Les cybercriminels disposent d'une multitude d'outils pour compromettre leurs victimes. Mais les responsables de la sécurité des réseaux peuvent eux aussi prendre de nombreuses mesures pour empêcher ces attaques d'aboutir. Qu'il s'agisse d'atténuer les conséquences d'une attaque par ransomware ou de prévenir les tentatives de cyberespionnage, la clé réside dans la mise en œuvre correcte des principes fondamentaux de l'hygiène informatique, tels que présentés par l' : .
Comment les organisations sont victimes de violations de sécurité
Cela peut sembler être une tâche intimidante pour les équipes informatiques et de sécurité. Après tout, les cybercriminels bénéficient de l'effet de surprise, d'une vaste surface d'attaque sur laquelle agir et de nombreuses ressources disponibles sur le dark web pour les aider. Cependant, une gestion efficace des risques cybernétiques ne doit pas nécessairement être une tâche insurmontable. Tout d'abord, examinons les trois étapes principales de la plupart des cyberattaques.
L' e d'accès initiale s'effectue le plus souvent à l'aide d'identifiants valides obtenus par hameçonnage ou en exploitant des vulnérabilités connues. Si de nombreux responsables de la sécurité s'inquiètent des attaques « zero-day », la vérité est que ce sont les failles déjà connues qui représentent sans doute le plus grand risque. Certaines sont plus faciles à corriger que d'autres, comme l'illustrent les Log4j vulnérabilités présentées (s'ouvre dans un nouvel onglet).
Vient ensuite le déplacement latéral , souvent rendu possible par une mauvaise gestion des droits d'accès. On constate trop souvent des cas où un salarié a occupé différents postes au sein de l'organisation, mais où ses droits d'accès n'ont pas été mis à jour en fonction de son poste actuel. C’est exactement ce dont un pirate a besoin : la possibilité d’utiliser les mêmes identifiants pour se déplacer librement au sein de l’organisation.
L' , qui consiste à exfiltrer des données, constitue très souvent l'objectif final des attaques, éventuellement parallèlement au déploiement d'une charge utile de ransomware. Il peut s'agir de données clients, de secrets d'affaires ou de propriété intellectuelle. Une entreprise peut ne pas se rendre compte de l'ensemble des données sensibles qu'elle détient avant qu'il ne soit trop tard. Si cette recette secrète ou cette conception de produit unique venait à tomber entre les mains de la cybercriminalité, cela pourrait bien sonner le glas de certaines entreprises.
Que signifie la « cyber-hygiène » ?
Une fois que l'on comprend comment agissent les auteurs de menaces, on peut prendre des mesures pour les contrecarrer. Décomposons cela en trois domaines clés :
Visibilité et contrôle
Comme le dit le proverbe : on ne peut pas protéger ce qu’on ne voit pas. La visibilité passe d'abord par la gestion des actifs, ce qui implique non seulement de savoir quels terminaux existent au sein d'une organisation, mais aussi ce qui s'y exécute. La visibilité doit s'étendre jusqu'aux dépendances open source individuelles qui pourraient se cacher à l'intérieur de fichiers compressés. Le cours Log4j nous a appris qu'il ne faut négliger aucun détail. Ce type d'informations aidera les organisations à hiérarchiser leurs actifs en fonction des risques, ce qui leur permettra d'optimiser leur budget. Et cette visibilité doit s'accompagner d'un contrôle, c'est-à-dire de la capacité à intervenir sur ces terminaux afin de remédier à tout problème détecté.
Pour que la visibilité et le contrôle deviennent une réalité, les organisations devront intégrer en permanence dans leur base de données de gestion de la configuration (CMDB) autant de données précises et à jour que possible. Par ailleurs, ils devraient se pencher sur les contrôles d'identité et d'accès, afin de s'assurer que seules les personnes autorisées accèdent aux applications appropriées. De plus, ils devraient mettre en place des programmes complets d'évaluation et de gestion des vulnérabilités.
Protection continue
Nous allons maintenant aborder la question de l'évaluation et du suivi de ces programmes. L'essentiel est de ne pas se contenter de configurer le système puis de ne plus s'en occuper. Les organisations doivent se tenir prêtes à faire face à tout incident, grâce à des simulations de crise, des exercices sur table et des exercices de type « équipes rouges et bleues ». La gestion automatisée des correctifs contribuera également à assurer la gestion continue des risques dont les organisations ont besoin. Et cherchez toujours à répondre à des questions clés telles que :
- Quelles sont nos mesures de sécurité ? Les testons-nous, et sont-elles efficaces ?
- D'où proviennent nos données ? Où est-elle stockée, et comment la protégeons-nous ?
- Notre personnel est-il correctement formé à la sensibilisation à la sécurité, et tous les membres de l'organisation comprennent-ils l'importance cruciale de la gestion des risques cybernétiques ?
Détection et mesures de lutte
Une fois que les organisations auront cerné l'étendue de leurs actifs, qu'elles seront en mesure de prendre rapidement le contrôle à grande échelle pour remédier à tout problème et qu'elles auront veillé à ce que seuls les utilisateurs autorisés accèdent aux applications et aux terminaux, elles auront ainsi neutralisé 80 % des attaques. Il s'agit désormais de détecter et de réagir face aux 20 % restants, qui ont peut-être réussi à passer à travers les mailles du filet.
Selon une estimation d' , il faut aujourd'hui 277 jours (s'ouvre dans un nouvel onglet) pour détecter et maîtriser une fuite de données. C'est bien trop long. Cependant, une visibilité et un contrôle accrus sur les terminaux permettent une détection et une réaction plus rapides, à condition que les entreprises parviennent à automatiser les processus appropriés. Cela commence par l'élaboration d'un plan d'intervention en cas d'incident et par sa mise à l'épreuve régulière, afin de s'assurer que chaque personne comprend son rôle et que les équipes concernées communiquent entre elles de manière fluide.
Lorsque des faiblesses sont identifiées, les processus doivent être améliorés. Cela devrait également impliquer de porter un regard critique sur le nombre d'outils de sécurité utilisés par l'organisation et de regrouper ces derniers auprès d'un nombre réduit de fournisseurs, en limitant au maximum les solutions ponctuelles au profit d'approches basées sur des plateformes. Cela permettra de garantir que les différentes équipes travaillent toutes à partir d'une source d'information unique et fiable.
Il convient de garder à l'esprit qu'une sécurité parfaite est impossible à atteindre. Il s'agit d'être suffisamment performant pour dissuader la majorité des attaques, qui sont de nature opportuniste, et de disposer des processus nécessaires pour réagir rapidement et contenir toute attaque plus sophistiquée.
Pour en savoir plus sur le fonctionnement d'une cyberattaque et sur la manière de s'y préparer, découvrez notre dernier webinaire avec Zac Warren, conseiller en chef en matière de sécurité pour la région EMEA chez Tanium. Regardez-la dès maintenant. (s'ouvre dans un nouvel onglet)
