Le 27 août, le Wall Street Journal a rapporté qu’une fuite de données massive visant T-Mobile, au cours de laquelle un pirate informatique a dérobé quelque 50 millions de dossiers clients, avait été perpétrée par un jeune homme de 21 ans qui avait contourné les systèmes de sécurité de l’entreprise via un routeur non protégé. Le pirate informatique aurait fouillé les serveurs de l'opérateur pendant une semaine avant de s'enfuir avec son butin.
La nouvelle de cette cyberattaque — et la manière dont elle a été menée — a sans doute alarmé les responsables des entreprises, des services informatiques et de la sécurité dans tous les secteurs d'activité et au sein de toutes les administrations publiques. Compte tenu de l'étendue des réseaux numériques qui sous-tendent l'économie, les infrastructures et la défense militaire des États-Unis, et du fait que des millions de terminaux y sont connectés, comment est-il possible de gérer et de protéger chacun d'entre eux ?
« Les attaques de ce type sont en augmentation et les cybercriminels s'efforcent sans relâche de… s'attaquer à nos systèmes et d'en tirer parti », a souligné Mike Sievert, PDG de T-Mobile, dans un message. Il a écrit que la gestion de cette faille de sécurité avait été une « leçon d'humilité ». Il a affirmé que « la protection des données de nos clients est une responsabilité que nous prenons extrêmement au sérieux, et empêcher ce type d'incident de se produire a toujours été l'une de nos principales priorités ». Vous pouvez consulter la déclaration de T-Mobile concernant « » ici :.
Alors que des PDG comme M. Sievert — ainsi que leurs équipes informatiques et de sécurité — continuent de lutter contre ce qui est devenu une campagne incessante de cyberattaques menées tant par des États que par des groupes criminels, il y a quelques enseignements à tirer de ces récentes cyberattaques que chacun devrait garder à l'esprit.
Vous trouverez ci-dessous cinq des plus importants.
Réduisez votre surface d'attaque
Pour pouvoir réduire la surface d'attaque, vous devez connaître les ressources dont dispose votre organisation et savoir où elles se trouvent. Sans un inventaire à jour, toute mesure visant à sécuriser vos actifs restera incomplète. Mais la recherche de ces actifs peut s'avérer complexe. Des entreprises fusionnent. Elles rachetent d'autres entreprises. Ces entreprises peuvent utiliser leurs propres connexions Internet.
«Les attaques se multiplient et les cybercriminels s’efforcent sans relâche de trouver de nouvelles failles pour attaquer nos systèmes et en tirer parti. »Mike Sievert, PDG de T-Mobile
Face à une telle expansion, vous avez besoin d’une méthode fonctionnant en continu pour détecter les ressources et les classer . Une fois que vous connaissez vos ressources et que vous savez lesquelles sont externes, vous pouvez commencer à réduire la surface d'attaque.
Il est important d'analyser et de comprendre votre périmètre externe comme le ferait un pirate informatique.
Once you inventory everything in your network, you need to make your external environment boring to a hacker: Anything other than corporate branded websites and 100% necessary externally facing ports should not be accessible. Plus vous mettez d'informations et de services à la disposition du public, plus vous devez sécuriser ces services et les protéger contre les attaquants.
Les organisations fournissent des services accessibles depuis l'extérieur (tels que des sites web et des services destinés aux consommateurs et aux partenaires) au sein de zones démilitarisées (DMZ), c'est-à-dire les réseaux situés entre l'Internet public et les réseaux privés. Si ces sous-réseaux ne sont pas correctement configurés , les sites Web et les services risquent d'être exposés et d'être la cible d'attaques.
Il arrive parfois que, pour faciliter la gestion ou l'accès, un service web soit rendu directement accessible depuis Internet. Cependant, les entreprises ne devraient pas exposer leurs services administratifs sur Internet. Internet fait l'objet d'attaques constantes depuis son périmètre, et tout accès direct, voire indirect, peut entraîner des problèmes pour votre réseau et, en fin de compte, pour votre organisation et sa résilience.
En effectuant une analyse depuis le périmètre externe, vous pouvez rapidement identifier les services exposés, exactement comme le ferait un pirate informatique. Il est recommandé de surveiller vos systèmes afin de vous assurer que les services situés à votre périmètre ne communiquent pas avec des services d'administration ou des services non autorisés. Il est essentiel de procéder en permanence à la détection des ressources au sein de la zone démilitarisée (DMZ) afin de s'assurer qu'aucun appareil ne soit ajouté sans avoir suivi le processus d'intégration.
Gérez vos configurations
Comme le dit Tony Robbins : « La complexité est l'ennemie de l'action. »
Il aurait pu mener une brillante carrière en tant que RSSI. Sa maxime s'applique parfaitement à la cybersécurité. Il s'avère que la simplification est la clé de la sécurité, en particulier dans le contexte actuel où la complexité des réseaux ne cesse de croître. Les organisations doivent tout d'abord recenser et inventorier l'ensemble de leurs actifs et terminaux . On ne peut pas gérer ce qu’on ne voit pas. Ce n'est qu'une fois que vous aurez une vue d'ensemble de votre réseau que vous pourrez le sécuriser. Et la meilleure étape suivante consiste à gérer vos configurations, ce que beaucoup ne font pas correctement.
En effet, parmi les 300 RSSI interrogés par IDC l'année dernière, les accès privilégiés et les contrôles de configuration figuraient parmi les principales menaces liées au cloud : 63 % de ces responsables de la sécurité (dont la plupart des organisations avaient subi au moins une violation de données dans le cloud au cours des 18 derniers mois) ont déclaré qu'il s'agissait d'un enjeu crucial pour la protection des données sensibles.
Ce n'est guère étonnant. Les équipes informatiques commettent souvent des erreurs graves lors de la configuration de leurs contrôles. Ou bien ils attribuent à chacun une configuration différente, ce qui accroît la complexité et introduit des vulnérabilités inutiles. L'idée est que si tous les équipements ont la même configuration et reçoivent les mêmes mises à jour, ils présenteront alors tous les mêmes vulnérabilités. Mais cela peut en réalité être une bonne chose.
Le fait de ne disposer que d'une seule configuration (ou d'un nombre minimal de configurations) par type d'actif vous permet de consacrer votre temps et vos ressources au renforcement et aux tests d'une seule configuration. Si les systèmes s'écartent d'une configuration prévue, vous devriez vous demander pourquoi. Quels processus ont échoué pour que cela se produise ?
Bloquer les mouvements latéraux
Une fois que les pirates informatiques ont pris pied dans une entreprise, leur prochaine étape consiste souvent à s'enfoncer davantage dans les systèmes informatiques. Le pirate informatique de T-Mobile aurait déclaré avoir piraté un seul routeur, puis s'être introduit dans les serveurs de l'entreprise. Il a probablement procédé ainsi en se déplaçant latéralement à travers le réseau jusqu'à ce qu'il trouve les données qu'il recherchait. Les pirates informatiques se déplacent latéralement en passant d'un terminal à l'autre, capturant les identifiants d'accès des utilisateurs à l'aide d'enregistreurs de frappe ou d'autres outils spécialisés.
« Avec les identifiants adéquats, ils peuvent accéder à tout ce qu’ils veulent », explique Ben Rothke, responsable senior de la sécurité de l’information chez Tapad, prestataire de services publicitaires et de diffusion de contenu, à Endpoint. Grâce à ces identifiants, explique M. Rothke, le pirate informatique peut accéder aux réseaux, aux applications et même à la console cloud utilisée par un administrateur. C'est pourquoi il est essentiel de prévenir, d'identifier et de bloquer les mouvements latéraux pour assurer la sécurité de toute organisation.
Heureusement, il existe plusieurs solutions. Tout d'abord, faites en sorte qu'il soit aussi difficile que possible pour un attaquant de se déplacer latéralement. Pour ce faire, vous devez augmenter le coût de la réussite pour l'attaquant. Compliquez-leur la vie en mettant en pratique les principes fondamentaux d'une bonne hygiène informatique. Cela devrait inclure la gestion des actifs et des configurations mentionnées précédemment sur , ainsi que la gestion régulière des correctifs .
Vous devez également gérer les identités. Il est essentiel de savoir qui dispose des identifiants nécessaires pour accéder aux applications critiques et aux ressources en réseau. Le principe du « privilège minimal » réduit la surface d'attaque interne, en ne donnant aux utilisateurs accès qu'aux ressources dont ils ont absolument besoin pour exercer leurs fonctions.
Devenez un chasseur de menaces proactif
Pourquoi ? Car la question n'est pas de savoir « quand », mais « comment ».
Les entreprises ne peuvent plus se permettre d'attendre qu'une autre soit victime d'une intrusion pour ensuite rechercher ce même logiciel malveillant ou ce même pirate informatique dans leurs propres systèmes. Ils doivent rechercher activement les menaces, identifier les écarts par rapport à la norme au sein de leurs réseaux et prendre les mesures qui s'imposent.
Cela implique tout d'abord d'identifier des indicateurs de compromission (IOC) spécifiques, puis de les rechercher régulièrement. Il pourrait s'agir de processus ou d'outils de pirates informatiques connus, utilisés à l'encontre d'autres acteurs du secteur. Concentrez-vous sur l'identification des tactiques, techniques et procédures (TTP) des pirates informatiques. Par exemple, les pirates informatiques doivent mener des opérations de reconnaissance pour identifier des cibles de valeur et se déplacer latéralement au sein d'un réseau.
Étant donné que les pirates ne disposent que de quelques méthodes pour se déplacer au sein d'un environnement, l'identification de leurs TTP constitue le meilleur moyen pour un chasseur de menaces de les repérer. Voici quelques-unes des questions que vous devriez vous poser : Comment repérer les écarts par rapport à la norme ? Quels sont les indicateurs que je dois surveiller ? (Le trafic réseau provenant de bases de données ou de serveurs critiques peut en être un exemple.) Suis-je aussi agile que ceux qui voudraient m'attaquer ? Sinon, comment pourrais-je l'être ?
Bien sûr, une fois que vous avez repéré des intrus, vous devez les éliminer. C'est là que la souplesse fait toute la différence. Car quelques heures ou quelques jours peuvent faire toute la différence. Comment avez-vous simplifié vos procédures de reporting afin que les personnes qui ont besoin de ces informations puissent les recevoir et les examiner rapidement ?
Et pour finir : protégez vos mots de passe !
Pour de nombreuses organisations, les mots de passe constituent un élément essentiel du nouveau périmètre réseau. Alors que des millions de télétravailleurs accèdent aux réseaux d'entreprise et aux applications dans le cloud via des terminaux tels que des ordinateurs portables, des PC et des tablettes, chacun de ces terminaux devient un point d'entrée potentiel pour des actes malveillants.
Les mots de passe sont conçus pour empêcher les personnes mal intentionnées d'accéder à vos comptes. Mais les êtres humains sont faillibles et n'utilisent pas toujours leurs mots de passe de manière appropriée. Vous pourriez penser que « Marlins1234 » est une clé parfaitement sûre pour vos serrures numériques. Mais il suffit à un pirate informatique de jeter un coup d'œil à votre réseau social pour deviner ce mot de passe sans grand effort. Pour vous en convaincre, consultez la liste des 200 mots de passe les plus courants établie par l' :.
Des millions de salariés américains ne respectent pas les règles de sécurité en matière de mots de passe. Selon Keeper Security, plus de la moitié (57 %) des personnes interrogées dans le cadre d'une récente enquête menée par « » ( ) ont déclaré noter leurs mots de passe professionnels sur des post-it. C'est de la négligence. Et ce phénomène n'a fait que s'accentuer depuis la pandémie. Cette même enquête a révélé que 66 % des salariés ont davantage tendance à noter leurs mots de passe lorsqu'ils travaillent à domicile.
[À lire également : Pourquoi la Journée mondiale du mot de passe reste nécessaire]
Bien sûr, dans le contexte actuel, l'authentification multifactorielle (MFA) est également indispensable. Les sites Web, les applications et les réseaux d'entreprise ont souvent recours à l'authentification multifactorielle (MFA) en associant les identifiants de connexion à des applications d'authentification tierces auxquelles les utilisateurs peuvent accéder depuis leur smartphone. Cependant, l'authentification multifactorielle (MFA) n'est pas une solution miracle, surtout lorsque des opérateurs comme T-Mobile sont la cible d'attaques. Alors que les organisations se tournent vers l'avenir, nombre d'entre elles envisagent l'accès réseau « zéro confiance » afin de renforcer la sécurité en complément des contrôles par mot de passe traditionnels.
Et si tout le reste échoue, appelez ce type.
