Lorsque les attaquants prennent le contrôle d’un endpoint, la célébration ne dure pas longtemps. Comme dans un jeu d’échecs, les pirates informatiques se positionnent pour leur prochaine étape, compromettant d’autres endpoints qu’ils peuvent utiliser pour s’enfoncer plus profondément dans les systèmes d’une entreprise et accéder aux personnes et aux données qu’ils recherchent finalement.
Après que le fournisseur international d’expédition et de logistique Maersk a subi un seul endpoint compromis en 2017, les attaquants ont finalement pu compromettre chaque endpoint de l’entreprise. Les cybercriminels ont ensuite utilisé une attaque par rançongiciel pour rendre la plupart des endpoints de Maersk inaccessibles. Cela a coûté à Maersk quelque 300 millions USD, deux semaines d’opérations perturbées, et l’a forcé à réinstaller 4 000 serveurs.
Cela semble mineur par rapport au récent piratage de SolarWinds, qui continue de faire des ravages pour les entreprises et les gouvernements américains. L’attaque dite de la « chaîne d’approvisionnement » logicielle s’est appuyée sur des dizaines de milliers d’organisations mettant à jour le même logiciel tiers pour exécuter la gestion informatique.
Les pirates informatiques, considérés comme des renseignements russes, ont ciblé SolarWinds et utilisé des logiciels malveillants pour voler et falsifier des informations d’identification numériques qui leur ont permis, ainsi qu’à d’autres cybercriminels, de passer d’un endpoint à un autre et d’accéder à environ 18 000 entités qui téléchargent le logiciel infecté.
« Avec les bonnes informations d’identification, les attaquants peuvent se déplacer où ils le souhaitent. »Ben Rothke, responsable principal de la sécurité de l’information chez le fournisseur de publicité et de livraison de contenu Tapad
Les victimes comprennent les plus grands acteurs du secteur technologique, du secteur de la santé et du gouvernement fédéral. Le coût estimé pour les entreprises américaines et le gouvernement : 100 milliards USD. Avec les enjeux aussi élevés, l’identification et le blocage de ce type de « mouvement latéral » dans un réseau défaillant restent essentiels pour défendre toute entreprise.
« Les pirates informatiques rechercheront toujours des informations d’identification, car avec les informations d’identification appropriées, ils peuvent se déplacer où ils le souhaitent », déclare Ben Rothke, directeur principal de la sécurité de l’information chez le fournisseur de publicité et de livraison de contenu Tapad.
Pour ce faire, les pirates informatiques capturent généralement les informations d’identification d’accès utilisateur via la journalisation des frappes ou d’autres outils spécialisés. « Imaginez pouvoir falsifier un billet d’avion qui vous emmènera partout où vous voulez aller », déclare Rothke. « C’est ce que les pirates informatiques font avec les informations d’identification, seuls ils accèdent aux réseaux, aux applications ou peut-être à la console cloud utilisée par un administrateur. »
Les informations d’identification ne sont pas les seules choses que les attaquants recherchent. Ils utilisent des outils pour naviguer vers d’autres serveurs sur le même réseau et vers les endpoints. Tout endpoint exécutant un logiciel obsolète est également une cible principale. Heureusement, vous pouvez faire plusieurs choses pour empêcher les mouvements latéraux ou les identifier et les arrêter lorsqu’ils se produisent.
Augmenter le coût de la réussite
La clé de la protection de votre environnement informatique est de rendre aussi difficile que possible qu’un pirate informatique se déplace latéralement, déclare Chris Blow, directeur de la sécurité offensive chez Liberty Mutual, une société du Fortune 100 . Son équipe effectue régulièrement des simulations sur les endpoints pour voir si un mouvement latéral est possible. « Nous nous efforçons toujours de nous assurer que nos endpoints sont protégés », déclare M. Blow.
La meilleure défense consiste à changer l’économie d’une attaque, déclare Fernando Montenegro, analyste principal de l’équipe de sécurité d’entreprise chez 451 Research, qui fait partie de S&P Global Market Intelligence. « L’objectif est d’augmenter le coût du succès pour l’attaquant », dit-il. « Vous souhaitez concevoir des défenses qui rendront la vie d’un pirate informatique très difficile. »
Pour ce faire, les experts en sécurité offrent ce qui suit :
Adoptez une bonne hygiène des endpoints. Des pratiques efficaces commencent par les éléments essentiels, y compris une gestion solide des actifs, des configurations et des correctifs. « Une bonne hygiène à elle seule n’arrêtera pas les adversaires déterminés, mais cela rendra leur travail beaucoup plus difficile », déclare le Monténégro.
Gérer les identités. Il est essentiel de savoir qui dispose des informations d’identification pour accéder à des applications spécifiques et à des ressources en réseau. Le principe du « moindre privilège » réduit la surface d’attaque, en donnant aux utilisateurs l’accès uniquement aux ressources dont ils ont absolument besoin pour faire leur travail. Il est également essentiel de limiter le nombre de comptes administrateur. « Votre identité est le nouveau pare-feu, et vous devez gérer efficacement les identités, en particulier les comptes privilégiés », déclare Blow.
« Votre identité est le nouveau pare-feu. »Chris Blow, directeur de la sécurité offensive chez Liberty Mutual
Mettre en œuvre une authentification forte. L’authentification garantit que seules les bonnes personnes peuvent accéder aux bonnes applications. « Bien que non infaillible, la nécessité d’une authentification multifacteur peut être efficace pour ralentir le mouvement latéral », déclare Rothke. Si un pirate informatique obtient des informations d’identification à partir d’une attaque d’hameçonnage, d’une session utilisateur ou d’un vidage de mémoire (lorsque la mémoire est sauvegardée pendant une panne d’application), des techniques d’authentification robustes peuvent rendre plus difficile pour les cybercriminels d’utiliser des informations d’identification pour se déplacer latéralement vers d’autres ressources sur le réseau.
Segmenter le trafic réseau. Pour renforcer davantage la sécurité, divisez les réseaux en zones distinctes. Par exemple, tous les équipements de bureau et les appareils associés peuvent être placés sur un seul réseau, et certaines classes d’utilisateurs peuvent être divisées en leurs propres segments de réseau. L’application d’une sécurité appropriée à chaque zone peut limiter considérablement le nombre de déplacements latéraux d’un pirate informatique, déclare Rothke.
Développez une architecture Zero Trust. Grâce à des contrôles d’identité, des techniques d’authentification et une segmentation du réseau solides, une organisation est déjà en bonne voie pour construire une architecture Zero Trust. « Une bonne architecture Zero Trust va contribuer grandement à empêcher les attaquants de se déplacer », déclare M. Blow. « Le problème est que la plupart des entreprises n’ont pas de Zero Trust verrouillé aussi bien qu’elles le devraient. »
[Lire également : Anton Chuvakin de Google sur la nécessité de repenser la sécurité réseau]
Détecter les anomalies. Les pirates informatiques feront tout leur possible pour éviter la détection. Avec de fausses informations d’identification, elles peuvent sembler être des utilisateurs légitimes. Les responsables de la sécurité peuvent apprendre à repérer les activités inhabituelles sur les réseaux et les applications, mais c’est beaucoup plus difficile à réaliser qu’il n’y paraît. « C’est tellement difficile, car les attaquants feront tout leur possible pour se fondre avec succès », déclare Rothke.
Adoptez la détection et la réponse des endpoints. Lorsque les entreprises détectent toute indication d’endpoints compromis, toutes les données pertinentes doivent être collectées et envoyées aux équipes de sécurité pour analyse et réponse. La limitation des attaques au fur et à mesure qu’elles sont en cours peut limiter les violations de données et les dommages au système et arrêter les mouvements latéraux sur ses rails. « Au cours des deux dernières années, la détection et la réponse des endpoints sont devenues beaucoup plus efficaces qu’auparavant », déclare M. Blow. « Les organisations qui ont des systèmes efficaces en place rendront le travail des attaquants très difficile, et c’est finalement l’objectif de ces couches de défense. »
Avec ces pratiques en place, une organisation peut s’assurer que l’entreprise reste inhospitalière pour les pirates informatiques à la recherche de liens faibles qu’ils peuvent exploiter pour sauter en flèche sur les systèmes de l’entreprise.
