/csirt/politique-partage/
🔹 https://www.nolimitsecu.fr/tlp-et-pap/