Archives de catégorie : Cloud

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Patch, Piratage, Sécurité, Social engineering, Vie privée, VPN

6 Français sur 10 seraient des idiots avec le Wi-Fi public

8 français sur 10 utiliseraient chaque mois le Wi-Fi public tout en craignant d’être la cible de hackers. 66% des français préfèrent se connecter au Wi-Fi public non sécurisé et risquer de perdre leurs données personnelles.

Alors que les pirates informatiques peuvent aujourd’hui très facilement accéder aux données personnelles des utilisateurs du Wi-Fi public, Avast Software, éditeur de solutions de sécurité pour mobiles et PC, dévoile les résultats de son étude menée auprès des utilisateurs de réseaux sans fil en France. D’après cette enquête, la plupart des français ont conscience des dangers liés à l’accès aux réseaux Wi-Fi publics pour leurs données mais il semblerait que les bonnes pratiques ne soient pas toujours appliquées.

En effet, 66% des répondants admettent préférer accéder aux réseaux Wi-Fi publics qui ne requièrent pas de nom d’utilisateur ni de mot de passe pour se connecter et ainsi risquer de mettre leurs données personnelles à la portée du premier hacker venu, voire de se faire voler leur identité. Seuls 4% d’entre eux utilisent un réseau privé virtuel (VPN) pour crypter les données, empêcher les pirates informatiques d’avoir de la visibilité sur leur navigation et donc de protéger leurs appareils mobiles. Pourquoi ces négligences ? L’étude d’Avast révèle notamment que 36% des utilisateurs du Wi-Fi font confiance au fournisseur d’accès à internet quant à la sécurisation du réseau alors que rien ne garantit son engagement en matière de protection.

Les risques associés à une connexion aux réseaux Wi-Fi publics sont pourtant bien réels et les utilisateurs ne peuvent les ignorer. Parmi eux, 28% craignent effectivement de se faire voler leurs identifiants et leurs mots de passe, et 39% redoutent que les hackers ne s’emparent de leurs informations bancaires et financières depuis leurs terminaux mobiles. Toutefois, cela ne les empêchent pas de surfer sur des sites sensibles ou d’effectuer des achats susceptibles de mettre en péril la protection de leurs données personnelles et confidentielles. En effet, 10% des répondants affirment réaliser des activités bancaires lorsqu’ils sont connectés aux réseaux sans fil non sécurisés, 4% font du shopping en ligne et 2% effectuent d’autres types de transactions financières.

Le Wi-Fi permet d’accéder facilement à internet dans les lieux publics, raison pour laquelle 47% des français s’y connectent, mais aussi un moyen efficace d’économiser du forfait internet. Aujourd’hui, 8 français sur 10 utilisent chaque mois les réseaux Wi-Fi publics dont 24% plusieurs fois par semaine. Il est donc primordial qu’ils prennent conscience des menaces qui planent sur leurs informations et surtout des conséquences qu’un vol de données ou une usurpation d’identité peut avoir. Les hackers peuvent très facilement avoir de la visibilité sur les mots de passe, les emails, l’historique de navigation ou encore les données confidentielles si les utilisateurs du réseau Wi-Fi public n’utilisent pas de système de protection. Même s’ils sont peu expérimentés, les pirates informatiques peuvent facilement espionner, accéder aux informations d’un utilisateur voire les modifier rien qu’en s’infiltrant dans une borne Wi-Fi ouverte.

Pour être en mesure de protéger leurs données, les internautes et les mobinautes doivent privilégier les connexions aux réseaux Wi-Fi sécurisés moins facilement accessibles pour les hackers. Il est également nécessaire de mettre en place une solution de sécurité performante, que ce soit pour ordinateurs, smartphones et tablettes, qui permette d’identifier les connexions Wi-Fi sécurisées ainsi que d’éventuelles failles sur le réseau, et qui soit aussi en mesure de protéger les données de l’utilisateur lorsqu’il se connecte au Wi-Fi public. Les pirates informatiques sont de plus en plus expérimentés et à l’affût de la moindre faille, mieux vaut donc mettre toutes les chances de son côté pour protéger ses informations personnelles tout en continuant à profiter des avantages du Wi-Fi.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Espionnae, Facebook, Fuite de données, Identité numérique, Justice, Particuliers, Social engineering, Vie privée

Loi sur le renseignement : des hébergeurs Français inquiets

Un commentaire

Les hébergeurs AFHADS, Gandi, IDS, Ikoula, Lomaco, Online et OVH diffusent une lettre ouverte dédiée au projet de loi sur le renseignement. Les députés français doivent débattre à son sujet ce lundi 13 avril. Les hébergeurs indiquent que ce cyber espionnage de leurs clients, couteux et inutile, pourrait les contraindre à quitter l’hexagone.

Dans une lettre ouverte diffusée ce 9 avril, les sept hébergeurs indique qu’il est évident qu’il faille doter la France des moyens de renseignement nécessaires pour lutter contre le terrorisme. Il n’y a aucun débat là-dessus. « Là où le projet de loi renseignement pose problème, c’est qu’en voulant être capable de capter en permanence toutes les données personnelles des utilisateurs, notamment par le biais de « boîtes noires », le projet de loi du gouvernement est non seulement liberticide, mais également antiéconomique, et pour l’essentiel, inefficace par rapport à son objectif« .

Ce projet n’atteindra pas son objectif, mettra potentiellement chaque Français sous surveillance, et détruira ainsi un pan majeur de l’activité économique de notre pays. La lettre explique que ces boites noires, en plus d’être couteuse, concernera moins de 5 000 personnes en France. Les hébergeurs expliquent qu’en l’état, le projet de loi renseignement empêchera de réussir le renouveau économique de la France, détruisant un des rares avantages compétitifs majeurs que l’hexagone possède.

Les hébergeurs annoncent 30 % de croissance annuelle et créent des milliers d’emplois directs et indirects, tout en investissant des centaines de millions d’euros tous les ans en France.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données

Le premier Label Cloud français labellise

En 2014, France iT, le réseau national des clusters numériques, lançait le premier Label Cloud français, pensé par les TPME du Cloud pour les TPME du Cloud.

Après une phase de déploiement opérationnel, le Label Cloud concrétise ses ambitions avec la première vague de labellisation. Le premier Comité d’Attribution du Label (CATLab) s’est réuni le 30 mars 2015 dans les locaux de CINOV-IT à Paris pour attribuer ses premiers labels. Cegedim Activ et Inforsud Diffusion se sont ainsi vus décernés le Label Cloud qui récompense un haut niveau d’exigence et une expertise en matière de sécurité et d’efficience.

Un processus indépendant et expert
Le Comité d’Attribution du Label (CATLab) est l’organisme indépendant en charge de délivrer le Label Cloud. Il est composé d’entreprises ayant participé à l’étude du label, d’auditeurs indépendants et de représentants d’organisations professionnelles.

Le jury du 30 mars était composé de Stéphane Coirre (Vice-Président de Cinov-IT) et Henry-Michel Rozenblum (Délégué Général Eurocloud et Rédacteur en chef de la lettre du SaaS) représentants les organisations professionnelles, Philippe Rosé (Rédacteur en Chef de Best Practices) représentant les journalistes de la presse professionnelle et Renaud Brosse (CEO de Timspirit) représentant les experts.

Le label Cloud se décline sur 3 niveaux : initial, confirmé et expert. Une auto-évaluation gratuite est disponible en ligne. L’exigence est ainsi rendue croissante quant à l’implémentation des bonnes pratiques au sein des entreprises. Un audit est systématiquement mis en place (qui peut aller jusqu’à un audit sur site poru le niveau le plus élevé) pour toute candidature. Le CATLab est le décisionnaire final quant à l’attribution du label. L’évaluation repose sur un processus en 5 étapes qui va du téléchargement du dossier de candidature, en passant par l’auto-évaluation en ligne, la soumission du dossier, l’instruction du dossier par un auditeur indépendant , la soutenance par la société candidate devant le CATLab, qui statue sur la délivrance du Label.

Cegedim Activ et Inforsud Diffusion, les 2 premiers labellisés
Ainsi ce sont 2 entreprises qui se sont vues octroyées le label ce lundi 30 mars. Cegedim Activ, niveau 3 – expert, pour ses solutions SaaS dans le secteur de la santé (Gestion du régime Obligatoire de santé, et Gestion du régime Complémentaire en santé et prévoyance) ; Inforsud Diffusion, niveau 2 – confirmé pour son offre d’hébergement (PaaS), et de messagerie (SaaS).

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour

Traçabilité des utilisateurs, la base de la sécurité !

L’ANSSI (Agence nationale de la sécurité des systèmes d’information) et la CGPME (Confédération générale du patronat des petites et moyennes entreprises) viennent de publier un guide commun de sensibilisation aux bonnes pratiques de la sécurité informatique à destination des TPE et des PME. Face à la recrudescence des cyberattaques, les deux organisations se sont associées afin d’apporter une expertise adaptée aux réalités des petites structures qui représentent, selon Guillaume Poupard, Directeur Général de l’ANSSI, 90% des entreprises françaises.

Douze conseils illustrés par des exemples concrets sont mis en avant dans ce guide parmi lesquels le choix méticuleux des mots de passe, la mise à jour régulière des logiciels ou encore le suivi attentif des comptes utilisateurs, sans oublier les prestataires/consultants externes qui ont accès au réseau et qui représentent des failles potentielles.

La mise en place d’un guide de sensibilisation aux bonnes pratiques est une excellente initiative pour les TPE et PME qui n’ont ni les mêmes besoins, ni les mêmes moyens que les grandes entreprises pour leur stratégie de sécurisation des données. L’ANSSI et la CGPME mettent en exergue des conseils simples qui constituent la base de la sécurité ; assurer la complexité des mots de passe et la sécurisation des comptes utilisateurs et administrateurs demeurent par exemple des points essentiels dans les bonnes pratiques de sécurité.

Le mot de passe représente la base de la sécurisation de n’importe quel compte, qu’il soit personnel ou professionnel, et ce indépendamment de la taille de l’entreprise. Il permet en effet d’authentifier l’utilisateur sur le réseau. Un mot de passe trop simple de type « 123456 » ou resté trop longtemps inchangé représente une menace potentielle pour l’organisation. Une personne malveillante – hacker ou ex-employé par exemple – peut installer un malware sur le réseau et rester tapis dans l’ombre un certain temps afin de dérober des informations critiques de l’organisation au moment opportun sans être détecté. Le mot de passe complexe reste le rempart initial contre les tentatives d’intrusion et le vol de données ; il ne doit ni être utilisé sur plusieurs comptes à la fois, ni réutilisé ultérieurement. Le guide rappelle l’importance de sensibiliser les collaborateurs à ne pas conserver les mots de passe dans des fichiers ou sur des post-it laissés à la portée de tous ; bien que cela semble évident, ces bonnes pratiques ne sont toujours pas généralisées et l’erreur humaine reste une des failles principales de sécurité de nombreuses organisations.

Au-delà des mots de passe, les entreprises doivent connaître l’activité informatique de l’ensemble des utilisateurs et prestataires externes ayant des accès aux systèmes et comptes de l’entreprise. Cela inclut également les comptes administrateurs qui servent à intervenir sur le fonctionnement global de l’ordinateur, notamment la gestion des comptes utilisateurs, la modification de la politique de sécurité, l’installation ou la mise à jour des logiciels. L’utilisation de ces comptes administrateurs doit être gérée attentivement car contrairement aux comptes utilisateurs, ils ne sont pas nominatifs et peuvent être utilisés par plusieurs personnes, internes ou externes, ou machines qui interagissent entre elles, ce qui augmente la complexité de surveillance. En outre, des procédures strictes doivent être mises en place afin d’encadrer les arrivées et les départs des collaborateurs et veiller à l’application des droits d’accès aux systèmes d’information mais surtout s’assurer qu’ils sont révoqués, lors du départ de la personne afin d’éviter toute action malveillante à posteriori. En effet, si le service informatique prend du retard et met une semaine à fermer les accès dans le cloud d’anciens employés, ceux-ci pourraient être utilisés à mauvais escient. Cela équivaudrait à donner les clés de l’entreprise à n’importe qui !

Des campagnes gouvernementales régulières de sensibilisation aux bonnes pratiques de sécurité telles que celle de l’ANSSI et de la CGPME restent essentielles pour assurer la sécurité optimale des données, notamment pour rappeler aux employés les règles de base en matière de gestion des accès, les employés ignorant souvent qu’ils peuvent être l’élément déclencheur d’une faille informatique, voire d’une attaque. Pour en garantir l’efficacité, chaque organisation doit à présent garder en tête qu’elle peut être confrontée à une cyberattaque à tout moment – que la menace soit interne ou externe. (Par Olivier Mélis, Country Manager France chez CyberArk)

BYOD, Chiffrement, Cloud, Cybersécurité, Entreprise, Fuite de données, iOS, Linux, Logiciels, Microsoft, Propriété Industrielle

Nomad Vault : sauvegarder, partager et transférer

Un commentaire

Nomad Vault : Un réseau privé virtuel 100 % sécurisé accessible avec une petite clé USB.

Comment éviter de tout perdre en cas de crash du disque dur de son ordinateur portable ? Comment éviter de s’exposer à des failles de sécurité en accédant au cloud via un portail internet ? Comment être sûr qu’il n’y a aucune trace (fichier, document, logiciel….) de son travail lorsqu’on utilise son ordinateur ou sa tablette qui appartient à une entité tierce ?

Jusqu’à présent, il n’y avait aucune solution conçue spécialement pour les utilisateurs nomades. Et par conséquent, il n’y avait rien qui réponde parfaitement à leurs besoins.

Mais maintenant, il y a Nomad Vault ! Grâce à une petite clé USB très intelligente, les utilisateurs bénéficient d’une solution très performante conçue, développée et gérée en France. Le but : créer en quelques secondes son propre réseau privé virtuel 100 % sécurisé, accessible n’importe où et n’importe quand. Pour Laurent Brault, dirigeant de MDK Solutions, « Nomad Vault est une alternative innovante et sécurisée aux services de stockage/partage de données classiques. »

Comment ça marche ?
C’est très simple : il suffit d’insérer la clé USB dans votre ordinateur ou PC portable, ou de lancer l’application Nomad Vault Tablette sur votre tablette Android ou iOS…. et le tour est joué ! Après avoir saisi votre mot de passe, vous bénéficiez d’un canal crypté pour accéder à des serveurs distants.

Cette solution présente 3 avantages principaux :
1. Vous profitez d’une solution 100 % sécurisée, sans le moindre risque, pour utiliser des données, des logiciels, des fichiers stockés dans le cloud.
2. Grâce à la sauvegarde automatique, vous ne perdez rien en cas de crash de votre disque dur.
3. Vous pouvez travailler n’importe où, n’importe quand, et vous ne laissez jamais la moindre trace sur l’ordinateur (très pratique si vous devez vous connecter à partir d’un poste de travail qui n’est pas le vôtre : la confidentialité des données est garantie). Grâce à l’intelligence fonctionnelle de la clé USB, il n’est même pas nécessaire de passer par un portail internet, et donc de supporter les risques liés aux failles potentielles de sécurité en ligne. C’est la seule solution sur le marché à proposer cette innovation majeure !

Sur tablette (Apple iOS, Android)
1. L’intelligence locale de la Clé USB est remplacée par une Application Nomad Vault (gratuite pour toutes les fonctions de consultation, 3euros/an
pour avoir la possibilité de mise à jour).
2. L’authentification forte apportée par la clé est remplacée par un code à saisir transmis par un message SMS sur le téléphone mobile de l’utilisateur lors de l’identification.

Quelles sont les utilisations de Nomad Vault ?
Laurent Brault précise : « Une solution conçue spécialement pour les utilisateurs nomades, soit des millions de personnes en France. ». Dirigeants, avocats, commerciaux, consultants, courtiers, députés, formateurs…. De nombreux professionnels ont besoin de pouvoir travailler à distance, facilement et sans prendre le moindre risque. Avec Nomad Vault, ils peuvent garder leurs dossiers sous la main, même sans être connectés. Et comme chaque clé est unique et pilotable à distance, il est tout à fait possible de la personnaliser totalement pour l’adapter à des besoins spécifiques, en créant par exemple des accès spécifiques en fonction de l’utilisateur. Certains dossiers peuvent également être stockés directement sur la clé USB.

Que se passe-t-il en cas de perte/de vol de la clé USB ?
Avec MDK Solutions, il n’y a absolument rien à craindre ! Les données ne sont pas perdues pour autant : les fichiers sont synchronisés dans des serveurs cloud, situés sur le territoire français. Si votre clé est récupérée par une personne malveillante, elle ne pourra pas s’en servir : son contenu est crypté et donc inexploitable. A votre demande, MDK Solutions peut aussi blacklister la clé pour qu’elle soit inutilisable.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Sauvegarde, Vie privée

1 milliard de données personnelles identifiables divulguées en 2014

L’équipe de recherche et développement IBM X-force vient de publier son rapport trimestriel sur son analyse des menaces avancées. Ce rapport dévoile qu’au moins 1 milliard de données personnelles identifiables (PII) ont été divulguées en 2014.

Le rapport 2015, qui met également en évidence les résultats du dernier trimestre 2014, a recensé plus de 9 200 nouvelles failles de sécurité affectant plus de 2 600 fournisseurs, ce qui représente une augmentation de 9,8% par rapport à 2013 et constitue l’augmentation la plus importante en une seule année depuis que le rapport X-Force a été créé il y a 18 ans.

Selon ce rapport (qui ne prend en compte que les informations d’IBM, NDR), le nombre total de failles enregistrées en 2014 était de près de 20% plus élevé qu’en 2013 (où l’on enregistrait 800 millions de données divulguées). 74,5%, le nombre d’incidents enregistrés aux Etats-Unis, ce qui est beaucoup plus élevé que dans les autres pays. Une majorité (40,2%) des types d’attaques les plus courants n’ont pas été identifiés. Les logiciels malveillants (malwares) et les DDoS (déni de service distribué) arrivent en seconde position avec un taux de 17,2% chacun. La divulgation par l’US-CERT d’une classe de vulnérabilités affectant des milliers d’applications Android qui mettent à mal les certificats SSL représentent 15% du total pour l’année, portant peu à peu le décompte final à un nouveau sommet historique.

Les chercheurs attribuent largement ces chiffres croissants à l’augmentation de l’indifférence des développeurs en matière de sécurité. Ces derniers ont été lents à mettre en œuvre des « patches » en dépit des avertissements et de la sensibilisation accrue aux vulnérabilités. En fait, 10 des 17 (59%) applications bancaires utilisant Apache Cordova qui ont été initialement divulguées en octobre 2014 étaient encore vulnérables en janvier de cette année.

Le rapport montre également une augmentation des vulnérabilités de « conception », qui sont de plus en plus meurtrières, très reconnaissables, ayant des noms et logos accrocheurs (par exemple : Heartbleed et Shellshock) et qui devraient désormais être prises en compte dans la conception et le développement. Ces vulnérabilités ont révélé des failles facilement exploitables dans les systèmes de base et les bibliothèques sous-jacentes qui supportent presque toutes plateformes web et les systèmes de gestion de contenu habituels.

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Sécurisation des données à l’heure du cloud

La sécurisation des données est un enjeu colossal à l’heure du cloud, notamment pour les entreprises et collectivités locales. Quatre choses essentielles doivent absolument être prises en compte.

Ces choses essentielles sont la sauvegarde, la sécurité des données personnelle et professionnelle, les usages de l’informatique et de l’importance de l’information/formation.

Sauvegarde
Les entreprises et les collectivités doivent faire face à un environnement toujours plus hétérogène et l’utilisation de plus en plus fréquente de l’informatique dématérialisée en fait partie. De nombreuses entreprises gèrent donc aujourd’hui des environnements physiques, des environnements virtuels ainsi que des environnements Cloud. De nombreuses entreprises recherchent une méthode efficace pour simplifier leurs processus de sauvegarde. Il peut être intéressant de penser la préservation des données au cœur même des logiciels ou avec les services Cloud. Mesures : Possibilité de revenir à une situation antérieure, si erreur lors d’une procédure lourde telle que la préparation du budget.

« Scheduler » : messages de recommandations au cœur des logiciels lors d’opérations particulières (ex. avant de commencer le budget, « nous vous conseillons de faire un archivage »).

Sécurité des données
Un exemple : 19.000 attaques de sites web suite aux attentats de Charlie Hebdo, y compris ceux des collectivités locales. Les collectivités et les entreprises ont souvent peu conscience des enjeux liés à la sécurité des données. Mais la sécurité est un travail d’équipe et il faut que les prestataires de Cloud ou de logiciels et leurs clients travaillent main dans la main pour proposer une sécurité optimum. Ce n’est pas au fournisseur de gérer la sécurité de son client, car ce dernier en est en fait le seul maître. Le fournisseur de Cloud met à disposition des outils permettant la mise œuvre d’une politique de sécurité, mais c’est au client de les utiliser à bon escient et de prendre conscience de la dangerosité de mettre à disposition des données informatiques, y compris en interne. 60% des piratages trouvent leur source en interne.

Mesures : Mettre en place des droits d’accès aux données restreints, gérer finement les profils d’utilisateurs ; mettre en place une charte informatique pour éduquer en interne et informer sur ce qu’il est possible de faire ou non ; ne pas hésiter à prendre conseil auprès de son prestataire informatique.

Usages de l’informatique
Les risques viennent souvent d’une méconnaissance de l’informatique et du web. Il faut être vigilant et ne pas « sortir » n’importe quelles données de la collectivité ou de l’entreprise. Attention également à ne pas télécharger n’importe quoi. Bien souvent, les entreprises et les communes ne savent pas si leurs sauvegardes sont bonnes. Elles sont formées par leur prestataire, mais elles ne se soucient pas vraiment, ne vérifient pas. Il n’y a pas de test de restauration, ce qui engendre parfois de mauvaises surprises …

Mesures : Formation, « éducation », aider à faire prendre conscience. Rappeler que les données ne doivent pas être sauvegardées que sur le poste mais aussi et surtout sur le serveur.

Importance de l’information/formation
Avant de sécuriser les réseaux, il faut éduquer les utilisateurs, mais aussi les cadres sur les enjeux, risques et bonnes pratiques. Par exemple, méconnaissance de la différence entre un virus et un malware. Un virus s’installe à votre insu sur votre machine et vient corrompre un programme existant. En revanche, un malware est interprété par le système comme un programme installé par l’utilisateur : en cliquant sur une PJ, en installant un petit programme, etc. Ainsi les antivirus sont inutiles face à cette menace ! Seule la vigilance de l’utilisateur peut le protéger.

Mesures : Etre vigilant sur l’ouverture de PJ quand on ne sait pas de qui vient le courriel. Se méfier des mails étrangers. Ne pas aller sur n’importe quel site et installer n’importe quel programme et ne pas hésiter à se tourner vers son prestataire informatique en cas de question.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Sauvegarde

Pour une meilleure défense contre les attaques avancées

Kill Chain 3.0 : mettre à jour la Cyber Kill Chain pour une meilleure défense contre les attaques avancées.

Tous les responsables de la sécurité des réseaux ont déjà entendu parler de la Kill chain – une méthode de défense conçue pour combattre efficacement les cyber attaques avancées ou APT. Cette méthode comporte sept étapes pour l’attaquant, et propose un mode spécifique de défense pour chacune d’elles. Les étapes de la kill chain comprennent :

·         Reconnaissance – S’informer sur la cible en utilisant de nombreuses techniques.
·         Armement – Combiner le vecteur d’attaque avec un contenu malicieux.
·         Livraison – Transmettre le contenu malicieux avec un vecteur de communications
·         Exploitation – Profiter d’une faiblesse logicielle ou humaine pour activer le contenu malicieux
·         Installation – Installer durablement le contenu malicieux sur un ordinateur hôte individuel
·         Commande & Contrôle (C2) – Le malware appelle l’attaquant, qui en prend la contrôle
·         Actions prévues – L’attaquant vole ou fait ce qu’il avait prévu de faire.

Les professionnels de la sécurité réseau ont des opinions diverses quant à l’efficacité de la kill chain en tant que méthode de défense. Certains l’adorent, décrivant comment leurs équipes de sécurité l’utilisent, tandis que d’autres indiquent qu’il lui manque certains détails cruciaux, et qu’elle n’est adaptée qu’à certains types d’attaques. Les deux interprétations ont chacun leur part de vérité, mais il existe trois étapes simples pour rendre la kill chain encore plus efficace, appelons la Kill Chain 3.0.

Tout d’abord, il convient de modifier les étapes de la kill chain telle que décrite plus haut. Si l’on utilise la kill chain en tant qu’outil de défense, alors chacune des mailles de la chaîne doit donner lieu à une ou des actions de défense. Par exemple, l’étape Armement de la kill chain n’est pas réellement exploitable par les défenseurs. Dès lors pourquoi faire apparaître une étape qui n’a pas grand-chose à voir avec la défense ? Par ailleurs, comme beaucoup l’ont déjà fait remarquer, la kill chain actuelle se concentre avant tout sur l’intrusion initiale, et pas assez sur la façon dont les auteurs des attaques avancées exploitent leur premier point d’entrée pour se répandre dans l’ensemble du réseau de leur victime. La kill chain doit inclure une étape pour les mouvements latéraux et la modification des droits d’accès en local. De ce fait, la chaîne devrait être modifiée de la façon suivante :

·         Reconnaissance
·         Armement Livraison
·         Exploitation
·         Installation Infection
·         Commande & Contrôle

Ø  Mouvement Latéral & Pivotement

·         Objectifs/Exfiltration

Après cette simple modification, à chaque étape de la kill chain correspondent des moyens de défense adaptés. Par exemple, la détection des ports et des adresses IP et la traduction d’adresses NAT seront efficaces à l’étape Reconnaissance ; le blocage des ports firewall, l’IPS et le contrôle applicatif le seront à l’étape Livraison ; .le Patching et l’IPS le seront à l’étape Exploitation ; La segmentation du réseau le sera à l’étape Mouvement Latéral, et ainsi de suite.

Ensuite, il convient de retenir qu’il est important d’avoir des défenses pour chacune des étapes de la kill chain, et que chacune des étapes à la même importance. Un des concepts à la base de la kill chain est que plus tôt dans le cycle vous prévenez une attaque, meilleur c’est. Bien que cela soit techniquement vrai, ceci explique également pourquoi beaucoup se concentrent sur des mesures de protection lors des premières étapes de la kill chain, et consacrent moins de temps et d’efforts à protéger les étapes suivantes, même si ces défenses ont le pouvoir de contenir ou de limiter significativement les conséquences d’une intrusion réussie. En vérité, les attaques les plus sophistiquées contourneront ou éluderont souvent les défenses mises en place sur les premières étapes. Si l’entreprise ne s’est pas suffisamment concentrée sur les défenses adaptées aux étapes suivantes, telles que la détection des botnets, la prévention des pertes de données et la segmentation du réseau interne, elle n’exploite pas toutes ses chances de prévenir une attaque majeure. En bref, la bataille n’est pas perdue après une infection initiale si l’on a consacré toute son attention aux défenses lors des étapes suivantes de la Kill Chain 3.0.

Enfin, il est nécessaire de disposer d’un outil d’affichage qui permette de visualiser l’ensemble des sept étapes de la kill chain. Celle-ci est parfaite pour mettre en valeur chacune des zones où peut être stoppée une attaque sur le réseau, mais s’il n’est pas possible de contrôler le parcours d’une attaque au travers de chacune des étapes, l’entreprise se prive d’elle-même de données critiques qui pourraient l’aider à se protéger. Les outils d’affichage et d’analytiques doivent être des composants clés de la Kill Chain 3.0. Si l’entreprise ne dispose pas d’un outil de reporting capable de rassembler les logs de tous ses contrôles de sécurité, et de corréler différentes alertes en un seul et même incident, elle a de fortes chances de manquer les signes d’une attaque sophistiquée.

Pour récapituler : modifiez un peu les étapes de la kill chain, accordez la même importance à chacune des étapes – y compris les dernières, et dotez-vous d’un outil de reporting et d’affichage capable de contrôler l’ensemble du processus, et vous obtenez la Kill Chain 3.0, une méthode optimisée pour se protéger au mieux contre les attaques avancées. (Par Pierre Poggi, Country Manager France de WatchGuard)

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage

Cyber-Attaques : 95% des sites Web et eCommerce démunis

Peu sensibilisées et mal protégées, les petites et moyennes entreprises représentent des cibles de choix pour les hackeurs et fraudeurs. La plupart se feront piratées sans même le savoir. Au menu : défiguration du site, indisponibilité du site, compromission du site, vol de données client et vol d’identité, sans parler des fraudes. Le sujet vital de la cybersécurité web est étrangement peu abordé dans les débats eBusiness & eCommerce. Face à ce constat, quelles sont les options qui s’offrent aux PME ? Guides de recommandations, achats de produits et technologies, prestations ou sous-traitance spécialisées ?

Régis Rocroy, fondateur d’OZON, une startup spécialisée en Cybersécurité Web & eCommerce, nous explique que  Depuis 3 ans, nous assistons à une recrudescence des cyber-attaques & fraudes sophistiquées qui représentent des menaces persistantes pour près de 95 % des sites eCommerce. Les mesures de sécurité d’autrefois (firewall réseau et SSL/TLS) ne sont plus suffisantes.

Malheureusement, il est parfois nécessaire d’attendre l’incident pour sensibiliser (cf 25.000 sites web piratés en Janvier 2015). « Nous avons conçu la solution OZON afin de permettre aux petites et moyennes entreprises du monde entier de développer leurs activités eBusiness & eCommerce à l’abri des cyber-attaques et fraudes sophistiquées. Une sorte d’assurance tout risque numérique web. Avec une solution SaaS clé-en-main, transparente et économique, OZON lève les barrières financières et techniques d’accès à des technologies de sécurité coûteuses et complexes.« 

Une récente étude dévoile d’ailleurs que le budget moyen alloué à la sécurité de l’information a baissé de plus de 4% depuis un an. Pourtant, le risque a doublé pour les entreprises par rapport à 2013 et le nombre de cyber-attaques recensées en 2014 est en hausse de 48 % dans le monde, atteignant un nombre total de 42,8 millions, soit l’équivalent de 117 339 attaques par jour pour un coût de 2,7 millions de dollars.

Android, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Sécurité, Smartphone, Téléphonie

Sikur dévoile son Smartphone à haute sécurité

La société brésilienne Sikur a lancé le forfait GranitePhone et un système d’exploitation conçu afin d’éviter les fuites d’informations. Les premières unités de l’appareil seront disponibles sur le marché au cours du premier trimestre 2015.

Sikur a présenté lors du MWC2015 un nouveau smartphone. L’appareil a été spécifiquement conçu pour échanger des informations confidentielles et sensibles, sans affecter sa vitesse et son efficacité. Le GranitePhone, dont le lancement a eu lieu à Barcelone, est le fruit d’années de recherche dans le domaine de la défense nationale, gouvernementale et de la communication des multinationales. Il garantit la confidentialité des appels privés, messages, documents et de la messagerie instantanée. L’appareil possède toutes les caractéristiques d’un smartphone de pointe sans risque de fuite d’informations ni perte de données professionnelles.

La sécurité est un problème qui préoccupe les dirigeants et institutions gouvernementales du monde entier.  Une enquête menée par le Ponemon Institute en 2014, a montré que 60 % des sociétés interrogées ont déjà traité plusieurs cas de fuites de données au cours des deux dernières années. « Au début, nous pensons que nous allons d’abord servir les gouvernements et les entreprises. Ensuite, plus les particuliers vont se rendre compte de la valeur des informations qu’ils partagent, telles que leurs habitudes de consommation et leur localisation géographique, cela changera et un nouveau marché des consommateurs s’ouvrira à nous » prédit à DataSecurityBreach.fr Cristiano Iop Kruger, PDG de Sikur.

Le GranitePhone offre de haut niveaux de cryptage, de contrôle pour les entreprises et de gestion de l’appareil. Par exemple, en cas de perte ou de vol, vous pouvez vous connecter à distance sur le nuage de Sikur et y détruire toutes les informations contenues sur le portable.  À l’avenir, une boutique d’applications proposera des applications de sécurité exclusivement testées et homologuées par Sikur. Contrairement aux autres solutions de sécurité, le GranitePhone ne se limite pas seulement à proposer des solutions d’application encryptées. Le forfait application fait partie du matériel intégré, puisque l’appareil à à « sécurité intrinsèque » a été conçu pour protéger toutes les couches internes du dispositif, visant à combler toutes les lacunes de protection de la vie privée pouvant entraîner le vol, la divulgation ou l’espionnage de données.

Face à la demande importante des sociétés et des gouvernements pour des projets de sécurité et de protection en Amérique latine, au Moyen-Orient et aux États-Unis, le premier lot d’appareil devrait être disponible au cours du premier trimestre 2015.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Sécurité, Smartphone

Découvrir la fraude avant qu’elle ne se produise

Mobileum annonce un système d’analyse anti-fraude qui découvre les fraudes aux télécommunications avant qu’elles ne se produisent.

Cette approche prédictive basée sur l’apprentissage des machines détecte la fraude en temps réel. Mobileum, société spécialisée dans les solutions d’analyse pour la transformation des entreprises de télécommunications, a fait à DataSecurityBreach.fr du lancement du système d’analyse anti-fraude Mobileum, une solution de prévention de la fraude, prédictive, basée sur l’apprentissage des machines, qui aidera les opérateurs téléphoniques à enrayer leurs pertes de revenus grâce à une détection en temps réel.

Les fraudes dans le domaine des télécommunications continuent de constituer une sérieuse menace pour les opérateurs du secteur, érodant leurs profits et touchant leur image de marque. Avec plus de 46 milliards de dollars de pertes de revenus, le secteur des télécommunications ne le cède qu’aux banques en ce qui concerne les pertes dues aux fraudes. Pour certains opérateurs, les pertes causées par les fraudes augmentent chaque année plus vite que les revenus engrangés par leurs services. Les systèmes conventionnels de gestion de la fraude comprennent les types de fraudes connus et ils contiennent des protocoles intégrés pour détecter les modalités connues de commettre une fraude, mais ces systèmes sont dans l’incapacité de faire jeu égal avec les
fraudeurs qui innovent et évoluent constamment.

« Lorsque nous abordons le sujet de la fraude aux télécommunications, il existe des » inconnues connues « , ainsi que des « inconnues inconnues » que les systèmes de gestion de la fraude basés sur des protocoles ne peuvent déceler. Et même si ces systèmes conventionnels détectent à retardement de nouveaux types de fraude, ce temps de latence au niveau de la détection rend celle-ci inutile car les fraudeurs ont alors déjà modifié les règles du jeu. Les techniques de fraude de cette année ne sont pas les mêmes que celles de l’an dernier « , a déclaré à DataSecurityBreach.fr Sudhir Kadam, vice-président et responsable du service d’analyse à Mobileum.  » Notre solution avancée d’analyse fait passer les opérateurs de communications mobiles d’une ère de plus en plus inefficace de solutions basées sur des protocoles vers un univers de l’apprentissage prédictif des machines, sans qu’il y ait besoin de comprendre des algorithmes complexes, afin de combattre la fraude et de mettre fin aux pertes de revenus « .

La solution d’analyse anti-fraude de Mobileum fonctionne sur sa plateforme de mégadonnées et d’analyse en attente de brevet baptisée Wisdom, capable d’exploiter des milliards de transactions anodines en temps réel afin d’y découvrir des formes anormales de comportements fraudeurs en émergence. Cela aide à élargir le filet dans lequel intercepter les écarts par rapport aux types connus de fraudes et à identifier les fraudes inconnues concernant les communications vocales, de données et de texte, ainsi que les scénarios de fraude internationale et d’itinérance.

Mobileum a évoqué qu’un opérateur américain de premier plan était devenu son premier client pour l’analyse anti-fraude en décembre 2014.

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Sauvegarde, Vie privée

Sécurité des données personnelles : le palmarès des régions les plus soucieuses de la sécurité de leurs mots de passe

L’éditeur Dashlane a réalisé une étude anonyme sur 45,000 de ses utilisateurs français pour évaluer le niveau de sécurité de leurs mots de passe.

On ne compte plus les gros titres annonçant un nouveau piratage d’ampleur. Malgré cette insécurité croissante sur Internet, les internautes continuent de ne pas vraiment protéger leurs données personnelles… et pourtant, s’il y a 10 ans le mot de passe ne servait qu’à s’identifier sur un site web, maintenant il est le premier rempart pour protéger toutes ses données personnelles. Il suffit de regarder son compte Facebook pour s’apercevoir à quel point on met de plus en plus d’informations privées sur Internet.

Après avoir mené une enquête au niveau international en décembre dernier, Dashlane s’est intéressé à la France. Le spécialiste de la gestion des mots de passe pour les particuliers, a réalisé une étude anonyme sur 45 000 de ses utilisateurs français pour établir un classement des régions qui protègent le mieux leurs données personnelles sur Internet. Chaque région s’est vue attribuer un score moyen de sécurité, en fonction du niveau de sécurité des mots de passe des habitants de cette région. La note va de 0 à 100 (le maximum).

 Aucune région ne dépasse le score de 55

Principal constat, aucune région française n’obtient un score de sécurité rassurant… aucune ne dépasse le score de 55 et 3 régions n’obtiennent même pas la moyenne de 50 points : le Languedoc-Roussillon, la Provence-Alpes-Côte d’Azur et le Limousin (49.9), tous trois dans la moitié sud du pays. Mais le Nord-Pas-de-Calais ne fait pas beaucoup mieux avec 50,8. La moyenne des régions françaises se situe donc à 51,8, ce qui place 12 régions (sur un total de 22) en dessous de cette moyenne.

« On observe un noyau de bons élèves, la Franche-Comté, Rhône Alpes et Auvergne, alors que le Languedoc-Roussillon et la Provence-Alpes-Côte d’Azur ferment la marche. Ce classement illustre des différences d’état d’esprit dans la manière dont les gens envisagent leur sécurité en ligne.» indique à DataSecurityBreach.fr, Guillaume Desnoes, Responsable des marchés européens de Dashlane.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle, Sauvegarde, Social engineering

Cyber-sécurité : éviter la menace interne en surveillant les portes du royaume

Les récentes cyberattaques de grande envergure telles que le récent « cyber hold-up » via le malware Carbanak à l’encontre des établissements bancaires ou encore celle qui a permis la révélation de la fraude fiscale HSBC par son ex-informaticien Hervé Falciani, rappellent que les menaces internes sont de plus en plus présentes. Les hackers ne cessent d’affiner leurs techniques de piratage pour garder une longueur d’avance sur les mesures mises en place par les organisations. Leur atout majeur : le manque manifeste de vigilance autour des pratiques en interne de la plupart des organisations. La tâche des hackers s’en trouve donc simplifiée, puisque des techniques simples et classiques pour infiltrer les comptes à hauts pouvoirs de l’entreprise suffisent à bouleverser toute une structure.

Aujourd’hui, les pirates s’infiltrent insidieusement dans les systèmes et s’y installent aussi longtemps que nécessaire pour récolter les données qu’ils convoitent. Les techniques varient et si elles se renouvellent, les vieux schémas restent de mise. Dans le cas de HSBC par exemple, très semblable à l’affaire Snowden, la révélation des Swissleaks a été perpétrée par un ex-informaticien de la banque hongkongaise ayant eu accès aux données des clients en situation de fraude fiscale. Au-delà des clauses de confidentialité auxquelles sont soumis les employés d’une entreprise, ce cas de figure rappelle la nécessité de surveiller les accès des employés aux données de l’entreprise, et notamment à celles qui ne dépendent pas de leur champ d’intervention. Il en est de même pour tout individu extérieur à l’organisation.

De plus, une surveillance accrue de l’activité en interne peut permettre de détecter des tentatives d’intrusion en cours. En effet, l’attaquant motivé trouvera coûte que coûte un moyen de s’infiltrer dans le système et un minimum d’attention permet parfois aux employés d’identifier ces tentatives qui ne sont pas toujours discrètes. La récente cyberattaque relative au malware Carbanak confirme que les hackers développent des méthodes de plus en plus sophistiquées pour rendre leurs faux emails aussi crédibles que possibles. Dans le cas de Carbanak, les attaquants ont pu copier un ver informatique inséré dans la pièce jointe de mails personnalisés et se frayer un chemin jusqu’aux caméras de sécurité des banques visées. Ils ont ainsi pu visionner les vidéos et copier l’ensemble des démarches des employés pour accéder aux comptes des clients.

La sensibilisation des équipes internes permet d’éviter ce type de situations comme cela a été récemment le cas pour Le Monde où les employés ont détecté plusieurs tentatives d’intrusion conduites via des techniques de phishing, de mails de spams et de dénis de services ; leur mobilisation combinée à un système de sécurité efficace ont contribué à détecter les signes précurseurs d’une attaque et à stopper les hackers avant qu’il ne soit trop tard. Car une fois à l’intérieur du système, les hackers se concentrent sur le détournement et l’exploitation des comptes utilisateurs. Ils se tournent notamment vers les comptes administrateurs détenant des accès privilégiés aux données critiques, qui sont en général encore moins bien surveillés que les comptes des employés, constituant ainsi une zone d’ombre privilégiée par les hackers pour agir sur le long terme en toute discrétion. Ils peuvent ainsi se déplacer à travers le réseau, accéder aux systèmes critiques et exfiltrer les données préalablement volées.

Aujourd’hui, les employés tendent à devenir un point d’entrée incontournable pour les attaques ciblées, il est donc indispensable que les organisations tiennent compte de la menace interne et surveillent à la fois les points d’entrées sensibles, respectent les bonnes pratiques et restent en alerte face aux signaux précurseurs d’attaques. Quel que soit l’objectif final d’une cyberattaque, les chemins empruntés sont souvent les mêmes, sachant que les hackers visent la plupart du temps la voie royale que sont les comptes à privilèges pour parvenir à leurs fins. (Par Olivier Mélis, Country Manager France chez CyberArk pour DataSecurityBreach.fr)

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle

Pourquoi de bonnes résolutions ne suffisent pas à se protéger en 2015 ?

Face aux cyber-menaces, les entreprises doivent s’ouvrir à de nouvelles approches en termes de cyber-sécurité.

Le paysage des cyber-menaces est en évolution permanente. Les attaques ciblées se multiplient tandis que les modes opératoires deviennent de plus en plus complexes et uniques, rendant ces menaces extrêmement difficiles à identifier. Pour ces raisons, la cyber-sécurité est devenue, aujourd’hui, une problématique prioritaire pour la plupart des entreprises.

Dans ce contexte, il existe quelques recommandations qui permettent de limiter les risques de cyber-attaques. Il est par exemple conseillé de vérifier les antécédents des employés, de limiter l’accès des salariés aux données par lesquelles ils sont concernés dans le cadre de leurs fonctions, de s’assurer du cryptage des données confidentielles, etc. Cependant, bien qu’ils méritent d’être pris au sérieux, ces prérequis de base ne sont pas suffisants pour faire face à la réalité des menaces actuelles les plus sophistiquées.

En effet, aujourd’hui, nous ne pouvons plus considérer, uniquement, les menaces externes. Dans un contexte où l’information est de plus en plus difficile à canaliser, notamment à cause de la pluralité des lieux et des supports d’utilisation, la menace interne est plus que jamais présente, et concerne chaque organisation.

D’un point de vue technologique, une société baptisée Darktrace a connu d’importantes mutations au court des dix dernières années. Le modèle traditionnel, que nous pourrions qualifier d’ancestral, consistait à construire un mur autour du réseau de l’entreprise afin de se protéger d’éventuelles menaces provenant de l’extérieur. Cette approche nécessitait une connaissance parfaite de son réseau ainsi que la capacité à délimiter ses frontières. Aussi, elle impliquait une confiance totale en tous les collaborateurs internes à l’entreprise, et une méfiance constante envers les acteurs externes. Cette vision un peu simpliste apparaît clairement obsolète dans la société contemporaine. Ainsi, pour aider les entreprises à anticiper les cyber-attaques, Darktrace a développé une nouvelle approche. Celle-ci prend comme point d’ancrage l’acceptation de la présence de menaces, sur tous les systèmes d’information.

En effet, étant donné que le risque zéro n’existe pas, et que la réalité des entreprises nous démontre, chaque jour, qu’il est de plus en plus difficile de délimiter les frontières du réseau, il n’est pas pertinent de faire la distinction entre l’interne et l’externe. C’est pourquoi, Darktrace a développé une nouvelle approche appelée « Système Immunitaire pour Entreprises ». Basée sur des avancées académiques fondamentales, elle a pour vocation de se prémunir contre les menaces les plus sophistiquées, qu’elles émanent de l’interne ou de l’externe.

La technologie repose sur l’analyse et l’apprentissage automatisé de l’environnement de l’organisation. Concrètement, il s’agit d’observer les comportements de chaque utilisateur, de chaque machine et de la structure dans sa globalité, afin d’identifier un modèle de comportement normal. La connaissance de ce modèle de référence permet, par déduction, d’identifier les activités « anormales », pouvant révéler d’éventuelles menaces.

Cette solution repose, d’une part sur une technologie auto-apprenante et, d’autre part, sur des mathématiques probabilistes bayésiennes développées à l’université de Cambridge. La combinaison de ces intelligences permet une évolution constante du modèle « de référence », en fonction de l’activité de chaque utilisateur, de chaque machine dans le réseau, et des mutations au sein de l’organisation.

Cette vision de l’activité réseau de l’entreprise, en temps réel, ne permet pas d’éliminer les cyber-menaces, elle a pour vocation de les identifier, afin d’être à même de prendre des mesures correctives avant qu’il ne soit trop tard. Le risque zéro n’existe pas, la menace est là, partout au sein de notre réseau, et elle est impossible à éradiquer. La vraie force est la capacité à l’identifier afin d’anticiper d’éventuelles attaques.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données

Gemalto publie les résultats du Breach Level Index 2014

Un commentaire

Les violations de données ont augmenté de 49 % en 2014 et atteignent 1 milliard de fichiers de données compromis, le vol d’identité étant la cible numéro 1 des cybercriminels.

Gemalto, spécialiste de solutions dédiées à la sécurité numérique, a publié les derniers résultats du Breach Level Index montrant qu’au cours de 2014 plus de 1 500 violations de données ont entraîné la vulnérabilité d’un milliard de fichiers de données dans le monde entier. Cela représente une augmentation de 49 % des violations de données et une augmentation de 78 % de vols ou de pertes de fichiers de données par rapport à 2013.

Outil de référence incontournable du secteur, mis au point par SafeNet et conservé par Gemalto suite à son acquisition de cette entreprise, le Breach Level Index est une base de données mondiale répertoriant au fur et à mesure les violations de données et fournissant aux professionnels de la sécurité une méthode d’évaluation de la sévérité des violations et de comparaison avec les autres violations mentionnées publiquement. Le BLI calcule la sévérité des violations des données en fonction de paramètres multiples sur la base d’informations divulguées à propos des violations.

D’après les données du BLI initial mis au point par SafeNet, la principale motivation des cybercriminels en 2014 est le vol d’identité qui représente 54 % des violations de données, plus que n’importe quelle autre catégorie de violation, y compris l’accès aux données financières. En outre, le vol d’identité représente un tiers des violations de données les plus sévères catégorisées par le BLI comme étant Catastrophiques (score BLI entre 9 et 10) ou Sévères (entre 7 et 8,9). Les violations de sécurité incluant des violations de la sécurité du périmètre, au cours desquelles des données totalement encodées ont été totalement ou partiellement compromises, sont passées de 1 à 4 %.

« De toute évidence, nous assistons à une évolution de la tactique des cybercriminels et le vol des identités sur le long terme est un objectif plus important que le vol immédiat d’un numéro de carte bancaire », explique Tsion Gonen, vice-président, responsable de la stratégie de protection de l’identité et des données chez Gemalto à DataSecurityBreach.fr. « Le vol d’identité peut entraîner l’ouverture de nouveaux comptes frauduleux, la création de fausses identités pour des entreprises criminelles ainsi qu’un grand nombre d’autres crimes sérieux. Étant donné que les violations des données sont de nature plus personnelle, nous prenons graduellement conscience que l’exposition au risque d’un individu quelconque est en train de s’aggraver. »

En plus de l’émergence des vols d’identité, la gravité des violations s’est accrue l’année dernière, les deux tiers des 50 violations les plus sévères, d’après un score BLI, s’étant produits au cours de 2014. En outre, le nombre de violations de données touchant plus de 100 millions de fichiers de données a doublé par rapport à 2013.

En matière de ventilation par secteur, les secteurs de la vente au détail et des services financiers ont connu en 2014 les tendances les plus marquées par rapport aux autres secteurs. Le commerce de détail a connu une légère hausse des violations de données par rapport à l’année dernière avec 11 % de toutes les violations en 2014. Cependant, en ce qui concerne le nombre de fichiers de données compromis, ce secteur représente 55 % des attaques au lieu de 29 % l’année dernière suite à une hausse du nombre d’attaques ciblant les systèmes de point de vente. Pour le secteur des services financiers, le nombre de violations de données est resté relativement stable en glissement annuel. Toutefois le nombre moyen de fichiers perdus par violation a décuplé en passant de 112 000 à 1,1 million.

« Non seulement le nombre de violations des données augmente, mais ces violations sont plus sévères », ajoute à DataSecurityBreach.fr M. Gonen. « Faire l’objet d’une violation ne consiste plus à savoir si cela va arriver mais quand cela va arriver. La prévention des violations et le suivi des menaces ne suffisent plus pour empêcher les cybercriminels de sévir. Les entreprises ont besoin d’adopter une approche des menaces numériques centrée sur les données, en commençant par de meilleures techniques d’identification et de contrôle d’accès telles que l’authentification à facteurs multiples et l’utilisation de l’encodage ainsi que la gestion des clés pour mieux protéger les données sensibles. De cette façon, si des données sont volées, elles ne sont d’aucune utilité pour les voleurs. »

Pour une synthèse complète des violations de données, par secteur, source, type et régions, téléchargez le rapport Breach Level Index 2014.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour

Leçon de sécurité sur Internet

Un commentaire

De quoi une entreprise a-t-elle besoin pour instaurer la confiance des utilisateurs ? Réalisée fin 2014 auprès d’un panel de 1000 utilisateurs, une étude menée par GlobalSign met en évidence quelques règles à appliquer pour aider les entreprises à rassurer les internautes quant à l’utilisation d’internet

Il n’est plus possible d’ignorer qu’aujourd’hui très peu de personnes peuvent  vivre sans Internet. Accéder à ses comptes et faire du shopping en ligne, lire l’actualité ou ses e-mails, rester en contacts avec ses amis sur les réseaux sociaux, faire des recherches, etc. : la liste de ce que vous pouvez ou êtes obligés de faire sur Internet est longue. Cependant, seuls 19,4 % des Français pensent que leurs données sont suffisamment protégées sur le Web.

Les internautes vous le confirmeront, notamment quand des informations privées et hautement confidentielles sont en jeu. Ils admettent qu’ils redoutent, avant tout, l’usurpation d’identité en ligne.

D’après notre enquête, presque tous les visiteurs d’un site web vérifient son niveau de sécurité au moins une fois lorsqu’ils commandent en ligne. 85 % des personnes interrogées ont même répondu qu’elles ne poursuivraient pas leurs achats si elles n’étaient pas complètement persuadées que le site est suffisamment sécurisé.

Ces réponses montrent à quel point les précautions de sécurité sont importantes sur un site web. Cependant que recherchent vraiment les visiteurs ?

Le top 5 des signes qui instaurent la confiance CHEZ Les visiteurs d’un site web

N° 5 : avis et notes d’autres consommateurs
En cas de doute, la moitié des utilisateurs interrogés demanderaient à des connaissances, des proches, des amis ou d’autres consommateurs leur avis sur un site web, que ce soit à l’oral ou à l’écrit. Un client satisfait peut en amener beaucoup d’autres. En revanche, un client mécontent peut causer d’importants dégâts.

Conclusion : il est toujours recommandé d’obtenir des témoignages de clients satisfaits et des avis positifs sur Internet. Cependant, cela ne garantit en rien la sécurité d’un site.

N° 4 : sceaux de site et marques de confiance
Les sceaux et les marques de confiance renforcent la fiabilité d’un site web car ils prouvent que celui-ci a mérité ces symboles et a été approuvé par un partenaire externe. Cependant, les sceaux de site ont des significations différentes : ils peuvent afficher l’appartenance à un groupe selon des critères de sécurité spécifiques ou prouver le niveau de chiffrement SSL utilisé sur le site.

Conclusion : les sceaux et les marques de confiance sont de bons indicateurs qu’un site est sécurisé car ils ne sont distribués que si certains critères de sécurité sont respectés. Cependant, ces critères peuvent être très différents d’un sceau à un autre.

N° 3 : la réputation du site
Il semble que de nombreuses personnes fassent automatiquement confiance aux sites très populaires. Elles partent du principe que pour être si populaires, ces entreprises se doivent de garantir certains niveaux de sécurité. Les sites web en question sont sans aucun doute les leaders du secteur, tels qu’eBay, Amazon, Facebook, etc.

Conclusion : la plupart des sites les plus populaires intègrent des mécanismes de sécurité appropriés pour protéger leurs clients. Mais quels critères les consommateurs utilisent-ils pour estimer qu’un site est « populaire et donc fiable » ? Sans parler du fait que ceci ne garantit en rien la sécurité du site ! Il existe des solutions bien plus efficaces pour garantir aux visiteurs d’un site web que celui-ci est sécurisé.

N° 2 : HTTPS
Le protocole « HTTPS » est le meilleur indicateur qu’un site web est sécurisé. Et la bonne nouvelle, c’est qu’il a été désigné comme l’un des critères de confiance les plus importants par la majorité des personnes interrogées.

Conclusion : HTTPS est la meilleure technique à utiliser.

Mais en quoi consiste concrètement le protocole HTTPS ?
HTTPS est l’acronyme de Hypertext Transfer Protocol Secure (« protocole de transfert hypertexte sécurisé »). Il prouve que les données transmises entre un client et un serveur sont chiffrées et sécurisées. Il est nécessaire d’avoir un certificat numérique pour activer le protocole HTTPS. Il existe trois niveaux de certificats SSL : validation de domaine, validation de l’organisation et validation étendue.

N° 1 : le cadenas
Le cadenas est presque aussi important que le protocole HTTPS car il représente visuellement ce que le protocole effectue techniquement, et c’est pourquoi il constitue également un signe de confiance très important. L’utilisateur d’un site peut lire davantage d’informations sur le certificat en cliquant sur le cadenas qui se trouve dans la barre d’adresse, à côte de « HTTPS », telles que le niveau de confiance garanti, le niveau de chiffrement utilisé, le certificat racine, la période de validité et les informations de l’entreprise qui ont été vérifiées.

De plus, un certificat SSL à validation étendue (EV) active la barre d’adresse verte, ajoutant ainsi un niveau de reconnaissance visuelle supplémentaire.

Le nom de l’entreprise qui s’affiche dans la barre d’adresse indique également qu’un certificat EV SSL est utilisé et garantit que les paramètres de sécurité les plus élevés ont été appliqués. Les consommateurs font également plus confiance aux sites lorsqu’ils connaissent l’identité de leur propriétaire qui est indiqué dans le certificat.

La question cruciale est celle-ci : Internet est-il fiable tout court ?
A cette question, près de 40 % des personnes interrogées ont répondu qu’Internet était fiable si l’on sait ce que l’on cherche. Les personnes interrogées ont donc une très bonne idée de la situation actuelle. Internet est sans danger si l’on sait reconnaître les signes de sécurité.

BYOD, Cloud, Entreprise

5 tendances clés de la cybersécurité pour 2015

Cinq grandes tendances qui auront un impact majeur sur les entreprises au sein de l’économie des applications (nouveau modèle économique où les applications deviennent la « vitrine » des marques et où l’identité et les accès deviennent le nouveau périmètre des organisations).

Dans ce contexte les professionnels de la sécurité seront confrontés à une double-équation : faire face aux cyber-risques dont l’actualité s’est déjà largement fait l’écho en 2014 et répondre aux enjeux de l’économie des applications, en facilitant le déploiement de services innovants (Cloud, Mobile, Social, Big Data) via des canaux multiples (laptop, smartphone, tablette, kiosques, centres d’appels, …).

Mostafa Amokhtari, Directeur Technique de CA Technologies France, explique à datasecuritybreach.fr que : « Nous savons que la résolution de cette double équation réside à la fois dans la gestion de l’identité numérique, nouveau périmètre des organisations pour authentifier les utilisateurs ; et la gestion des accès pour adapter et personnaliser les services déployés aux utilisateurs. C’est tout l’enjeu auquel ces professionnels de la sécurité seront confrontés en 2015 ».

Prédictions pour la gestion des identités et des accès en 2015

1. Une authentification universelle à portée de main : l’authentification multi-facteurs, les cartes à puce, la signature électronique, la biométrie et les nouveaux modes de paiement électronique vont stimuler la demande de nouvelles solutions d’authentification plus simples et adaptées au contexte de l’utilisateur. Les entreprises chercheront à implémenter un système d’authentification sans mot de passe et sans contact, où les terminaux mobiles (smartphone, tablette, objets connectés, etc.) seront utilisés comme moyen d’authentification universelle.

2.  Un identifiant numérique unique : l’économie des applications et l’utilisation croissante d’applications mobiles nécessitent un mode d’accès centralisé aux identités et aux droits d’accès. Les entreprises devront établir un identifiant numérique unique qui sera utilisé pour authentifier les utilisateurs, simplifier le développement, le déploiement et l’adoption d’applications tout en favorisant l’innovation. Cet identifiant unique couvrira toutes les applications, via tous les canaux, et sera facilement accessible via des API de gestion des identités.

3. De la gestion des identités vers la sécurité d’accès aux identités : un changement d’orientation va se produire sur le marché de la gestion des identités, en raison des cyber-menaces qui ont défrayé la chronique en 2014. L’accent ne sera plus mis sur l’administration de base des identités, mais sur leur sécurité. La majorité des piratages perpétrés en 2014 était liée à l’usurpation d’identités d’utilisateurs internes exposant les entreprises au vol de données et à l’utilisation malveillante d’applications. La protection des entreprises contre l’usurpation d’identité exigera de nouveaux systèmes de protection à la fois intelligents, contextuels et vérifiables.

4. La mobilité et l’Internet des objets entraîneront l’émergence d’ « architectures orientées API » : la croissance exponentielle des applications mobiles et de l’Internet des objets entraîneront une migration vers des architectures orientées API plus légères, afin de faciliter les connexions au sein des écosystèmes numériques. Ces architectures seront mieux à même de prendre en charge le large éventail d’utilisateurs ayant besoin d’accéder à des applications et des données sur site ou dans le Cloud et via divers types de terminaux. C’est en fait l’architecture orientée API qui apportera l’agilité et la flexibilité nécessaires pour réussir dans l’économie des applications.

5. La direction aux commandes de la stratégie de sécurité interne : la direction sera de plus en plus impactée par les actions de piratage portant atteinte à l’image de marque de l’entreprise. En conséquence, elle s’impliquera davantage dans la stratégie de sécurité de l’entreprise et la gouvernance de la sécurité. La sécurité ne sera plus un « problème informatique », mais un « problème stratégique ». Les inquiétudes relatives aux attaques de type DoB (Denial of Business) se traduiront pas une surveillance accrue des instances de direction. (CA Technologies)

Argent, Arnaque, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Fuite de données, Mise à jour, Paiement en ligne, Particuliers, Propriété Industrielle

La sécurité informatique : un enjeu méconnu et sous-estimé

Un commentaire

Avec l’actualité de ce début 2015, la sécurité informatique devient un sujet dont beaucoup de monde parle. Cependant, l’immense majorité des entreprises ne connaissent pas l’étendue des risques liés à la sécurité de leur site. (Par NBS System pour DataSecurityBreach.fr)

Elles ne savent pas, à proprement parler, ce qu’implique le terme de « piratage ». Beaucoup d’entre elles s’imaginent, à tort, être à l’abri car leur site n’est pas très connu, ou qu’il ne contient pas de données sensibles…

Mais ce qu’il faut bien comprendre, c’est que la sécurité concerne tout le monde et que les attaques n’arrivent pas qu’aux autres. Si certaines sont ciblées (par exemple celle de Sony en 2014), la majorité des pirates fonctionnent par pur opportunisme.

On peut faire l’analogie suivante : l’Internet est un gigantesque parking, où chaque site est une voiture. Les personnes mal intentionnées n’ont qu’à passer parmi elles et essayer d’ouvrir les portières pour en trouver une qui ne soit pas fermée afin de la voler. Peu d’entre eux vont utiliser des outils pour cibler une voiture en particulier ; ils n’ont pas besoin de connaissances techniques pour essayer d’ouvrir des portières. Ils voleront toutes les voitures ouvertes à leur disposition, quelle que soient leur marque ou leur prix.

Les pirates informatiques fonctionnent de la même manière. Ils vont passer en revue tous les sites web en espérant trouver une faille sur l’un d’eux pour investir le site.

  • Ils n’ont pas nécessairement besoin de compétences techniques.
  • Il existe de nombreux outils informatiques (légaux ou non) leur permettant de scanner la toile et de repérer très facilement des vulnérabilités.
  • Ils visent large pour être sûrs de toucher le plus de cibles possible.

C’est également pourquoi la taille ou la renommée du site importent peu ; s’il y a une faille sur votre site, il sera piraté un jour ou l’autre.

Il est important que les entreprises se rendent compte qu’on ne peut jamais garantir la sécurité de son site à 100% et encore moins la qualité de son code. En effet, même si le code est écrit par des professionnels très doués, ces derniers sont rarement experts en sécurité et restent, malgré tout, des humains : des êtres faillibles. Il faut donc rester humble ; il n’existe pas de code parfait et tous les développeurs sont voués à faire des erreurs. Par exemple, en 1996, la fusée Ariane a explosé en vol à cause d’une erreur de programmation, autrement dit une erreur de code. C’est la preuve que même l’ESA (Agence Spatiale Européenne), dont les membres sont très compétents et parmi les meilleurs mondiaux, n’est pas infaillible. Votre développeur peut-il se targuer d’avoir le même niveau de compétences ?

Aujourd’hui sur Internet il y a des millions, voire des milliards, de failles existantes et pas encore découvertes ; c’est une certitude ! L’une, voire plusieurs d’entre elles est peut-être sur votre site, ou bien sur l’un de ceux que vous consultez régulièrement… L’enjeu est donc de prendre conscience de cette situation, et de se protéger afin d’éviter les attaques qui, nous le rappelons, peuvent toucher tous les types de sites, et ont des répercussions importantes sur l’image de l’entreprise et ses bénéfices.

  1. Le piratage, comment ça marche ?

Il peut être très facile d’accéder aux données d’un site web via une faille. Or, accéder aux données, c’est accéder au serveur sur lequel est hébergé le site, c’est-à-dire la machine contenant toutes les informations et ressources utilisées pour le fonctionnement du site. Il existe de très nombreux moyens d’y arriver ; nous allons ici détailler l’un de ces moyens, très simple, appelé l’énumération d’identifiants.

Imaginons le site web « http://www.monsiteweb.com », site web d’une compagnie d’assurance. Pour pouvoir utiliser l’interface, le visiteur doit s’identifier et créer un compte, comprenant ses informations (telles que nom, prénom, adresse, etc…). La base de données lui administrera alors un identifiant : 12345678 par exemple.

Une fois identifié, si le visiteur souhaite modifier son adresse suite à un déménagement, il se rendra sur la page des paramètres de son compte. Dans de nombreux cas, peut-être le vôtre, le site affiche dans son URL l’identifiant du client :

Imaginons maintenant que le visiteur soit un pirate. Grâce à la présence de l’identifiant dans l’URL, il trouvera sur cette page uniquement les informations le concernant ; il comprend donc que pour les autres utilisateurs, le fonctionnement est identique. S’il modifie l’identifiant dans la barre d’adresse, en remplaçant le 8 à la fin par un 9 par exemple, et que le code source du site contient une faille et ne bloque pas sa requête, il aura accès aux informations correspondant au compte n°12345679.

Mais s’il a accès à ce compte, cela signifie qu’il a potentiellement accès à tous les autres comptes et donc à la base de données du site toute entière. Rien qu’avec la barre d’adresse, il est donc possible d’accéder à un serveur et de contourner sa sécurité. Cela peut être aussi simple que cela. Un adolescent aujourd’hui peut avoir les compétences suffisantes pour mettre en œuvre cette attaque ! De nombreux tutoriels existent même sur Youtube permettant à n’importe qui d’acquérir les connaissances de base pour mettre en place des attaques simples de ce genre.

Bien qu’il existe de nombreuses autres techniques plus complexes, celle décrite ci-dessus fait partie d’un grand nombre de méthodes triviales et à la portée de tous…

Il est important de comprendre cela car une fois que le pirate a accès à la machine, il peut élever ses privilèges et obtenir autant de pouvoir que l’administrateur de celle-ci. C’est-à-dire qu’il pourra littéralement faire tout ce qu’il souhaite avec les informations et les ressources à sa disposition. Il existe plusieurs types d’attaques, chacune avec des objectifs et des impacts différents, mais aux conséquences toujours graves.

  1. Les différents types d’attaque
    • Défiguration d’un site web

C’est le type d’attaque le plus visible, même si c’est techniquement le moins dangereux. La défiguration ou défacement de site web (defacing en anglais) consiste à modifier une ou plusieurs pages d’un site, par exemple la page d’accueil, en la remplaçant par une image, du texte…

Ces attaques sont plutôt simples à réaliser et ne nécessitent pas de compétences techniques très développées. Les pirates utilisent simplement un outil scannant les sites un par un et repérant des vulnérabilités afin de les exploiter grossièrement.

En général, la page de remplacement affichée pendant l’attaque contient le nom du pirate et un message. En effet, par ces défigurations les pirates cherchent uniquement leur visibilité. Ils souhaitent faire passer un message en général politique, ou bien veulent de la reconnaissance. Plus de 20 000 sites, dans le cadre de l’opération OpFrance, se sont fait pirater de cette manière. L’opération a commencé le 18 janvier mais aujourd’hui encore, certains sites affectés sont toujours en maintenance. Si ces attaques ne sont pas dangereuses sur le long terme, elles ont un gros impact en termes d’image pour le site attaqué.
 

  • L’exploitation des ressources d’un site web

Les attaques que nous allons décrire dans ce point et les points suivants sont beaucoup plus dangereuses, notamment parce qu’elles ne sont pas facilement repérables par le site attaqué. Si vous subissez une attaque, dans 90% des cas vous en serez informé par un tiers (source : 2012 data breach investigations report, Verizon, 2012) ; ce sont soit les autorités, soit un client, partenaire ou prestataire qui aura été une victime indirecte de l’attaque subie. Cela cause en général une énorme chute de confiance en l’entreprise. C’est d’ailleurs une des raisons pour laquelle, comme montré sur la figure 1 le délai de découverte de plus de la moitié des attaques se compte en mois.

Dans le cas de l’exploitation des ressources d’un site web, tout est dans le titre. Le pirate, ayant gagné accès au serveur du site, va utiliser les ressources de la machine correspondante (processeur, mémoire, bande passante) pour son propre compte. Il pourra cependant rester dans l’anonymat et se prémunir des risques légaux, puisque c’est le site web piraté qui sera légalement responsable des actions effectuées avec ses ressources.

En l’occurrence, le pirate va souvent les revendre, pour plusieurs usages : l’envoi de SPAM, les DoS (attaque par déni de service, empêchant l’accès à un site), le déchiffrement de données et les boutiques fantôme.

  • L’envoi de SPAM

Il faut savoir que chaque machine possède une adresse IP qui lui est propre, et que l’on fait correspondre au(x) site(s) web hébergés dessus. Quand trop d’e-mails sont envoyés depuis une machine, celle-ci est « marquée » comme malveillante et les envois sont bloqués. En envoyant les courriers SPAM depuis l’adresse IP du/des sites piratés, l’envoi se fera sans blocage. Ainsi, utiliser l’IP d’une autre machine en achetant ses ressources est un moyen de contourner cela, jusqu’à ce que la/les machine(s) piratée(s) soit elle aussi considérée comme malveillante…

Si cela vous arrive, vous ne pourrez plus envoyer aucun e-mail depuis votre nom de domaine ou votre adresse IP. Votre hébergeur aura également la possibilité de clôturer votre compte.

De plus, légalement, le spamming peut être puni de 5 ans d’emprisonnement et de 300 000 euros d’amende (Article 226-18-1 du Code Pénal).

  • Les DoS

Dans le cas des DoS, l’utilisation d’une machine infectée permet l’anonymat de la personne ayant commandé une attaque DoS vers une cible tierce, ou de multiplier la puissance de l’attaque en y ajoutant les ressources d’un ou plusieurs autres ordinateurs. Ici, le but est purement lucratif. Là encore, les sanctions légales sont importantes : selon l’article 323-2 du Code Pénal, « le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de 5 ans d’emprisonnement et de 75 000 euros d’amende ».

  • Le déchiffrement de données ou mots de passe

Il est également possible d’utiliser les ressources du serveur infecté comme puissance de calcul afin de deviner des mots de passe ou déchiffrer des données, via la méthode bruteforce. Il s’agit de faire tester à une machine toutes les combinaisons possibles jusqu’à tomber sur la bonne. Plus le nombre de machines utilisées augmente, plus les ressources sont importantes, et donc plus le temps de résolution sera court. Ici, le but est majoritairement la récupération de données, pour les utiliser ou les revendre (ce type d’attaque sera traité plus tard dans l’article).

Dans les trois cas cités, le but du pirate est de prendre le contrôle d’un maximum de machines pour monnayer ces ressources.

Partie II : La sécurité informatique : un enjeu méconnu et sous-estimé.

 

backdoor, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage

État des lieux de la sécurité sur internet du 4ème trimestre 2014

Sale ambiance numérique pour le dernier trimestre de 2014. Akamai indique que le nombre d’attaques DDoS a pratiquement doublé en un an ; le trafic DDoS a diversifié ses sources à l’échelon mondial et que près de la moitié des attaques DDoS ont exploité plusieurs vecteurs.

Akamai Technologies, l’un des principaux fournisseurs de services de cloud, d’optimisation et de sécurisation de contenus en ligne et d’applications professionnelles, annonce la publication du rapport « Etat des lieux de la sécurité sur internet » du 4ème trimestre 2014 sur les attaques DDoS. Produit par le PLXsert (Prolexic Security Engineering and Research Team), aujourd’hui rattaché à Akamai, qui rassemble des experts des services et stratégies de protection contre les attaques DDoS et de sécurisation cloud, il livre une analyse trimestriel et un éclairage sur les cyber-menaces et attaques à l’échelle mondiale, y compris sur les attaques DDoS observées sur le réseau PLXrouted.

« Un nombre impressionnant d’attaques DDoS ont eu lieu au 4ème trimestre, près du double par rapport à ce que nous avions observé à la même période un an plus tôt », souligne à DataSecurityBreach.fr John Summers, vice president, Security Business Unit chez Akamai. « Le déni de service est une menace répandue qui vise de nombreuses entreprises. Le trafic d’attaques DDoS n’a pas été cantonné à un secteur donné, comme celui du divertissement qui a pu faire la une des medias en décembre. Les attaques ont, au contraire, porté sur de multiples secteurs d’activité. »

Akamai a également observé une hausse de 52 % du débit moyen des attaques DDoS en comparaison du 4ème trimestre de l’année précédente. De volumineux paquets de trafic indésirable peuvent très vite anéantir la capacité d’une entreprise à traiter les requêtes légitimes de ses clients, et ce déni de service entraîner ainsi des pannes. Or, la plupart des sites non protégés sont incapables de résister à une attaque DDoS classique. Par conséquent, les attaques DDoS font aujourd’hui partie intégrante du paysage des menaces et de la cybersécurité que toute entreprise présente sur le Net se doit d’anticiper dans une évaluation des risques.

Le phénomène DDoS-for-hire et la montée en puissance des attaques par réflexion et multi vecteurs. Les suites de booters DDoS-for-hire, ont engagé peu de moyens puisqu’elles ont mis à profit des attaques DDoS par réflexion. Près de 40 % des attaques DDoS en tous genres ont fait appel à ces techniques, qui s’appuient sur des protocoles Internet pour générer un trafic en réponse considérablement amplifié et dispensent le hacker de prendre le contrôle du serveur ou du device.

La généralisation de services DDoS-for-hire a permis à des hackers amateurs d’acheter ces services prêts à l’emploi. L’essor de ce marché a également été propice à l’utilisation de campagnes multivectorielles, l’innovation des attaques étant stimulée par la concurrence. Les attaques multivecteurs observées ont été considérablement plus nombreuses – en hausse de 88 % par rapport au quatrième trimestre 2013. Plus de 44 % des attaques de toute nature ont exploité plusieurs vecteurs.

Répartition mondiale des cibles et des sources d’attaques DDoS
Le rythme des attaques DDoS a été plus homogène au 4ème trimestre lié à un nombre croissant de cibles importantes dans des zones géographiques jusqu’alors sous-représentées. Par ailleurs, l’origine géographique du trafic malveillant s’est déplacée. Les États-Unis et la Chine ont continué à répondre de la plupart du trafic DDoS, mais à la différence du 3ème trimestre 2014 marqué par la domination du groupe BRIC (Brésil, Russie, Inde et Chine), le trafic d’attaques DDoS, au 4ème trimestre 2014, a émané, pour l’essentiel, des États-Unis, de la Chine et de l’Europe occidentale. Quelques faits et chiffres marquants :

Par rapport au 4ème trimestre 2013
– Nombre d’attaques DDoS : + 57 %
– Débit crête moyen : + 52 %
– Nombre crête moyen de paquets par seconde : – 77 %
– Attaques de couches applicatives : + 51 %
– Attaques de couches d’infrastructure : + 58 %
– Durée moyenne des attaques : + 28 %
– Nombre d’attaques multivecteurs : + 84 %
– Attaques à plus de 100 Gb/s : + 200 % (9 contre 3)

Par rapport au 3ème trimestre 2014
– Nombre d’attaques DDoS :+ 90 %
– Débit crête moyen des attaques : + 54 %
– Nombre crête moyen de paquets par seconde : – 83 %
– Attaques de couches applicatives : + 16 %
– Attaques de couches d’infrastructure : + 121 %
– Durée moyenne des attaques : + 31 %
– Nombre d’attaques multivecteurs : + 38 %
– Attaques à plus de 100 Gb/s : – 47 % (9 contre 17)

Les botnets à la loupe
Les logiciels malveillants sont souvent utilisés pour favoriser la propagation des botnets DDoS. Leurs caractéristiques – infection multiplate-forme, détection du système d’exploitation et maliciels destructifs – sont exposées dans le Rapport de sécurité. Akamai a, par ailleurs, défini le profil de plusieurs botnets d’attaques visant des applications web au moyen d’une nouvelle technique d’analyse tirant parti de données glanées sur Akamai Intelligent Platform™. Les botnets en question visaient à automatiser la découverte de vulnérabilités dans ces applications web face à des attaques par injection de commandes RFI (Remote File Inclusion) et OS (Operating System). Les experts Akamai ont établi leur profil en isolant des URL et charges utiles de code malveillant identiques entre des attaques apparemment sans lien. Une charge utile a servi à regrouper les données et à cartographier l’activité des botnets, les acteurs en lice et les applications web victimes de ces attaques. Cette technique de profilage permettra de recenser d’autres sources d’attaques.

Neutralisation des bots, scrapers et autres spiders
Si les attaques par déni de service ralentissent considérablement les performances d’un site, les robots d’indexation ont, eux aussi, une incidence, mais dans un degré moindre. Les plus mal codés peuvent même s’apparenter à du trafic DDoS. Akamai établit un classement des robots d’indexation en fonction de leur intérêt et de leur impact sur les performances des sites. Le Rapport de sécurité documente la hiérarchisation et la neutralisation de leurs effets.(Le rapport)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Sauvegarde

Comment préserver les données confidentielles de sa messagerie ?

Google a récemment révélé à trois journalistes de Wikileaks que l’entreprise avait du fournir au FBI le contenu de leurs messageries suite à un mandat de perquisition resté secret. Une opération plutôt indélicate qui aurait pu être en partie contrée.

Lorsque l’on aborde la sécurité des données, on parle souvent de protection contre les cybercriminels ou contre les employés peu scrupuleux, prêts à partager les informations confidentielles de l’entreprise. On oublie souvent l’aspect juridique. Il arrive en effet que dans le cadre d’une enquête ou d’une procédure judiciaire, la justice donne accès à tout ou partie des données d’une entreprise ou d’une personne.

C’est la mésaventure qui est récemment arrivée à trois journalistes de Wikileaks qui ont été informés par Google, que ce dernier avait été contraint de fournir le contenu de leurs messageries et potentiellement d’autres informations sur eux au FBI. Cette démarche qui reste relativement exceptionnelle faisait suite à un mandat de perquisition secret.

Sans les révélations de Google, peu de chance que les journalistes eussent été informés. Cela pose néanmoins un problème de confiance. Comment se fait-il que Google ai attendu deux ans avant d’informer les journalistes de cette requête et qu’a-t-il fait de concret pour protéger les données de ses utilisateurs ? Certains rétorqueront qu’il ne fallait pas faire confiance à Google et à sa messagerie gratuite – « si c’est gratuit vous êtes le produit ». Néanmoins, entre une utilisation marketing de certaines informations stipulées dans les conditions d’utilisation et les révélations de ces informations dans le plus grand secret, il y a quand même une différence.

Comment protéger ses données sur le web ?
Aujourd’hui les données d’une entreprise ou des personnes sont stockées en plusieurs endroits : serveurs, disques externes, services Cloud et les différents terminaux (PC, tablettes, téléphones). Difficile d’assurer la sécurité de tous les terminaux à tout moment et d’être totalement sûr de la fiabilité de la protection assurée par les services tiers susceptibles d’être utilisés. Reste alors la solution de protéger la donnée elle-même.

Le chiffrement, une solution idéale !
Comme le définit Wikipedia « Le chiffrement est un procédé de cryptographie grâce auquel on souhaite rendre la compréhension d’un document impossible à toute personne qui n’a pas la clé de (dé)chiffrement. ». Le chiffrement présente donc un réel intérêt pour les entreprises ou les particuliers qui souhaitent protéger leurs données et les rendre illisibles, même (et surtout) en cas de vol. Il faudrait en effet déployer des efforts considérables et utiliser un matériel tel qu’un supercalculateur, pour avoir une chance de déchiffrer des données chiffrées obtenues de manière frauduleuse.

Une fois chiffrées, les données, où qu’elles se trouvent, ne peuvent effectivement être lues que par les personnes ayant connaissance du mot de passe. Qu’elles soient dans le périmètre de l’entreprise, dans le cloud, sur une clé USB ou qu’elles soient échangées par mail ou tout autre moyen, les données chiffrées resteront constamment protégées. Seul le détenteur de la clé de chiffrement pourra accéder au contenu des fichiers garantissant ainsi leur totale sécurité.

Et en cas de requête judiciaire ?
Pour en revenir au sujet des journalistes de Wikileaks, le chiffrement n’aurait pas empêché la justice d’obliger Google de livrer des données privées au FBI. Toutefois, sans la clé il est quasiment certain que le FBI aurait été incapable de lire ces dernières. De plus, si la justice peut vous contraindre à fournir votre clé, au moins vous êtes informé de la démarche et en mesure de pouvoir intervenir et de faire appel à un avocat.

Sur quels critères choisir sa solution de chiffrement ?
Le choix d’une solution de chiffrement doit être effectué avec soin. Mieux vaut éviter les solutions de chiffrement non validées ou gratuites dont la fiabilité n’est pas complètement garantie. Idéalement une entreprise devra porter son choix vers une solution certifiée par des organismes reconnus tel que l’ANSSI. Ensuite, il faut que cette solution garantisse à l’entreprise ou à l’utilisateur, et uniquement à ce dernier, la totale responsabilité en ce qui concerne la gestion des clés. Le chiffrement doit se faire sur votre système avec la clé conservée en interne. Si vous décidez d’opter pour le chiffrement et que vous restez maître de vos clés, alors la sécurité de vos données sera pleinement garantie. Des solutions telles que Zed! permettent à des utilisateurs de chiffrer très facilement des données confidentielles et de les échanger en toute sécurité que ce soit par mail, par téléchargement FTP ou au travers de solutions de type Cloud. Seuls les détenteurs de la clé permettant d’accéder aux données seront en mesure de lire ces dernières. Les données confidentielles sont ainsi protégées à tout moment, où qu’elles soient. Par Xavier Dreux, Responsable Marketing Prim’X.

Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage

Cyberattaques de points de vente

Comme le montrent les titres de la presse depuis quelques mois, les pirates font preuve de plus en plus de ressources quand il s’agit de traverser les pare-feu des entreprises pour attaquer directement les terminaux des points de vente et leurs serveurs back-end. Si le service informatique ne peut les empêcher d’entrer par la porte, existe-t-il une seconde ligne de défense permettant au moins de contenir les cybervoleurs une fois que ceux-ci se trouvent à l’intérieur ?

Le modus operandi des pirates reste relativement simple dans le cas des attaques liées à la vente au détail. Ils pénètrent dans le poste fixe ou le portable d’un utilisateur par phishing ou en devinant le mot de passe. L’injection SQL, un autre vecteur d’attaque éprouvé, peut également avoir été employée lors d’une certaine occasion.

Dans tous les cas, les cybervoleurs ont contourné les vérifications de périmètre et les défenses anti-intrusion pour lesquelles les entreprises ont dépensé des centaines de millions de dollars ou d’euros. La détection antivirus traditionnelle ne peut, au mieux, que rester au fait des signatures les plus récentes. De plus, les programmes malveillants comportent maintenant des routines anti-investigation qui déjouent les stratégies de blocage de base. Mais il existe une furtivité encore plus grande dans ces attaques.

L’art de la furtivité
Après avoir examiné de nombreux incidents réels, je peux vous dire que les pirates testent les vulnérabilités d’authentification de manière réflexe dès leur entrée, au moyen de Pass the Hash, de rainbow tables, etc.

Si vous voulez des statistiques plus précises, le Rapport d’enquête sur les compromissions de données de Verizon Data Breach indique qu’environ 80 % des incidents de piratage comportent une attaque de type authentification.

La stratégie des pirates consiste à moissonner autant d’informations d’identification que possible. Le logiciel de surveillance les voit comme de simples utilisateurs lors de leur passage furtif de serveur en serveur. Leur objectif ultime est d’obtenir les informations d’identification d’un utilisateur avancé disposant de permissions élevées afin de pouvoir aboutir au serveur contenant les données les plus précieuses.

À partir de là, leur outil malveillant préféré est la ligne de commande habituelle : ils copient les fichiers vers un serveur spécial à partir duquel les informations de carte de crédit seront finalement extraites.

En quoi consiste un programme malveillant exactement ?
Cette question mène à des considérations plus vastes sur la disparition des limites entre programmes malveillants et vrais logiciels. Nombre de logiciels que les pirates chargent après leur arrivée sont souvent les mêmes que ceux utilisés par les services de sécurité informatique.

Les outils présents dans la panoplie d’un pirate peuvent comprendre PWDump (extraction de chaînes de hachage), Netview (mappage des connexions réseau), Psll (listeur de processus) et CheckSQL (force brute appliquée aux comptes SQL). Tous se trouvent dans une zone d’ombre et ne sont pas entièrement inappropriés dans le dossier d’un administrateur système. Ainsi, leur existence ne prouve pas nécessairement qu’un système a été compromis.

L’essentiel à retenir : si vous comptez sur les logiciels commerciaux de détection d’intrusion pour analyser la liste de « programmes malveillants » ci-dessus, vous finirez par lever beaucoup de faux lièvres.

Faire le premier pas
Sans surprise, il existe différentes approches pour réduire les risques. Lorsque les cyber voleurs passent les premiers murs de défense, certains voient la situation comme un autre problème de périmètre : un problème interne résolu au mieux par une meilleure architecture réseau (c.-à-d. en isolant les serveurs et les terminaux PDV de tout le reste). Mais les autres (moi y compris) pensent qu’il vaut mieux concentrer les efforts de sécurité sur les défenses se trouvant vers le haut de la pile, à savoir au niveau de l’OS. Toutefois, lors de mes propres conversations avec les pros de la sécurité d’une grande société d’antivirus, j’ai découvert qu’il existe un consensus sur quelques mesures de prévention. Outre la mise en place de politiques de mot de passe strictes, l’action suivante consiste à restreindre les connexions réseau à distance à partir des machines des utilisateurs ordinaires.

Pourquoi cela ?
Il faut empêcher les intrus de repartir depuis leur point d’entrée initial. Malheureusement, dans de nombreux environnements Windows, les services de connexion à distance au PC sont souvent largement activés et les pirates peuvent confortablement s’y connecter et même lancer l’interface utilisateur depuis la ligne de commande. Ce risque peut être réduit en limitant le nombre d’utilisateurs et d’ordinateurs capable d’effectuer des connexions via RDP (Remote Desktop Protocol). Les administrateurs peuvent le faire au moyen de l’éditeur d’objets de stratégie de groupe (GPO : Group Policy Object), en naviguant vers les Composants Windows | Hôte de session Bureau à distance | Connexions. Ils pourront également configurer la stratégie Attribution des droits utilisateur. Vous pouvez en savoir plus sur cette procédure ici. (Par Norman Girard, Vice Président et directeur général Europe de Varonis)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Sauvegarde

Conservation des données et entreprises

Nouvelle loi relative à la conservation des données : Quels sont les impacts pour les entreprises et les administrations ? Les changements qu’il va falloir intégrer avec la récente entrée en vigueur de la loi du 13 novembre 2014 visant à encadrer l’apologie d’actes terroristes, notamment sur le net. (par Olfeo)

A l’heure où le gouvernement travaille sur des mesures permettant de mieux prévenir le terrorisme notamment sur Internet suite aux attentats en France, deux textes ont déjà vu le jour depuis début 2015. Ainsi le 1er janvier 2015, une nouvelle loi en matière de conservation des données a vu le jour à
travers le décret n° 2014-1576 du 4 décembre 2014 et le 10 janvier la loi du 13 novembre 2014 est entrée en vigueur afin d’encadrer l’apologie d’actes terroristes, notamment sur le net.

Quel impact l’entrée en vigueur de ce décret pour les entreprises et les administrations en matière de conservation des logs ?
A travers le décret n° 2014-1576 du 4 décembre 2014, les données auxquelles les services de renseignement et de défense peuvent avoir accès sont des données dites de connexion, telles que, notamment :

o   l’identifiant de la connexion ;
o   les dates et heure de début et de fin de la connexion ;
o   les données relatives aux destinataires de l’utilisation

Les services relevant de la sécurité intérieure, de la défense, de l’économie et du budget, chargées notamment de rechercher des informations intéressant la sécurité nationale, la criminalité et la délinquance organisée ou la prévention du terrorisme, sont habilités à demander l’accès à ces données de connexion. Ces « personnalités qualifiées » peuvent solliciter une demande d’accès aux données de connexion, en temps différé comme en temps réel, au groupement interministériel de contrôle.

Le groupement interministériel de contrôle transmet ensuite aux opérateurs de communication électroniques, aux fournisseurs d’accès à internet, aux hébergeurs et par extension aux entreprises et administrations (loi n° 2006-64 du 23 janvier 2006, relative à la lutte contre le terrorisme – alinéa 2 de l’article L. 34-1) la demande d’accès aux données ;

Les données transmises par ces derniers sont ensuite conservées, pour une durée maximale de trois ans, par le Premier ministre et sont automatiquement effacées passé ce délai. Par conséquent, ce décret modifie la durée de conservation des données collectées par le groupement interministériel de contrôle, qui passe d’un an à trois ans, et sont conservées par le Premier ministre seul.

Toutefois il ne modifie pas l’obligation de conservation, durant un an, par les opérateurs de communications électroniques, les fournisseurs d’accès à internet et les hébergeurs, entreprises et administrations des données de connexion. Depuis le 10 janvier 2015, l’utilisation d’Internet pour faire l’apologie d’actes terroristes est devenue circonstance aggravante à travers l’article 421-2-5 du code pénal.

Cet article dispose que « le fait de provoquer directement à des actes de terrorisme ou de faire publiquement l’apologie de ces actes est puni de cinq ans d’emprisonnement et de 75.000 € d’amende », et précise que « les peines sont portées à sept ans d’emprisonnement et à 100.000 euros d’amende lorsque les faits ont été commis en utilisant un service de communication au public en ligne ». Une entreprise ou administration peut ainsi être sollicitée par le groupement interministériel de contrôle (décret n° 2014-1576 du 4 décembre 2014) pour une demande d’accès aux données de connexion, en temps différé comme en temps réel.

Pour conclure, ces deux dernières évolutions de la législation française en matière de lutte contre le terrorisme ne font que mettre l’accent sur la réelle obligation de filtrer pour les entreprises et les administrations en France. Néanmoins, d’autres évolutions sont à prévoir dans le cadre des réflexions du gouvernement pour mieux prévenir les menaces terroristes.

Cloud, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Linux, Logiciels, Mise à jour, Piratage

Faille sévère pour les systèmes Linux

Qualys publie un bulletin de sécurité pour la vulnérabilité « GHOST » découverte sur les systèmes Linux Cette vulnérabilité sévère détectée dans la bibliothèque C de GNU/Linux donne le contrôle aux attaquants sans nécessiter d’identifiants système. – Patchs disponibles dès aujourd’hui –

Qualys, Inc., le principal fournisseur de solutions de sécurité et de conformité dans le Cloud, annonce que son équipe chargée de la recherche en sécurité a découvert dans la bibliothèque C de GNU/Linux (glibc) une vulnérabilité critique qui permet aux pirates de prendre le contrôle à distance de tout un système, en se passant totalement des identifiants système. Qualys a travaillé de manière étroite et coordonnée avec les fournisseurs de distributions Linux pour proposer un patch pour toutes les distributions de systèmes Linux touchés. Ce patch est disponible dès aujourd’hui auprès des fournisseurs correspondants.

Baptisée GHOST (CVE-2015-0235) parce qu’elle peut être déclenchée par les fonctions gethostbyname et gethostbyaddr, cette vulnérabilité touche de nombreux systèmes sous Linux à partir de la version glibc-2.2 publiée le 10 novembre 2000. Les chercheurs de Qualys ont par ailleurs détecté plusieurs facteurs qui atténuent l’impact de cette vulnérabilité, parmi lesquels un correctif publié le 21 mai 2013 entre les versions glibc-2.17 et glibc-2.18. Malheureusement, ce correctif n’ayant pas été classé comme bulletin de sécurité, la plupart des distributions stables et bénéficiant d’un support à long terme ont été exposées, dont Debian 7 (« Wheezy »), Red Hat Enterprise Linux 6 & 7, CentOS 6 & 7 et Ubuntu 12.04.

Les clients Qualys peuvent détecter GHOST à l’aide de la signature QID 123191 fournie par le service Cloud Qualys Vulnerability Management (VM). Lorsqu’ils lanceront le prochain cycle de scan, ils obtiendront des rapports détaillés sur l’exposition de leur entreprise à cette vulnérabilité sévère. Ils pourront ainsi estimer son impact sur leur activité et suivre efficacement la vitesse de résolution du problème.

« GHOST expose à un risque d’exécution de code à distance qui rend l’exploitation d’une machine par un pirate terriblement enfantine. Il suffit par exemple qu’un pirate envoie un mail sur un système sous Linux pour obtenir automatiquement un accès complet à cette machine », explique à dataSecuritybreach.fr Wolfgang Kandek, Directeur technique de Qualys, Inc. « Compte tenu du nombre de systèmes basés sur glibc, nous considérons qu’il s’agit d’une vulnérabilité sévère qui doit être corrigée immédiatement. La meilleure marche à suivre pour atténuer le risque est d’appliquer un patch fourni par votre fournisseur de distributions Linux. »

Mise à jour RedHat publiée ce 27 janvier. Explication technique sur open wall.

Mise à jour : 

L’éditeur Ve-hotech vient de diffuser une mise à jour 5.1.1 de son système d’exploitation en vue de prévenir la vulnérabilité CVE-2015-0235 dans la bibliothèque libc6. libc6 étant la principale bibliothèque utilisée par l’ensemble des programmes fonctionnant sous Linux, Ve-hotech a pris des mesures immédiates pour régler le problème.

  • Si le serveur est paramétré pour se mettre automatiquement à jour, il est probablement déjà à jour. Il suffit de vérifier que le numéro de version est bien 5.1.1 dans l’interface utilisateur.
  • Si le serveur est paramétré pour être mis à jour manuellement, l’utilisateur doit effectuer la mise à jour à partir de l’onglet maintenance de l’application de configuration avancée.
  • Si la version du serveur est inférieure à la 4.0, il est fortement conseillé de mettre à niveau le serveur vers la génération 4 du micro-logiciel.
  • Les versions 1.x du micro-logiciel ne sont pas concernées.
backdoor, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Propriété Industrielle, Vie privée

007 espionne deux cables sous-marins de Vodafone

Un commentaire

L’agence britannique GCHQ aurait espionné deux câbles sous marins de Reliance Communication pour accéder aux données de millions de personnes.

L’Inde, comme des millions d’Internautes sont en colères après le GCHQ (General Communications Headquarters), les grandes oreilles britanniques, sœurs jumelles de la Nationale Security Agency de l’Oncle Sam. Dans ce qui peut être qualifié comme une autre révélation majeure des dossiers volés d’Edward Snowden, ancien analyste privé employé par la NSA, il vient d’être révélé par la presse britannique, allemande et indienne (Channel4, Süddeutsche Zeitung), que l’agence britannique « d’intelligence » a piraté deux grands câbles sous-marins de Reliance Communications. L’intimité numérique de millions d’utilisateurs aurait été compromise, sans parler de plusieurs gouvernements, dont l’Inde, l’Égypte, la péninsule arabique, la Malaisie, la Thaïlande, Hong Kong, la Chine continentale, Taïwan et le Japon.

Le piratage aurait été réalisé avec l’aide d’une société privée achetée dernièrement par le géant des télécommunication Vodafone. Ce « copain » aurait permis de pirater les câbles de Reliance Communication, ainsi que 27 autres « tuyaux » passant par le Royaume. Une action planifiée baptisée « Pfenning Alpha« , en partenariat avec la NSA américaine. Une ponction qui aurait durée de 2009 à 2011 à partir de Skewjack Farm, dans le sud de l’Angleterre.

Les câbles Reliance acheminent le trafic de données Internet entre l’Asie, l’Europe  (Flag) et le continent américain (Flag Atlantic 1).

Il y a un an, Le Monde rappelait que la France n’était pas en reste avec ce genre de « partenariat » avec la mise sur écoute d’un câble sous-marin. « Ce flux d’informations étranger-France, cette « matière première » comme la qualifie la NSA dans une note révélée par M. Snowden, fait l’objet d’une large interception par la DGSE« . Bref, la NSA a des pinces crocodiles un peu partout !

En février 2013, la NSA confirmait sa main mise sur les données transitant par le câble SEA-ME-WE 4 « Nous avons réussi à collecter les informations de gestion des systèmes du câble sous-marin SEA-ME-WE » confirmait alors la grande muette. (HindusTimes)

Banque, Cloud, Cybersécurité, Emploi, Entreprise, Mise à jour, Paiement en ligne, Patch, Propriété Industrielle

Marché de la cybersécurité du secteur financier américain: une hausse de 23%

Un commentaire

La rédaction de DataSecurityBreach.fr a reçu les résultats d’une nouvelle étude qui examine l’évolution rapide du marché de la cybersécurité dans le secteur des services financiers américains. Selon l’étude HSRC, le marché de la cybersécurité des services bancaires et financiers aux États-Unis devrait atteindre 9,5 milliards de dollars en 2015, suite à une hausse annuelle record de 23%.

Faisant suite à la flambée des cyber-attaques «réussies», les organismes financiers américains constitueront le plus important secteur non-gouvernemental du marché de la cybersécurité. Selon la nouvelle étude Banking & Financial Services Cybersecurity: U.S. Market 2015-2020, publiée par Homeland Security Research Corp. (HSRC): la multiplication et la sophistication des cyber-attaques «réussies» contre les grandes chaînes de vente au détail, les banques et les entreprises de services financiers l’année dernière (au cours de laquelle des relevés bancaires de plus de 500 millions de clients et des cartes bancaires ont été compromis) ont  incité les conseils d’administration des institutions financières américaines à l’action. Du fait de la remarquable croissance annuelle de 23%, le marché de la cybersécurité des services financiers américains atteindra 9,5 milliards de dollars en 2015 et deviendra ainsi le marché le plus important du secteur privé en matière de cybersécurité.

BYOD, Cloud, Emploi, Entreprise, Propriété Industrielle

Administration électronique : le quotidien derrière les chiffres

Quelques clics, pour gagner des heures. Tel est le résultat espéré de certaines mesures annoncées par François Hollande le 30 octobre, dans son discours sur la simplification – le Président français y a notamment évoqué la dématérialisation des demandes de passeport et des fiches de renseignements des élèves, ainsi que la création d’un site internet permettant à tout citoyen de savoir facilement à quelles aides (allocations familiales, RSI etc.) il a droit.

La démarche dans laquelle s’inscrivent ces mesures doit évidemment être saluée : en ces temps de contraintes budgétaires et d’exigences accrues des individus, moderniser l’administration permet incontestablement de « faire mieux avec moins », c’est-à-dire de générer des économies tout en simplifiant la vie des usagers. Les experts de l’ONU avaient d’ailleurs récompensé, il y a deux mois à peine, les efforts faits par la France sur le sujet: ils l’ont placée en premier rang européen dans leur dernier son rapport sur le développement de l’administration électronique. Il faut dire que plus de 50% des Français paient aujourd’hui leurs impôts en ligne, et plus de 90% passent par le web pour demander un extrait de casier judiciaire par exemple. De très bons résultats à l’échelle du continent.

Ces annonces semblent d’autant plus pertinentes que, malgré le rapport de l’ONU, les Français ont encore du mal, dans leur vie de tous les jours, à percevoir les bénéfices associés à l’émergence d’une administration numérique. Un sondage réalisé début Octobre par OpinionWay révèle en effet que près de 70% d’entre eux considèrent les formalités administratives comme une « contrainte » ou un « parcours du combattant », qu’une majorité essaie de « différer ». Il faut dire qu’ils y consacreraient 1h50 par mois en moyenne – une éternité à l’heure de l’instantané, du Big data et des objets connectés.

Dans ce contexte, n’en doutons pas, permettre aux citoyens d’effectuer des demandes administratives en ligne permettra à ces derniers de mieux apprécier l’intérêt de la politique menée. Surtout si ces demandes peuvent être effectuées « quelle que soit l’heure et l’endroit », c’est à dire sur smartphones et tablettes. Dans le sondage OpinionWay, obtenir des pièces d’état civil en utilisant les supports mobiles est en effet un des services les plus plébiscités par les Français.

Le pourront-t-elles ? Certaines initiatives laissent à penser que les pouvoirs publics ont compris l’intérêt d’exploiter au mieux le potentiel de l’internet mobile : « France Connect » – le dispositif qui doit permettre aux usagers d’avoir un seul identifiant pour tous leurs comptes publics (impôts, sécurité sociales etc.) à partir de 2015 – devrait ainsi être compatible, à terme, avec les smartphones et tablettes. Les usagers de la route devraient aussi avoir la possibilité, prochainement, de régler leurs amendes où qu’ils soient. Surtout, quelques ministères ont déjà pris les devants pour mettre l’internet mobile au service de l’amélioration du quotidien de leurs propres agents, sur le terrain. Le contrat de progrès du Ministère de l’Intérieur notamment, publié en décembre 2013, évoque ainsi, pour ces derniers, des « moyens informatiques et de communication adaptés et sécurisés améliorant leurs conditions de travail et leur confort ». Les forces de police auront-elles bientôt à disposition une application sécurisée sur tablette, qui leur permette, entre autres, d’identifier facilement et immédiatement le conducteur, ses antécédents judiciaires ou l’historique du véhicule à partir d’un simple numéro de plaque d’immatriculation ou d’une identité ? Cela permettrait de réduire drastiquement le temps de traitement d’une arrestation et son coût, d’améliorer le quotidien des agents et rendre ainsi, indirectement, un meilleur service aux citoyens. On y revient… (Par Florian Bienvenu – VP Europe du Sud et Europe centrale de Good Technology).

Banque, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Mise à jour, Patch, Piratage

Pour une approche mixte de la protection des données contre les attaques DDoS à venir

Pour de nombreuses entreprises qui veulent mettre en œuvre une stratégie de défense anti-DDoS, se pose le dilemme d’une réelle efficacité : doivent-elles déployer des appliances sur site ou s’abonner à un service cloud anti-DDoS ? Cette décision ne peut pas être prise à la légère ni sans analyser le vaste champ des nouvelles menaces DDoS.

Les plus visibles sont les attaques volumétriques par force brute qui cherchent à saturer le réseau et perturber les services et les opérations, tandis que les attaques ‘low et slow’ qui s’en prennent à la couche applicative, sont plus difficiles à détecter. Quelle que soit la taille ou la complexité de l’attaque, l’arrêt de l’activité provoqué par un DDoS entraîne d’importantes baisses d’activité et des pertes de revenus. On estime qu’un incident peut coûter plusieurs centaines de milliers d’euros. Sans parler des conséquences et du nécessaire examen des faits pour déterminer quelles infractions ont eu lieu et comment gérer les dommages survenus auprès des clients.

Solution cloud anti-DDoS
Les attaques volumétriques massives se produisent quand l’agresseur sature la  bande passante du réseau en envoyant énormément de trafic. Les attaques par saturation sont largement médiatisées et le plus souvent associées à un DDoS,  car elles sont le plus évident et le plus manifeste exemple de ces vecteurs d’attaque de plus en plus subtils. Avec un service cloud de défense à la demande contre les DDoS qui se trouve hors site, l’intervention humaine joue un rôle-clé. Lorsqu’une attaque est détectée, le Responsable de la Sécurité doit prendre la décision d’activer la bascule vers le fournisseur Cloud de service anti-DDoS. Le temps moyen entre la détection et la mitigation d’une attaque est variable et peut atteindre une heure. Or, la majorité des attaques volumétriques consommant une grande quantité de bande passante ne dure pas plus d’une demi-heure : le temps que la défense à la demande se mette en place, l’attaque est terminée et le mal est fait.

De plus, avec une solution Cloud anti-DDoS hors site, la visibilité de l’attaque et l’analyse correspondante commencent seulement après que le trafic ait été re-routé vers le service de nettoyage, ce qui fournit très peu d’informations sur l’événement de sécurité. Certaines entreprises qui subissent des attaques volumétriques* à grande échelle, souscrivent à un service cloud anti-DDoS continu. Cette solution apporte évidemment plus de sécurité, mais elle génère des coûts très importants.

Défense sur site en temps réel
Les solutions de défense DDoS sur site, conçues à cet effet, sont des produits de sécurité des réseaux basés sur des appliances déployées entre Internet et le réseau de l’entreprise. Cette approche crée une première ligne de défense qui empêche les pannes de réseau et de service provoquées par les attaques DDoS. Comment ? En inspectant la fréquence du trafic de la ligne et en bloquant les attaques en temps réel, tout en laissant circuler les « bons » flux, sans les interrompre. La défense sur site a comme avantage de procurer une visibilité complète et sophistiquée, tout en fournissant les renseignements de sécurité sur l’attaque DDoS (et toutes les autres cyber-menaces) qui ciblent les services exposés à Internet.

Une fois connue la nature du déploiement, l’exécution de la politique de mitigation contre le trafic dû aux attaques doit être réalisée sans faux-positifs, avec un niveau de débit performant et une efficacité maximale en termes de sécurité. La technologie sur site est conçue pour gérer les attaques volumétriques du réseau par DDoS, de type SYN Flood, les attaques par réflexion et usurpation amplifiées** frauduleuses, utilisant par exemple les protocoles DNS et NTP ou les attaques de la couche applicative qui sont presque impossibles à détecter avec les solutions hors site de mitigation des attaques DDoS.

L’ approche mixte est sans doute la solution
Comme l’a mentionné récemment le SANS Institute, « des solutions anti-DDoS composées d’équipements sur site, d’équipements des fournisseurs d’accès à Internet et/ou d’architectures de mitigation sont près de quatre fois plus efficaces que les solutions sur site seules ou les solutions de services seuls. La sophistication croissante des attaques DDoS et le caractère sensible de la perturbation des services marchands exigent à la fois une protection locale et une protection en amont, travaillant en totale synchronisation « . L’expérience des entreprises qui ont mis en place avec leur fournisseur de service à la demande un système assis sur la visibilité des attaques apportée par les solutions sur site montrent toute la pertinence de cette analyse
Autre avantage d’une telle approche : le dispositif local réduit considérablement la fréquence de passage à la mitigation cloud, ce qui allège les coûts associés à ces basculements et fournit toujours une protection contre toutes les formes d’attaques par DDoS.

Cette nouvelle stratégie de lutte contre les DDoS fournit aux entreprises le meilleur des deux mondes, en combinant la résilience et la dimension des solutions du cloud computing avec la protection en temps réel, la visibilité sophistiquée et l’inspection granulaire du trafic des solutions sur site. Ce type d’approche constitue une véritable ligne de défense avancée contre la panoplie des menaces DDoS qui évoluent en permanence. (Par Adrian Bisaz, Vice President Sales EMEA de Corero Network Security))

*Les attaques à volume important représentent moins que 20% des attaques par déni de service. La plupart sont inférieures à la bande passante de l’accès.
**En quoi consiste une attaque par réflexion ? C’est une attaque où le pirate ment sur son adresse IP. Il envoie des paquets avec une adresse IP source qui n’est pas la sienne. Les réponses à ces paquets mensongers sont envoyées à l’adresse IP source indiquée, c’est-à-dire celle de la victime. Le trafic reçu par la victime peut être énorme en raison de l’amplification. Les attaques par déni de service par réflexion utilisent un protocole comme DNS ou NTP.

BYOD, Cloud, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Piratage

Cyber sécurité et protection des données personnelles : en avant marche !

2 commentaires

Deux jambes qui se doivent d’être coordonnées. Telles sont, d’un côté, la « cyber sécurité », et de l’autre la « protection des données personnelles ». Car si la liste des entreprises victimes de cyberattaques continue de s’allonger – Ebay, Orange et Domino’s Pizza ne sont qu’un échantillon des cibles atteintes en 2014 – il est évident que les moyens de lutte à privilégier doivent être aussi efficaces que respectueux, dans leur mise en œuvre, des règles en matière de protection des informations privées. Délicat équilibre.

Les autorités européennes ont déjà fait d’importants progrès en matière de cybercriminalité. Une  directive relative aux attaques contre les systèmes d’information a ainsi été adoptée en 2013, alors que des textes sur la protection du secret d’affaire, ainsi que sur l’identification électronique et les services de confiance pour les transactions électroniques ont été proposés au Parlement européen. Dernier en date : la directive sur la protection des systèmes d’information (NIS) – que la loi de programmation militaire française avait largement anticipée – a été adoptée en mars 2014. Les « opérateurs d’importance vitale » (IOV) se voient notamment imposer quelques obligations en matière de prévention et de notification des « incidents ».

Les solutions qui permettent de répondre de la manière la plus efficace possible à ces nouvelles obligations existent aussi. Certaines permettent ainsi de valider en quelques heures seulement la véracité d’un incident, d’identifier son origine, le chemin emprunté, l’agresseur et d’évaluer son impact… sachant qu’aujourd’hui le délai moyen actuel de découverte et d’identification d’une attaque se compte plutôt en semaines ou en mois ! Enfin, Bruxelles avance aussi sur la question des données personnelles – les discussions sur la directive dédiée devraient ainsi aboutir en 2015.

Reste que la coordination entre les deux jambes pourrait être améliorée. Le fait par exemple qu’il faille encourager le chiffrage des données pour sécuriser les informations personnelles, comme le recommande l’Agence Européenne de Cybersécurité ENISA, est incontestable. Mais les flux chiffrés sont aussi des voies d’accès privilégiées… pour les pirates. Quelles sont alors les conditions que les entreprises et organisations doivent respecter pour utiliser des outils de déchiffrage tout en respectant les impératifs en matière de protection des données personnelles ? A ce jour, aucun texte public – loi, règlement ou simple communication des autorités – ne répond clairement à la question. Rien non plus sur les règles internes à mettre en place pour utiliser des solutions d’enregistrement des données – qui permettent de « rembobiner le film » en cas d’attaque et donc d’identifier rapidement l’agresseur- tout en respectant les impératifs de protection des informations des individus. Résultat : certaines entreprises et organisations hésitent à se protéger…

Clarifier les conditions de mise en œuvre des solutions efficaces en matière de cybersécurité. Telle pourrait être une des priorités des nouvelles instances européennes. Pour faire de plus grands pas.(Par Dominique Loiselet, Directeur Général France Blue Coat)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, escroquerie, Espionnae, Fuite de données, Identité numérique, Leak, Particuliers, Piratage, Propriété Industrielle, Social engineering, Vie privée

Le paradoxe de la sécurité

Les salariés adoptent des pratiques à risques, alors qu’ils s’estiment sensibilisés sur la sécurisation des données.

Près de 3/4 des actifs interrogés se considèrent bien sensibilisés à la protection des données professionnelles, pourtant une majorité d’entre eux ont toujours des pratiques risquées. Les techniques de protection sophistiquées (changement de mot de passe régulier, système de cryptage des données) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble de ces appareils fournis par leur entreprise. Le partage de fichiers en ligne via un service de cloud n’est pas jugé dangereux par la majorité des répondants (54%). Bien que les mots de passe soient imposés dans la majorité des entreprises (9/10), on observe de grandes disparités quant à leur élaboration et leur mise à jour, 63% laissent leur ordinateur allumé lorsqu’ils quittent le bureau en fin de journée ou ne le verrouillent pas en quittant leur poste.

De nombreuses études confirment l’influence des appareils mobiles sur le rétrécissement des frontières entre les sphères professionnelles et personnelles. Mais qu’en est-il de leur impact sur la sécurité des données des entreprises ? Les salariés sont-ils suffisamment sensibilisés sur les risques inhérents à ces nouveaux usages et mettent-ils en pratique les règles de sécurité ? Hiscox, en collaboration avec l’institut IFOP, s’est penché sur le sujet et les résultats de cette étude illustrent un important décalage entre le sentiment de connaître les consignes de sécurité et des pratiques à risques largement répandues dans les entreprises.

Des pratiques jugées sans risque par les salariés, mais qui exposent la sécurité de l’entreprise
72% des actifs interrogés se considèrent bien sensibilisés quant à la nécessité de protéger les données professionnelles. Ces actifs sont pourtant les mêmes à adopter des pratiques qui peuvent s’avérer dangereuses pour les données de l’entreprise. Les salariés équipés d’au moins un appareil mobile professionnel sont les plus concernés par ces pratiques risquées puisqu’ils sont 77% à déclarer transporter des fichiers professionnels sur une clé USB ou un disque dur externe (contre 63% pour l’ensemble du panel) et la moitié (53%) partage des fichiers en ligne via un service de cloud (contre 39% pour l’ensemble du panel).

Ces usages ne sont pourtant pas jugés risqués par les répondants : en effet, 54% estiment que le partage de fichiers via le cloud n’a pas d’incidence sur la sécurité et 57% ne voient aucun danger à transporter des données professionnelles sur une clé USB. De même, 63% des actifs laissent leur ordinateur allumé lorsqu’ils quittent le bureau ou ne le verrouillent pas en quittant leur poste. Moins de la moitié seulement perçoit cette pratique comme potentiellement imprudente.

Les petites entreprises plus vulnérables… Et friandes de solutions mobiles
Les salariés des petites entreprises (0 à 49 employés) font partie des publics qui identifient le moins ces pratiques comme pouvant mettre en péril la sécurité des données des entreprises. Des attitudes pourtant risquées quand on sait que les travailleurs « mobiles » et les salariés des très petites entreprises (moins de 10 salariés) sont également ceux disposant de la plus grande latitude en termes d’achats et d’opérations bancaires impliquant l’entreprise. 65% des employés travaillant dans des structures de moins de 10 salariés sont en effet amenés à effectuer des achats en ligne à titre professionnel contre 46% pour l’ensemble des actifs interrogés.

L’utilisation des appareils professionnels dans la sphère personnelle est un autre vecteur de menace pour la sécurité des données des entreprises. Les salariés des petites structures (moins de 10 employés) sont les mieux équipés en appareils mobiles. Ils font aussi partie de ceux  qui utilisent le plus leur matériel professionnel à titre personnel. 82% des salariés de ces entreprises se connectent à Internet au moins une fois par semaine pour des raisons personnelles à partir de leur appareil professionnel (contre 72% de l’ensemble des actifs).

Des usages qui pèsent d’autant plus sur la sécurité de ces entreprises qu’elles ne disposent pas de services informatiques ou de services généraux pour assurer le contrôle et la gestion des appareils mobiles.

Des disparités dans la mise en place des techniques de sécurisation
Pour se prémunir des risques auxquels elles sont exposées et assurer la protection de leurs ordinateurs fixes, 9 entreprises sur 10 s’appuient sur la mise en place d’un mot de passe. Cependant, la fréquence de mise à jour exigée n’est pas la même partout. Seuls 18% des actifs doivent changer leur mot de passe tous les mois quand 34% déclarent devoir le changer moins de 2 fois par an. Une disparité également observée dans son élaboration : 62% des entreprises imposent un nombre minimum de caractères, 56% demandent à leurs salariés de choisir un mot de passe incluant des chiffres et des caractères spéciaux et 57% interdisent de réutiliser un ancien mot de passe. De manière globale, 70% des entreprises imposent au moins une règle à leurs salariés pour le choix du mot de passe mais cette proportion chute à 51% dans les structures de moins de 10 salariés.

Parmi les autres techniques, 35% des actifs interrogés déclarent disposer d’outils de cryptage des données mais 22% ne savent pas s’ils peuvent bénéficier de cette technique dans leur entreprise. De même, si les accès au réseau sont contrôlés dans 61% des entreprises, 16% des actifs ne connaissent pas la politique utilisée par leur entreprise dans ce domaine.

Sur les appareils mobiles, le mot de passe est également le mode de protection le plus répandu. Il concerne en effet 81% des actifs disposant d’appareils mobiles. Les techniques plus sophistiquées (changement de mot de passe tous les 3 mois, système de contrôle d’accès renforcé de type Token, données cryptées non accessibles) ne concernent qu’une moitié des actifs interrogés équipés d’un appareil mobile et seulement 30% disposent de ce type de protection sur l’ensemble des appareils que leur fournit leur entreprise.

Au delà de revoir leur méthode de sensibilisation des salariés aux risques informatiques, les entreprises doivent également faire évoluer leurs dispositifs techniques de sécurité pour les adapter aux nouveaux usages.

« L’explosion des appareils et solutions mobiles dans les entreprises soulève plus que jamais des problématiques de sécurité importantes. La mesure préventive la moins onéreuse consiste à sensibiliser le personnel à l’importance de la sécurité des données. Les connaissances en la matière sont souvent limitées, surtout dans les petites entreprises, et le recours à un expert pour en expliquer les bases peut représenter l’un des meilleurs investissements d’une entreprise » conseille François Brisson, Responsable marché Technologie-Média-Télécom chez Hiscox. « Néanmoins en cas de problème, les sociétés doivent disposer d’un plan de réaction rapide afin de limiter les dommages et de prouver qu’elles prennent toutes les mesures nécessaires. Dans ce cadre, elles sontparfois amenées à faire appel à des spécialistes en gestion de crise, voire à des conseillers en relations publiques. Notre assurance Data Risks permet de couvrir ces coûts et de réduire les conséquences d’une violation de données ».