Home » Sécurité » cybersécurité

Category Archives: cybersécurité

La cybersécurité a besoin de femmes. Explications.

Il y a quelques jours, le 8 mars dernier, se déroulait la journée internationale du droit des femmes. Et cette année encore, nous constatons toujours une inégalité entre les hommes et les femmes. C’est également vrai dans le domaine de la cybersécurité où seulement 20% des professionnels sont des femmes. Bien que cela représente une hausse de 11% depuis 2013, il reste encore beaucoup à faire dans les carrières de cybersécurité. Dans le même temps, selon Cybersecurity Ventures, il y aura jusqu’à 3,5 millions de postes vacants d’ici 2021. Alors, est-ce une réelle opportunité pour les femmes dans un monde en pleine transformation numérique?

La cybersécurité a besoin de femmes - Explications
Crédit © rawpixel.com 2019

Être une pionnière comporte des défis. Mais selon les professionnels de la cybersécurité que je côtoie régulièrement, les femmes sont tout à fait à la hauteur. Alors essayons de comprendre les raisons de cette situation et comment elle pourrait évoluer très rapidement.

Pourquoi est-ce important de combler le fossé entre les sexes en cybersécurité?

La diversité des perspective est indispensable

Tout d’abord, il est nécessaire de bien comprendre pourquoi c’est si important. L’objectif n’est pas simplement d’engager plus de femmes pour augmenter les pourcentages. L’argument en faveur d’une plus grande égalité des sexes dans la cybersécurité ne se limite pas seulement à juste vs injuste, ou à homme vs femme. C’est simplement, que le fait d’avoir plus de femmes sur le lieu de travail est bon pour le business. En effet, la diversité des points de vue, du leadership et de l’expérience est toujours un facteur positif pour les affaires.

Cette constatation peut d’ailleurs s’appliquer à n’importe quel rôle dans une entreprise. Elle ne se limite pas au domaine de la cybersécurité. Par contre elle est tout particulièrement pertinente pour la cybersécurité. Il est nécessaire d’avoir des personnes d’origines, de sexe, de cultures différentes dans les équipes de cybersécurité. En effet, les cyber-criminels qu’elles poursuivent (acteurs de la menace, pirates informatiques, cyber-criminels) possèdent également une grande variété de formations, de cultures et d’expériences. Plus nous aurons de personnes et d’expériences différentes pour défendre nos réseaux et meilleures seront nos chances de réussite.

Le nombre de postes non pourvus est en expansion

De plus, comme je l’ai mentionné dans l’introduction, la cybersécurité est confrontée actuellement à un problème lié au manque de compétences disponibles sur le marché. Il serait donc totalement préjudiciable, sur un critère tel que le sexe, de limiter le nombre de professionnels de ce secteur. La demande en professionnels de la sécurité ayant les bons niveaux de connaissance et de compétence est très forte. En outre, la menace pour les victimes et les réseaux critiques est de plus en plus vaste. Donc,   les femmes aussi bien que les hommes peuvent tout à fait réussir une carrière percutante et enrichissante dans ce domaine.

Et pourtant aujourd’hui, quand on pense au CISO, on imagine immédiatement un homme. Pourtant une femme peut tout à fait être CISO. Il commence d’ailleurs a y en avoir dans les grandes entreprises internationales, même si les hommes restent largement majoritaires. Par exemple on peut citer Shamia Naidoo qui est l’actuelle Global CISO chez IBM ou Debbie Wheeler, CISO pour la compagnie aérienne Delta ou encore Dr. Jay, CISO chez XEROX et ancienne CIO (DSI) de la Maison Blanche. Malheureusement, en France et dans les pays francophones en général, il y en a encore très – trop – peu, comme Mylène Jarossay, membre fondateur du CESIN et CISO de LVMH.

Les défis auxquels sont confrontées les femmes en cybersécurité

Tout d’abord, les femmes ont trop souvent un problème de perception de la cybersécurité (et de la technologie en général). La technologie ou la sécurité sont souvent considérées comme des professions masculines. Et c’est juste de dire qu’il y a clairement peu de femmes dans ces domaines. Aussi beaucoup de femmes ne considèrent pas encore ces professions peuvent offrir des opportunités de carrière viables.

L’éducation et la culture

Malheureusement, ce point de vue est souvent enraciné dès l’enfance. Dès le plus jeune âge, les femmes sont sensibilisées au fait que les hommes sont bons en sciences et techniques et que les femmes ne le sont pas. Elles seront le plus souvent orientées vers des filières artistiques, littéraires ou commerciales. Malgré l’évolution des mentalités durant ces dernières années, il faut hélas reconnaître que les préjugés demeurent.

Et cette perception est renforcée lorsque les femmes qui poursuivent une carrière dans le secteur de la technologie se révèlent être les seules dans la salle. Dans presque toutes les équipes d’ingénierie dont j’ai fait partie, il n’y avait toujours qu’une ou deux femmes. Le manque de diversité des sexes est clairement évident, en particulier lorsque vous assistez à des événements tels que le Black Hat ou le HackFest de Québec, et que les hommes constituent la grande majorité des participants.

Dès lors, la culture de travail peut rester bloquée dans un cycle de préjugés inconscients qui se perpétue. Tout au long de ma carrière, j’ai remarqué que les femmes devaient redoubler d’efforts pour obtenir des opportunités et être reconnues. Cela tient peut-être en partie au fait que les gens, consciemment ou non, ont tendance à embaucher et à promouvoir des personnes qui leur ressemblent. Et donc naturellement les hommes embauchent… des hommes. Les femmes ne devraient pourtant pas se sentir intimidées. Mais c’est souvent la réalité à laquelle elles font face dans l’industrie.

La facilitation du changement

Ces problèmes sont difficiles à résoudre car ils sont subtils et omniprésents. Ce sont des problèmes profonds, liés à la culture et à l’éducation. Pour changer cela il faut faciliter le changement culturel et cela prend beaucoup de temps. Au bout du compte, la meilleure façon de permettre ce changement dans le secteur de la cybersécurité, c’est de supprimer les obstacles pour les femmes et de permettre à plus de femmes d’entrer.

Et lorsqu’on leur en donne l’opportunité, c’est exactement ce qu’elles font. Dans les formations que j’anime régulièrement dans diverses régions du monde, en sécurité et en gouvernance, je constate une augmentation régulière du nombre de femmes. C’est un signe encourageant certes. Cependant il faut bien reconnaître que tous les pays ne sont pas logés à la même enseigne. Dans le monde francophone, il reste énormément de chemin à parcourir. Les préjugés sont malheureusement encore tenaces et les réticences très fortes.

Les femmes qui font de la cybersécurité aiment leur travail

L’amour du travail est une affaire profondément individuelle. Cependant voici pourquoi la résolution des problèmes évoqués précédemment valait (et vaut) la peine pour ces femmes.

« La cybersécurité consiste essentiellement à protéger les personnes contre les dommages et, lorsqu’une personne est victime, à découvrir qui l’a fait », a récemment déclaré Priscilla Moriuchi, directrice du département Strategic Threat Develoment à Recorded Future. « J’aime protéger les gens du mal, poursuivre les cybercriminels et continuellement apprendre. J’aime mon travail. »

Pavi Ramamurthy, qui travaille dans le secteur de la sécurité depuis 15 ans, aime également le travail quotidien en matière de cybersécurité. « J’aime construire une grande variété de programmes de sécurité, ou simplement être au cœur d’un incident de sécurité et diriger le processus de réponse à l’incident. Chacun vient avec sa propre série d’excitations et de défis. C’est enrichissant de réfléchir avec mon équipe sur les moyens de s’améliorer et également de nous tenir au courant des nouveautés en matière de sécurité, des professionnels et des nouvelles technologies. »

Maggie McDaniel, directrice de Finished Intelligence chez Recorded Future, a opté pour la cybersécurité en milieu de carrière et aime constater l’impact de son travail. « J’aurais pu rester là où j’étais, en faisant la même chose tous les jours, ou je pouvais aller dans un environnement stimulant et provoquer des changements , » dit-elle. « L’environnement, en évolution rapide, me permet de rester sur mes gardes et rend ma carrière intéressante. »

Jessica Ortega de Sitelock, quant à elle, souligne la flexibilité souvent nécessaire pour ces rôles. « De nombreuses entreprises de technologie proposent désormais des formations à votre rythme, des certifications et une possibilité de travailler à distance, faisant de la cybersécurité l’un des meilleurs chemins de carrière pour ceux qui privilégient l’équilibre travail-vie personnelle. »

Quelques trucs pour les femmes envisageant une carrière en cybersécurité

Si vous êtes une femme et que vous souhaitez changer de carrière pour vous orienter vers la cybersécurité, vous le pouvez sans aucun doute. Voici quelques trucs qui peuvent vous aider à mieux vous préparer.

1. Ne soyez pas intimidée et sachez saisir votre chance

Il est absolument nécessaire de saisir votre chance lorsqu’elle se présente et de commander le respect dans un domaine dominé par les hommes pour acquérir les connaissances et l’expérience nécessaires pour réussir. Ce n’est un secret pour personne que la technologie est un domaine à prédominance masculine. C’est aussi un domaine où sévissent encore de nombreux détracteurs. Ils se demandent si les femmes ont vraiment leur place à leurs côtés. Vous devrez sans doute lutter et postuler plusieurs fois pour occuper différents postes avant de devenir analyste de sécurité.

Rappelez-vous que la sécurité ne nécessite pas de dons magiques innés. Vous pouvez apprendre tout aussi bien qu’un homme ce que vous devez savoir pour réussir. N’ayez pas peur de vous battre pour ce que vous voulez.

2. Bâtissez votre réseau et trouvez des mentors dans le secteur

Une fois que vous avez terminé la préparation initiale avec des lectures, des cours en présentiel et en ligne, commencez à tisser des liens. Participez à des réunions et rencontrez des gens de l’industrie dans le domaine de la cybersécurité. Rejoignez un groupe comme Women in CyberSecurity (WyCyS) ou Women in Technology International (WITI) et, bien sûr, assistez à des conférences.

Trouver un mentor est une étape qui peut faire toute la différence. Contactez un acteur du secteur, idéalement un leader d’opinion, et recherchez un mentor. Il y a beaucoup d’hommes et de femmes, qui sont déjà dans le domaine et qui peuvent donner des conseils, répondre aux questions et vous orienter dans la bonne direction.

Un bon mentor peut fournir des conseils précieux sur la manière de trouver votre place dans la cybersécurité et de faciliter les opportunités de mise en réseau. Idéalement, trouvez une femme, professionnelle en cybersécurité, qui saura vous apprendre les ficelles du métier et, surtout, vous apprendre de ses erreurs. Il y a de la force dans les nombres. Cependant, n’ayez pas peur de prendre conseil auprès d’un professionnel de la cybersécurité. Il y a beaucoup d’experts et beaucoup de connaissances à exploiter.

3. Recherchez d’abord des opportunités en interne

Il n’est peut-être pas nécessaire de changer d’entreprise pour changer de carrière. Le meilleur endroit pour commencer est souvent au sein de votre société actuelle. Etablissez des relations avec votre propre équipe de sécurité. Il existe de nombreuses opportunités dans des domaines tels que la sensibilisation et la formation à la sécurité, la gestion de programme de sécurité, la réponse aux incidents et la rédaction technique, pour n’en nommer que quelques-unes.

Si l’équipe de sécurité de votre entreprise doit combler un poste vacant, vous avez un avantage. En effet, vous connaissez déjà l’entreprise, son environnement, sa culture et son activité. Vous pourrez peut-être alors combiner l’auto-apprentissage et la formation continue pour pouvoir démarrer un nouveau rôle.

4. Agissez avec confiance

C’est souvent le conseil le plus difficile à mettre en œuvre pour les femmes, surtout si elles se sentent en sous-effectif ou si elles sont ignorées. « J’avais beaucoup entendu parler des femmes qui ne se sentaient pas entendues lors des réunions, mais la première fois que cela m’est arrivé, ma mâchoire est presque tombée au sol », a déclaré Rose Elliott, senior director of product engineering de Tenable.io. « J’ai pensé: « Oh, c’est ce dont ils parlent. » J’ai même approché l’homme qui dirigeait la réunion par la suite. Mais cela s’est reproduit le lendemain. C’est terrible que ce soit juste une chose à laquelle il faut s’habituer . Mais depuis j’ai appris à exprimer mon opinion et à me sentir à l’aise. « 

L’astuce? Parler et agir de manière décisive, même si vous ne vous sentez pas nécessairement complètement sûre de vous. « De nombreuses femmes ont tendance à parler avec moins de confiance si elles ne sont pas certaines à 100% de ce qu’elles disent, alors que les hommes parlent avec confiance même s’ils sont relativement incertains », a déclaré R. Elliott.  «En fait, j’ai reçu un témoignage essentiel de la part d’un ancien directeur / mentor de sexe masculin: lorsque vous vous sentez vraiment anxieux, appuyez fort, car votre intuition est généralement la bonne.»

5. Mettez l’accent sur l’apprentissage

Comme pour toute carrière, la cybersécurité se base sur un parcours d’apprentissage. Personne de doit être intimidé par ce domaine. Cela semble très technique et très complexe. Et croyez-moi, ça l’est. Donc, bien sûr, ne vous attendez pas non plus à être un expert dès le départ. Nous avons tous quelque chose de nouveau à apprendre, hommes comme femmes, et dans ce domaine il y a de la place pour une expertise technique approfondie, mais aussi pour des généralistes et des gestionnaires. Chaque jour, un nouveau défi se présente et une chance d’apprendre quelque chose de nouveau surgit.

Alors, la cybersécurité est-elle pour vous? Moriuchi a la réponse: « Ce travail est destiné à tous ceux et toutes celles qui sont intellectuellement curieux, disposés à penser de manière non conventionnelle et à s’engager dans une vie d’apprentissage. » Vous vous reconnaissez dans cette description? Alors peut-être que vous devriez envisager de regarder les opportunités qui se présente dans un domaine en pleine expansion avec la transformation digitale des organisations.

Vous vous posez encore des questions?  Votre expérience peut être partagée? Vous avez des remarques sur le contenu de cet article? Les commentaires sont là pour vous permettre de lancer le débat et d’échanger. Profitez-en! Si vous avez aimé cet article vous pouvez aussi nous laisser un « like ». Ou, vous pouvez aussi vous abonner à notre blog pour recevoir une alerte lors de la parution de nos articles.

 

 

10 raisons majeures pour embaucher un CISO

Dans un précédent article, nous avons passé en revue les responsabilités et les compétences indispensables d’un CISO. Dans un monde en pleine transformation numérique, la sécurité de l’information et la cybersécurité sont des préoccupations vitales. Je vous propose donc, aujourd’hui de revenir, au travers de quelques exemples, sur les raisons pour lesquelles toute organisation doit absolument avoir un CISO. Nous évoquerons aussi les contraintes, la position hiérarchique, les salaires et les risques courus par les CISO.

CISO : Pourquoi il est indispensable dans une organisation
Crédit © rawpixel.com 2019

Chaque jour apporte son lot de nouvelles informations alarmantes en matière de cybersécurité. Cela va de l’intégrité des élections, ou d’informations bancaires volées à la dernière cyber-attaque contre l’ICANN. Vous avez sans doute l’impression qu’il vous faut un décodeur pour comprendre tout cela. Surtout quand ce n’est pas votre métier, c’est d’autant plus inquiétant qu’on n’y comprend rien. Pourtant cela semble très grave si on se fie à la mine sinistre des dirigeants qui communiquent sur le sujet. Alors, info ou intox?

Une façon de commencer à déchiffrer le jargon et l’intrigue consiste à essayer de voir ces problèmes sous l’angle du Directeur de la Sécurité de l’Information (CISO). Le CISO est généralement le plus haut responsable de la cybersécurité, membre du comité de direction, au sein d’une entreprise.

Un peu d’histoire

Le rôle de CISO remonte à 1994. Le géant bancaire Citigroup (alors Citi Corp. Inc.) avait été victime d’une série de cyber-attaques d’un pirate informatique russe, Vladimir Levin. La banque a créé le premier bureau exécutif mondial dédié à la cybersécurité. Elle a engagé Steve Katz pour le diriger.

Aujourd’hui, Katz est un nom de premier plan dans l’industrie. Il travaille comme consultant en cybersécurité et a toujours soutenu des initiatives de partage d’informations de grande valeur en finance, et plus récemment dans le domaine de la santé.

Selon Katz, il est important que les gens comprennent les responsabilités de ceux qui supervisent la cybersécurité. De cette façon, ils sont mieux préparés à interpréter les gros titres et à savoir distinguer ce qui compte vraiment.

Les investisseurs doivent également comprendre le fonctionnement de leur entreprise. De plus en plus de sociétés de cybersécurité arrivent sur un marché encombré. Elles cherchent du business, des fonds de capital-risque ou de nouveaux capitaux provenant d’une introduction en bourse.

Les responsabilités du CISO

Les responsabilités du CISO varient. Elles évoluent selon le secteur d’activité, la taille de l’entreprise et la réglementation à laquelle l’organisation est soumise. Des entreprises différentes structurent la cybersécurité de manières différentes. Cependant il existe de nombreux thèmes communs.

Dans les grandes organisations, le CISO supervise souvent une équipe de professionnels de la sécurité travaillant pour l’entreprise. Les petites entreprises peuvent sous-traiter ce travail à une entreprise externe fournissant des services gérés. Beaucoup font une combinaison des deux.

Nous avons compilé cette liste des responsabilités du CISO sur la base de recherches issues de ressources publiques, privées et universitaires ainsi que des offres d’emploi et d’entretiens avec des responsables de la cybersécurité et des dirigeants qui les embauchent.

Opérations de sécurité

Cette fonction implique une analyse en temps réel des menaces. Cela comprend la supervision des outils permettant de surveiller les pare-feu, les points d’entrée, les bases de données et d’autres environnements internes d’une entreprise. Quand quelque chose ne va pas, ces personnes sont censées découvrir et classifier les problèmes.

Cyber-risques et cyber-intelligence

Les conseils d’administration demandent souvent au CISO de prendre les devants face aux nouveaux types d’attaques qui pourraient être nuisibles, aux transactions commerciales qui pourraient présenter un risque de violation ou à de nouveaux produits susceptibles d’affaiblir la sécurité.

En 2017, Verizon a fait baisser de 350 millions de dollars le prix d’achat de Yahoo. Cela faisait suite à la révélation qu’une violation de données avait touché plus de personnes que Yahoo n’avait déclaré. C’est un exemple d’évaluation  du coût d’un risque de cybersécurité par Verizon.  Apparemment, la société aurait d’ailleurs souhaité un rabais plus important, pouvant atteindre 925 millions de dollars.

Lorsqu’un haut responsable du bureau du directeur du renseignement national a déclaré à un panel à Aspen que des agents iraniens possédaient des cyber-armes ciblant les infrastructures américaines, il s’appuyait sur une collection complexe d’informations de cyber-intelligence.

Violations de données et prévention de la fraude

Les personnes qui envoient des informations sensibles par courrier électronique, ou les initiés qui volent la propriété intellectuelle en quittant leur entreprise, sont deux exemples de ce que les CISO gèrent au quotidien. Ils utilisent des outils qui surveillent le flux d’informations dans une organisation pour détecter les grandes quantités de données quittant l’entreprise.

Quand Elon Musk a déclaré qu’un ingénieur chez Tesla avait été signalé pour l’envoi de code source à l’extérieur de l’entreprise, c’est l’équipe cybersécurité, sous la responsabilité du CISO qui l’avait découvert.

Architecture de la sécurité

Le CISO a un rôle d’architecte de sécurité. Il construit l’épine dorsale de la sécurité d’une entreprise. Parfois, il partie du début, parfois il part d’un existant. Il décide où, comment et pourquoi les pare-feu seront utilisés. C’est également lui qui prend des décisions sur la séparation ou la segmentation de certains réseaux. Il peut aussi faire appel à des testeurs d’intrusion ou à des pirates éthiques pour tester les défenses qu’ils a créées pour l’entreprise.

Si vous vous demandiez comment les logiciels de de ransomware WannaCry ou NotPetya se déplaçaient si rapidement entre différentes parties de certaines entreprises touchées, cela tient au fait que de nombreuses entreprises disposaient de réseaux «plats» sans aucun moyen de mettre en quarantaine l’attaque entre les business units. Un architecte de sécurité aurait pu les aider à construire, pro-activement, un réseau plus résilient.

Gestion des identités et des accès

Les CISOs ont la responsabilité des informations d’identification. C’est généralement un membre d’une équipe de cybersécurité qui vous attribue votre nom d’utilisateur et votre mot de passe auprès d’une nouvelle société. Ces professionnels déterminent qui a accès à quels outils, qui reçoit quelles adresses e-mail et la rapidité avec laquelle ces informations sont supprimées dès lors que quelqu’un est licencié ou quitte la société.

Ce dernier point est essentiel. Et, s’il est mal géré, il peut entraîner d’importantes pertes de données. Dans une affaire célèbre impliquant une société d’ingénierie du Tennessee, un ancien employé a pu accéder à des informations précieuses pendant plusieurs années après son départ chez un concurrent, car ses informations d’identification n’avaient jamais été supprimées.

Gestion de programme

Une fois qu’une entreprise a mesuré ses risques, rassemblé des informations et cartographié l’emplacement de ses données, elle peut identifier des vulnérabilités. Pour combler ces lacunes, les entreprises lancent des projets et des programmes. Les responsables de programmes de cybersécurité n’ont pas toujours une formation technique approfondie. Par contre, ils savent comment créer et gérer de nouvelles initiatives destinées à renforcer la sécurité de l’entreprise.

Un exemple de programme commun serait la mise à jour des systèmes avec des correctifs de sécurité sur une base régulière. Lorsque la gestion du programme est mal gérée, vous pouvez oublier des correctifs, comme celui qui a conduit à la violation massive des données chez Equifax et qui a coûté son poste à Richard Smith, son CEO.

Investigations et enquêtes légales

En outres, les CISO sont les «flics» du département cybersécurité, et bon nombre d’entre eux sont issus de la police. Lorsqu’un incident se produit, ils peuvent travailler avec des agences légales extérieures, des sociétés de conseil, des agences gouvernementales ou parfois seuls pour mener des enquêtes judiciaires. Si un employé se fait prendre à envoyer du code source par courrier électronique, ce sont les employés de l’équipe cybersécurité qui prouveront ensemble ce qui s’est produit et qui peuvent ensuite l’auditionner à ce sujet.

Lorsque le Comité national démocrate a mobilisé Crowdstrike et travaillé avec le FBI sur des attaques par courrier électronique présumées au cours de la campagne de 2016, il s’agissait de deux équipes de professionnels des enquêtes qui ont en partie tenté de déterminer qui avait perpétré l’attaque. Les résultats de l’investigation légale sont ceux que vous pouvez lire dans l’acte d’accusation de 12 ressortissants russes publié en juillet dernier par Rod Rosenstein.

Gouvernance

Tout cela peut coûter très cher. Ces employés peuvent aider à gérer le budget et à fournir d’autres types de supervision. Les programmes de sécurité doivent continuer à fonctionner sans quoi ils risquent de ne jamais être finis. Les réglementations changent fréquemment, et des employés doivent être embauchés pour ces postes. Une bonne gouvernance peut impliquer la mise en place d’un cadre basé sur des facteurs importants pour l’entreprise et le bon fonctionnement de l’ensemble de l’organisation de cybersécurité. Un manque de gouvernance peut entraîner de gros problèmes. Par exemple les dirigeants ne sont jamais clairement informés des problèmes informatiques majeurs de leur organisation. Ou encore les hauts responsables ne reçoivent jamais une formation adéquate sur la détection des tentatives de phishing.

En fin de compte, la sécurité concerne les personnes

La profession de sécurité a maintenant bien défini l’ensemble de ces rôles, mais en 1994, Katz était parti de zéro.

Le monde des télécommunications et Internet commençaient tout juste à se développer. Le pirate informatique, Levin, avait tenté de voler 10 millions de dollars. Il avait joué avec le système de transfert de fonds international, qui était exploité sur des lignes téléphoniques.

Des employés de Citi découvrirent la fraude en examinant les transactions par fil. Ils virent les anomalies et remontèrent une alerte rouge à la haute direction.

«Cela montre l’importance des personnes dans le processus global de sécurité de l’information. Votre plus grand risque et votre plus grand atout », a-t-il déclaré.

La police arrêta ensuite Levin à l’aéroport JFK de New York. Un tribunal de district le condamna ensuite à trois ans de prison pour ses crimes.

Sur ces fonds volés, tout a été récupéré, sauf 400 000 dollars, a expliqué Katz. Ce montant est largement inférieur à celui de nombreuses cyber-attaques courantes en 2019.

Les 5 qualités essentielles d’un CISO

L’année dernière, un rapport du Ponemon Institute intitulé «L’évolution du rôle des CISO et leur importance pour l’entreprise» – montrait que le rôle du CISO devenait de plus en plus crucial dans le monde actuel de menaces omniprésentes de cybersécurité, en particulier en matière de gestion des risques de l’entreprise, en déployant des analyses de sécurité et en protégeant les dispositifs Internet of Things (IoT).

Cependant, un autre élément clé du rapport est que le rôle du responsable de la sécurité de l’information s’élargit depuis quelques années. Il est ainsi passé de responsable des services de sécurité (RSSI) à responsable de l’ensemble de l’organisation en matière de sécurité (CISO). Aujourd’hui, ce rôle incarne une position de leader. Celai nécessite une présence au sein la direction, d’excellentes compétences en communication et une pensée vive et organisée. En tant que tel, le CISO doit non posséder une expertise technique et des compétences en leadership. Mais il doit également comprendre les activités de son entreprise et pouvoir exprimer les priorités de sécurité d’un point de vue commercial.

Mais qu’est-ce que cela signifie vraiment pour les responsables de la sécurité de l’information en poste aujourd’hui? Quelles sont les qualités les plus importantes que doivent posséder les CISO pour intégrer la sécurité dans tous les processus métier et assumer le rôle de leader dans une stratégie de sécurité informatique à l’échelle de l’entreprise? Considérons cinq des plus importantes.

1. Il doit comprendre la mission de l’entreprise et aligner la sécurité sur les objectifs de l’entreprise.

Le CISO se confronte au défi de la nécessité de trouver un équilibre la sécurité et les besoins du business. Les entreprises d’aujourd’hui ont besoin d’informations pour pouvoir fonctionner. Certes, un CISO peut créer une forteresse totalement inviolable et indestructible pour protéger l’entreprise. Les informations seront protégées mais elles ne pourront tout simplement pas s’en échapper. Mais une telle forteresse empêchera probablement le business de travailler et l’entreprise de gagner de l’argent.

Un excellent CISO examine la situation dans son ensemble. Il doit aligner ses objectifs sur les objectifs généraux de l’entreprise et sur sa mission actuelle. Son rôle n’est pas de contrôler l’entreprise. Par contre, son rôle est de lui permettre de réaliser ce qu’elle doit accomplir de manière relativement sûre. Cela nécessite de la planification et une bonne communication avec les autres parties prenantes de l’organisation afin de garantir l’efficacité du programme de sécurité et de l’aligner correctement sur les objectifs généraux de l’entreprise. Dans la mesure où la sécurité de l’information est en concurrence avec les autres objectifs de l’entreprise, un bon CISO s’assurera que la stratégie sera validée, approuvée et formalisée par un conseil ou un comité de gouvernance interne composé des parties prenantes de l’informatique et du management.

2. Il doit avoir une présence exécutive et la capacité d’influencer le conseil d’administration

Une grande partie du travail d’un CISO consiste à communiquer directement avec le conseil d’administration. Selon l’étude du Ponemon Institute, 65% des CISO dépendent directement du conseil d’administration. D’après cette étude, 60% sont responsables d’informer l’organisation sur les nouvelles menaces, technologies, pratiques et exigences de conformité. Enfin,  60% sont directement rattachés à la Direction Générale.

Cependant, la majorité des membres du conseil ne comprennent généralement pas le langage de la sécurité de l’information. Cela signifie que le CISO doit avoir la capacité de traduire leurs exigences, leurs objectifs et leurs rapports en des termes qu’un conseil d’administration peut parfaitement comprendre et, au final, développer sa crédibilité et leur confiance.

Cela nécessite une présence de la direction. C’est ce que Harvard Business Review définit comme «la capacité de projeter une confiance en soi mature, un sentiment que vous pouvez prendre le contrôle de situations difficiles et imprévisibles; prenez des décisions difficiles en temps utile et tenez bon avec les autres membres talentueux et volontaires de l’équipe de direction». Un CISO efficace aura donc une présence forte au sein de l’équipe de direction. Il l’utilisera non seulement pour représenter la position de la société en matière de sécurité, mais aussi pour influencer les autres dirigeants de manière cohérente avec les buts et objectifs de sécurité, et pour établir et entretenir des relations de travail efficaces avec tous les membres du conseil d’administration.

3. Il doit posséder des compétences de leadership exceptionnelles

Une bonne sécurité est le résultat d’un effort d’équipe. Il s’agit d’un processus métier continu qui nécessite l’adhésion des employés et des dirigeants de l’ensemble de l’organisation. Le poste de CISO comporte des aspects basés sur la technologie. Cependant, à de nombreux égards, le succès dépend de sa capacité de communiquer, à créer des relations, à déléguer et à diriger par l’influence, par opposition à une poigne de fer.

Il est essentiel que les CISO établissent des relations de confiance plutôt que d’imposer leur autorité sur les employés. La plupart des employés ne se considèrent pas comme une menace à la sécurité de l’entreprise. Mais les actions qu’ils entreprennent, leur prise de conscience des risques et la manière dont ils utilisent leurs propres dispositifs informatiques ainsi que ceux de l’organisation lorsqu’ils sont connectés au réseau sont susceptibles d’ouvrir la voie à des cyberattaques. En tant que tels, les CISO ont une responsabilité en matière d’application. Les bons CISOs, cependant, ne gouverneront pas par décret. A l’inverse, ils donneront aux membres de l’équipe de l’ensemble de l’organisation l’opportunité de prendre une part active à la gestion des risques liés à l’information.

En outre, le CISO doivt clairement définir qui participe à la prise de décision en matière de sécurité. Et son rôle est de veiller à ce que ces personnes disposent également des capacités et des compétences nécessaires pour prendre des décisions en matière de gestion des risques de l’entreprise. La documentation joue ici un rôle clé dans la réduction de la complexité de la synchronisation des rôles et des responsabilités entre les individus et les unités métiers. Le CISO s’assurera qu’il n’y a pas de faille de couverture, que la sécurité est bien gérée à tous les niveaux des départements et que les actifs de la société sont protégés.

4. Il doit se concentrer sur sa propre éducation et sur son développement personnel

Le champ de la cybersécurité évolue constamment et de nouvelles menaces apparaissent en permanence. Les CISO doivent consacrer une part importante de leur activité à la formation continue et à rechercher des sources d’information qui les tiennent au courant de tous les développements en matière de cyber-menaces et de sécurité informatique.

Bien entendu, les enjeux sont extrêmement élevés. Les cybercriminels sont constamment à la recherche de faiblesses dans les organisations qu’ils peuvent cibler. Le CISO doit maintenir un fossé aussi large que possible entre les cybercriminels et les programmes de sécurité de l’organisation. Et cela n’est possible qu’avec un apprentissage continu.

Pour cette raison, chaque CISO doit s’engager dans un développement personnel continu. Cela se traduit dans des programmes de formation et d’éducation pour se familiariser avec les technologies émergentes, les nouvelles exigences de conformité et le besoin perpétuel d’amélioration de la sécurité.

5. Il doit maintenir l’éthique en matière de cybersécurité au premier plan

L’éthique joue un rôle crucial dans toute stratégie de défense rationnelle en matière de cybersécurité. En l’absence de normes et de règles claires, il est pratiquement impossible de distinguer les responsables de la sécurité des criminels contre lesquels ils sont censés protéger les données et les systèmes de l’organisation.

À mesure que le volume de données qu’une organisation collecte sur ses clients, ses prospects, ses employés et d’autres personnes augmente, sa responsabilité de gestion et de protection de ces données augmente également. La confidentialité des données est étroitement liée à la sécurité, et CISO doit mener activement des discussions sur la quantité d’informations personnelles identifiables conservées et sur la quantité de données anonymisées. En outre, le CISO doit mettre en œuvre et appliquer une politique de pratiques éthiques à suivre par le personnel informatique et de sécurité, et réviser cette politique régulièrement conformément aux dernières réglementations et directives.

Le CISO doit également disposer d’un plan de réponse complet en cas d’incident à activer immédiatement en cas d’infraction. Il est important de noter que ce plan doit contenir évidemment des détails techniques sur la manière de réagir. Mail il doit aussi  comporter des instructions pratiques à l’intention des équipes juridiques, qui tiennent également compte de considérations éthiques essentielles. Le temps est bien sûr un facteur important pour réagir à une cyber-attaque. Informer les clients de tout impact, tel que le vol de données et d’informations d’identification, devrait donc faire partie intégrante du plan d’intervention.

Après une cyber-attaque les clients se sentent vulnérables. Aussi, le manque de transparence soulève-t-il logiquement de sérieuses questions sur les normes éthiques de l’entreprise. Une entreprises victime d’une violation de données est souvent sujette à  des poursuites. De plus, elle subira presque toujours des dommages à la réputation. En outre, tout retard sur l’annonce publique peut aggraver ces conséquences.

Conclusion

En résumé, un bon CISO possède un excellent esprit de leadership. Il est capable d’exercer une présence affirmée dans la salle de conseil d’administration. Sa capacité de communiquer efficacement sur la mission de sécurité est primordiale. Il doit également établir des relations solides au sein de l’entreprise. Enfin il est responsable de l’alignement des programmes de sécurité des informations sur les objectifs de l’entreprise. En outre, il doit s’engager pour sa formation continue et son développement personnel. Il doit également placer l’éthique en matière de cybersécurité et la réputation de l’entreprise au centre de toutes ses activités. Les entreprises du monde entier font aujourd’hui face à des menaces de plus en plus sophistiquées. Celles-ci proviennent d’une multitude de sources différentes. Dès lors, un bon CISO doté des compétences et des qualités requises est plus crucial et plus précieux que jamais.

 

En France et dans de nombreux pays francophones, on a l’habitude de nommer un RSSI au lieu d’un CISO. Pourtant le positionnement hiérarchique et les responsabilités sont différents. Qu’en pensez-vous? Merci d’apporter vos réactions et vos expériences en commentaire.

Top 5 des types de cyber-attaques en 2019

Votre entreprise risque d’être la victime de cyber-criminels. Afin de vous permettre de mieux cerner les menaces de sécurité auxquelles vous êtes exposés, en voici le top 5 en 2019. Pour chaque catégorie de cyber-attaque, je vous propose également quelques contre-mesures possibles.

Top 5 des types de cyber-attaques en 2019
Crédit © rawpixel.com 2019

Une cyber-attaque consiste en tout type d’action offensive qui cible des systèmes informatiques, des infrastructures, des réseaux informatiques ou des dispositifs informatiques personnels. Les cyber-criminels utilisent des méthodes diverses pour voler, modifier ou détruire des données ou des systèmes d’information.

En 2019, selon le dernier rapport d’IBM, chaque entreprise dans le monde à une probabilité de 28% de subir une cyber-attaque.De plus, le coût moyen d’une violation de données s’élève à 3,4 millions de dollars. Il est donc préférable de connaître le risque auquel vous êtes exposé si vous voulez mieux vous prémunir. A chaque type d’attaque correspondent une ou plusieurs réponses permettant de réduire le risque. Nous vous proposons ici le top 5 des cyber-attaques que vous avez le plus de risque de devoir affronter.

1. Attaque par déni de service (DoS) ou par déni de service distribué (DDoDS)

Une attaque par déni de service surcharge les ressources d’un système. Elle l’inonde de demandes au delà de sa capacité maximum.. Ainsi, le système ne peut plus répondre aux demandes de service des utilisateurs autorisés. Une attaque DDoS est aussi une attaque sur les ressources du système. Mais elle est lancée à partir d’un grand nombre d’autres machines hôtes infectées par des logiciels malveillants contrôlés par l’attaquant (botnet).

Contrairement aux attaques qui sont conçues pour permettre à l’attaquant d’obtenir ou d’augmenter l’accès, le déni de service ne procure pas d’avantages directs aux attaquants. La satisfaction du déni de service est une motivation pour certains. Cependant, si la ressource attaquée appartient à un concurrent, alors l’avantage pour l’attaquant peut être tout à fait réel. Mais souvent, l’objectif d’une attaque DoS est de mettre un système hors ligne pour qu’une autre attaque puisse être lancée simultanément. L’attaque DoS sert ainsi à masquer la véritable attaque qui se déroule en parallèle. Vous pourrez retrouver ce point dans un de mes précédents articles décrivant la chaîne cyber criminelle (cyber kill chain). Un exemple courant est le détournement de session, que je décrirai plus tard.

Pour tout savoir sur les attaques de type DoS et DDoS, vous pouvez également télécharger cet excellent document de l’ANSSI : Comprendre et anticiper les attaques DDoS.

Il existe différents types d’attaques DoS et DDoS ; les plus courantes sont l’attaque TCP SYN flood, teardrop attack, smurf attack, ping-of-death attack et l’utilisation des botnets.

Attaque TCP SYN Flood

Ici, les cyber-criminels exploitent l’espace tampon à l’initialisation d’une session TCP (Transmission Control Protocol). Le dispositif de l’attaquant inonde la petite file d’attente du système cible de demandes de connexion (SYN). Mais lorsque le système cible répond à ces demandes, le dispositif de l’attaquant ne réagit pas. Le système cible se trouve alors bloqué en attente de la réponse. En générant suffisamment de connexions incomplètes de ce type, il est possible de surcharger les ressources du système et ainsi de l’empêcher d’accepter de nouvelles requêtes, avec pour résultat un déni de service.

Contre-mesures possibles :

  • Placez les serveurs derrière un pare-feu configuré pour arrêter les paquets SYN entrants.
  • Augmentez la taille de la file d’attente de connexion et diminuez le délai de temporisation des connexions ouvertes.

Attaque Teardrop

Elle consiste à envoyer des paquets TCP qui se recouvrent en jouant sur le champ de fragmentation dans les paquets du protocole Internet séquentiel (IP) sur l’hôte attaqué. Le système attaqué tente de reconstruire les paquets pendant le processus mais il échoue. Le système cible devient alors désorienté et plante.

Contre-mesures possibles :

Appliquez les correctifs système pour vous protéger contre cette attaque DoS ou désactivez SMBv2 et bloquez les ports 139 et 445.

Attaque Smurf

Il s’agit là d’un ping flooding un peu particulier. C’est une attaque axée sur les réseaux. Ce procédé comporte deux étapes:

  • La première consiste à récupérer l’adresse IP de la cible par spoofing.
  • La seconde est d’envoyer un flux maximal de packets ICMP ECHO (ping) aux adresses de Broadcast. Chaque ping comportant l’adresse spoofée de l’ordinateur cible.

Si le routeur permet cela, il va transmettre le broadcast à tous les ordinateurs du réseau, qui vont répondre à l’ordinateur cible. La cible recevra donc un maximum de réponses au ping, saturant ainsi totalement sa bande passante… Bien entendu, plus de réseau comporte de machines et plus c’est efficace… Ce processus est répétable et peut être automatisé pour générer d’énormes d’encombrements du réseau.

Contre-mesures possibles :

Pour vous protéger contre ce genre d’attaque, vous devez désactiver les diffusions dirigées par IP sur les routeurs. Ceci empêchera ou limitera la demande de diffusion d’écho ICMP sur les périphériques réseau. Une autre option serait de configurer les systèmes finaux pour les empêcher de répondre aux paquets ICMP à partir d’adresses de diffusion. Vous pouvez également configurer le firewall pour filtrer les packets ICMP echo ou les limiter à un pourcentage de la bande passante.

Ping of death

Un ping a normalement une longueur maximale de 65535 ((2 exp 16) – 1) octets, incluant une entête de 20 octets. Un ping of death c’est un ping qui a une longueur de données supérieure à la taille maximale. Lors de son envoi, le ping of death est alors découpé en packets plus petits. L’ordinateur cible qui reçoit ces paquets doit les reconstruire. Il peut alors subir des débordements de tampon et d’autres plantages. Certains systèmes ne gèrent pas cette fragmentation, et se bloquent, ou crashent complètement. D’où le nom de cette attaque.

Contre-mesures possibles :

Pour commencer, mettez à jour votre OS. Puis effectuez un test avant que quelqu’un d’autre le fasse à votre place. Si le système réagit correctement, il n’y a pas de problème. Dans le cas contraire, les attaques Ping of death peuvent être bloquées en utilisant un pare-feu qui vérifiera la taille maximale des paquets IP fragmentés.

Botnets

Les botnets sont les millions de systèmes infectés par des logiciels malveillants sous le contrôle de cyber-criminels, afin d’effectuer des attaques DDoS. Ces robots ou systèmes zombies sont utilisés pour effectuer des attaques contre les systèmes cibles. De la sorte, ils submergent souvent la bande passante et les capacités de traitement du système cible. Ces attaques DDoS sont difficiles à retracer parce que les botnets sont situés dans des lieux géographiques différents.

Contre-mesures possibles :

Il est très difficile de se protéger contre les botnets. Par contre, on affaiblit les botnets grâce aux mesures suivantes :

  • Le filtrage RFC3704 empêchera le trafic en provenance d’adresses piratées et aidera à assurer la traçabilité du trafic jusqu’à son réseau source correct. Par exemple, le filtrage RFC3704 supprimera les paquets des adresses de liste bogon.
  • Le filtrage des trous noirs, qui élimine le trafic indésirable avant qu’il n’entre dans un réseau protégé. Lorsqu’une attaque DDoS est détectée, l’hôte BGP (Border Gateway Protocol) doit envoyer des mises à jour de routage aux routeurs des FAI afin qu’ils acheminent tout le trafic en direction des serveurs victimes vers une interface null0 au prochain saut.

2. Attaque de l’homme au milieu

On parle d’attaque de l’homme au milieu (Man in the Middle ou MitM) lorsqu’un pirate s’insère entre les communications d’un client et d’un serveur. C’est une attaque qui a pour but d’intercepter les communications entre deux parties, sans que ni l’une ni l’autre ne puisse se douter que le canal de communication entre elles a été compromis. Le canal le plus courant est une connexion à Internet de l’internaute lambda. L’attaquant doit d’abord être capable d’observer et d’intercepter les messages d’une victime à l’autre. Les pirates interceptent les e-mails, l’historique de votre navigation sur Internet et les réseaux sociaux pour cibler vos données sécurisées et commettre des actes criminels.

attaque homme du milieu

Contrairement au phishing qui nécessite que vous baissiez votre garde involontairement et que vous ouvriez votre ligne de défense, une attaque dite de l’homme du milieu est une cyber-attaque passive. Elle se fait sans que vous en ayez conscience.

Elle affecte laussi bien es particuliers que les entreprises. Personne n’est à l’abri. En 2015, une importante opération menée par Europol a piégé 49 membres d’un groupe de cyber-criminels. Ils ciblaient des victimes à travers toute l’Europe. Leurs méthodes impliquaient l’utilisation de techniques de piratage informatique pour pénétrer des communications de confiance entre les entreprises et leurs clients. Une fois à l’intérieur, ils ont surveillé les communications et poussé les victimes peu méfiantes à transférer de l’argent sur leurs comptes bancaires.

Méthodes d’attaque

L’augmentation spectaculaire des bornes wifi gratuites et des connexions à haut débit a contribué à améliorer nos vies. Mais c’est aussi une aubaine pour les criminels qui veulent espionner ou intercepter vos activités en ligne.

Les voyageurs constituent une cible facile pour les cyber-criminels. Une méthode d’attaque classique consiste à créer sa propre connexion wifi. Imaginez que vous vous trouvez dans votre restaurant préféré. Vous configurez alors vos paramètres wifi pour vous connecter au réseau gratuit. Les réseaux disponibles listés sont-ils tous des réseaux wifi légitimes, ou certains appartiennent-ils à un pirate?

Cette question est primordiale. En effet, une fois que vous vous connectez à un faux réseau, le pirate obtient l’accès instantané à votre appareil. Il est très facile pour un pirate de créer des bornes wifi frauduleuses lui permettant d’avoir accès aux informations personnelles des personnes qui tentent de s’y connecter.

Détournement de messagerie

Le détournement de messagerie consiste à cibler des comptes de messagerie et à espionner des communications. Une fois infiltrés dans ce système fermé, les cyber-criminels peuvent envoyer de faux e-mails ou des imitations très réalistes. Généralement il s’agit de demande d’un transfert d’argent, de vos informations financières ou encore de vos mots de passe. Cela peut être particulièrement problématique lorsque les cibles sont des dirigeants d’une entreprise. Ils peuvent ainsi recevoir de faux e-mails semblant pourtant authentiques et leur demandant de transférer de l’argent.

Détournement de session

Le détournement de session est une attaque courante, où le pirate prend le contrôle des cookies de votre navigateur. Les cookies sont de petits morceaux de données qui stockent des renseignements sur les sites Web que vous visitez. Grâce à cet accès, le cyber-criminel peut voler tout un tas de données. Il peut s’agir de vos informations de connexion ou de vos informations personnelles saisies dans les formulaires en ligne.

Comment se protéger d’une attaque de type homme au milieu?

L’essentiel est de faire en sorte de naviguer en toute sécurité.

  • Cryptez le trafic entre le réseau et votre appareil à l’aide d’un logiciel de chiffrement de navigation. Vous pourrez ainsi repousser les éventuelles attaques dites de l’homme du milieu.
  • Vérifiez toujours la sécurisation des sites que vous visitez. La plupart des navigateurs affichent un symbole de cadenas à côté de l’URL lorsqu’un site Web est sécurisé. Si vous ne voyez pas ce symbole, vérifiez que l’adresse Web commence par « https ». Le « S » signifie « sécurisé » et garantit que vos données ne seront pas susceptibles d’être interceptées par des cyber-criminels.
  • Utilisez un pare-feu. C’est également un moyen fiable de protéger vos données de navigation. Sans être infaillible, un pare-feu fournit un degré de sécurité supplémentaire lorsque vous utilisez un réseau wifi public. Si vous naviguez souvent sur un réseau wifi public, configurez un réseau privé virtuel (VPN). Ce type de réseau protège votre trafic et complique la tâche des pirates qui voudrait l’intercepter.
  • Mettez vos logiciels de sécurité à jour. Les cyber-criminels ne cessent de s’adapter et de se perfectionner. Vous devriez donc en faire de même. En mettant à jour votre solution de sécurité, vous avez accès en permanence à des outils les plus actualisés. Et ils surveilleront votre activité en ligne pour une navigation sécurisée et agréable.

3. Phishing et Spear Phishing

L’hameçonnage (phishing) est la pratique consistant à envoyer des courriels qui semblent provenir de sources fiables. Le but est d’obtenir des renseignements personnels ou d’influencer les utilisateurs à faire quelque chose. Il combine l’ingénierie sociale et la supercherie technique. Cela peut prendre la forme d’une pièce jointe à un mail qui charge un logiciel malveillant sur votre ordinateur. Cela peut également être d’un lien vers un site Web illégitime qui peut vous amener à télécharger des logiciels malveillants ou à communiquer vos renseignements personnels. Pour une description détaillée, je vous invite à relire un de mes précédents articles : Phishing mode d’emploi.

L’hameçonnage au harpon (spear phishing) est un type particulier d’activité d’hameçonnage très ciblé. Les cyber-criminels prennent le temps de faire des recherches sur leurs cibles pour créer des messages personnels et pertinents. Pour cette raison, l’hameçonnage au harpon peut être très difficile à identifier et encore plus difficile à défendre. L’une des façons les plus simples qu’un pirate peut utiliser pour mener une attaque de harponnage est l’usurpation de courriels. Par exemple l’information dans la section « De » du courriel donne l’impression qu’elle provient de l’une de vos connaissances. Ce peut être votre direction ou un partenaire d’affaire. Les cyber-criminels utilisent souvent le clonage de site web pour donner de la crédibilité à leur histoire. Ils copient des sites Web légitimes pour vous tromper en fournissant des informations personnellement identifiables (IPI) ou des identifiants de connexion.

Comment vous protéger de l’hameçonnage ou de l’hameçonnage au harpon?

Pour réduire le risque d’être victime d’hameçonnage, je vous propose ces techniques simples :

  • Pensée critique – Ne considérez jamais un courriel comme fiable par défaut. Peut-être simplement êtes-vous occupé ou stressé ou avez-vous 150 autres messages non lus dans votre boîte de réception. Arrêtez-vous un instant et analysez soigneusement le courriel.
  • Survolez les liens – Déplacez votre souris sur le lien, mais ne cliquez surtout pas dessus ! Il suffit de laisser le curseur de votre souris sur le lien et de voir où il vous emmènerait réellement. Appliquer la pensée critique pour déchiffrer l’URL.
  • Analyse des en-têtes de courriel – Les en-têtes de courriel définissent comment un courriel est arrivé à votre adresse. Les paramètres « Reply-to » et « Return-Path » doivent conduire au même domaine que celui indiqué dans l’email.
  • Sandboxing – Vous pouvez tester le contenu des e-mails dans un environnement sandbox, en enregistrant l’activité à partir de l’ouverture de la pièce jointe ou en cliquant sur les liens à l’intérieur de l’e-mail.

4. Attaque par drive by download

Les attaques Drive by-download sont une méthode courante pour propager des logiciels malveillants. Les cyber-criminels recherchent les sites Web non sécurisés. Ils y implantent alors un script malveillant dans le code HTTP ou PHP sur l’une des pages. Ce script, invisible, peut installer des logiciels malveillants directement sur l’ordinateur d’une personne qui visite le site. Il peut aussi rediriger la victime vers un site contrôlé par les cyber-criminels. Les Drive by-download peuvent se produire lors de la visite d’un site Web ou de l’affichage d’un message électronique ou d’une fenêtre contextuelle.

Contrairement à de nombreux autres types d’attaques de cybersécurité, un drive-by ne nécessite pas qu’un utilisateur active l’attaque. Ainsi, même si vous n’avez pas cliqué sur un bouton ou ouvert une pièce jointe malveillante, vous pouvez être infecté. Un téléchargement par drive-by download peut profiter d’une application, d’un système d’exploitation ou d’un navigateur Web qui contenant des failles de sécurité dues à des mises à jour échouées, ou à l’absence de mises à jour.

Méthode d’attaque

Attaque de type drive by download
Crédit © Sophos

Une attaque de type drive by download se déroule en 5 étapes.

Le terme drive-by download décrit la manière avec laquelle les malwares infectent votre ordinateur, lors de la simple visite d’un site web qui utilise un code malveillant (l’étape 1 de la cyberattaque : le point d’entrée).

La plupart du temps, il s’agit de sites officiels, qui ont été corrompus et qui vous redirigent vers un autre site web sous le contrôle de hackers (l’étape 2 d’une attaque web la distribution).

Aujourd’hui, les cyber-criminels utilisent des malwares sophistiqués, disponibles sous la forme d’un kit d’exploit, et qui permettent de trouver une vulnérabilité au sein de votre logiciel parmi des milliers de possibilités.

Lorsque votre navigateur internet est redirigé vers le site web qui héberge un kit d’exploit, il examine votre système d’exploitation, votre navigateur internet et les autres logiciels (comme votre lecteur de PDF ou le lecteur vidéo). L’objectif est de trouver une faille de sécurité qu’il pourra exploiter (l’étape 3 de la cyber-attaque : l’exploit).

Lorsque le kit d’exploit a identifié une vulnérabilité, l’étape 4 d’une attaque web l’infection, peut commencer. Dans la phase d’infection d’une attaque web, le kit d’exploit télécharge le logiez malveillant qui s’installe alors sur votre ordinateur.

Pour finir, vient l’étape 5 d’une attaque webl’exécution. Lors de cette étape,  le logiciel malveillant fait ce pour quoi il a été conçu, à savoir rapporter de l’argent à son maître.

Par exemple, le malware connu sous le nom de Zbot (APT), peut avoir accès à vos emails et vos comptes bancaires. Un autre type de charge utile est appelée ransomware. Le logiciel malveillant prend en otage vos fichiers en les cryptant et vous demande de payer une rançon pour les récupérer.

Comment vous protéger contre une attaque de type drive-by?

Pour vous protéger contre les attaques par drive-by-download, vous devez tenir à jour vos navigateurs et systèmes d’exploitation. Evitez également  les sites Web qui pourraient contenir des codes malveillants. Tenez-vous-en aux sites que vous utilisez normalement – mais gardez à l’esprit que même ces sites peuvent être piratés. Ne conservez pas trop de programmes et d’applications inutiles sur votre machine. Plus vous avez de plug-ins, plus il y a de vulnérabilités exploitable par des attaques par drive-by-download.

5. Attaque par mot de passe

Méthode d’attaque

Les mots de passe sont le mécanisme le plus couramment utilisé pour authentifier les utilisateurs d’un système d’information. L’obtention de mots de passe est donc une approche d’attaque commune et efficace. Les cyber-criminels obtiennent l’accès au mot de passe d’une personne de multiples façon. Il  suffit souvent de regarder autour du bureau de la personne, de sniffer la connexion au réseau pour acquérir des mots de passe non cryptés, d’utiliser l’ingénierie sociale, d’accéder à une base de données de mots de passe ou de le deviner directement. La dernière approche peut se faire de manière aléatoire ou systématique :

  • Deviner un mot de passe par un passage en force brutal signifie essayer de nombreux mots de passe en espérant que l’un d’entre eux fonctionne. Les cyber-criminels appliquent alors une certaine logique en essayant des mots de passe liés au nom de la personne, à sa fonction, à ses loisirs, à ses proches ou à des éléments similaires.
  • Dans une attaque par dictionnaire, un dictionnaire de mots de passe communs est utilisé pour tenter d’accéder à l’ordinateur et au réseau d’un utilisateur. Une approche consiste à copier un fichier crypté contenant les mots de passe, à appliquer le même cryptage à un dictionnaire de mots de passe couramment utilisés et à comparer les résultats.

Comment vous protéger?

Afin de vous protéger contre les attaques par dictionnaire ou par force brute, vous pouvez mettre en œuvre une politique de verrouillage de compte qui verrouillera le compte après quelques tentatives de mot de passe invalides.

Vous avez un témoignage ou un commentaire? Alors ne soyez pas timide et laissez-nous un commentaire. Plus il y a d’échanges sur ce sujet sensible et plus les gens seront informés et sensibilisés. N’oubliez pas : la probabilité de subir une cyber-attaque en 2019 est de 28%. Si cet article vous a plu, vous pouvez aussi nous laisser un « like » et vous abonner à notre blog.

Violations de données : un gouffre financier évitable?

Comme chaque année depuis 13 ans, IBM vient de publier son rapport sur les coût des violations de données. Cette année, le coût moyen des violations de données dans le monde est en hausse de 6,4% par rapport à l’année précédente. Il atteint désormais 3,86 millions de dollars (environ 3,4 millions d’euros). Le coût moyen de chaque enregistrement perdu ou volé contenant des informations sensibles et confidentielles a également augmenté de 4,8% par rapport à l’année dernière pour atteindre 148 $ (soit environ 130 euros). Ce sont des sommes considérables. Imaginez le coût de la violation de données qui a affecté les hôtels Marriott fin 2018. 500 millions d’enregistrements de données personnelles de clients ont été affectées!! 

Violations de données : un gouffre financier pour les entreprises
Crédit © rawpixel.com 2019

Dans cet article, je vous explique comment on évalue ces coûts et comment essayer de les réduire. Cela vous permettra également d’identifier les impacts auxquels vous devez vous attendre lorsque cela vous arrivera. Vous remarquez que je n’ai pas dit « si cela vous arrive ». En effet, cela vous arrivera à coup sûr. Voyons donc les enjeux de sécurité de l’information auxquels vous devez faire face…

Le temps c’est de l’argent

Beaucoup connaissent l’adage selon lequel «le temps, c’est de l’argent». C’est un conseil judicieux pour quiconque soumis à un stress persistant dans sa vie professionnelle (et personnelle). Cela s’applique également aux violations de données. L’étude 2018 sur le coût des violations de données, réalisée par IBM / Ponemon Institute, est un guide indispensable à l’intention des CISO (Responsables de la Sécurité de l’Information), des CPO (responsables de la protection de la vie privée), des DPO (responsables de la protection des données), des gestionnaires de risques et des consultants. Elle leur permet de mieux gérer leurs cyber-risques et les coûts concomitants en cas d’infraction aux réglementations (RGPD par exemple).

Le rapport souligne le coût élevé des violations de données. Dans le même temps, souvent, les responsables de la cybersécurité ignorent si ou quand de telles violations ont lieu dans leurs réseaux. Certains gardent la tête dans le sable et ne privilégient pas suffisamment la détection comme moyen de connaissance. Les réglementations récentes en matière de confidentialité exigent le signalement en temps voulu d’une violation de données lorsque le Responsable du Traitement en a connaissance. Cela peut peut-être amener certains à penser qu’éviter de connaître une violation est une bonne stratégie. Cela permettrait de réduire les coûts associés aux rapports.

Une mauvaise stratégie des entreprises

Hélas, cette «stratégie de l’autruche» n’est pas seulement imprudente et contraire à l’éthique. Elle est bien plus coûteuse pour les organisations. Elle peut même s’avérer catastrophique. Une détection plus rapide des violations de données peut réduire considérablement les pertes. N’oubliez jamais que les pirates de frappent pas d’un seul coup. Ils ont tout leur temps. Et plus vous tardez à réagir, plus ils auront de temps pour commettre des dégâts.

Si nous reprenons le cas de la violation de données qui a touché les hôtels Marriott. C’est le 19 Novembre 2018 que l’investigation a permis de déterminer qu’une violation avait eu lieu. Apparemment un outil avait déjà alerté sur un accès non autorisé dès le 8 septembre. Cela représente plus de 60 jours de délai. Mais cette attaque avait probablement démarré bien avant septembre 2018.

La chaîne cyber-criminelle peut prendre un temps extrêmement long. Je vous invite à bien la comprendre. Elle est décrite de façon détaillée dans un de mes articles récents sur les tests de pénétration.

Le coût stupéfiant des violations de données

En 2018, dans le monde, le coût moyen d’une violation de données hausse de 6,4% par rapport à l’année précédente. Il s’élève désormais à 3,86 millions de dollars (3,4 millions d’euros). Ces statistiques devraient être très préoccupantes. Et elles ne représentent que les coûts tangibles d’une violation. Ce montant ne prend notamment pas en compte les coûts des amendes réglementaires. Par conséquent, les chiffres figurant dans ce rapport doivent être considérés comme une limite basse. Les autres coûts potentiels comprennent les frais liés aux litiges, les amendes pour non-conformité réglementaire et les pertes de revenus dues aux clients qui quittent l’entreprise à la suite d’une violation. Les entreprises investissent massivement dans les produits de cybersécurité et les services professionnels. Alors, pourquoi le coût des violations de données ne diminue-t-il pas? La question mérite d’être posée.

Des moyens insuffisants mis en oeuvre

Chaque nouvelle réglementation relative à la protection des données personnelles appelle à prendre des «mesures de sécurité appropriées». C’est le cas notamment du règlement général européen sur la protection des données (RGPD) ou de la loi américaine sur la protection des renseignements personnels des consommateurs (CCPA). Les entreprises ne prennent en général ces mesures de sécurité de l’information que pour éviter des amendes dissuasives. Et par souci de facilité et d’économie, elles se limitent à s’appuyer sur des outils informatiques facilement accessibles.  C’est hélas très insuffisant. Elles ne mettent pas en oeuvre les actions nécessaires pour prévenir la violations résultant d’erreurs humaines. J’ai rarement vu des actions de formation de masse portant sur l’ensemble du personnel. C’est généralement considéré comme trop coûteux et trop lourd.

Des réglementations qui ne vont pas assez loin

L’aspect le plus frustrant de ces nouvelles réglementations est que la responsabilité des données incombe au responsable du traitement. Cela signifie qu’une organisation est responsable de la protection de ses données, peu importe avec qui les données sont partagées et comment les données sont traitées. Cela vaut également une fois qu’elles ne sont plus sous son contrôle. Les obligations contractuelles d’un fournisseur tiers de sécuriser les données une fois qu’il y a accès résultent du contrat entre le responsable du traitement et son sous-traitant.

Le RGPD, impose que de tels accords soient signés. Cependant, il place l’entière responsabilité sur l’organisation d’origine en tant que responsable des pertes de données. Les amendes encourues peuvent atteindre jusqu’à de 4% du chiffre d’affaires mondial annuel, ou 20 millions d’euros par violation. Alors, peut-être que les meilleures pratiques «raisonnables» ne suffisent pas. Peut-être que la technologie liée à la cybersécurité n’est pas utilisée pour s’attaquer au bon problème.

Meilleure détection et meilleure réponse

Le délai moyen moyen d’identification d’une violation est maintenant de 197 jours. Cela représente une légère amélioration par rapport à l’année précédente. Cependant ce délai reste beaucoup trop long. Imaginez-vous vivre avec un voleur chez vous qui dérobe tout ce qui a de la valeur pendant 197 jours? 197 jours pendant lesquels vous ne vous apercevez de rien?

Considérez le comportement typique des attaquants. Je l’ai décrit en détail dans mon précédent article « Tests de pénétration : nécessaires mais pas suffisants« . C’est ce qu’on appelle la chaîne cyber-criminelle.  Ils suivent une méthodologie éprouvée. Cela commence par la reconnaissance pour localiser leur cible et identifier les points d’entrée. Vient ensuite la première entrée (généralement par les utilisateurs du harponnage au sein de la cible choisie). Une fois qu’ils ont réussi à voler les informations d’identité d’un utilisateur légitime, ils s’installent pour établir le contrôle pendant de longues périodes. Ils se déplacent latéralement, recherchant d’autres informations d’identification, serveurs, journaux, fichiers et documents qu’ils souhaitent. Les documents et les données sont regroupés et exfiltrés à l’aide de protocoles courants. Ils utilisent aussi des sites tiers qui servent de serveurs de transfert à partir desquels ils peuvent télécharger leurs biens volés. Le fait d’avoir pris pied permet l’exfiltration de données à long terme à un rythme adapté à leurs besoins.

Et ce qui est le plus frappant, c’est que tout cela se déroule à l’insu de l’organisation cible.

L’utilisation de leurres est-elle efficace?

La plupart des approches de détection de fraude passent à côté de la cible en matière de détection précoce. Une variété de sociétés de technologie de détection de fraude vantent les réseaux de miel (honeynets en anglais) permettant une détection précoce. En gros, il s’agit de leurres qui vont agir comme des pièges à pirates. Je vous invite à consulter cet article sur le blog du hacker pour mieux comprendre leur fonctionnement. On installe les honeynets à côté de serveurs opérationnels. Et les attaquants ne seraient attirés par ces honeynets que s’ils y étaient conduits. On prend soin d’empêcher les utilisateurs ordinaires de se connecter à des réseaux de miel. Sinon, les fausses alarmes auraient un impact négatif sur les affaires. Et, au moment où un attaquant est tombé dans un leurre (en anglais honeypot), il aura déjà avoir effectué une recherche sur le réseau opérationnel et probablement déjà volé son butin. Malheureusement, cette approche est inefficace pour détecter et réagir aux violations de données.

Il existe également des technologies émergentes de capteurs qui offrent une meilleure solution. On les déploie directement dans l’environnement opérationnel. Par exemple, des capteurs de perte de données peuvent être générés automatiquement, des documents leurres hautement crédibles avec des balises incorporées placées de manière stratégique dans des dossiers, des répertoires ou des partages tiers afin d’inciter les pirates à les ouvrir et d’alerter les équipes de sécurité sur les violations à un stade précoce.

Des pistes pour améliorer la détection

L’absence de données de recherche réelles et à grande échelle sur le monde réel a empêché la mise au point de systèmes de détection d’intrusion (IDS) efficaces pouvant arrêter une attaque dès le début de son cycle de vie. La plupart des organisations confrontées à ce type d’attaques préfèrent ne pas les annoncer publiquement pour des raisons de responsabilité et de confidentialité.

Soixante-douze pour cent des incidents résultant des menaces internes (insiders en anglais) survenus dans les établissements sondés ont été traités en interne. Aucune action judiciaire ni intervention de la police n’est intervenue. Seulement 13% des incidents issus de menaces internes ont été traités en interne mais ont donné lieu à des poursuites judiciaires. L’annonce de telles attaques peut également avoir des conséquences sur les parts de marché d’une entreprise. Pour ces mêmes raisons, les victimes d’infractions sont encore moins susceptibles de partager des données réelles qui pourraient être utilisées pour étudier de telles attaques avec le monde de la recherche.

Les attaques de mascarade

Une attaque courante est la mascarade ou usurpation d’identité (en anglais, masquerade). Elle consiste à tromper les mécanismes d’authentification pour se faire passer pour un utilisateur autorisé, de façon à obtenir des droits d’accès illégitimes et ainsi compromettre la confidentialité, l’intégrité ou la disponibilité. Un cas particulier de d’usurpation d’identité consiste pour un attaquant à « forger » de fausses adresses d’origine pour les messages qu’il émet. Dans ce cas, nous parlons alors plus particulièrement de spoofing (littéralement, parodie) d’adresse. Ce déguisement est, par exemple, très facile à réaliser sur le réseau Internet, puisqu’il n’y a pas d’authentification sur les adresses IP.

L’étude des attaques par mascarade souffre également de la rareté des données réelles, malgré leur importance. Trente-cinq pour cent des dirigeants et des membres des autorités publiques ont vu leurs informations, systèmes et réseaux utilisés sans autorisation. Les attaques de mascarade se classent au deuxième rang des cinq principaux cyber-crimes perpétrés par des personnes extérieures, juste après les virus, les vers et autres vecteurs d’attaque malveillants.

L’expérience de la DARPA

L’essentiel de cette expérience est le suivant. Les imposteurs, tout comme les voleurs qui s’introduisent dans une maison, doivent collecter des informations sur l’environnement dans lequel ils viennent d’entrer. Ils doivent en savoir plus sur leur domicile, rechercher des objets de valeur à voler et empaqueter des données pour les exfiltrer. Cette activité précoce est essentielle pour détecter leur activité néfaste. Par conséquent, le fait de placer les capteurs qui agissent comme des fils de déclenchement dans les dossiers et les répertoires les plus susceptibles d’être recherchés dans le cadre d’une attaque sert de mécanisme de détection.

L’efficacité de l’utilisation de capteurs intégrés dans des documents comme moyen de détecter la perte de données a été prouvée par une étude scientifique parrainée par la DARPA. L’étude a mesuré les vrais et faux positifs et les vrais négatifs. Dans le cadre de l’étude, 39 imposteurs individuels, tous sélectionnés pour leur connaissance approfondie et sophistiquée de l’informatique et des systèmes en général, ont été autorisés à accéder à un système comme s’ils avaient déjà réussi à voler les références nécessaires. Les imposteurs ont ensuite été informés que leur travail consistait à voler des informations sensibles dans le système en exploitant les informations d’identification qui leur étaient fournies. L’étude a suivi une méthodologie prescrite et statistiquement valide selon laquelle les imposteurs étaient informés du type d’informations à voler, mais non de la manière de les voler. Ils ont été laissés à eux-mêmes pour trouver et exfiltrer leur butin.

Dans cette étude, l’utilisation stratégique de capteurs pour détecter le moment où les documents ont été consultés a permis:

  • de détecter 98% des imposteurs
  • la génération d’un seul faux positif par semaine d’opération
  • de réussir la détection dans les 10 minutes.

Conclusion

La détection précoce d’un accès non autorisé à des données sensibles, telle que celle décrite dans cette étude de la DARPA, peut permettre aux organisations de ne pas souffrir du coût d’une violation. Il y a 28% de chances qu’une entreprise subisse une violation dans les deux prochaines années. Cela peut entraîner une perte de 3,6 millions USD basée sur le coût moyen d’une violation de données. En utilisant ces chiffres comme point de repère, la détection d’une violation dans les 30 jours ou moins (au lieu de la moyenne de 197 jours) permet à l’entreprise d’économiser un million de dollars en coûts. La plupart des entreprises s’appuient déjà sur des capteurs de réseau et de points d’accès pour collecter des données de sécurité critiques. Pourquoi ne pas utiliser des capteurs à la source des données?

Si le temps de détection est essentiel pour permettre aux entreprises de réaliser des économies substantielles, le secteur de la sécurité doit examiner de nouvelles technologies et approches pour améliorer cette mesure. L’utilisation de capteurs de perte de données est une méthode éprouvée pour attraper rapidement les imposteurs dès le début d’une attaque.

Les violations de données représentent un gouffre financier pour les entreprises. Cependant, ce n’est pas inévitable. Des solutions existent pour réduire les impacts. Encore faut-il que les dirigeants comprennent l’ampleur du phénomène et évaluent correctement les risques.

Vous êtes tous et toutes concerné(e)s puisqu’un quart d’entre vous serez potentiellement affectés dans les deux ans qui viennent. Alors, n’hésitez pas à réagir et à donner votre avis au travers de vos commentaires.

 

Tests de pénétration : nécessaires mais pas suffisants

Trop souvent, lors de mes missions dans différentes parties du monde, je fais face à des idées fondamentalement erronées sur l’objectif d’un test de pénétration. Et malheureusement, ces incompréhensions peuvent mener à des catastrophes en termes de  création de valeur. Dans cet article, j’explore certains des comportements courants que j’ai pu constater vis à vis des pentests. Ils conduisent le plus souvent à une absence de retour sur investissement, faute d’être correctement utilisés. Et, hélas, ils aboutissent systématiquement à une augmentation des risques business due à un faux sentiment de sécurité.

Cybersécurité - Les tests de pénétration sont indispensables mais insuffisants
Crédit : © rawpixel.com 2018

Si vous êtes un lecteur régulier de ce blog, vous savez que j’aborde régulièrement des sujets relatifs à la cybersécurité. Mes articles s’appuient souvent sur des référentiels, des normes ou des réglementations. Aujourd’hui, je vous propose un sujet un peu différent. On entend de plus en plus parler de tests de pénétration (ou pentests) des systèmes d’information. On parle également souvent de tests d’intrusion. Mais à quoi cela sert-il vraiment? Est-ce vraiment utile? Et si vous réalisez ce type de test, cela vous garantit-il que votre système informatique est vraiment sécurisé? Je vais essayer de répondre à toutes ces questions et vous démontrer l’utilité de ces tests de sécurité. Je vais aussi vous démontrer qu’ils ne constituent qu’un des éléments de la chaîne, parmi beaucoup d’autres. En d’autres termes, je vais vous expliquer pourquoi les tests de pénétration sont indispensables mais totalement insuffisants.

En quoi consiste la chaîne cyber-criminelle (« Cyber Kill Chain »)?

Il est important de connaître les étapes qu’un cybercriminel va suivre pour attaquer votre entreprise / service. Le terme «chaîne cyber-criminelle» a été adopté pour exprimer l’ensemble de ces étapes.

Pour mieux comprendre l’intérêt des tests de pénétration, il faut d’abord comprendre ce qu’on appelle la chaîne cyber-criminelle (« Cyber Kill « Chain’). En fait il s’agit de comprendre comment se déroule une cyber-attaque de façon générale.

A l’origine, c’est l’armée qui utilisait le terme de « chaîne de destruction ». Cette « chaîne » définit les étapes que l’ennemi utilise pour attaquer une cible. En 2011, Lockheed Martin a publié un document définissant une «chaîne cyber-criminelle». Ce document, similaire à celui de l’armée, définit les étapes suivies par les hackers dans les cyber-attaques d’aujourd’hui. Et c’est en comprenant chacune de ces étapes que les défenseurs peuvent mieux identifier et bloquer les attaques.

Chaîne cyber-criminelle selon Lockheed Martin
© Lockheed Martin 2011

La chaîne cyber-criminelle, telle que décrite dans le document de Lockheed Martin se compose de 7 étapes.

Une variante, définie par Varonis, rajoute une étape supplémentaire : l’exfiltration. C’est une étape qui apparaît nécessaire. En effet, un pirate ne commet jamais une attaque sans avoir une stratégie de sortie.

Chaîne cyber-criminelle ver. 2 ou les étapes suivies par les cybercriminels
© Varonis 2016

Voici la description détaillée de chacune des étapes d’une chaîne cyber-criminelle (le chemin suivi pour attaquer une cible) :

1. Reconnaissance

Tout « casse » réussi commence toujours par une mission de repérage des lieux. Le même principe s’applique dans le cas d’une cyber-attaque. La phase de reconnaissance constitue la phase préliminaire de toute attaque. Il s’agit de la mission de recueil d’informations. Le cybercriminel recherche alors les indications susceptibles de révéler les vulnérabilités et les points faibles de votre système. Les pare-feu, les dispositifs de prévention des intrusions, les périmètres de sécurité (et même les comptes de médias sociaux) font l’objet de reconnaissance et d’examen minutieux. Les outils de repérage analysent les réseaux des entreprises pour y trouver des points d’entrée et des vulnérabilités à exploiter.

2. Intrusion

Après avoir obtenu ces renseignements, il est temps de s’infiltrer dans le système. Le cybercriminels est maintenant juste derrière la porte. Il est prêt à agir. Il doit encore, cependant, piéger les lieux pour faciliter son attaque. L’intrusion constitue le moment où l’attaque devient active. Les logiciels malveillants (y compris les ransomware, spyware et adware) peuvent être envoyés vers le système pour en forcer l’entrée. C’est la phase de livraison. Elle peut s’effectuer par e-mail de phishing ou prendre la forme d’un site Web compromis. Elle peut aussi venir du sympathique café au coin de la rue avec sa liaison WiFi non sécurisée, facile à utiliser par les pirates. L’intrusion constitue le point d’entrée d’une attaque. C’est le moment où les agresseurs pénètrent dans la place.

3. Exploitation

Le hacker se trouve de l’autre côté de la porte et le périmètre est désormais violé. La phase d’exploitation d’une attaque exploite les failles du système. Les cybercriminels peuvent désormais entrer dans le système, installer des outils supplémentaires, modifier les certificats de sécurité et créer de nouveaux scripts à des fins nuisibles.

4. Escalade de privilèges

Quel intérêt y aurait-t-il à entrer dans un bâtiment si vous restez coincé à la réception? Vous devez absolument pénétrer le coeur du bâtiment pour y trouver les secrets les plus intéressants. C’est ce que font les cybercriminels en utilisant l’escalade de privilèges. Ils vont ainsi pouvoir obtenir des autorisations élevées d’accès aux ressources. Ils modifient les paramètres de sécurité des GPO, les fichiers de configuration, les permissions et essaient ensuite d’extraire des informations d’identification.

5. Mouvement latéral

Vous avez maintenant carte blanche. Il vous reste cependant à trouver la chambre forte où sont protégées les informations les plus précieuses. Les cybercriminels se déplacent de système en système, de manière latérale, afin d’obtenir d’autres accès et de trouver toujours plus de ressources. C’est également une mission avancée d’exploration des données. Au cours de cette mission, les cybercriminels recherchent des données critiques et des informations sensibles, des accès administrateur et des serveurs de messagerie. Ils utilisent souvent les mêmes ressources que le service informatique de l’entreprise. Ils tirent également parti d’outils intégrés tels que PowerShell et se positionnent de manière à causer le plus de dégâts possible.

6. Camouflage

C’est bon, vous êtes arrivés au bon endroit. Encore faut-il vous assurer que vous n’allez pas vous faire repérer. Mettez les caméras de sécurité en boucle et montrez un ascenseur vide. Ainsi, personne ne verra ce qui se déroule en coulisses. Les hackers font exactement la même chose. Ils masquent leur présence et leur activité pour éviter toute détection et déjouer les investigations. Cela peut prendre la forme de fichiers et de métadonnées effacés, de données écrasées au moyen de fausses valeurs d’horodatage (timestamps) et d’informations trompeuses. Ou encore cela peut se faire sous forme d’informations critiques modifiées pour que les données semblent ne pas avoir été touchées.

7. Déni de service

Bloquez les lignes téléphoniques et coupez le courant. C’est la phase au cours de laquelle les cybercriminels ciblent le réseau et l’infrastructure de données. Leur objectif est d’empêcher que les utilisateurs légitimes puissent accéder à ce dont ils ont besoin. L’attaque par déni de service (DoS) perturbe et interrompt les accès. Elle peut entraîner la panne des systèmes et saturer les services.

 8. Exfiltration

Vous devez toujours prévoir une stratégie de sortie. Vous avez obtenu ce que vous étiez venu chercher. Il serait idiot de rester là à attendre d’être découvert et arrêté par la police. Vous devez maintenant sortir votre butin pour pouvoir en tirer profit. Les cybercriminels obtiennent les données. Ils copient, transfèrent ou déplacent les données sensibles vers un emplacement sous leur contrôle. Ils pourront ensuite en faire ce qu’ils veulent : les rendre contre une rançon, les vendre sur internet ou sur le Dark Web par exemple. Sortir toutes les données peut prendre des jours entiers. Mais une fois qu’elles se trouvent à l’extérieur, elles sont sous le contrôle des cybercriminels.

N’oubliez pas que les attaquants disposent d’un temps considérable (potentiellement illimité). Ils disposent également d’une étendue totalement libre au niveau des vecteurs d’attaque. Rien n’est interdit! Ils ne se limiteront pas toujours à une seule méthode et les voies d’attaque couvriront tous les chemins possibles entre vos données et la position de l’attaquant (y compris les serveurs / services et les points finaux n’appartenant pas à votre entreprise). Les attaques peuvent être continues et ne se dérouleront probablement pas durant les heures de travail de votre organisation.

Qu’en est-il des tests de pénétration?

Examinez maintenant les phases d’un test de pénétration. Celles-ci (bien qu’elles puissent sembler quelque peu similaires) sont souvent très différentes :

1. Sélection du prestataire

Les entreprises choisissent un fournisseur sur le marché. Ils se concentrent le plus souvent sur la liste de ses badges de certification et les coûts plutôt que sur la méthode de test utilisée.

2. Définition du périmètre du test

Une réunion de cadrage est organisée au cours de laquelle le client et le fournisseur discutent des exigences. Sur la base de cette réunion, le fournisseur élabore une proposition. Un périmètre spécifique sera sélectionné, qui inclura et exclura des scénarios et des types de tests. Il pourra s’agir de tests de type black box, grey box ou white box, à l’aveugle, internes ou externes, …

3. Planification

Une fois les contrats conclus, le test sera planifié, les prérequis activés et les délais convenus.

4. Réalisation du test

Les tests seront effectués (souvent sur quelques jours) en fonction de la méthode de test du fournisseur. Il peut s’agir d’un balayage automatisé utilisant un produit tel que Nessus . Idéalement, ce sera une combinaison de tests automatisés et manuels couvrant l’ensemble du spectre du service testé. Cependant il s’agit le plus souvent d’un ensemble limité de tests

5. Fourniture d’un rapport

Une fois le test d’intrusion terminé, l’étape finale consiste à collecter les preuves des vulnérabilités exploitées et à les signaler à la direction. C’est elle qui les examine et prendra les mesures qui s’imposent. C’est maintenant à la haute direction de décider de la manière dont ce risque doit être traité. Ils choisiront d’accepter le risque, de le transférer, de le réduire ou de l’ignorer (option la moins probable). Un rapport formel sera fourni au client. Celui-ci se présente le plus souvent sous la forme d’un agencement de style feux de signalisation décrivant les risques critiques, élevés, moyens, faibles ou négligeables. Le rapport inclut souvent également des recommandations de mesures correctives afin de réduire les risques identifiés.

6. Suivi

Après la soumission du rapport de test d’intrusion, le client doit l’examiner avec les parties prenantes concernées. Il doit ensuite ajuster les contrôles de sécurité en conséquence. Cela nécessitera probablement un effort de collaboration entre plusieurs fonctions, services, équipes et moyens. Ce suivi sera normalement réalisé sous la direction du CISO. L’objectif clé ici devrait être de permettre aux équipes de réduire le risque d’un service spécifique. Cependant il ne faut pas en rester là. Il convient également de jouer sur l’amélioration continue du processus de développement du cycle de vie logiciel/service afin d’améliorer la posture de sécurité et la robustesse tout au long du cycle de vie.

Les problèmes en amont des tests de pénétration

Les six phases de test de pénétration que j’ai décrites ci-dessus peuvent sembler relativement simples. Hélas les choses peuvent mal se passer. Et c’est malheureusement souvent ce qui se produit. Les quatre scénarios suivants sont des scénarios que je vois malheureusement maintes et maintes fois. Et, même avant le début des tests, ils contribuent à détruire tout le bénéfice de l’opération. Cette liste n’est pas exhaustive, alors n’hésitez pas à commenter ci-dessous (je suis sûr que vous avez d’autres exemples concrets).

  • Les tests de pénétration ne sont effectués que sur un périmètre très réduit. Par exemple un test de type boîte noire est réalisé à partir d’une adresse IP spécifique par rapport à une cible spécifique, d’une manière limitée.
  • La sélection du prestataire du test d’intrusion est effectuée sur la seule base du coût.
  • La portée des tests ne représente pas un nombre suffisant de vecteurs d’attaque par rapport à ce que les cybercriminels utiliseront dans le monde réel.
  • Les tests sont limités aux environnements de «test» uniquement, car l’entreprise craint que le business ou un service ne soit affecté si un test produisait un résultat «destructeur» sur les systèmes en production.

Les problèmes en aval du test d’intrusion

En plus de ce qui précède:

  • Les résultats des tests de pénétration restent extrêmement secrets. Bien sûr, ils sont sensibles, mais les méchants vous sondent déjà. Et ils connaissent probablement déjà les faiblesses de votre système.
  • Souvent, les résultats ne sont pas utilisés pour aider les équipes concernées (équipe bleue, opérations informatiques, développeurs, centre de services et architectes) à apprendre non seulement à atténuer les attaques spécifiques, mais également à améliorer leurs pratiques pour réduire le nombre de vulnérabilités créées.

Alors, que faut-il faire?

Vous liez ceci et vous pensez que rien de tout cela ne se peut se produire dans votre organisation? Alors j’en suis vraiment très heureux pour vous. Mais hélas, j’ai beaucoup de mal à vous croire. Cependant, je soupçonne que beaucoup d’entre vous, tout comme moi, hocherez la tête et grinceront un peu des dents en vous rappelant la valeur limitée des activités réalisées lors du dernier test d’intrusion.

Lors de la conception et de l’exploitation des services, il est essentiel que les activités de test et d’assurance de la sécurité se déroulent selon un cycle continu qui améliore à la fois la sécurité et la création de valeur. Les rapports sur les étagères, ou des listes des case de conformité à cocher ou encore des tests menés à un moment précis, n’apportent que peu de valeur ajoutée. Cela ne contribue pas efficacement à la réduction des risques pour l’entreprise.

La détection et la correction des vulnérabilités de sécurité sont beaucoup moins stressantes et coûteuses si elles sont traitées dès les premières étapes du cycle de vie. De plus la connaissance des outils et des méthodes à déployer avant de réaliser une revue de sécurité vous évitera de nombreuses nuits blanches si vous commencez très tôt et faites des évaluations en continu.

Conclusion

Les tests de pénétration ont définitivement un rôle à jouer pour sécuriser et garantir les services. Cependant, n’oubliez pas qu’il ne s’agit que d’un composant de la solution et non de la solution complète. Les autres activités importantes à réaliser comprennent notamment :

  • Conception sécurisée,
  • Gestion des actifs,
  • Modélisation des menaces,
  • Évaluation des risques,
  • Revues de code,
  • Audits et examens des services,
  • Évaluation des vulnérabilités,
  • Analyse de code (statique et dynamique),
  • Renforcement de la sécurité,
  • Gestion des correctifs de sécurité,
  • Exploitation sécurisée,
  • Simulation d’attaques,
  • et bien d’autres encore…

Espérons que cet article vous amène à réfléchir à l’objectif des tests de pénétration. Cela devrait être l’amélioration de l’apprentissage et de la posture de la sécurité. Les tests de pénétration  se doivent de jouer un rôle général dans la planification, la conception, la construction et l’exploitation de services sécurisés. Ainsi, non seulement vous réduirez les risques pour l’entreprise mais aussi vous offrirez de la valeur à votre client!

N’hésitez pas à commenter cet article pour échanger vos expériences. C’est sur la base d’une discussion avec et entre nos lecteurs que nous pouvons mieux répondre à vos attentes. Alors, n’attendez pas. Ne soyez pas timide et osez poster un commentaire.

 

Cybersécurité: au delà de l’environnement professionnel

Je travaille avec de nombreuses organisations à travers le monde pour les aider à améliorer leur cybersécurité. J’écris beaucoup d’articles sur des blogs, j’anime des conférences et des formations sur ce sujet depuis plusieurs années. Dans le cadre de mes activités de conseil, je me concentre presque toujours sur la gouvernance et le management de la sécurité des systèmes d’information en entreprise. Cela concerne entre autres les mots de passe, la protection des données personnelles, etc.. C’est bien pour cela que mes clients ont recours à mes services. Cependant, il est tout aussi important de penser à la cybersécurité dans nos vies personnelles.

Cybersécurité au delà de l'environnement professionnel, les mots de passe, les objets connectés, les terminaux doivent être protégés
Crédit © rawpixel.com 2018

Dans cet article, j’aborderai trois sujets essentiels :

  • Gestion de vos comptes d’utilisateurs et mots de passe
  • Protection de vos ordinateurs, tablettes et téléphones
  • Protection vos appareils IoT (objets connectés)

Dans un prochain article, j’aborderai le quatrième sujet: « Protection de vos informations personnelles ». Cet article est déjà très long et vous devrez donc attendre un prochain post pour que j’aborde ce sujet sensible. Il mérite beaucoup plus que quelques lignes.

1. Gérez vos comptes utilisateurs et vos mots de passe

Chaque semaine, nous découvrons une nouvelle faille majeure dans la sécurité des informations. Les données personnelles de millions de personnes sont ainsi divulguées. Lors d’une récente attaque contre les hôtels Marriott, les pirates se sont emparés d’informations personnelles concernant des centaines de millions de clients (entre 350 et 500 millions selon les estimations). Cela devrait vous inciter à la plus grande prudence quand à l’utilisation d’internet au quotidien.

Définissez bien votre stratégie de gestion de mots de passe

Lorsqu’une violation survient, les pirates informatiques s’emparent généralement d’une liste de noms d’utilisateurs et de mots de passe utilisés sur les systèmes violés. Souvent ils récupèrent également des informations personnelles et financières qu’ils pourront ensuite utiliser ou revendre. Une des premières choses qu’ils font ensuite, généralement, est d’essayer ces mots de passe sur tous les autres sites auxquels ils peuvent penser. Il ne s’agit pas juste de taper les mots de passe sur un clavier pour voir où leurs victimes travaillent. Les pirates utilisent des scripts qui essaient des millions de mots de passe connus sur plusieurs milliers de sites Web. Cela signifie que si vous avez utilisé le même mot de passe sur plusieurs sites différents, et si l’un de ces sites est victime d’une attaque, les pirates informatiques peuvent potentiellement accéder à tous les autres comptes sur lesquels vous avez réutilisé ce même mot de passe.

Idéalement, vous avez donc besoin d’un nom d’utilisateur différent et d’un mot de passe complexe différent pour chaque connexion. Oui, je sais. Ce n’est pas facile quand vous pouvez avoir des centaines de comptes différents. Je viens de compter le nombre de comptes différents que j’ai. Et vous savez quoi? J’ai découvert que j’utilise plus de 200 identifiants différents, que ce soit pour les achats, les voyages, la gestion de mon argent, les médias sociaux, les entreprises de services publics, le gouvernement, etc.

Assurez-vous que votre stratégie est suffisamment solide

Certaines personnes utilisent un mot de passe commun pour ce qu’ils considèrent être des sites à faible risque. Ils ne définissent des mots de passe uniques que pour les sites qui leur paraissent les plus critiques, comme leur banque. Hélas, cela peut entraîner des problèmes lorsqu’un compte «à faible risque» s’avère plus important que vous ne le pensiez. Des informations personnelles pouvant aider les pirates à violer un compte plus sécurisé pourraient éventuellement être dérobées.

Prenons un exemple simple. Imaginons que votre opérateur de téléphonie mobile utilise un ancien compte de messagerie, que vous utilisez rarement et que vous avez oublié, pour confirmer les commandes. Un pirate informatique peut alors récupérer votre numéro de téléphone et l’utiliser pour se faire passer pour vous sur un autre site. De même, imaginons qu’un pirate informatique accède au site sur lequel vous avez utilisé votre mot de passe commun parce que vous vouliez uniquement effectuer un achat ponctuel et que la société conserver une copie des informations de votre carte de crédit en ligne. Le cyber-criminel pourrait alors obtenir votre mot de passe commun ainsi que les informations de votre carte de crédit. Bon d’accord, imaginons que le site marchand en question ne conserve pas vos informations de carte de crédit. Celles concernant vos achats (nom, prénom, adresse email) peuvent être suffisantes pour qu’un pirate informatique réussisse une attaque de phishing: «Cher Alain, le t-shirt que tu as acheté la semaine dernière provenait d’un lot défectueux. Merci de cliquer sur ce lien pour obtenir un remboursement ».

Utilisez un gestionnaire de mots de passe

Si vous souhaitez créer un mot de passe différent et complexe pour chaque site sur lequel vous vous connectez, vous aurez sûrement beaucoup de mal à le mémoriser. Alors vous pouvez le stocker dans une feuille de calcul ou un document protégé par mot de passe. Encore faut-il vous assurer que la protection du document ne puisse pas être violée. Il est cependant préférable d’utiliser un outil de gestion de mots de passe.

Les gestionnaires de mots de passe sont beaucoup plus qu’un simple outil de stockages des mots de passe. Ils offrent tout un ensemble de fonctionnalités telles que :

  • Protection de tous vos noms d’utilisateur et mots de passe enregistrés protégés par un seul mot de passe (très complexe j’espère) que vous seul connaissez
  • Navigation automatique vers des sites Web et saisie de vos informations dans les champs correspondants
  • Capture automatique des noms d’utilisateur et des mots de passe lorsque vous les entrez ou les modifiez
  • Génération de mots de passe aléatoires complexes correspondant à des critères spécifiés
  • Synchroniser les mots de passe cryptés enregistrés vers un service cloud afin que vous puissiez les utiliser sur de nombreux appareils différents (ordinateur, tablette, téléphone)
  • Prise en charge de plusieurs navigateurs pour vous permettre de vous connecter comme bon vous semble au moment voulu
  • Prise en charge de diverses plates-formes, notamment Windows, Mac, IoS et Android.

Certains gestionnaires de mots de passe sont gratuits, d’autres sont payants. Certains autres ont une version premium et une version gratuite avec des fonctionnalités différentes. Voici une liste de quelques produits que vous devriez considérer:

Une fois que vous aurez commencé à utiliser un gestionnaire de mots de passe, vous verrez par vous-même. Vous vous demanderez comment vous avez réussi à vous en passer jusqu’alors. Cela rend les choses tellement plus faciles. Comme pour tout outil, la configuration et l’habitude de l’interface utilisateur demandent un peu d’effort au début. Ensuite vous pourrez créer des mots de passe longs et complexes pour chaque site et les utiliser pratiquement sans effort.

Utilisez l’authentification à deux facteurs

Les mots de passe longs et complexes aident à sécuriser vos comptes, mais ils ne suffisent pas toujours. Les hackers peuvent utiliser de nombreuses astuces pour obtenir vos mots de passe. En particulier si vous utilisez un réseau WiFi public non sécurisé dans les hôtels, les aéroports ou les cafés, ils peuvent espionner et récupérer vos mots de passe qui sont transmis en clair sur le réseau.

L’authentification à deux facteurs utilise deux manières différentes de prouver qui vous êtes. Elle repose sur deux choses complètement différentes. Il est donc beaucoup plus difficile pour un pirate informatique de prendre le contrôle votre compte. Chaque connexion nécessite l’utilisation de deux éléments distincts parmi les suivants:

  • Quelque chose que vous savez (un mot de passe par exemple)
  • Quelque chose que vous avez (une carte, un badge, un jeton matériel)
  • ou quelque chose que vous êtes (une identification biométrique comme une empreinte digitale par exemple)
  • ou enfin quelque part où vous êtes (l’identité d’un réseau sans fil par exemple ou des coordonnées GPS).

Certains sites Web vous permettent d’utiliser un message texte envoyé sur un téléphone portable ou un code envoyé dans un message électronique en tant que deuxième facteur. C’est notamment le cas pour les banques. Cela vaut mieux que de simplement utiliser un mot de passe mais ce n’est pas aussi sécurisé que d’autres options. En effet, il existe des moyens bien connus d’intercepter les messages électroniques et les messages texte du téléphone. D’ailleurs, considéré comme trop fragile, ce moyen d’authentification utilisé par les banques est en voie d’être interdit en Europe. La commission européenne est  actuellement en train d’élaborer la nouvelle directive DPS2 qui va dans ce sens et s’imposera à toutes les banques et les sites marchands. La meilleure option pour une utilisation personnelle consiste à utiliser une application, telle que Google Authenticator, ou un jeton matériel, tel que Yubikey.

L’authentification à deux facteurs est déjà disponible sur de nombreux sites

Peut-être ne le savez-vous pas mais de nombreux sites et logiciels différents prennent déjà en charge l’authentification à deux facteurs. Par exemple

  • Vous pouvez l’activer sur les sites de médias sociaux tels que Facebook, Twitter et LinkedIn
  • De nombreuses banques et autres sites financiers fournissent un deuxième facteur sous la forme d’un jeton matériel qui génère un code à utiliser lorsque vous vous connectez
  • Certains logiciels prennent en charge deux facteurs. Par exemple, vous pouvez configurer la connexion à deux facteurs pour la plupart des gestionnaires de mots de passe répertoriés ci-dessus.

Utilisez un service de VPN

Vous utilisez un réseau WiFi public, par exemple dans les hôtels, les aéroports ou les cafés? Les pirates informatiques ont alors une bonne occasion de s’attaquer à votre sécurité. Ils peuvent s’y prendre de différentes manières. Notamment, il peuvent mettre en place un faux point d’accès WiFi qui redirige tout le trafic via leurs propres serveurs. Ils ont alors tout loisir de capturer vos informations personnelles.

Le meilleur moyen de vous protéger de ce type d’attaque consiste à utiliser un service VPN. Une fois que vous vous êtes connecté au réseau WiFi et avant de faire quoi que ce soit, le service VPN configure une connexion vérifiée et cryptée entre votre appareil et un serveur VPN. Le serveur VPN achemine ensuite tout votre trafic Internet, de façon cryptée, vers sa destination. Ceci empêche toute personne sur le réseau WiFi local de voir quoi que ce soit sur votre activité Internet ou d’interférer avec celle-ci.

Vous pouvez trouver une comparaison détaillée des produits VPN disponibles sur le site That One Privacy Site.

2. Protégez vos ordinateurs, vos tablettes et vos téléphones

Il est extrêmement facile pour les ordinateurs, les tablettes ou les téléphones d’être infectés par des logiciels malveillants pouvant avoir des conséquences dévastatrices. Un Ransomware peut chiffrer tous vos fichiers et demander de l’argent pour les récupérer. Le cryptojacking peut prendre le contrôle de votre appareil et utiliser toute votre puissance CPU pour générer des bitcoins pour un attaquant. Les virus, les vers et les chevaux de Troie peuvent être utilisés pour prendre complètement le contrôle de votre appareil et l’utiliser pour lancer des attaques sur d’autres ordinateurs ou tout simplement pour vous causer des problèmes.

Parmi les actions que vous pouvez prendre pour vous protéger nous vous proposons les suivantes:

Maintenez les correctifs de sécurité à jour

Ne tardez pas à installer les correctifs du système d’exploitation. Dès que le correctif est disponible et que la connaissance du bug se généralise, il est probable que des cyber-criminels tenteront d’exploiter le bug qu’il corrige. Si vous attendez quelques semaines pour installer le correctif, ils auront tout le temps de vous pirater.

Ne faites pas que patcher votre système d’exploitation. Les applications nécessitent également des correctifs réguliers. Certaines applications les téléchargent automatiquement. Par exemple, des navigateurs Web tels que Chrome et Firefox vous invitent à mettre à jour les versions les plus récentes. Vous devez toutefois surveiller les autres applications et les maintenir à jour manuellement.

Il existe des outils pour vous aider, mais aucun d’eux n’est totalement satisfaisant. Vous pouvez utiliser un produit appelé SUMo, qui identifie les mises à jour dont vous avez besoin et fournit un lien pour les télécharger. Attention cependant, les liens de téléchargement ne sont pas toujours fonctionnels.

Assurez-vous de maintenir votre anti-virus à jour

Vous devez absolument exécuter un logiciel antivirus sur tous vos appareils, le maintenir à jour et effectuer des analyses régulières. Il existe de nombreuses options gratuites, en fonction de la plate-forme que vous utilisez. Par exemple, Sophos propose des produits gratuits pour Windows, Mac et Android. N’hésitez pas à rechercher en ligne des critiques qui seront probablement mises à jour plus fréquemment que ce blog.

Faites attention l’hameçonnage, ne cliquez pas sur des liens

L’hameçonnage (phishing en anglais) est souvent utilisé par les pirates pour vous amener à télécharger et à exécuter des logiciels. Généralement, il se présente sous la forme d’un lien dans un courrier électronique, un message texte ou un message de média social. Mais il peut également être intégré dans un document PDF ou Office. Pour en savoir plus, je vous invite à consulter un précédent article : Phishing – Mode d’emploi.  Auparavant, il était assez facile de reconnaître les attaques de phishing car elles avaient généralement une mauvaise grammaire et des liens qui présentaient des risques évidents à reconnaître. Mais les escrocs deviennent de plus en plus intelligents et certaines de ces attaques sont vraiment difficiles à détecter.

Vous devez être vigilant. Si vous recevez un lien dans un message envoyé par un ami, ne vous contentez pas de cliquer dessus. Réfléchissez bien au type de messages que cet ami vous envoie habituellement. Eventuellement contactez-le et demandez-lui s’il vous a vraiment envoyé le message. Si vous recevez un email d’une banque ou d’une autre institution financière, n’utilisez jamais le lien inclus dans le message pour accéder à votre compte. Ouvrez votre navigateur Web et accédez vous-même au site.

Faites des sauvegardes régulières, spécialement pour les données importantes

Si votre ordinateur ou votre périphérique est compromis, vous pouvez probablement le restaurer dans l’état dans lequel il se trouvait lorsqu’il a quitté l’usine. Cela supprimera tout logiciel malveillant. Cependant, si vos précieuses données ont été compromises, votre seul moyen de récupération consiste à restaurer une sauvegarde. Vous pouvez utiliser un logiciel de sauvegarde comme Acronis TrueImage ou StorageCraft ShadowProtect, mais même si cela n’est pas possible, vous devez stocker des copies des fichiers importants dans un emplacement sûr, même si vous les envoyez régulièrement à votre service de messagerie cloud.

3. Protégez vos objets connectés

De nombreux appareils que nous introduisons aujourd’hui dans nos foyers ont une capacité informatique et une connectivité réseau. Cela inclut

  • les téléviseurs et les différentes éléments que nous leur connectons;
  • haut-parleurs intelligents tels que Amazon Echo ou Google Home;
  • les ampoules intelligentes;
  • systèmes domotiques;
  • les webcams;
  • et des appareils plus exotiques tels que des grille-pain intelligents, des bouilloires et des brosses à dents.

Tous ces appareils sont en réalité des ordinateurs de votre réseau domestique. Ils peuvent donc être attaqués et leur contrôle peut être pris par des pirates. Si vous souhaitez connaître l’ampleur potentielle du problème, consultez Shodan, un moteur de recherche Web qui localise et identifie les périphériques IoT non sécurisés.

Les conseils de ce paragraphe du blog s’appliquent également aux périphériques réseau domestiques tels que les routeurs et les points d’accès sans fil.

Changez les mots de passe par défaut

La première chose, et la plus importante, que vous devriez faire avant de commencer à utiliser tout appareil connecté est de changer les mots de passe par défaut. Choisissez un bon mot de passe et veillez à en conserver une copie, de préférence dans votre gestionnaire de mots de passe.

Mettez à jour le micro-logiciel et les logiciels

Comme tous les autres ordinateurs, ces appareils exécutent des logiciels qui peuvent être compromis. Les fournisseurs publient régulièrement des mises à jour et des correctifs. Vous devez vous assurer que ceux-ci sont installés rapidement.

Désactivez les fonctionnalités que vous n’utilisez pas

De nombreux appareils comportent de nombreuses fonctionnalités qu’on utilise très rarement. Une fois que vous avez identifié les fonctionnalités du périphérique que vous souhaitez utiliser, il est recommandé de désactiver toutes les fonctionnalités que vous n’utilisez pas. Cela réduira la «surface d’attaque» et contribuera à réduire les risques de compromission de votre appareil.

Conclusion

Nous sommes de plus en plus dépendants d’Internet et nos foyers regorgent d’appareils informatiques de plus en plus sophistiqués. Internet et les appareils connectés sont très populaires. Ils contribuent à notre qualité de vie, mais ils comportent des risques. Si vous les utilisez sans penser aux risques, un jour vous serez attaqué et les conséquences pourraient être graves.

Si vous utilisez les contre-mesures disponibles, telles que les bons mots de passe, l’authentification à deux facteurs et les mises à jour de correctifs, vous pouvez alors vous protéger. Vous protègerez ainsi votre maison et votre famille contre les pires effets d’une attaque.

Cet article vous a paru utile? Vous avez d’autres astuces pour vous protéger en ligne? N’hésitez pas à partager vos avis et vos expériences par un commentaire. Si vous avez aimé cet article, vous pouvez aussi nous laisser un « like », cela fait toujours plaisir à notre équipe.

Cyber-risques : technologies émergentes et vie privée

De nouveaux cyber-risques apparaissent au fur et à mesure que des technologies émergentes arrivent sur le marché. Dans de nombreux cas les données privées sont menacées. La protection de la vie privée des individus, malgré le RGPD, est de plus en plus mise en défaut. Y a-t-il des solutions? Quelles sont les responsabilités?

Cyber-risques : Technologies émergentes (objets connectés, IoT) et protection des données personnelles et de la vie privée
Crédit © rawpixel.com 2018

Il est maintenant possible de connecter presque tous les objets. Bien sûr on pense à la montre connectée, mais il y a aussi de nombreux autres équipements concernés. Il peut s’agir d’accessoires automobiles ou d’accessoires de la maison (stores, réfrigérateur, télévision, thermostat intelligent, etc.). On ne doit pas non plus faire abstraction des drones et autres équipements médicaux tels que pacemakers ou autres. Aujourd’hui, 6,4 milliards d’appareils sont ou vont être connectés à Internet. Et si ça se passait mal? Si des pirates pouvaient avoir accès au données personnelles collectées par ces terminaux? Et même si les GAFAM (Google-Amazon-Facebook-Apple-Microsoft) récupéraient ces données et les revendaient? Et même si des cyber-criminels prenaient le contrôle de ces objets connectés? Alors, que pourrait-il advenir?

Une menace claire et omni-présente

Vous vous dites peut-être que c’est juste de la science-fiction. Et pourtant, il serait insensé de penser que les thermostats intelligents connectés à Internet ou d’autres appareils intelligents ne posent pas de problème de sécurité pour les organisations. Lors du développement d’objets connectés (IoT), l’absence de réflexion en matière de sécurité a entraîné un risque considérable pour les réseaux d’entreprises.

Selon Kaspersky Labs, 85 000 raisons très claires sont prises en compte lorsque l’on considère le coût moyen d’une attaque par déni de service distribué (DDoS) pour l’entreprise. En octobre 2016 déjà, de larges pans de l’internet sont devenus indisponibles en Europe et en Amérique du Nord. Amazon, PayPal, Netflix, Airbnb, Twitter et Visa ont figuré parmi les grands noms qui ont subi des perturbations. La cause? Une attaque DDoS contre le fournisseur Dyn. La vraie cause? Mirai.

Mirai est un logiciel malveillant qui transforme des ordinateurs utilisant le système d’exploitation Linux en bots contrôlés à distance. Ils forment alors un botnet (réseau de bots) utilisé notamment pour réaliser des attaques à grande échelle sur les réseaux. Mirai s’attaque principalement à des dispositifs grand public tels que des caméras pilotables à distance ou encore des routeurs pour la maison. En gros, il force brutalement les appareils IoT, bien que peu de force soit généralement nécessaire, à cause de mesures de sécurité rares (voire nulles). Suite à l’attaque de 2016, le botnet qui en a résulté était composé d’environ 150 000 caméras IP, de routeurs domestiques et même de moniteurs pour bébé.

Des failles de sécurité pour le moins surprenantes

La plupart des fabricants d’objets connectés (IoT) ne placent pas la sécurité au centre des préoccupations de conception. Le plus souvent , de nombreux fournisseurs et l’industrie technologique font alors porter la faute sur les utilisateurs. Il les accusent de n’avoir pas déployé suffisamment d’efforts pour sécuriser les appareils en modifiant les mots de passe par défaut. Et de leur côté, il arrive même que les fabricants fassent des erreurs majeures de sécurité. Ainsi, certains vont jusqu’à coder en dur des mots de passe faciles à deviner dans leurs appareils. C’est le monde à l’envers. Toutes les bonnes pratiques sont bafouées pour des raisons de coût essentiellement. La conséquence c’est que les cyber-risques explosent.

Des responsabilités claires des fabricants

Certes, les utilisateurs ne modifient pas toujours les mots de passe par défaut pour les rendre plus difficiles à deviner. Cela, les fabricants le savent. Alors pourquoi ne proposent-ils pas un mot de passe par défaut unique, difficile à pirater?

On peut toujours facilement reprocher aux utilisateurs de ne pas mettre à jour les systèmes avec les derniers correctifs. Mais, dans la réalité, ces mises à jour fournies par les fabricants d’objets connectés ne sont pas très fréquentes. Et elles n’arrivent généralement qu’après qu’un périphérique ait déjà été piraté. Ils sont en mode réactif et quasiment jamais en mode proactif.

Les dispositifs IoT sont conçus pour être faciles à utiliser. Ce sont aussi, souvent, des appareils destinés à être vendus à un prix attractif. La question du coût de réalisation devient donc un facteur primordial pour les fabricants. Or les compétences en sécurité sont relativement rares sur le marché et, par conséquent, relativement chères. Aussi, très souvent, la sécurité est développée par des techniciens n’ayant pas les compétences suffisantes en matière de sécurité. Au lieu de cela, il faudrait que les fabricants d’objets connectés fassent développer leurs appareils par des spécialistes de la sécurité possédant, en plus, des compétences de développement et ayant une parfaite compréhension des conséquences d’une protection insuffisante. Pas l’inverse!!

Des réglementations insuffisantes

En outre, l’industrie de l’internet des objets n’est, à ce jour, ni normalisée ni réglementée. La conséquence est une anarchie complète pour les utilisateurs finaux. Cela pourrait changer si le gouvernement tentait d’inciter les fabricants d’appareils IoT à adopter une approche de la protection de la vie privée dès la conception (Protection by Design). Les gouvernements pourraient chercher à légiférer si les fabricants d’appareils IoT n’écoutent pas les conseils. Il y a bien sûr une tentative d’évolution dans ce sens avec le RGPD. Malheureusement c’est encore insuffisant pour faire bouger les lignes au niveau des objets connectés..

L’évolution de la surface d’attaque des entreprises

Il est clair que quelque chose ne va pas dans le monde de la technologie lorsque vos utilisateurs deviennent le périmètre du réseau, étant donné le rôle qui consiste à empêcher les menaces de s’infiltrer davantage dans le réseau.

Les appareils IoT ouvrent le réseau à un éventail de risques beaucoup plus large. Ils servent de points de terminaison à sécuriser, tout en diluant les ressources assignées pour la définition classique et traditionnelle de la protection contre les menaces.

La bascule intelligente

Étant donné ce que vous ne pouvez pas faire pour empêcher la compromission des périphériques IoT, quel est le revers de la médaille? Il ne s’agit pas d’un exercice de «longueur de chaîne» comme le suggère la variété presque infinie d’appareils dont nous parlons. D’ailleurs, cette accusation de conception par des « comptables » que nous avons formulée plus tôt va, en fait déjà, commencer à tomber, dès que les vendeurs verront une opportunité du marché de fournir des produits plus sécurisés.

Attendez-vous à ce que la segmentation du réseau et l’authentification entre périphériques (si aucun cryptage de données suffisamment puissant n’est possible) figure parmi les priorités dans les listes de fonctionnalités des objets connectés.

Gardons un oeil sur le futur

Quoi que l’avenir nous apporte, vous ne devez pas perdre de vue ces objets connectés (IoT), ni même leur emplacement. Vous devez absolument savoir quels appareils vous avez, avec quoi ils se connectent et comment ils le font. Tenir un inventaire détaillé des vos actifs informationnels fait partie des bonnes pratiques de sécurité de l’information. Cependant on oublie souvent ces appareils dans la liste des actifs informationnels.

La visibilité est essentielle pour sécuriser l’IoT dans la mesure où votre entreprise est concernée. Ces points de d’accès sont les endroits où les attaquants rechercheront des vulnérabilités pour essayer de franchir le fossé entre les équipements et l’infrastructure de votre entreprise.

 

Top 5 des cyber-escroqueries

Quand il s’agit de vous protéger, vous et votre entreprise, contre les cyber-escroqueries, il n’existe pas de solution «universelle». Les entreprises et les particuliers continuent d’adopter de nouveaux appareils et de nouvelles technologies. Ils s’exposent donc en permanence à de nouvelles possibilités en matière de cyber-attaques.Afin de protéger efficacement les précieuses informations qui motivent les cybercriminels, il est important de mieux comprendre les différents types d’escroqueries qui nous ciblent.

Cyber-escroqueries - Evitez les pièges
Crédit © rawpixel.com 2018

Le top 5 des cyber-escroqueries les plus courantes

Les cybercriminels recourent à une grande variété de tactiques frauduleuses pour accéder à un appareil ou à un réseau. Leur objectif est toujours le même :  extorquer de l’argent ou voler des informations précieuses. Il est essentiels de comprendre les menaces et savoir comment vous en protéger, ainsi que votre entreprise. Cependant,  connaître les différentes manières dont ils exploitent les tactiques d’ingénierie sociale pour tromper les utilisateurs peut s’avérer assez complexe.

Toutefois, grâce à des règles simples, les utilisateurs peuvent minimiser l’impact des cyber-escroqueries. Nous vous proposons ici le top 5 des tactiques que les pirates utilisent cibler les utilisateurs. Et surtout n’oubliez pas que la cyber-sécurité ne se limite pas à l’univers professionnel!

1 – Les escroqueries par hameçonnage (phishing)

Les attaques par hameçonnage sont très courantes. On les retrouve très souvent dans les réseaux d’entreprise et les réseaux personnels. Elles se produisent lorsqu’un criminel envoie une communication à sa cible. Il peut s’agir d’un courrier électronique, d’un appel téléphonique, d’un SMS, etc.. Le pirate se fait passer pour quelqu’un d’autre afin d’extraire ou d’accéder à des informations d’identification. Ce sont généralement des données personnelles ou des informations financières concernant la personne ciblée. Il peut aussi s’agir d’informations sensibles liées à l’organisation pour laquelle la personne travaille. De plus, notons que 59% des  infections réussies par ransomware sont véhiculées via l’hameçonnage.

Voici quelques éléments à prendre en compte pour vous aider à mieux reconnaître un mail d’hameçonnage. Vous pouvez aussi vous reporter à mon article détaillé publié sur ce blog.

Vérifiez les noms des contacts

Faites preuve de prudence si vous recevez des communications d’une source inconnue qui vous demande une action, par exemple en fournissant des informations personnelles ou en vous connectant à un site via un lien. Quasiment aucune entreprise ne vous demandera jamais des informations personnelles par courrier électronique ou SMS. Lorsque quelqu’un le fait, cela doit être considéré comme un signal d’alarme. Cela indique probablement que vos interlocuteurs ne sont pas ceux qu’ils prétendent être. Vérifiez alors leur adresse électronique ou leur numéro de téléphone. Comparez-les avec ceux de la personne ou de l’organisation à laquelle ils prétendent être associés. Vous pourrez ainsi facilement détecter les incohérences.

Recherchez les fautes d’orthographe et de grammaire

Les organisations professionnelles prennent le temps de lire leurs courriers avant de les envoyer. Il en va de leur image. Souvent, les cybercriminels ne le font pas (encore qu’ils s’améliorent de jour en jour…). Si vous recevez un message provenant d’une source supposée fiable, comprenant des fautes de frappe, une erreur de grammaire ou une mauvaise ponctuation, il y a de fortes chances pour qu’il s’agisse d’une cyber-escroquerie.

Recherchez un comportement agressif

Si l’objet et le langage d’un message sont trop agressifs, il s’agit probablement d’une cyber-escroquerie. Peut-être avez-vous déjà vu un courrier électronique dans votre dossier SPAM comportant un sujet semblable à : « Urgent! Votre compte est épuisé depuis x jours. Contactez-nous IMMÉDIATEMENT ». Le but ici est de vous mettre mal à l’aise, de vous affoler et de vous inciter  à faire ce que les criminels vous demandent. Au lieu de cela, contactez la partie qu’ils prétendent représenter avant de prendre des mesures immédiates.

2 – Le harponnage ou attaque ciblée (spear phishing)

Le spear phishing aussi appelé Harponnage, arnaque au président ou BEC (Business email compromise) est la forme la plus sophistiquée d’attaque par email. Il s’agit d’un email envoyé par un par un cyber-criminel à une seule victime. Ce message  est composé le plus souvent uniquement de texte sans lien ni pièce jointe. Une attaque « classique » de spear phishing démarre généralement par un échange d’emails avec la cible afin de gagner sa confiance. Pour ce faire, le pirate usurpe l’identité d‘une personne appartenant au réseau de sa victime (employé, famille, fournisseur…).  Il démarre l’échange avec un sujet cohérent. Le pirate a donc au préalable bien étudié sa cible et son réseau, grâce aux données accessibles légalement sur Internet. Il utilise notamment les réseaux sociaux, (LinkedIn, Twitter, Facebook…) et les médias. Cette forme d’attaque garantit le taux de réussite le plus élevé et en fait la menace la plus dangereuse.

Voici quelques façons de déjouer ce type d’arnaque.

Utilisez un service de vérification du courrier électronique

La vérification du courrier électronique consiste à valider la source des emails que vous recevez pour vérifier si les identités du domaine de gestion administrative correspondent ou non à l’adresse de messagerie utilisée.

Faites preuve de discrétion lorsque vous transmettez des informations

Cela semble tellement simple. Si les utilisateurs ne communiquaient pas volontairement leurs informations à de mauvais acteurs, le harponnage ne constituerait pas une arnaque aussi efficace.

Maintenez une bonne hygiène de sécurité

En appliquant des règles de base de cyber-hygiène, vous bloquerez de nombreux vecteurs d’attaque courants. La mise en œuvre d’habitudes simples et quotidiennes peut contribuer dans une large mesure à empêcher les cyber-criminels de réussir à compromettre un appareil ou un réseau.

3 – L’escroquerie à l’appât (baiting spam)

Ce type de cyber-escroquerie ont pour but d’inciter les utilisateurs non avertis à effectuer certaines actions, telles que le téléchargement d’un virus ou la saisie d’informations personnelles en échange d’appâts. On utilise souvent des appâts physiques. Il peut s’agir d’une clé USB, intitulée «Informations sur les salaires de l’entreprise», laissée à la victime pour qu’elle le trouve. Elle le connectera alors à sa machine. Même si ce type d’escroquerie peut prendre de nombreuses formes, l’objectif final est toujours le même: inciter les utilisateurs à installer quelque chose de malveillant.

Pour vous protéger et protéger votre organisation, prêtez attention à ces quelques indices communs.

Évitez les offres « gratuites »

Comme le dit l’adage, «si cela semble trop beau pour être vrai, il y a de fortes chances pour que ce soit le cas». De nombreux cyber-criminels tenteront d’attirer les victimes en leur promettant des téléchargements gratuits, la livraison gratuite, des abonnements gratuits, etc. Assurez-vous donc non seulement de vérifier la source et de lire les petits caractères de tous les accords, mais également de vérifier l’organisation qui vous fait ces offres alléchantes.

Évitez les clés USB, les lecteurs flash externes ou les disques durs inconnus

L’appâtage peut être effectué numériquement ou avec des disques physiques qui installent des logiciels malveillants. Assurez-vous donc de connaître le propriétaire du lecteur avant de le connecter à votre ordinateur.

4 – L’arnaque au support technique

Sur l’année 2017 seulement, le FBI aurait reçu environ 11 000 plaintes concernant des fraudes liées à l’assistance technique. Cela aurait coûté 15 millions de dollars au total. Comme leur nom l’indique, les cyber-criminels se font passer pour des employés du support technique. Ils prétendent travailler pour l’organisation de leur victime ou pour un service indépendant. Leur but est d’avoir accès aux informations personnelles de leur cible. Comme pour les autres cyber-escroqueries énumérées ici, le succès ou l’échec dépend de la victime qui subit une attaque d’ingénierie sociale.

Dans cet esprit, il est important de surveiller certains des drapeaux rouges révélateurs.

Recherchez les messages non sollicités

Rarement, le support technique vous contactera pour vous proposer de réparer votre ordinateur. Les développeurs de logiciels et de matériel informatique ne font jamais le suivi de leurs solutions. Ils n’appellent jamais pour offrir une assistance en matière de sécurité. Si un membre du personnel d’assistance technique ou une entreprise vous contacte via une annonce contextuelle, un e-mail ou un appel téléphonique non sollicité (e) ou via les médias sociaux, il s’agit probablement d’une arnaque. Les entreprises légitimes ont mis en place des processus pour mettre à jour vos produits et services, tels que des correctifs et des mises à jour publiés, ou des moyens de résoudre les problèmes directement intégrés à la solution elle-même.

Évitez d’installer quoi que ce soit à partir d’une source inconnue

A moins que cela ne provienne directement d’une source en laquelle vous avez confiance, tout téléchargement à partir du Web comporte le risque inhérent d’infecter votre ordinateur. Comme pour les escroqueries à l’appât, les cyber-criminels tentent souvent de proposer des «analyses de sécurité gratuites» ou des «nettoyages d’ordinateur», qui infectent ensuite l’ordinateur de la victime avec des logiciels malveillants.

Repérez les acteurs qui souhaitent un accès à distance à votre appareil

L’accès à distance permet à de véritables équipes de support technique de «prendre en charge» une machine à distance afin de la réparer. Cependant, la même technologie peut être utilisée par des cyber-criminels pour accéder rapidement à des informations personnelles en dehors de votre appareil. Si une source inconnue vous demande d’accéder à votre appareil, refusez!

5 – Piratage des appareils mobiles

Les appareils mobiles sont également de plus en plus ciblés par des arnaques criminelles. Les fausses applications utilisées pour extraire des données ou des ransomwares sont largement disponibles, en particulier pour les systèmes d’exploitation Android.

Respecter ces quelques conseils pourra vous éviter de graves désagréments.

Évitez les programmes malveillants se faisant passer pour des applications et des mises à jour légitimes

Un nombre croissant d’applications factices sont disponibles dans des magasins d’applications en ligne (par exemple, Apkmonk). En outre, les add-ons et les mises à jour qui exploitent les applications et les périphériques ne manquent pas (tels que les logiciels malveillants de cryptojacking). Méfiez-vous également des applications demandant des autorisations inutiles (droits d’administrateur du périphérique, codes envoyés par SMS, etc.).

Utiliser le WiFi sécurisé

Méfiez-vous du WiFi gratuit. Les espaces publics et les magasins offrant une connexion Wi-Fi gratuite sont des lieux courants d’attaques de type «homme du milieu».  Les cyber-criminels proposent souvent la disponibilité des services Wi-Fi puis les utilisent pour capturer des données. Lorsque vous utilisez le WiFi public, utilisez des connexions VPN et évitez les transactions sensibles. De nombreuses applications mobiles étant également programmées pour se connecter automatiquement à des connexions connues, les cybercriminels utilisent souvent des SSID WiFi tels que «Réseau domestique» pour inciter les périphériques à se connecter automatiquement sans aucune intervention de l’utilisateur.

Quelques précautions pour éviter d’être victime des cyber-criminels

Les cyber-escroqueries peuvent toucher quiconque n’est pas au courant des signes précurseurs. Au fur et à mesure que les utilisateurs adoptent de plus en plus d’appareils qui se connectent à un réseau, le risque d’être victime d’une arnaque ne fait qu’augmenter. En prenant conscience des cyber-escroqueries communes ciblant les personnes, ainsi que des moyens de reconnaître les signes avant-coureurs de ces escroqueries, vous pouvez protéger vos informations personnelles et les informations des réseaux auxquels vous vous connectez.

 

Facebook piraté : un problème de cyber-hygiène

Facebook vient, encore une fois, de se faire pirater. Entre 50 millions et 90 millions de comptes pourraient avoir été accédés. Rien de vraiment surprenant à cela. Inutile de jeter la pierre aux géants du web. Malgré toutes les mesures de cybersécurité qui sont prises, les hackers mènent toujours le jeu. Alors que pouvons-nous faire, chacun à notre niveau? Juste adopter quelques règles de cyber-hygiène de base.

Cybersécurité - Facebook piraté : un problème de cyber-hygiène de base
Crédit © JOEL SAGET / AFP/GETTY IMAGES

Cet incident est loin d’être le premier. Et encore, il est très probable que nous ne voyons que la face émergée de l’iceberg. Il faut donc de façon urgente revoir notre comportement sur internet. Il s’agit là d’une question de cyber-hygiène dont chacun d’entre nous doit s’emparer. Nous ne devons pas attendre des fournisseurs de services qu’ils nous protègent. C’est le rôle des états qui édictent régulièrement des lois et des réglementations à cet effet. Mais les premiers responsables, ce sont les utilisateurs. En ce début du mois de la cybersécurité, il se trouve justement que le thème central de la première semaine est «Appliquer une cyber-hygiène de base».

Cyber-hygiène: de quoi s’agit-il?

C’est vrai que le mot en lui-même n’est pas très sexy! Mais il représente exactement ce qu’il décrit.

La cyber-hygiène est souvent comparée à l’hygiène personnelle. Tout comme une personne qui applique certaines pratiques d’hygiène personnelle pour maintenir sa santé et son bien-être, les pratiques de cyber-hygiène permettent de garder les données en toute sécurité et bien protégées. Cela aide à maintenir des terminaux (téléphones, tablettes, micro-ordinateurs) fonctionnant correctement en les protégeant contre les attaques extérieures, telles que les logiciels malveillants, qui peuvent entraver leurs fonctionnalités.

La Cyber-hygiène fait donc référence aux pratiques et aux précautions prises par les utilisateurs dans le but de garder leurs données sensibles organisées, en sûreté et à l’abri des attaques venant de l’intérieur et de l’extérieur.

Selon l’ANSSI, la cyber-hygiène est un moyen de garantir une protection et une maintenance adéquates des terminaux et systèmes informatiques, et de mettre en œuvre les meilleures pratiques en matière de cybersécurité.

Règles élémentaires de cybersécurité en entreprise

Une bonne cyber-hygiène n’est pas la panacée universelle et ne sera pas suffisante pour vous protéger en toutes circonstances. Cependant, elle permettra de diminuer les risques liés à la connexion internet. Dans votre Organisation, ll est important que toute personne en contact avec votre réseau, du DG au simple stagiaire, suive ces quelques conseils élémentaires.

10 bonnes pratiques de base

  1. Au niveau de l’Entreprise, tenir un inventaire, à jour, du matériel et des logiciels s’exécutant sur le réseau de l’entreprise.
  2. Développer un processus d’installation des logiciels sur leur poste par les utilisateurs. Il peut, par exemple, limiter l’installation des logiciels approuvés. Il peut aussi interdire et bloquer toute installation non explicitement autorisée par leur management et/ou le TI..
  3. Sensibiliser les utilisateurs aux bonnes pratiques de cybersécurité (gestion des mots de passe, identification des attaques d’hameçonnage potentielles, terminaux autorisés à se connecter au réseau, etc.). Tous les utilisateurs sont concernés. Cela ne s’adresse pas exclusivement aux personnels du département informatique comme on le croit souvent. Cela ne se limite pas non plus aux salariés. N’oubliez pas d’inclure les consultants ayant accès au réseau de votre Organisation.
  4. Identifier les logiciels vulnérables inutilisés et les désactiver en urgence. Il constituent des vulnérabilités importantes pour votre réseau et sont autant de failles potentielles.
  5. Effectuer des sauvegardes régulières des données et en conserver plusieurs copies. Vous pouvez envisager d’utiliser une solution sécurisée dans le Cloud et sur site. En cas de sauvegardes physique, les conserver dans un endroit sécurisé.
  6. Adopter des configurations / normes sécurisées reconnues par le secteur. On peut, par exemple s’appuyer sur celle fournie par l’ANSSI. Cette méthode peut aider les entreprises à définir des paramètres tels que la longueur des mots de passe, le chiffrement, l’accès aux ports et la double authentification.
  7. Appliquer régulièrement et sans délai les correctifs à toutes les applications. Les systèmes non à jour des correctifs représentent l’un des principaux facteurs de risque d’attaque. Les pirates utilisent de plus en plus ces correctifs pour identifier les vulnérabilités et les utilisent à loisir.
  8. Créer des mots de passe complexes. Veiller à ce que la complexité n’entraîne pas de mauvaises pratiques comme par exemple l’écriture du mot de passe sur un post-it collé sous le clavier.
  9. Limiter le nombre d’utilisateurs dotés de privilèges administratifs.
  10. Mettre à niveau les infrastructures et systèmes vieillissants. L’obsolescence des systèmes constitue un risque majeur de sécurité.

Prendre en compte le facteur humain

Même avec la meilleure protection du monde, le risque pour votre entreprise de figurer sur la liste des prochaines victimes d’attaques au rançongiciel, de violations de données et autres menaces de cybersécurité ne sera jamais écarté. C’est pourquoi il est si important de limiter le facteur humain en automatisant autant que possible les pratiques de sécurité.

Les possibilités sont L’utilisation de la double authentification avec mots de passe complexes, le blocage de certains types de fichiers et le test des connaissances des utilisateurs en matière de sécurité sont des mesures que toutes les entreprises peuvent prendre pour protéger les réseaux diversifiés actuels.

La mise en œuvre de ces étapes, aussi simples soient-elles, peut cependant poser problème aux entreprises en manque de professionnels de la cybersécurité. Il est donc utile de recourir à des outils, tels que l’apprentissage machine, capables d’anticiper et de neutraliser les comportements malveillants à votre place.

Règles élémentaires de cyber-hygiène pour les individus

Face la faille apparue sur Facebook, d’une ampleur inédite pour le réseau social américain, les utilisateurs disposent de plusieurs moyens pour tenter de protéger leur vie privée. Voici quelques bonnes pratiques à mettre en œuvre.

Adopter l’authentification à deux facteurs

Pour sécuriser leurs services, tous les grands sites Web mettent à disposition une fonction de double authentification. Celle de Facebook est accessible à cette adresse. Elle consiste à demander à l’utilisateur un second élément, en plus de son mot de passe. Dans la plupart des cas, il s’agit d’un code reçu par SMS sur son smartphone. Facebook considère alors que seul l’utilisateur est susceptible d’avoir accès à son smartphone.

L’opération implique de communiquer son numéro de téléphone au fournisseur de services. Bien sûr, dans le cas de Facebook, celui-ci l’utilise également à des fins publicitaires. Le réseau social propose une autre solution: faire appel à une application tierce (comme Duo ou Google Authenticator) pour envoyer ce second code. Notons qu’à priori,  le piratage révélé par Facebook ne semble pas compromis les mots de passe des utilisateurs. Du mois, jusqu’à plus ample informé…

Vérifier la liste des appareils connectés

Smartphones, tablettes, ordinateurs, objets connectés: nos moyens d’accéder aux réseaux sociaux se multiplient. Avec le temps, nous avons donc de plus en plus d’appareils connectés à notre compte. Il est important de vérifier régulièrement la liste des machines qui y ont accès. Accessible dans la catégorie “Sécurité” des paramètres, elle permet de vérifier qu’un appareil suspect ne soit pas dans la liste.

Au besoin, il est possible de déconnecter automatiquement l’ensemble des machines liées à notre compte. Sur la page “Sécurité et connexion”, Facebook propose de recevoir des alertes en cas de connexion depuis un appareil suspect. Ces alertes peuvent vous être envoyées directement sur le compte Facebook ou par email.

Limiter la quantité de données personnelles offertes à Facebook

Malgré ces précautions, la faille révélée de 28 septembre démontre une fois de plus qu’aucune précaution n’est infaillible. Il est donc plus que jamais préférable de limiter au maximum les données que l’on partage avec les réseaux sociaux. Su Facebook, il est possible de supprimer toutes les informations qui ne sont pas indispensables (ville de naissance, établissement scolaire fréquenté etc.). Une page est par ailleurs prévue pour gérer ses préférences publicitaires. Elle permet de supprimer l’ensemble de ses centres d’intérêts répertoriés ou encore de mettre un frein au partage de données avec les partenaires extérieurs de Facebook.

Cybersécurité : la résilience, chaînon manquant de votre stratégie

A l’heure de la transformation numérique des organisations, la stratégie de cybersécurité est un sujet sur toutes les lèvres. Dans le même temps, on n’entend quasiment jamais prononcer le mot résilience. Pourtant, la résilience devrait être le pilier majeur de toute stratégie de réduction des risques. Essayons donc de décrypter les raisons de cette anomalie et d’en identifier les risques.

Résilience, le chaînon manquant de votre stratégie de cybersécurité
Crédit © rawpixel.com 2018

Et tout d’abord, il convient de situer la cyber-résilience par rapport à la cybersécurité. Dans les deux cas, il s’agit de répondre aux cyber-risques. Un risque se caractérise par une probabilité de survenance et par un impact (sous forme de conséquences) lors de la réalisation du risque. Dans tous les cas, la stratégie des risques a pour objet d’aligner le niveau des risques au seuil de tolérance de l’Organisation. Cela se fait en mixant la réduction de la probabilité et de l’impact. Bien sûr, la stratégie des risques couvre tous les risques de l’Entreprise et parmi ceux-ci, on aura les cyber-risques.

La réduction de la probabilité de survenance des évènements de sécurité sera essentiellement réalisée grâce à des mesures se situant en amont. On parlera de mesures préventives. On est là dans le domaine de la sécurité. Les mesures de sécurité sont essentiellement de 3 types :

  • préventives
  • de détection (pour détecter l’incident lorsqu’il se produit),
  • correctives pour corriger le système et revenir à une situation acceptable (incluant l’activation d’un plan de continuité ou PCA).

A côté de ces aspects, se pose le problème de la réduction de l’impact et de l’après-crise. Il s’agit donc de répondre à la question « comment pouvons-nous survivre si un tel incident se produit? ». En d’autres termes il s’agit de planifier ce qu’il convient de faire pour réduire les impacts lorsqu’un incident se sera produit. On est là dans le domaine de la résilience.

L’expérience de l’année écoulée

Il y a tout juste un an, l’été 2017 a montré très concrètement à quoi pouvait ressembler des cyber-attaques mondiales. Ce fut le cas notamment avec NotPetya. Un an plus tard, les conséquences du « ransomworm » ne sont toujours pas complètement terminées. Le groupe Merck a annoncé fin novembre 2017 que cette cybe-rattaque lui coûterait environ 600 millions de dollars sur l’exercice 2017 ! Mais, en additionnant les dernières annonces, le seuil des 2 milliards de perte est clairement plus réaliste. C’est la première fois qu’un tel impact est recensé pour un incident cyber. Ce changement de dimension mobilise aujourd’hui enfin les directions générales et les conseils d’administration. Et ce n’est pas trop tôt! Ils sont maintenant demandeurs de moyens pour limiter les impacts de telles attaques. Mais ils sont aussi en attente sur la posture à adopter lorsqu’un cas réel se présentera.

Les mesures préventives de cybersécurité ne suffisent clairement plus à empêcher les cyber-risques de se réaliser. Il est désormais évident que la technologie n’est pas le rempart infranchissable que tout le monde imaginait. La cyber-criminalité est devenue une véritable industrie qui progresse plus rapidement que les moyens de protection ne se développent.

Cyber-résilience : les actions clés

Une cyber-attaque majeure peut être destructive ou entraîner une perte de confiance dans les systèmes clés. Le premier réflexe pour une majorité d’entreprises est alors d’activer le plan de continuité d’activité (PCA). Celui-ci constitue un élément majeur de la stratégie de résilience des organisations. L’objectif est d’assurer la survie de l’organisation lorsque surviennent des sinistres d’ampleur entraînant l’indisponibilité de ses actifs clés. Il peut s’agir de moyens informatiques, d’infrastructures de communication ou d’immeubles voire de collaborateurs.

Or les cyber-attaques majeures, destructives comme Wannacry ou NotPetya, ou provoquant une perte de confiance dans les infrastructures (réseau, gestion des accès, gestion du parc…) telles que les attaques ciblées en profondeur, ne sont pas prises en compte lors de l’élaboration de la majorité des PCA. Ces derniers sont focalisés sur un enjeu de disponibilité. Ils n’appréhendent pas les problématiques de destruction simultanée et de perte de confiance dans le SI induites par les cyber-attaques.

En effet, les dispositifs de continuité du SI sont plus souvent liés aux ressources qu’ils protègent. Ils sont donc également affectés par ces attaques. Depuis plus de dix ans, les dispositifs de continuité (utilisateurs ou informatiques) ont adopté les principes de mutualisation des infrastructures et de secours « à chaud ». Le double objectif de cette approche est à la fois de répondre aux exigences de reprise rapide et d’une meilleure exploitabilité. Mais, de fait, le lien entre le SI nominal et son secours rend les dispositifs de continuité vulnérables aux cyber-attaques.

Des dispositifs de continuité vulnérables

À titre d’exemple, suite à l’attaque NotPetya, l’idée d’utiliser les postes de secours présents sur le site de repli a très rapidement été évoquée dans le cadre d’une gestion de crise. Malheureusement ceux-ci partageaient les mêmes systèmes de gestion de parcs et les mêmes vulnérabilités. Ils donc avaient été logiquement détruits de la même manière que les sites nominaux. Les investissements et les efforts investis dans les dispositifs de continuité ont semblé, à ce moment, très vains.

Enfin il reste les sauvegardes comme dernier rempart. Etablies sur une base souvent quotidienne ou hebdomadaire, elles constituent, pour la plupart des organisations, le dispositif de dernier recours pour reconstruire le SI.

Dorénavant, il n’est pas rare de faire face à une intrusion qui date de plusieurs mois. Bien que la  détection soit récente, dans ce cas, les sauvegardes embarquent de fait les éléments malveillants. Il peut s’agir de malwares par exemple, mais aussi de modifications déjà opérées par les attaquants.

De plus, la continuité en tant que telle des systèmes de sauvegarde est bien souvent négligée. Lors de plusieurs cas de gestion de crise sur NotPetya, les serveurs gérant les sauvegardes avaient eux-mêmes été détruits. Les restaurer a souvent nécessité plusieurs jours vu leur complexité et leur imbrication dans le SI.

S’agissant des SI industriels, les constats sont tout aussi alarmants. Les systèmes numériques industriels sont résilients à des pannes techniques ou des incidents mécaniques anticipés. En revanche, ils n’ont que rarement intégré, dès leur conception, les potentialités d’une malveillance humaine et ils ne disposent souvent pas de mécanismes de sécurité avancés. La longueur de leur cycle de vie (souvent plusieurs dizaines d’années) les expose à l’exploitation de vulnérabilités anciennes. Enfin l’indépendance des chaînes de contrôle  vis-à- vis des systèmes numériques qu’elles supervisent n’est pas toujours respectée.

Des leçons tirées de l’expérience

Il s’avère que lors du déroulement d’une crise, le cycle est souvent identique. Les écueils rencontrés sont quasiment toujours les mêmes. Il convient donc de tirer les leçons de cette expérience.

Gestion de crise en cas de cyber-attaques : les écueils rencontrés
Crédit © Wavestone 2017

Des scénarios d’attaques récurrents

Destruction massive ou indisponibilité d’une grande partie du SI

Ce type de cyber-attaques, concrétisé au travers des cas Wannacry et NotPetya, entraîne généralement une indisponibilité massive du fait du chiffrement des fichiers de données et/ou du système d’exploitation. Les sociétés touchées par des attaques de ce type (parmi lesquelles Merck, Maersk, Saint Gobain, Fedex… mais aussi Sony Pictures ou Saudi Aramco) ont perdu jusqu’à plus de 95% de leurs systèmes d’information (des dizaines de milliers d’ordinateurs et de serveurs) en un délai souvent inférieur à 1h.

La situation au démarrage de la crise est alors très difficile. En effet, il n’y a plus aucun moyen de communication et d’échange au sein de l’entreprise, y compris au sein de la DSI. Les victimes ont communiqué sur des pertes atteignant plusieurs centaines de millions d’euros suite à ces attaques.

Compromission et perte de confiance dans le SI

Il s’agit d’attaques ciblées ne remettant pas en cause le bon fonctionnement du système. Elles visent par contre à donner aux attaquants l’accès à l’ensemble des systèmes de l’entreprise (messagerie, fichiers, applications métiers…). Elles leur permettent d’usurper l’identité de n’importe quel employé et de réaliser des actions en leur nom. Les attaquants peuvent ainsi atteindre tout type de données ou réaliser des actions métiers nécessitant plusieurs validations successives.

Ces cyber-attaques ont touché de très nombreuses entreprises dans tous les secteurs. Les conséquences sont souvent des fraudes massives, comme celles ayant touché la banque du Bangladesh. Il peut aussi s’agir de vols de données financières et de paiements. Ce fut le cas de celles ayant touché plusieurs groupes de distribution aux Etats-Unis dont Target ou encore Home Depot.

La situation au démarrage de ce type de cyber-crise est extrêmement complexe. La raison réside dans la conjugaison de plusieurs éléments aggravants : perte de confiance dans le système d’information et flou grandissant sur les actions et objectifs. Il faut alors investiguer discrètement jusqu’à pouvoir déloger l’attaquant et reconstruire un système sain. Les victimes de ces attaques ont également fait état d’impacts financiers atteignant plusieurs centaines de millions d’euros.

La résilience passe par une bonne gestion de crise

Les crises cyber sont des crises très particulières. Elles sont souvent longues (plusieurs semaines). Elles sont parfois difficiles à cerner (qu’a pu faire l’attaquant ? depuis combien de temps ? quels sont les impacts ?). Elles impliquent des parties prenantes externes, elles-mêmes souvent peu préparées sur ce sujet (avocats, huissiers, autorités, fournisseurs, voire les clients…). Il est donc indispensable d’ajuster les dispositifs existants qui n’ont pas été conçus pour intégrer cette dimension particulière.

Acteur opérationnel de la gestion de la crise cyber, la DSI ne doit pas être sur-mobilisée sur l’investigation et la défense. Cela se ferait au détriment de la production et du secours. Cet aspect constitue un point d’anticipation important à ne pas négliger. Il s’agit donc d’identifier clairement les équipes à mobiliser sur la crise et d’organiser les interventions parallèles d’investigation et de construction du plan de défense.

Au-delà de l’aspect organisationnel, il faut s’assurer de disposer également de l’outillage d’investigation (cartographie, recherche de signature de l’attaque, SI de gestion de crise indépendant, capacité d’analyse de malware inconnu…), d’assainissement (capacité de déploiement rapide de correctifs, isolation en urgence de portions non touchées du SI, isolation réseau…) et de reconstruction (accès rapide aux sauvegardes, accès aux documentations minimum de reconstruction, support des fournisseurs clés, capacité à réinstaller massivement des postes de travail…) requis pour comprendre la position de l’attaquant, stopper sa propagation et faire repartir au plus vite l’activité.

La rédaction d’un guide de gestion de crise, définissant les étapes structurantes, les responsabilités macroscopiques et les points de clés de décision sera un plus. Et parce qu’il est primordial de s’exercer en amont afin d’être prêt le jour où il faudra faire face à la crise, la réalisation d’exercices de crise sera un bon révélateur de la situation réelle.

Les dispositifs de continuité doivent être repensés

Des solutions les plus simples…

Les dispositifs de continuité doivent également évoluer pour s’adapter aux cyber-menaces. Les solutions possibles sont nombreuses. Elles peuvent toucher tous les types de dispositifs de continuité. Le plan de reprise utilisateur peut intégrer par exemple la mise à disposition de clés USB avec un système alternatif. Les collaborateurs pourraient l’utiliser en cas de destruction logique de leur poste de travail.

Certaines organisations ont fait le choix de provisionner des volumes de postes de travail de remplacement directement avec leurs fournisseurs de matériel afin de les installer rapidement en cas de destruction physique.

A des solutions très complexes et coûteuses…

Le plan de continuité informatique peut inclure de nouvelles solutions pour être efficace en cas de cyber-attaques. La plus emblématique vise à construire des chaînes applicatives alternatives. Il s’agit de « dupliquer » une application sans utiliser les mêmes logiciels, systèmes d’exploitation et équipes de production. C’est une solution extrême, très coûteuse et difficile à maintenir. Elle est envisagée pour certaines applications critiques dans le monde de la finance notamment.

A des solutions intermédiaires mais suffisantes

D’autres solutions moins complexes sont envisagées. Il s’agit par exemple de l’ajout de contrôle fonctionnel d’intégrité dans le processus métier. Son concept repose sur la réalisation de contrôles réguliers, à différents niveaux et à différents endroits dans la chaîne applicative. Ceci permet de détecter rapidement des attaques qui toucheraient par exemple les couches techniques (modification d’une valeur directement dans une base de données) sans avoir été réalisées par les actions métier classiques (via les interfaces graphiques). Ces mécanismes peuvent aussi s’appliquer aux systèmes d’infrastructures, par exemple en réconciliant les tickets de demande de création de compte d’administration avec le nombre de comptes réellement dans le système.

D’un niveau de complexité intermédiaire, il est possible d’envisager la définition de zone d’isolation système et réseau que l’on peut activer en cas d’attaques et qui vont isoler les systèmes les plus sensibles du reste du SI. Le SI industriel pourra, à ce titre, constituer à lui seul, une de ces zones d’isolation vis-à-vis du reste du SI.

Cyber-résilience et cybersécurité doivent être imbriqués

Implémenter ces nouvelles mesures de cyber-résilience nécessite des efforts importants. Des efforts qui seront vains si ces solutions de secours et les systèmes nominaux ne sont pas eux-mêmes déjà sécurisés correctement et surveillés avec attention. Le RSSI est l’acteur clé pour faire aboutir ces démarches souvent entamées mais rarement finalisées. L’aide du Risk Manager  — ou, s’il est désigné, son Responsable du Plan de Continuité d’Activité (RPCA) — sera alors un plus. Il est aujourd’hui communément acquis qu’il est impossible de sécuriser des systèmes à 100%. Il faut donc accepter la probabilité d’occurrence de cyber-attaques. C’est à ce moment-là que le Risk Manager ou le Responsable du PCA prendra tout son rôle.

Il est très clair que la résilience est un pilier majeur de votre stratégie de cybersécurité. A ce titre il convient de l’y intégrer dès la conception. Mais il vous appartient également de convaincre votre conseil d’administration de la réalité des cyber-risques et de la nécessité de la mise en oeuvre de mesures de résilience.

Comment s’y prendre concrètement?

Nous ne le répétons, jamais assez, mais deux bonnes pratiques de base sont absolument nécessaires.

Inutile de réinventer la roue : appuyez-vous sur ce qui existe

Il serait vain de partir d’une feuille blanche. Inspirez-vous des bonnes pratiques du marché. A cet effet, AXELOS a publié une référentiel de bonnes pratiques en matière de résilience des SI : RESILIA. Complémentaires d’ITIL, ces bonnes pratiques vous aideront à compléter vos processus existants afin d’y incorporer la planification de la résilience de votre SI

Faite monter vos collaborateurs en compétence, formez-les

La réponse aux cyber-attaques nécessite une préparation minutieuse et du personnel formé et efficace. A cet effet, 2AB & Associates vous propose des formations sur RESILIA (RESILIA Foundation et RESILIA Practitioner) ainsi que des formations sur la continuité des activités (Business Continuity Foundation et ISO 22301 Lead Implementer). Nous vous proposons également une formation indispensable pour mieux évaluer et planifier la réponse aux cyber-risques : ISO 27005 Risk Manager.

Et bien sûr, nos experts sont à votre disposition pour répondre à vos commentaires.

Catégories

Archives

Calendrier

mars 2019
L M M J V S D
« Fév    
 123
45678910
11121314151617
18192021222324
25262728293031
%d blogueurs aiment cette page :