Lorsque des pirates prennent le contrôle d'un terminal, la joie est de courte durée. À l’instar d’une partie d’échecs, les pirates informatiques se positionnent en vue de leur prochain coup : compromettre d’autres terminaux qu’ils pourront utiliser pour s’enfoncer plus profondément dans les systèmes d’une entreprise et accéder aux personnes et aux données qu’ils recherchent en fin de compte.
Après que Maersk , le prestataire international de services de transport maritime et de logistique , a subi la compromission d'un seul terminal sur 2017, les pirates ont fini par parvenir à compromettre l'ensemble des terminaux de l'entreprise. Les cybercriminels ont ensuite lancé une attaque par rançongiciel afin de rendre inaccessibles la plupart des terminaux de Maersk. Cet incident a coûté à Maersk quelque 300 millions de dollars, entraîné deux semaines de perturbation des activités et contraint l'entreprise à réinstaller 4 000 serveurs.
Cela semble insignifiant comparé au récent piratage d' SolarWinds, qui continue de semer le chaos au sein des entreprises et des administrations américaines. Cette attaque dite de « chaîne d'approvisionnement » logicielle a profité du fait que des dizaines de milliers d'organisations mettaient à jour le même logiciel tiers utilisé pour la gestion informatique.
Des pirates informatiques, que l'on soupçonne d'appartenir aux services de renseignement russes, ont pris pour cible SolarWinds et ont utilisé un logiciel malveillant pour voler et falsifier des identifiants numériques, ce qui leur a permis, ainsi qu'à d'autres cybercriminels, de passer d'un terminal à l'autre et d'accéder à environ 18 000 entités ayant téléchargé le logiciel infecté.
«Avec les identifiants appropriés, les pirates peuvent accéder à tout ce qu’ils souhaitent. »Ben Rothke, responsable senior de la sécurité de l'information chez Tapad, prestataire de services de publicité et de diffusion de contenu
Parmi les victimes figurent les plus grands acteurs du secteur des technologies, du secteur de la santé, ainsi que le gouvernement fédéral. Coût estimé pour les entreprises américaines et le gouvernement : 100 milliards de dollars. Compte tenu des enjeux considérables, il reste essentiel, pour assurer la défense de toute entreprise, d’identifier et de bloquer ce type de « déplacement latéral » au sein d’un réseau compromis.
« Les pirates chercheront toujours à s'emparer d'identifiants, car avec les bons identifiants, ils peuvent accéder à tout ce qu'ils veulent », explique Ben Rothke, responsable senior de la sécurité de l'information chez Tapad, un prestataire de services publicitaires et de diffusion de contenu.
Pour ce faire, les pirates informatiques s'emparent généralement des identifiants d'accès des utilisateurs à l'aide de logiciels d'enregistrement de frappe ou d'autres outils spécialisés. « Imaginez que vous puissiez vous procurer un billet d’avion qui vous emmènera où vous le souhaitez », déclare M. Rothke. « C’est exactement ce que font les pirates avec ces identifiants : ils parviennent ainsi à accéder à des réseaux, à des applications ou peut-être même à la console cloud utilisée par un administrateur. »
Les identifiants ne sont pas la seule chose que recherchent les pirates. Ils utilisent des outils pour accéder à d'autres serveurs du même réseau et à des terminaux. Tout terminal équipé d'un logiciel obsolète constitue également une cible de choix. Heureusement, il existe plusieurs mesures que vous pouvez prendre pour prévenir les mouvements latéraux, ou pour les repérer et y mettre fin lorsqu'ils se produisent.
Augmenter le coût de la réussite
« La clé pour protéger votre environnement informatique consiste à compliquer autant que possible les déplacements latéraux d'un attaquant », explique Chris Blow, directeur de la sécurité offensive chez Liberty Mutual, une entreprise classée au Fortune 100 . Son équipe effectue régulièrement des simulations sur des terminaux afin de vérifier si un déplacement latéral est possible. « Nous veillons en permanence à ce que nos terminaux soient protégés », déclare M. Blow.
« La meilleure défense consiste à modifier la rentabilité d'une attaque », explique Fernando Montenegro, analyste principal au sein de l'équipe chargée de la sécurité d'entreprise chez 451 Research, une filiale de S&P Global Market Intelligence. « L'objectif est de rendre la réussite de l'attaquant plus coûteuse », explique-t-il. « Il faut mettre en place des mesures de défense qui rendront la tâche très difficile à un pirate. »
Pour ce faire, les experts en sécurité vous proposent les mesures suivantes :
Veillez à respecter les bonnes pratiques d'hygiène des terminaux. Les pratiques efficaces commencent par l'essentiel, notamment une gestion rigoureuse de l' , des actifs, des configurations et des correctifs . « Une bonne hygiène ne suffira pas à elle seule à arrêter des adversaires déterminés, mais elle leur compliquera considérablement la tâche », déclare M. Montenegro.
Gérer les identités. Il est essentiel de savoir qui dispose des identifiants nécessaires pour accéder à certaines applications et à certaines ressources en réseau. Le principe du « privilège minimal » réduit la surface d'attaque, en ne donnant aux utilisateurs accès qu'aux ressources dont ils ont absolument besoin pour exercer leurs fonctions. Il est également essentiel de limiter le nombre de comptes d'administrateur. « Votre identité est le nouveau pare-feu, et vous devez gérer efficacement les identités, en particulier les comptes privilégiés », déclare M. Blow.
«Votre identité est le nouveau pare-feu. »Chris Blow, directeur de la sécurité offensive chez Liberty Mutual
Mettez en place une authentification forte. L'authentification garantit que seules les personnes autorisées peuvent accéder aux applications appropriées. « Même si ce n’est pas une solution infaillible, l’obligation d’une authentification multifactorielle peut s’avérer efficace pour ralentir les mouvements latéraux », explique M. Rothke. Si un pirate informatique venait à obtenir des identifiants à la suite d'une attaque de hameçonnage de type « », d'une session utilisateur ou d'un vidage de mémoire (lorsqu'une sauvegarde de la mémoire est effectuée lors d'un plantage d'application), des techniques d'authentification renforcées peuvent compliquer la tâche des cybercriminels qui tenteraient d'utiliser ces identifiants pour se déplacer latéralement vers d'autres ressources du réseau.
Segmentez le trafic réseau. Pour renforcer encore davantage la sécurité, divisez les réseaux en zones distinctes. Par exemple, l'ensemble du matériel de bureau et des périphériques associés peut être regroupé sur un seul réseau, et certaines catégories d'utilisateurs peuvent être réparties dans leurs propres segments de réseau. « La mise en place de mesures de sécurité adaptées à chaque zone peut limiter considérablement la capacité d'un attaquant à se déplacer latéralement », explique M. Rothke.
Mettez en place une architecture « zero-trust ». Grâce à des contrôles d'identité rigoureux, à des techniques d'authentification et à la segmentation du réseau, une organisation est déjà en bonne voie pour mettre en place une architecture « zero-trust ». « Une bonne architecture « zero-trust » contribuera grandement à empêcher les attaquants de se déplacer au sein du réseau », explique M. Blow. « Le problème, c’est que la plupart des entreprises ne mettent pas en œuvre le modèle « zero trust » aussi rigoureusement qu’elles le devraient. »
Détecter les anomalies. Les pirates feront tout ce qui est en leur pouvoir pour éviter d'être détectés. Grâce à de fausses identités, ils peuvent se faire passer pour des utilisateurs légitimes. Les responsables de la sécurité peuvent apprendre à repérer les activités inhabituelles au sein des réseaux et des applications, mais cela s'avère bien plus difficile à réaliser qu'il n'y paraît. « C'est extrêmement difficile, car les pirates font tout ce qui est en leur pouvoir pour passer inaperçus », explique M. Rothke.
Adoptez la solution « » de détection et de réponse au niveau des terminaux. Lorsque les entreprises détectent le moindre signe indiquant que des terminaux ont été compromis, toutes les données pertinentes doivent être collectées et transmises aux équipes de sécurité afin qu'elles puissent les analyser et prendre les mesures qui s'imposent. Le fait de contrer les attaques dès leur apparition permet de limiter les fuites de données et les dommages causés aux systèmes, et d'enrayer immédiatement les mouvements latéraux. « Au cours des deux dernières années, la détection et la réponse au niveau des terminaux sont devenues bien plus efficaces qu’auparavant », explique M. Blow. « Les organisations qui ont mis en place des systèmes efficaces compliqueront considérablement la tâche des pirates, et c’est finalement là tout l’intérêt de ces niveaux de défense. »
Grâce à la mise en place de ces mesures, une organisation peut s'assurer que son environnement reste inhospitalier pour les pirates informatiques à la recherche de maillons faibles qu'ils pourraient exploiter pour se propager à travers les systèmes de l'entreprise.
