Kévin FALCOZ, alias 0pc0deFR, chercheur français en sécurité informatique propose un outil fort intéressant permettant de tester la sécurité des plugins WordPress que DataSecuritybreach.fr vous conseille fortement. L’outil disponible sous le repository Bulk Tools permet actuellement de chercher des vulnérabilités de type SQL ou CSRF. Un outil d’audit ingénieux. « Je travaille dessus, souligne à la rédaction de Data Security Breach 0pc0deFR. Je vais le rendre encore plus puissant dans le but de détecter plus de vulnérabilités ». Bref, un excellent projet qui mérite d’être suivi et encouragé. A noter quelques règles Yara, pour les amateurs d’analyses de malwares.
Archives par mot-clé : sécurité
Trois français sur 10 ont perdu des données stockées dans le cloud en 2012
Aujourd’hui, de nombreuses entreprises migrent vers des plates-formes de cloud computing pour bénéficier des avantages concurrentiels inhérents aux gains qui en découlent en matière de vitesse, d’agilité et de flexibilité. Selon l’enquête Avoiding the Hidden Costs of the Cloud – 2013 publiée en janvier 2013 par Symantec, Datasecuritybreach.fr vous en parlait à l’époque, 86 % des entreprises françaises en sont au moins à discuter de cloud computing, 79 % pour les PME.
Une mauvaise utilisation du cloud computing peut en revanche se révéler désastreuse pour les entreprises qui peuvent voir leurs coûts augmenter ou observer des pertes d’informations ou de données. En France, 33 % des entreprises ont perdu des données stockées dans des clouds et 70 % ont été confrontées à des échecs de restauration. C’est du moins ce qu’indique ce rapport. 70 % des entreprises françaises ont expérimenté des déploiements non-autorisés et non-gérés d’applications de cloud computing ; parmi elles, 40 % ont été confrontées à des problèmes de divulgation d’informations confidentielles et plus d’un quart à des problèmes de prise de contrôle de comptes, de dégradation de ressources Web ou de vols de produits ou de services.
Watch dogs : Ubi Soft attaqué par de vrais pirates
Des pirates informatiques ont mis la main, voilà quelques semaines, sur une faille de type injection SQL qui leur aurait permis de consulter la base de données de comptes d’utilisateurs de l’éditeur de jeu. Ubisoft recommande à ses utilisateurs de changer leur mot de passe par sécurité.
Le créateur de « Assassin’s » ou encore du très attendu Watch dogs affirme que la sécurité d’un de ses sites internet (Uplay) avait été compromise. Un audit a permis de démonter que des données de la base de données avaient été consultées. Data Security Breach ne sait pas si les informations (noms d’utilisateurs, adresses courriel et mots de passe [MD5]) ont été copiées et diffusées par le pirate.
Voici le courriel envoyé par UBI Soft. « Cher Membre, Nous avons récemment découvert que la sécurité d’un de nos sites Internet avait été compromise, permettant d’accéder à certains de nos systèmes en ligne sans autorisation. Nous avons immédiatement pris les mesures nécessaires pour supprimer cet accès, enquêter sur cet incident et restaurer la sécurité des systèmes touchés. Pendant cette procédure, nous avons appris que des données avaient été illégalement consultées depuis notre base de données de comptes. Ces données incluent des noms d’utilisateurs, des adresses e-mail ainsi que des mots de passe cryptés. Sachez qu’aucune information de paiement n’est stockée chez Ubisoft : vos informations bancaires ne sont donc pas concernées par cette intrusion. En conséquence, nous vous recommandons de changer le mot de passe de votre compte : datasecuritybreach.fr. Par mesure de précaution, nous vous recommandons aussi de changer vos mots de passe sur les autres sites Internet ou services où vous utilisez un mot de passe identique ou proche. Veuillez accepter nos sincères excuses pour cet incident. Soyez assurés que votre sécurité reste notre priorité. »
48% des entreprises n’utilisent pas d’outils de gestion centralisée de leur sécurité informatique
DataSecurityBreach.fr a appris que 48% des entreprises n’utilisent pas d’outils de gestion centralisée de leur sécurité informatique. Bien que ces outils facilitent grandement la gestion des paramètres de sécurité informatique, près de la moitié des entreprises interrogées n’y ont pas recours selon une enquête européenne réalisée par Kaspersky Lab en collaboration avec B2B International en novembre 2012.
Les entreprises en général – et particulièrement les plus petites organisations – trouvent souvent que le déploiement et le contrôle des postes de travail et la protection des appareils mobiles n’est pas une tâche aisée. Des outils de gestion centralisés ont été mis en place pour faire face à cette problématique, cependant à peine la moitié des entreprises sont conscientes de leur potentiel. Selon les résultats de l’enquête, seulement 52% des entreprises dans le monde utilisent des solutions permettant une gestion centralisée de leur infrastructure informatique.
Une entreprise qui souhaite mettre en place une sécurité minimale doit configurer un large éventail d’outils de sécurité spécifiques à l’infrastructure informatique d’une entreprise, tels que les postes de travail et les appareils mobiles. En outre, chacune de ces interfaces doit être configurée pour répondre aux besoins spécifiques de l’entreprise, notamment aux politiques de sécurité interne. Les outils de gestion centralisés peuvent avoir un rôle prépondérant pour aider à réaliser cela. Mais, selon B2B International, ces outils sont utilisés par seulement la moitié des entreprises interrogées dans le monde entier. Alors que seulement 30% des entreprises ont pleinement mis en œuvre des outils de gestion clients, 29% des personnes interrogées se limitent à l’installation partielle d’une console de gestion centralisée.
Or, ces solutions augmentent le niveau de sécurité de l’infrastructure, tout en réduisant considérablement la charge de travail informatique de l’entreprise, en éliminant la nécessité de configuration de la protection informatique et de surveillance l’état de chaque poste de travail individuellement.
Big Data
Le Big data, c’est aussi une question de sécurité ! Christophe Auberger, Responsable Technique chez Fortinet pour DataSecurityBreach.fr
Sécuriser le Big Data dans les Entreprises Nécessite la Mise en Application de Politiques Intelligentes ainsi que des Outils Analytiques Complets et Performants. Aborder la question de sécurité lorsque l’on parle de Big Data suscite souvent deux courants de pensées divergents de la part des professionnels de l’IT – le refus catégorique que le Big Data devrait être traité différemment de l’infrastructure réseau existante, et une réponse inverse se tournant vers une sur-ingénierie de la solution à adopter compte tenu de la valeur actuelle (ou perçue) des données impliquées.
Le Big Data, selon la définition de Gartner, représente des données informatives de gros volumes, d’une vélocité élevée et/ou d’une grande variété qui nécessitent de nouvelles formes de traitement pour permettre une meilleure prise de décision, conception d’idées et optimisation des processus. Le Big Data augmente les défis de sécurité dans les réseaux de données existants.
Voici les quatre aspects du Big Data, définis par IDC, qui suscitent des défis mais aussi des opportunités:
· Le Volume: Le volume des données est passé de téraoctets à zettaoctets (1 zettaoctet représente 1021 octets ou 1 000 000 000 téraoctets) et au-delà
· La Vélocité: La vitesse des données (entrée et sortie) passant d’ensembles de données statiques, créées une seule fois, à des flux de données en continu
· La Diversité: La gamme de types et sources de données – structurées, non/semi-structurées ou brutes
· La Valeur: L’importance des données dans leur contexte
Alors que le Big Data présente de nouveaux défis de sécurité, le point initial pour les résoudre est le même que pour toute autre stratégie de protection de données: celui qui consiste à déterminer les niveaux de confidentialité des données, à identifier et classifier les données les plus sensibles, à décider où les données critiques devraient être localisées, et à établir des modèles d’accès sécurisés tant pour les données que pour les analyses.
Planifier autour du cycle de vie du Big Data Protéger correctement le Big Data exige la définition de besoins spécifiques de sécurité autour du cycle de vie du Big Data. Généralement, cela commence par la sécurisation de la collecte des données suivi par celle de l’accès aux données. Comme la plupart des politiques de sécurité, une bonne évaluation des menaces du Big Data de l’organisation doit se faire en continu et viser à garantir l’intégrité des données stockées et sous analyse.
La performance est un élément clé lorsqu’on sécurise les données collectées et les réseaux. Les pare-feux et autres dispositifs de sécurité réseau, tels que ceux pour l’encryption, doivent être ultra performants pour pouvoir supporter de plus en plus de débit, de connexions et d’applications. Dans un environnement Big Data, la création et la mise en application des politiques de sécurité sont essentielles du fait de l’importance du volume de données et du nombre de personnes qui auront besoin d’y accéder.
La quantité de données accroit également la nécessité de prévenir les fuites de données. Les technologies de Prévention des Pertes de Données devraient être utilisées pour s’assurer que l’information n’est pas divulguée à des tiers non autorisés. Les systèmes d’intégrité des données et de détection d’intrusions internes doivent être utilisés pour détecter les attaques ciblées avancées qui contournent les mécanismes de protection traditionnels, par exemple, la détection d’anomalies dans les couches d’agrégation et de collectes. Tous les paquets de données, tous les flux de données, toutes les sessions et transactions devraient être inspectés de près.
Parce que le Big Data couvre des informations qui se trouvent dans une zone étendue provenant de sources multiples, les organisations doivent aussi pouvoir protéger les données là où elles se trouvent. A cet égard, les systèmes de sécurité virtualisés fournissant une gamme complète de fonctionnalités de sécurité doivent être positionnées aux endroits stratégiques des architectures cloud hybrides, privées et publiques, fréquemment trouvées dans les environnements Big Data. Les ressources doivent être connectées de manière sécurisées et les données transportées depuis les sources de stockage du Big Data doivent également être sécurisées, typiquement via un tunnel IPSec.
Le Big Data, oui, mais avec les Bons Outils ! Alors que le Big Data présente des défis, il offre également des opportunités. Avec les bons outils, d’importantes quantités d’informations pourront être analysées, ce qui permettra à une organisation de comprendre et de comparer les activités dites normales. Si cette organisation peut alors surveiller les utilisateurs qui s’écartent de cette norme, cela permettra de devancer de manière proactive les potentielles fuites de données et systèmes.
Cet effort doit être soutenu par un personnel IT compétent et le déploiement efficace d’outils de sécurité appropriés. Ces outils sont des appliances dédiées de collecte de logs, d’analyse et de reporting qui peuvent en toute sécurité rassembler les données provenant des dispositifs de sécurité et autres systèmes compatibles syslog. Ces appliances vont également analyser, rapporter et archiver les événements de sécurité, le trafic réseau, le contenu Web, et les données de messagerie. Ceci permet de facilement mesurer le respect des politiques et de produire des rapports personnalisés.
La difficulté à saisir, gérer et traiter les informations rapidement dans les environnements Big Data va continuer à rendre la sécurité un élément de second plan pour de nombreuses entreprises. Alors que la bande passante et le stockage continuent de croitre, la mobilité de ces gros ensembles de données augmente également, provoquant des brèches et la divulgation d’ensembles de données sensibles. Les menaces viendront probablement d’intrus manipulant le Big Data de manière à ce que les outils de business analytics et de business intelligence génèrent des résultats erronés et conduisent à des décisions de gestion qui pourraient être profitables aux intrus.
Même de petits changements dans le Big Data peuvent avoir un impact important sur les résultats. Les organisations ne doivent donc pas ignorer la nécessité de protéger les actifs du Big Data – pour des raisons de sécurité, de business intelligence ou autre. Elles doivent répondre aux principaux besoins du Big Data en termes d’authentification, d’autorisation, de contrôle d’accès basé sur les rôles, d’audit, de contrôle, de sauvegarde et de récupération. A plus long terme, l’analytique du Big Data impliquant l’évaluation et la surveillance comportementale deviendra également de plus en plus capitale pour répondre à la nouvelle génération de défis de sécurité IT.
BOX STORY 1: le SIEM, un Problème pour le Big Data Pour améliorer leur sécurité, certaines organisations ont des solutions SIEM (Security Information and Event Management ou de Gestion des événements et informations de sécurité) pour les aider à collecter et analyser les alertes de sécurité et les systèmes de logging. Cela peut, par inadvertance, toutefois, créer un problème pour le Big Data – dans le cas où chaque log et alerte sont collectés.
Pour éviter ce problème, les organisations devraient arrêter de considérer la sécurité comme un système purement défensif et plutôt penser à ajouter une couche d’abstraction au-dessus de toutes les données pertinentes de l’entreprise. Elles doivent se demander quelles sont les données pertinentes dans un contexte de sécurité. Evidemment, les logs au niveau du réseau (c’est-à-dire le pare-feu, IPS, etc.) et les logs d’accès utilisateurs restent nécessaires. Cependant, les logs de sécurité des terminaux, les logs liés au proxy et même les données d’inspection approfondie des paquets risquent de ne plus être pertinents.
BOX STORY 2
– Exemples de Big Data
· Logs Web
· Données RFID
· Réseaux de capteurs
· Données des réseaux sociaux
· Documents et textes Internet
· Indexation des recherches Internet
· Archivage des détails d’appels
· Dossiers médicaux
· Archives de photos
Etude mondiale sur la sécurité de l’information
Alors que 71% des entreprises affirment avoir toute confiance dans leur système de sécurité de l’information, seules 8% d’entre elles disposent d’une organisation adaptée aux nouvelles menaces informatiques.
Selon la 15ème étude « Global State of Information Security Survey 2013 » de PwC et CIO Magazine, la sécurité de l’information reste un enjeu majeur pour les entreprises à travers le monde. Les cyberattaques sont même plus redoutées par les dirigeants que l’éclatement de la zone euro ou les catastrophes naturelles.
2012 a ainsi vu s’accroître le nombre d’incidents dans ce domaine. 27% des dirigeants interrogés en France affirment avoir connu plus de 10 incidents de sécurité l’an passé, contre 21% en 2011. Au total, 62% des répondants français déclarent avoir connu au moins un incident de sécurité en 2012.
Avec l’émergence de nouvelles technologies, les menaces liées à la sécurité de l’information ne cessent de croître. PwC estime à 500 milliards de dollars la fourchette basse des dépenses mondiales de sécurité dans le monde. Si les budgets des entreprises françaises sont en hausse – 45% des entreprises françaises prévoient d’augmenter leurs dépenses en sécurité de l’information (vs 41% en 2011), ils ne permettent pas de proposer une réponse adaptée à ces nouvelles menaces informatiques.
Les nouvelles technologies augmentent les risques à gérer pour les entreprises…
Cloud computing, réseaux sociaux, 3G, appareils mobiles… Les nouveaux outils technologiques se sont multipliés et complexifiés lors de ces dernières années. En effet, entre 2007 et 2011, Facebook a multiplié par 115% son nombre d’utilisateurs, quand Twitter l’a vu croître de 151% sur la même période[1]. Le cloud computing devrait continuer sa progression : le marché global du Cloud computing sera 20 fois plus important en 2020 qu’en 2008.
Avec ces nouvelles pratiques, deux nouveaux risques émergent pour les entreprises, notamment le Bring Your Own Device (BYOD), qui consiste pour les salariés à utiliser leurs outils personnels au travail, et les réseaux sociaux, sur lesquels de plus en plus de collaborateurs postent des informations concernant leur entreprise.
Et parmi les menaces les plus redoutées des dirigeants, les cyberattaques sont considérées comme le troisième scénario ayant le plus d’impact sur leur organisation, bien avant le potentiel éclatement de la zone euro ou une catastrophe naturelle, selon l’étude annuelle de PwC « CEO Survey » lancée à Davos.
… mais celles-ci ne savent pas sécuriser ces nouvelles menaces.
Si l’adoption des nouveaux outils technologiques croît de manière exponentielle, leur sécurisation est beaucoup plus lente : seules 30% des entreprises françaises interrogées possèdent une stratégie de sécurité pour le Cloud, et seules 35% ont mis en place une stratégie de sécurité spécifique à l’utilisation des appareils personnels (BYOD).
L’enquête de PwC révèle la difficulté des entreprises à gérer l’utilisation de leurs données. Si 80% des directeurs de sécurité interrogés affirment que la protection des données de leurs clients et de leurs salariés est un enjeu important pour leur entreprise, ils ne sont que 31% à savoir exactement où les données personnelles de leurs clients et collaborateurs sont collectées, transmises et stockées – et seulement 23% en France. Ce décalage est d’autant plus risqué que selon une étude récente[2] de PwC, 73% des consommateurs interrogés affirment être prêts à partager des informations personnelles avec des entreprises mais 87% souhaitent contrôler la quantité d’information partagée.
« Le “combat” des entreprises pour la sécurité de l’information est devenu complètement asymétrique. La surface d’exposition des entreprises aux attaques informatiques ne cesse de croître, et il suffit à un attaquant de trouver une faille – le maillon le plus faible dans la surface exposée – pour pénétrer dans les systèmes d’information et dérober des informations sensibles. Les règles ont changé, et les adversaires – anciens et nouveaux – se sont armés de compétences d’experts en technologie. Les risques encourus n’ont jamais été aussi élevés pour les entreprises » explique à Datasecuritybreach.fr Philippe Trouchaud, associé PwC, spécialiste de la sécurité informatique.
Un niveau de confiance des entreprises démesuré par rapport à la faiblesse des moyens mis en œuvre
Paradoxalement, alors que les menaces n’ont jamais été aussi fortes pour les entreprises, les dirigeants interrogés restent extrêmement confiants en France et dans le monde. En 2012, 63% des sondés en France, et 71% dans le monde affirment ainsi avoir toute confiance en l’efficacité de leurs systèmes de sécurité de l’information. Or, PwC n’a identifié que 8% des entreprises interrogées comme « leader », celles ayant su s’adapter, mettre en place la stratégie et les savoir-faire adaptés pour vaincre les nouvelles menaces.
L’étude montre aussi que seules 49% des entreprises réalisent une évaluation des menaces et des vulnérabilités.
« Cette confiance des entreprises dans leur système de protection semble démesurée. » commente à Data Security Breach Philippe Trouchaud. « Etant donné l’environnement actuel de menace élevée, les entreprises ne peuvent plus se permettre de jouer à un jeu de hasard. Elles doivent s’adapter à de nouvelles règles du jeu, qui exigent des niveaux de compétences plus élevés, des outils plus performants et une nouvelle stratégie pour gagner. »
Les budgets dédiés à la sécurité de l’information sont en faible hausse
Les budgets dédiés à la sécurité de l’information augmentent en France, mais faiblement. En 2011, 41% des entreprises françaises interrogées prévoyaient d’augmenter leur budget, elles sont 45% à le prévoir en 2012. Les entreprises françaises ont ainsi rattrapé le niveau mondial, qui lui accuse un net retrait, passant de 51% de dirigeants anticipant une hausse de leur budget sécurité en 2011 à 45% en 2012. Ce recul s’explique en grande partie par le contexte économique tendu.
En effet, presque la moitié des répondants (46%) classent les conditions économiques comme le principal facteur orientant les dépenses de sécurité. En France, le poids comparatif des conditions économiques dans l’orientation des budgets est encore plus net, puisque 44% des dirigeants interrogés expliquent que leur choix budgétaire en matière de sécurité de l’information est réalisé en fonction des conditions économiques, loin devant le risque pour l’image de l’entreprise – 27%.
Méthodologie « Global State of Information Security Survey 2013
L’Enquête « Global State of Information Security Survey 2013 » sur l’état général la sécurité de l’information a été publiée par PwC, CIO magazine et CSO magazine. Elle a été réalisée via internet du 1er février 2012 au 15 avril 2012. Plus de 9 300 CEO, CFO, CISO, CIO, CSO, vice présidents, et directeurs des technologies et sécurité de l’information de 128 pays étaient invités par mail à répondre à l’enquête.