Le 27 août, le Wall Street Journal a rapporté qu’une fuite massive de données contre T-Mobile, dans laquelle un pirate informatique a volé quelque 50 millions de dossiers clients, avait été effectuée par un enfant de 21 ans qui a pénétré les défenses de l’entreprise via un routeur non protégé. Le pirate informatique aurait ravagé les serveurs de l’opérateur pendant une semaine avant de se lancer dans son aventure.
Les informations sur le piratage, et la manière dont il a été réalisé, doivent avoir des leaders en matière d’entreprise, d’informatique et de sécurité alarmés dans chaque industrie et agence gouvernementale. Avec des réseaux numériques tentaculaires sous-jacents à l’économie, à l’infrastructure et à la défense militaire des États-Unis, et avec des millions d’endpoints connectés à ces réseaux, comment chacun peut-il gérer et protéger chacun d’entre eux ?
« [A]des failles comme celle-ci sont en hausse et les acteurs malveillants travaillent jour après jour pour... attaquer nos systèmes et les exploiter », a déclaré Mike Sievert, PDG de T-Mobile, dans un article. Il a écrit que la gestion de la violation était « humble ». Il s’est engagé à dire que « la protection des données de nos clients est une responsabilité que nous prenons incroyablement au sérieux et que la prévention de ce type d’événement a toujours été une priorité absolue pour nous. » Vous pouvez lire la déclaration de T-Mobile ici.
Alors que les PDG comme Sievert, ainsi que leurs équipes informatiques et de sécurité, continuent de lutter contre ce qui est devenu une campagne permanente de cyberattaques de la part des États-nations et des gangs criminels, il y a quelques leçons à tirer de ces récentes cyberattaques que tout le monde doit garder à l’esprit.
Voici cinq des plus importants.
Réduisez votre surface d’attaque
La capacité à réduire la surface d’attaque nécessite que vous sachiez quels actifs votre organisation possède et où ils se trouvent. Sans un inventaire à jour, tout effort pour sécuriser vos actifs sera incomplet. Mais l’effort pour trouver des actifs peut être compliqué. Les entreprises fusionnent. Ils acquièrent d’autres entreprises. Ces entreprises peuvent utiliser leurs propres connexions Internet.
« Les attaques sont en hausse et les acteurs malveillants travaillent jour après jour pour trouver de nouvelles voies pour attaquer nos systèmes et les exploiter. »Mike Sievert, PDG de T-Mobile
Avec une telle multiplication, vous avez besoin d’une méthode toujours active pour découvrir les actifs et les classer . Une fois que vous connaissez vos actifs et ceux qui sont externes, vous pouvez commencer à réduire la surface d’attaque.
Il est important d’analyser et de comprendre votre périmètre externe de la même manière qu’un pirate informatique.
Une fois que vous avez tout recensé sur votre réseau, vous devez rendre votre environnement externe ennuyeux pour un pirate informatique : tout autre élément que les sites Web de marque de l’entreprise et les ports 100 % externes nécessaires ne doivent pas être accessibles. Plus vous mettez d’informations et de services à la disposition du public, plus vous avez besoin de sécuriser et de protéger ces services contre les attaquants.
Les organisations fournissent des services externes (tels que des sites Web et des services pour les consommateurs et les partenaires) dans des zones démilitarisées (DMZ), les réseaux qui se trouvent entre l’Internet public et les réseaux privés. Si ces sous-réseaux ne sont pas correctement configurés, les sites Web et les services peuvent devenir exposés et exploitables.
Parfois, pour accélérer l’administration ou l’accès, un service Web sera ouvert directement sur Internet. Mais les entreprises ne doivent pas exposer les services administratifs à Internet. Internet est constamment attaqué depuis le périmètre, et tout accès direct ou même indirect peut épeler des problèmes pour votre réseau et, en fin de compte, pour votre organisation et sa résilience.
En effectuant une analyse à partir du périmètre externe, vous pouvez rapidement voir les services exposés de la même manière qu’un pirate informatique. Il est judicieux de surveiller vos systèmes pour s’assurer que les services de votre périmètre ne communiquent pas avec des services administratifs ou non autorisés. Il est essentiel d’effectuer continuellement la découverte des actifs dans la DMZ pour s’assurer que les appareils ne sont pas ajoutés sans être soumis au processus d’intégration.
Gérer vos configurations
Comme le dit Tony Robbins, « la complexité est l’ennemi de l’exécution ».
Il aurait pu avoir une carrière illustre en tant que RSSI. Sa maxime sert bien la cybersécurité. Il s’avère que la simplification est la clé de la sécurité, en particulier dans la complexité croissante des réseaux d’aujourd’hui. Les organisations doivent d’abord trouver et faire l’inventaire de tous leurs actifs et endpoints. Vous ne pouvez pas gérer ce que vous ne voyez pas. Une fois que vous avez tout vu sur votre réseau, vous pouvez le sécuriser. Et la meilleure étape suivante consiste à gérer vos configurations, ce que beaucoup ne font pas bien.
En fait, parmi les 300 RSSI interrogés par IDC l’année dernière, les contrôles d’accès et de configuration privilégiés constituaient une menace majeure pour les risques liés au cloud, 63 % de ces leaders de la sécurité (la plupart des organisations avaient subi au moins une violation du cloud au cours des 18 derniers mois) déclarant qu’il était un défi essentiel de protéger les données sensibles.
Ce n’est pas étonnant. Les équipes informatiques commettent souvent des erreurs critiques dans la configuration de leurs contrôles. Ou ils donnent à chacun une configuration différente, créant de la complexité et introduisant des vulnérabilités inutiles. La réflexion est que si tous les actifs ont la même configuration et obtiennent les mêmes mises à jour, ils auront tous les mêmes vulnérabilités. Mais cela peut en fait être une bonne chose.
Avoir une seule configuration (ou minimale) par type d’actif vous permet de consacrer du temps et des ressources au renforcement et au test d’une seule configuration. Si les systèmes s’écartent d’une configuration planifiée, votre question devrait être pourquoi ? Quels processus se sont décomposés pour y parvenir ?
Bloquer le mouvement latéral
Une fois que les pirates informatiques prennent pied dans une entreprise, leur prochaine étape consiste souvent à approfondir les systèmes informatiques. Le pirate informatique de T-Mobile aurait déclaré qu’il avait violé un seul routeur, puis s’est enfoui dans les serveurs de l’entreprise. Il a probablement fait cela en se déplaçant latéralement sur le réseau jusqu’à ce qu’il trouve les données qu’il cherchait. Les pirates informatiques se déplacent latéralement en passant d’un endpoint à l’autre, en capturant les informations d’identification d’accès utilisateur via la journalisation des frappes ou d’autres outils spécialisés.
« Avec les bonnes informations d’identification, ils peuvent se déplacer où ils le souhaitent », déclare Ben Rothke, responsable principal de la sécurité de l’information chez le fournisseur de publicité et de livraison de contenu Tapad, Endpoint. Avec ces informations d’identification, déclare Rothke, le pirate informatique peut accéder aux réseaux, aux applications et même à la console cloud utilisée par un administrateur. Cela rend la prévention, l’identification et le blocage des mouvements latéraux essentiels pour défendre toute organisation.
Heureusement, il y a plusieurs choses que vous pouvez faire. Tout d’abord, compliquez autant que possible le déplacement latéral d’un pirate informatique. Pour ce faire, vous augmentez le coût de la réussite pour l’attaquant. Rendre leur vie difficile en mettant en pratique les éléments essentiels d’une bonne cyberhygiène. Cela doit inclure la gestion des actifs et des configurations mentionnée précédemment, ainsi que la gestion régulière des correctifs.
Vous devez également gérer les identités. Il est essentiel de savoir qui dispose des informations d’identification pour accéder aux applications critiques et aux ressources en réseau. Le principe du « moindre privilège » réduit la surface d’attaque interne, donnant aux utilisateurs l’accès uniquement aux ressources dont ils ont absolument besoin pour faire leur travail.
Soyez un chasseur proactif des menaces
Pourquoi ? Parce que ce n’est pas une question de moment, mais de comment.
Les entreprises ne peuvent plus se permettre d’attendre que quelqu’un d’autre soit violé, puis de rechercher le même logiciel malveillant ou pirate informatique dans leurs propres systèmes. Ils doivent rechercher les menaces de manière proactive, identifier les écarts par rapport aux normes de leurs réseaux et faire quelque chose pour y remédier.
Cela signifie d’abord identifier les indicateurs spécifiques de compromission (IOC), puis les rechercher régulièrement. Il peut s’agir de processus ou d’outils de pirates informatiques connus, utilisés par rapport à d’autres acteurs du secteur. Concentrez-vous sur l’identification des tactiques, techniques et procédures (TTP) des pirates informatiques. Par exemple, les pirates informatiques doivent effectuer une reconnaissance pour identifier les cibles de valeur et se déplacer latéralement dans un réseau.
Étant donné qu’il n’existe que quelques méthodes par lesquelles les pirates informatiques peuvent se déplacer dans un environnement, la recherche de leurs TTP est la meilleure façon pour un chasseur de menaces de les trouver. Parmi les questions que vous devez poser : Comment puis-je trouver des écarts par rapport à la norme ? Quelles sont les normes que je dois surveiller ? (Le trafic réseau à partir de bases de données ou de serveurs critiques peut en être un.) Suis-je aussi agile que mes attaquants potentiels ? Si ce n’est pas le cas, comment puis-je être ?
Bien sûr, une fois que vous avez trouvé des intrus, vous devez les supprimer. C’est là que l’agilité compte. Parce que quelques heures ou jours peuvent faire une grande différence. Comment avez-vous aplati vos rapports afin que les personnes qui ont besoin des informations les reçoivent et les examinent rapidement ?
Et enfin : protégez vos mots de passe !
Les mots de passe sont un élément clé du nouveau périmètre réseau pour de nombreuses organisations. Alors que des millions de travailleurs distants accèdent aux réseaux d’entreprise et aux applications basées sur le cloud sur des appareils d’endpoint tels que des ordinateurs portables, des PC et des tablettes, chacun de ces endpoints devient un point d’entrée potentiel pour l’escroquerie.
Les mots de passe sont conçus pour empêcher les méchants de se connecter. Mais les humains sont tombés et n’utilisent pas toujours les mots de passe de manière appropriée. Vous pouvez penser que Marlins1234 est une clé parfaitement solide de vos verrouillages numériques. Mais un aperçu de votre réseau social et un pirate informatique seront en mesure de deviner ce mot de passe sans effort. Pour preuve, jetez un œil aux 200 mots de passe les plus courants.
Des millions de travailleurs américains sont mauvais en matière d’hygiène des mots de passe. Plus de la moitié (57 %) ont déclaré dans une enquête récente qu’ils écrivaient leurs mots de passe liés au travail sur des notes adhésives, selon Keeper Security. C’est la négligence. Et cela n’a fait qu’augmenter depuis la pandémie. La même enquête a révélé que 66 % des travailleurs sont plus susceptibles d’écrire des mots de passe lorsqu’ils travaillent à domicile.
[Lire également : pourquoi nous avons toujours besoin de la Journée mondiale du mot de passe]
Bien sûr, dans l’environnement actuel, l’ authentification multifacteur (AMF) est également un must. Les sites Web, les applications et les réseaux d’entreprise utilisent souvent la MFA en associant les connexions par mot de passe aux applications d’authentification tierces auxquelles les utilisateurs peuvent accéder via un smartphone. Cependant, l’AMF n’est pas une panacée, en particulier si des transporteurs comme T-Mobile sont attaqués. Alors que les organisations se tournent vers l’avenir, beaucoup évaluent l’accès réseau Zero Trust pour une sécurité supplémentaire en plus des contrôles de mots de passe existants.
Et si tout le reste échoue, appelez ce type.
