Les outils de sécurité de l'information ne manquent pas
Avec plus de 200 produits différents proposés par 125 fournisseurs pour répondre aux 20 principales mesures de sécurité (on respire un bon coup), les outils de sécurité de l'information ne manquent pas sur le marché. Les entreprises se dotent d'arsenaux défensifs grâce à ces outils, mais les intrus parviennent toujours à se faufiler par les « portes et fenêtres » numériques laissées ouvertes et non verrouillées par l'entreprise.
Au lieu d'aborder ce problème de l'extérieur vers l'intérieur (c'est-à-dire : « Où et comment les attaquants vont-ils pénétrer dans le réseau ? »), nous préconisons depuis longtemps une approche de l'intérieur vers l'extérieur. Pourquoi chercher à anticiper la prochaine menace alors que vous pouvez vous attaquer en toute confiance à la cause profonde du problème ? Commencez par identifier les éléments qui doivent être gérés et sécurisés au sein d'un environnement, puis veillez à sécuriser de manière proactive chaque ressource à l'aide des correctifs appropriés et des contrôles de configuration de sécurité adéquats. C'est la première chose que nous disons à nos clients : on ne peut pas sécuriser ce qu'on ne peut pas gérer, et on ne peut pas gérer ce qu'on ne connaît pas.
Tirer parti de Tanium grâce à l'évaluation de l'hygiène de sécurité
L'une des premières démarches que nous menons avec les clients potentiels de Tanium consiste à réaliser une évaluation de l'hygiène de sécurité « ». Grâce à Tanium, nous sommes en mesure d'offrir une visibilité sur le niveau de sécurité actuel d'une organisation afin d'établir une référence de son état « tel quel ». Ce processus nous permet de recenser et de comprendre le nombre de machines dont dispose une organisation, les logiciels qui y sont installés, les éventuelles erreurs de configuration et l'emplacement des vulnérabilités – ce qui, la plupart du temps, stupéfie complètement les équipes informatiques par leur nombre impressionnant. Grâce à la rapidité de la plateforme Tanium et à l’exhaustivité des données à grande échelle, nous sommes en mesure d’obtenir ces informations relatives à l’hygiène de la cybersécurité de manière rentable et en quelques secondes, ce qui constituait auparavant un obstacle majeur à l’adoption de cette approche.
Tanium a mené une telle évaluation auprès d'entreprises du secteur de la distribution et du logiciel comptant plus de 2 000 sites distants, et les résultats reflètent l'expérience de nombreuses autres entreprises. Nous vous présentons aujourd’hui un aperçu privilégié des résultats de leur évaluation des conditions d’hygiène.
Lorsque ces entreprises ont déployé Tanium pour la première fois dans le cadre de leurs processus actuels de déploiement logiciel, à savoir Windows SCCM, elles n'ont pu couvrir que 40 % de leur organisation. Tout outil de distribution de logiciels existant donnera des résultats similaires, voire pires. Il est extrêmement rare que nous rencontrions des entreprises dont les outils de déploiement logiciel offrent une couverture supérieure à 75-80 %._ Ce qui ne mériterait qu'un « C+ » à un examen de lycée vous vaut de figurer au « tableau d'honneur du proviseur » lorsqu'il s'agit de déployer des logiciels !
Pourquoi est-ce important ?
Les pirates savent que vous ne pouvez pas mettre à jour vos systèmes en temps voulu ; c'est pourquoi 99,9 % des attaques exploitées proviennent de vulnérabilités identifiées depuis plus d'un an, certaines remontant même à 1999.
Pour ces entreprises, cela signifie que tous les logiciels qu’elles déployaient auparavant, y compris les outils de sécurité, les antivirus et leurs mises à jour, ne parvenaient effectivement qu’à deux machines sur cinq au sein du réseau. Grâce à une deuxième vague de mesures mettant en œuvre McAfee ePO, anciennement connu sous le nom d'Intel Security, ils ont pu atteindre un taux supplémentaire de 20 %.
Dans la plupart des organisations aujourd’hui, les équipes disposent de plusieurs outils pour déployer des logiciels sur leurs terminaux ; cependant, si vous déployez des logiciels à l’aide des mêmes outils et technologies qui se sont révélés peu fiables par le passé, vous risquez de passer à côté de certaines parties de votre réseau et de vous retrouver avec des segments de réseau non gérés et non protégés au sein de votre entreprise. Au final, Tanium a réussi à déployer sa solution en l'espace d'une journée sur les 40 % restants de terminaux, atteignant ainsi la totalité des 100 % de terminaux visés.
Une fois que nous sommes en mesure d'évaluer l'ensemble d'un réseau, il n'est pas rare que nous découvrions que 12 à 20 % des terminaux ne sont pas gérés et que l'entreprise ignorait tout simplement leur existence. Nous avons constaté ici que 23 % des terminaux n'étaient pas gérés.
Nous pouvons désormais allumer la lumière pour voir ce qui se passe réellement…
Lorsque l'on examine la mise à jour des correctifs pour les principales applications logicielles, telles que celles d'Adobe, de Google, de Microsoft et d'Oracle, par exemple, on constate des points communs : des versions multiples, distinctes et obsolètes, ainsi qu'une grande disparité des correctifs d'un ordinateur à l'autre. Le nombre de vulnérabilités critiques peut devenir ingérable. Les responsables de la sécurité des systèmes d'information (RSSI) ont une idée générale des différents types de logiciels et des disparités entre les différentes versions au sein de leur environnement, mais ils ont rarement conscience de l'ampleur réelle du problème.
L'ignorance béate est un état dans lequel de nombreux RSSI sont contraints de vivre en matière de sécurité, en raison d'outils obsolètes, qui constituent le principal facteur à l'origine d'une mauvaise hygiène de sécurité.
En résumé, nous avons constaté que :
Adobe : 2 771 vulnérabilités critiques (CVSS 5 ou plus) ; 98,9 % des terminaux utilisaient des versions vulnérables de Shockwave. 91 % utilisaient des versions vulnérables de Flash.
Java : 106 versions distinctes de Java ont été détectées, et 97,8 % des terminaux sont affectés par des vulnérabilités
des correctifs Windows : 77 % des ordinateurs ne disposaient pas de six mises à jour critiques ou plus, soit un total de 1,6 millions de correctifs manquants, le plus ancien correctif critique manquant signalé datant de 2007 — un correctif critique manquant vieux de près de 10 ans
SCCM : 20 % des machines disposent de clients SCCM non conformes
À l'issue d'un audit, l'histoire ne s'arrête pas simplement à l'application de vos correctifs et à la correction de vos failles de sécurité. Un rapport d'évaluation n'est qu'un instantané de la situation actuelle. Si c'est là que s'arrêtent vos actions, vous vous retrouverez très vite dans exactement la même situation si vous ne corrigez pas vos outils et vos processus de travail. Par conséquent, vous devez également remédier aux failles de votre environnement et de vos outils : ceux-ci sont généralement tout aussi défaillants que les pratiques de sécurité de votre réseau. S'attaquer aux bonnes pratiques de sécurité n'est ni très attrayant ni facile, mais en y veillant de manière continue, vous parviendrez à fermer toutes ces portes et fenêtres numériques.
Vous ne cesserez jamais de traquer et d'analyser les menaces avec vigilance, mais vous y consacrerez moins de temps. Tout ce temps que vous passiez auparavant à chercher cette faille dans le correctif critique manquant de la version 2007 peut désormais être consacré à autre chose.
Ne perdez pas de temps à essayer de deviner où la prochaine attaque pourrait avoir lieu alors que vous pouvez résoudre les problèmes sous-jacents.
Une meilleure hygiène est synonyme d'un meilleur niveau de sécurité. Il existe une meilleure solution. Découvrez comment Tanium for Security Hygiene peut vous aider à relever ces défis sur , https://www.tanium.com/it-hygiene/et .
À propos de l'auteur : En tant que directeur de la relation client, Charles Ross dirige l'équipe chargée de concrétiser la vision de Tanium auprès de nos clients : une gestion des terminaux évolutive permettant de faire fonctionner et de sécuriser leur entreprise de manière fiable et rapide. Avant de rejoindre Tanium, Charles a travaillé chez McAfee, où il a occupé divers postes à responsabilité dans les domaines de l'ingénierie avant-vente, de l'architecture de solutions et de la sécurité informatique. Avant de rejoindre McAfee, Charles a occupé le poste de consultant en gestion des risques d'entreprise chez Deloitte & Touche. Charles est titulaire d'une licence en sciences de l'Université de Floride.
