« Haut les mains, ceci est une attaque
informatique ! » Il est peu probable que vous soyez alerté de la
sorte en cas de faille dans votre système informatique. Il y a cependant des
indicateurs tangibles qui peuvent vous aider à identifier une atteinte à la
sécurité de votre environnement de travail. Certains sont évidents, d’autres
moins. Quels sont les premiers signes qui devraient vous conduire à vous
inquiéter ? Voici quelques pistes pour vous aider à détecter une faille à
temps.
1. Un trafic inattendu (ou un changement d’activité) entre
systèmes sur le réseau constitue un indicateur communément surveillé par les
entreprises parce qu’il montre qu’un système a été compromis et s’avère
désormais utilisé pour étendre l’emprise de l’attaquant. Un tel trafic peut
être révélateur d’une attaque en cours ou, pire, du déplacement d’informations
en vue de leur récupération ultérieure. Les fournisseurs du domaine militaire
sont particulièrement concernés car les informations hautement sensibles qu’ils
manipulent sont souvent la cible d’attaques de long terme au coeur de leurs
réseaux.
Surveillez d’éventuels
changements dans les flux réseau et concentrez-vous sur les systèmes concernés
pour chercher à connaître les causes de ces changements.
2. Des changements dans les fichiers et la configuration de
systèmes surviennent souvent lors d’une attaque. Le pirate va en effet
installer des outils (y compris des logiciels malveillants ciblés) souvent
impossibles à détecter avec les antivirus traditionnels. Toutefois, les
changements qu’ils apportent aux systèmes infectés peuvent être détectés et
sont ainsi utilisés pour identifier les systèmes compromis. Certaines
industries telles que celle du commerce de détail utilisent notamment cette
méthode pour suivre les attaquants cherchant à voler des informations relatives
à des cartes bancaires. De fait, l’attaquant est susceptible d’installer des
outils de capture de paquets réseau pour collecter des données relatives à des
cartes bancaires alors qu’elles transitent sur le réseau. Les attaquants
concentrent leurs efforts sur les systèmes susceptibles d’observer le trafic
réseau.
Bien que les chances de
trouver un outil de capture de paquets réseau (parce qu’il sera développé sur
mesure et probablement totalement nouveau) soient limitées, les changements de
configuration des systèmes compromis peuvent être aisément observés.
3. Des changements d’activité d’utilisateurs à privilèges élevés, comme les administrateurs de systèmes, peuvent indiquer que le compte concerné est utilisé par un tiers pour essayer d’établir une tête de pont sur votre réseau. De fait, les utilisateurs à privilèges élevés sont souvent la cible d’opérations d’hameçonnage, dans le cadre d’une attaque avancée persistante puisqu’ils ont accès à des informations de grande valeur. La surveillance d’éventuels changements – tels que durée d’activité, systèmes connectés, type ou volume d’informations consultées – peut fournir une indication sur une violation de sécurité très tôt dans son déroulement. C’est un important sujet de préoccupation pour la plupart des entreprises, mais ça l’est encore plus dans le secteur de la santé. Dans celui-ci, de nombreuses personnes au sein des organisations sont susceptibles d’accéder à des données protégées dont elles n’ont pas véritablement besoin. Et un tel accès peut être utilisé par un attaquant pour dérober des informations pouvant conduire à une violation de sécurité très grave et très coûteuse.
Surveillez les
habilitations et les accès aux applications métiers, ainsi que la séparation
des tâches (SOD). Les risques liés à la séparation des tâches se manifestent
suite à une série d’actions réalisées par une même personne et qui entraînent
une erreur ou pire, une fraude. Par exemple, un utilisateur ayant accès aux
transactions de création/modification des commandes fournisseurs et aux transactions
de paiement pourrait créer un fournisseur fictif et initier un paiement…
4. Les schémas de trafic réseau sortant vers de nouveaux
hôtes, tout particulièrement mis en perspective avec des informations provenant
de services de réputation d’adresses IP, peuvent indiquer qu’un système
compromis communique avec un serveur de commande et de contrôle. Toutes les
organisations s’inquiétant d’un risque de compromission de leur système
d’information devraient surveiller un éventuel trafic réseau sortant inattendu.
Souvenez-vous : les chances d’empêcher un attaquant d’entrer sont
faibles ; les attaques modernes se caractérisent par un niveau élevé de
persistance et par une capacité avérée à passer les défenses.
Surveillez l’activité
au sein du réseau et le trafic quittant votre périmètre. Les systèmes compromis
communiquent souvent avec des serveurs de commande et de contrôle et le trafic
correspondant peut être observé avant que ne soient causés des dégâts réels.
Cherchez le trafic
sortant visant des adresses IP inhabituelles. Les listes Noires / Blanches des
adresses IP utilisées sur Internet font aujourd’hui parties des points
indispensables à surveiller.
5. Un événement imprévu, tel que l’application impromptue de
correctifs sur des systèmes, peut indiquer qu’un attaquant est parvenu à
établir une tête de pont sur votre réseau et s’attache à supprimer des vulnérabilités
pour éviter que des concurrents ne le suivent. Il peut s’agir par exemple de
l’application soudaine de correctifs comblant des vulnérabilités connues, tout
particulièrement sur des applications ouvertes au Web. Cela peut paraître à
première vue comme une bonne chose, et donc ne pas éveiller les soupçons. Une
analyse des systèmes de l’organisation conduisant à découvrir que quelqu’un a
comblé des vulnérabilités connues, mais préalablement non corrigées, peut
indiquer qu’un attaquant s’est infiltré sur le réseau et referme derrière lui
les portes qu’il a utilisées afin d’éviter l’arrivée de concurrents. Après
tout, la plupart des attaquants cherchent à gagner de l’argent à partir de vos
données ; ils n’ont aucune raison de vouloir partager les profits avec
quelqu’un d’autre.
Il est parfois payant de s’interroger avec suspicion sur un
cadeau qui semble trop beau pour être sincère…
Commentaires
Enregistrer un commentaire