Les télétravailleurs fédéraux s'appuient sur des infrastructures de postes de travail virtuels, telles que le protocole RDP (Remote Desktop Protocol), pour accéder au serveur du réseau de leur administration et en avoir une vue d'ensemble. La protection de ces terminaux contre le nombre croissant de cybermenaces potentielles constitue une priorité pour les équipes informatiques — et revêt une importance particulière à la lumière d’une alerte récente émise par l’Agence pour la cybersécurité et la sécurité des infrastructures (CISA), le Bureau fédéral d’enquête (FBI) et la Cyber National Mission Force (CNMF) du Cyber Command américain. L'alerte décrivait comment le groupe nord-coréen spécialisé dans les menaces persistantes avancées (APT), « » (Kimsuky) , s'est livré à l'exfiltration d'informations au détriment de cibles du monde entier afin d'obtenir des renseignements sur divers sujets présentant un intérêt pour le gouvernement nord-coréen.
Dans un article récent publié sur , , Homeland Security Todayet , j’aborde cette alerte et explique comment ce groupe de menaces persistantes avancées (APT) a réussi à recueillir des renseignements auprès de cibles du monde entier depuis plusieurs années ; j’y donne également des conseils sur la manière dont les agences fédérales peuvent protéger leurs données et leurs systèmes contre Kimsuky et d’autres APT.
Points clés
Kimsuky a mis en œuvre de nombreuses tactiques différentes pour exfiltrer des informations sensibles — l'une d'entre elles consistant à utiliser des identifiants d'hébergement web, volés à des personnes n'appartenant pas au cercle de ses victimes ciblées, afin d'héberger ses scripts et outils malveillants.
Alors que les équipes informatiques fédérales recherchent des solutions de sécurité plus sophistiquées pour se protéger contre les menaces avancées, elles devraient envisager :
- Sensibiliser les utilisateurs à la navigation sécurisée, à l' , au phishing et au spear phishing
- Surveiller les alertes liées à cet acteur afin de détecter toute activité suspecte
- Utiliser une fonctionnalité de mise en quarantaine pour révoquer immédiatement l'accès au réseau de tout hôte concerné
En se concentrant sur des facteurs de ce type, les équipes informatiques peuvent se forger une vision plus complète du paysage de la sécurité, ce qui leur permet de prendre de meilleures décisions.
Les équipes informatiques devraient envisager de tirer parti de la plateforme de gestion et de sécurité des terminaux de Tanium, qui offre une visibilité complète et en temps réel sur les utilisateurs finaux, les serveurs et les terminaux dans le cloud. L'approche par plateforme permet également d'intervenir sur les réseaux les plus vastes et les plus complexes afin d'identifier les ressources, de protéger les systèmes, de détecter les menaces, de riposter aux attaques et d'aider les organisations à se remettre d'un incident.
Tanium permet de minimiser l'impact des menaces grâce à la recherche automatisée, à la détection précoce, ainsi qu'à des enquêtes et des mesures correctives rapides. Grâce à des produits tels que (Tanium Threat Response) et (Tanium Protect), les équipes informatiques peuvent répertorier les outils logiciels à distance autorisés et bloquer tout logiciel ou terminal non autorisé.
Les administrations doivent se préparer à faire face à la multiplication des cybermenaces en mettant en œuvre des processus et des stratégies de sécurité qui garantiront la protection du réseau et des terminaux. Pour lire l'article dans son intégralité, rendez-vous sur : Homeland Security Today.
Pour en savoir plus sur la manière dont Tanium contribue à protéger les réseaux des administrations contre les menaces, veuillez consulter notre présentation générale à l'adresse , notre guide « Protect » à l'adresse et nos bonnes pratiques à l'adresse , ainsi que notre solution « Tanium Threat Response » à l'adresse.
