Passer au contenu principal
Témoignage client

Comment les clients Tanium ont atténué les risques liés aux récentes attaques Ransomware

Tanium a été déployé sur certains des plus grands réseaux au monde afin d'atténuer les risques liés à plusieurs vulnérabilités récentes, notamment WannaCry, Intel AMT et le keylogger du pilote audio HP. Pour chaque vulnérabilité, nous avons laissé à nos clients la liberté de choisir la stratégie d'atténuation la mieux adaptée à leur entreprise. L'application d'un correctif était une option, mais ce n'était pas la seule option disponible. Voici un aperçu détaillé de nos réalisations les plus marquantes, ainsi que cinq mesures que votre organisation peut prendre dès maintenant pour éviter d'être victime de la prochaine attaque.

Image composite représentant un clavier lumineux au premier plan et des explosions sur lesquelles est superposé un code binaire

(Image : Peter Linforth / Pixabay)

Application de correctifs.

L'intensité de l'angoisse que vous ressentez lorsque vous entendez ce mot est directement proportionnelle au nombre de terminaux que vous gérez. L'application de correctifs figure en bonne place parmi les tâches ingratas du secteur informatique, car elle allie un risque élevé d'échec à de faibles chances d'être félicité lorsqu'elle est menée à bien. Personne dans votre entreprise ne remarque si vous avez ou non appliqué les correctifs jusqu'à ce qu'une tentative en ce sens provoque la panne d'une application essentielle à l'activité. Et qui voudrait que son nom soit associé à une chose pareille ?

C'est, en résumé, ainsi que nous en sommes arrivés à WannaCry. Ce qui est préoccupant dans l'affaire WannaCry, c'est la chronologie des événements qui ont conduit à l'apparition de ce rançongiciel. À la fin de l'année 2016, un groupe de pirates informatiques connu sous le nom de « Shadow Brokers » a fait son apparition et a annoncé la mise aux enchères d'outils de piratage de la NSA qui avaient fait l'objet d'une fuite. Dès qu'elle a eu connaissance de cette fuite, Microsoft s'est mise à travailler sur une mise à jour de sécurité. Microsoft a même pris la décision sans précédent de annuler le « Patch Tuesday » (s'ouvre dans un nouvel onglet) en février, pour la toute première fois. Malheureusement, des échantillons de WannaCry ont commencé à apparaître dans la nature au cours de ce mois de pause. Microsoft a publié les mises à jour SMB relatives à WannaCry dans le cadre de l' mars 2017. WannaCry a fait son apparition (sans ménagement) sur 12 mai, touchant au final quelque 230 000 terminaux dans 150 pays.

WannaCry ne sera certainement pas la dernière affaire liée aux outils et aux failles de sécurité de la NSA qui ont fait l'objet de fuites. En effet, des informations font état d’un nouveau ver ciblant les PME, baptisé EternalRocks (s’ouvre dans un nouvel onglet) , ainsi que d’un nouveau mineur de cryptomonnaie connu sous le nom d’Adylkuzz (s’ouvre dans un nouvel onglet). Et ils peuvent parvenir à mettre votre entreprise à genoux pour une raison bien simple : vous n'avez pas mis à jour vos systèmes et vos logiciels.

Selon le 2015 e rapport de Verizon sur les enquêtes relatives aux fuites de données, 99,9 % des attaques exploitées provenaient de vulnérabilités identifiées depuis plus d'un an, certaines remontant même à 1999. (Verizon n'a pas calculé ce chiffre dans le rapport 2016 , mais a indiqué que ce chiffre était resté inchangé d'une année sur l'autre.)

Réduire les risques : comment Tanium peut vous aider

Tanium a été utilisé sur certains des plus grands réseaux au monde pour atténuer les risques liés à plusieurs vulnérabilités récentes, notamment , , WannaCry, , , Intel AMT,  et le keylogger du pilote audio HP. Pour chaque vulnérabilité, nous avons laissé à nos clients la liberté de choisir la stratégie d'atténuation la mieux adaptée à leur entreprise. L'application d'un correctif était une option, mais ce n'était pas la seule option disponible. Parmi les réalisations notables, on peut citer :

  • Détection en temps réel de SMBv1-enabled machines chez plusieurs clients, dans des environnements comptant plusieurs centaines de milliers de terminaux.
  • La désactivation de la fonction SMBv1 via des modifications du registre a été effectuée en moins de quatre minutes.
  • Détection en temps réel des systèmes nécessitant les correctifs figurant dans le bulletin MS17-010 (s'ouvre dans un nouvel onglet), même lorsqu'ils ne sont pas rattachés à un domaine ou connectés.
  • Déploiement de plusieurs téraoctets de correctifs cumulés en quelques heures, sans aucun impact sur les réseaux (y compris les machines non rattachées au domaine ou non connectées).
  • Une commande de redémarrage est envoyée à tous les postes nécessitant un redémarrage (à la suite d'une modification du registre ou de l'installation d'un correctif).
  • Des actions enregistrées ont été mises en place afin de détecter toute nouvelle machine mise en ligne nécessitant une désactivation de la fonction SMBv1 , l'application d'un correctif ou un redémarrage.
  • Rapports en temps réel sur les systèmes corrigés et vulnérables, avec suivi des tendances au fil du temps (via « Tendances »).
  • Le taux d'exposition à la vulnérabilité Intel AMT dépasse 50 % au sein de notre clientèle.
  • La mise en œuvre des mesures correctives relatives à la vulnérabilité Intel AMT (désactivation du service permettant l'exploitation de cette vulnérabilité) a été réalisée en moins de deux minutes à l'échelle de l'entreprise grâce à Tanium.
  • Des milliers de terminaux équipés du keylogger HP ont été détectés chez plusieurs clients et le problème a été résolu en quelques minutes.

Nous avions deux gros clients qui avaient initialement tenté d'utiliser SCCM pour appliquer les correctifs publiés par Microsoft en réponse à WannaCry, mais qui ont dû y renoncer en raison de problèmes de congestion du réseau extrêmement graves provoqués par SCCM. Ces clients ont opté pour Tanium pour le déploiement des correctifs via et ont pu mener à bien l'ensemble de leur déploiement d'entreprise en moins de temps qu'il n'en fallait pour créer les packages SCCM.

Plusieurs clients ont identifié des ressources vulnérables qui n'étaient pas du tout rattachées au domaine et qui, de ce fait, n'auraient jamais été correctement mises à jour sans Tanium.

Presque tous les clients étaient convaincus que la fonction SMBv1 était désactivée à l'échelle de l'entreprise. Pourtant, aucun de nos clients n'affichait un taux de SMBv1, et la moyenne parmi l'ensemble des clients s'élevait à 7 %, avec des pics dépassant 50 % des terminaux sur lesquels la fonction SMBv1 était activée.

Dans de nombreux cas, les processus hérités ont freiné le développement de nouvelles fonctionnalités. Lors de notre intervention face à WannaCry, nous avons constaté de nombreux cas où le processus a duré huit heures entre le moment où l'autorisation de contrer WannaCry a été accordée et celui où Tanium a mis en place les mesures correctives visant à atténuer la menace. Il s'est écoulé moins de deux minutes entre le moment où j'ai appuyé sur la détente et la fin de l'opération.

Cinq mesures que vos organisations peuvent prendre dès maintenant

À la lumière des enseignements tirés de ces exemples récents, voici cinq mesures que votre organisation peut prendre dès maintenant afin d’être mieux préparée à éviter d’être victime de la prochaine attaque :

  1. Évaluez les obstacles au sein de votre organisation. Vos équipes chargées de la sécurité et de l'exploitation informatique travaillent-elles en étroite collaboration ? Si ce n'est pas le cas, quels sont les points de friction et comment peut-on y remédier ?
  2. Apprenez à connaître votre environnement. Si votre directeur informatique passe vous voir et vous demande de lui indiquer combien d'appareils non mis à jour se trouvent sur votre réseau, êtes-vous en mesure de lui répondre avec précision ? Votre réponse se fondera-t-elle sur la situation actuelle ou sur des informations que vous avez recueillies il y a une semaine ?
  3. Demandez-vous à quelle fréquence les processus hérités vous empêchent de tirer pleinement parti des capacités avancées de la technologie que vous utilisez.
  4. Simplifiez votre infrastructure. L'une des difficultés souvent évoquées dans le cadre de l'incident WannaCry concernait la mise à jour des systèmes d'exploitation dans un environnement regorgeant d'applications héritées. Si vous utilisez une application essentielle à votre activité qui vous oblige à maintenir en vie un système d'exploitation obsolète, il est temps de repenser vos relations avec vos fournisseurs.
  5. Selon diverses estimations, jusqu'à 83 % des attaques par rançongiciel trouvent leur origine dans le fait qu'un employé clique sur un lien malveillant, ouvre une pièce jointe infectée ou se rend sur un site web compromis. Investir dans la formation continue de vos collaborateurs afin de les protéger contre les attaques de hameçonnage de type « » devrait constituer votre première ligne de défense.

Vos pratiques en matière d'hygiène de sécurité sont-elles aussi rigoureuses qu'elles pourraient l'être ? Votre organisation est-elle prête à faire face à la prochaine attaque ? Découvrez comment nous pouvons vous aider. Prenez rendez-vous dès aujourd'hui pour votre évaluation de l'hygiène de sécurité.

Pour en savoir plus :

Vous souhaitez découvrir Tanium en action ? Prenez rendez-vous pour une démonstration individuelle ou participez à notre webinaire hebdomadaire. Venez échanger avec nos experts Tanium lors de nos prochains événements organisés dans le cadre de l' :.

À propos de l'auteur : En tant que directeur de la relation client, Charles Ross dirige l'équipe chargée de concrétiser la vision de Tanium auprès de nos clients : une gestion des terminaux évolutive permettant de faire fonctionner et de sécuriser leur entreprise de manière fiable et rapide. Avant de rejoindre Tanium, Charles a travaillé chez McAfee, où il a occupé divers postes à responsabilité dans les domaines de l'ingénierie avant-vente, de l'architecture de solutions et de la sécurité informatique. Avant de rejoindre McAfee, Charles a occupé le poste de consultant en gestion des risques d'entreprise chez Deloitte & Touché. Charles est titulaire d'une licence en sciences de l'Université de Floride.