Archives quotidiennes :

Logiciels

Cisco ajoute Advanced Malware Protection de SourceFire à ses outils

Cisco va annoncer ce mardi 25 février qu’il a ajouté Advanced Malware Protection (AMP), soit la protection contre les malwares avancés, développé à l’origine par Sourcefire, à sa gamme de produits de sécurité de contenu, soit les appliances de sécurité Email et Web  et la solution Cloud Web Security. Cette intégration offre à l’ensemble des clients des fonctionnalités complètes pour combattre les malwares : la détection et le blocage, la remise en état du réseau de manière rétrospective et l’analyse en continu des menaces avancées. Cette nouvelle offre représente l’un des premiers efforts d’intégration des technologies respectives de Cisco et Sourcefire et permet d’étendre la protection contre les malwares avancés à plus de 60 millions d’utilisateurs déjà protégés avec les solutions de sécurité de contenu de Cisco.

La technologie Advanced Malware Protection utilise l’important réseau de données de sécurité dans le Cloud de Cisco et de Sourcefire (appartenant désormais à Cisco). Basé sur les attaques d’aujourd’hui, il est spécifiquement conçu pour se protéger contre celles-ci ; AMP évolue pour assurer une surveillance et une analyse en continu au travers du réseau étendu et tout au long du continuum d’attaque – avant, pendant et après une attaque. En associant la connaissance approfondie des menaces avancées de Sourcefire et l’expertise analytique de Cisco, le leader de l’industrie des solutions de sécurité Web et Email, les entreprises bénéficient d’une visibilité et d’un contrôle inégalés, avec une approche intégrée la plus rentable du marché pour résoudre les problèmes liés aux logiciels malveillants perfectionnés.

Cisco a également ajouté Cognitive Threat Analytics, acquis l’année dernière via Cognitive Security, et proposé en option aux clients Cloud Web Security de Cisco®. Cognitive Threats Analytics est un système très intuitif et autodidacte, qui utilise la modélisation comportementale et la détection des anomalies pour identifier les activités malveillantes et réduire le temps dédié à la découverte des menaces qui agissent dans le réseau. Cognitive Threats Analytics et AMP sont toutes deux disponibles en option sur la plateforme Cisco Cloud Web Security.

L’intégration des technologies dédiées à la détection de malwares avancés aux solutions de sécurité Web et Email de Cisco et celle de Cognitive Threat Analytics à la plateforme Cloud Web Security de Cisco, étendent la capacité de Cisco à fournir plus de solutions de sécurité centrée sur la menace pour ses clients en élargissant le spectre de l’environnement protégé et en fournissant une protection contre les malwares avancés « partout » où une menace peut se manifester. Grâce à cette intégration, Cisco répond au plus large éventail de vecteurs d’attaque au travers du réseau étendu.

« Epsilon System Solutions adopte une position proactive contre les attaques sophistiquées et s’est tourné vers FireAMP pour s’assurer que nous faisions tout notre possible pour identifier, arrêter et supprimer les menaces sur le poste de travail aussi rapidement que possible », explique Damon Rouse, Directeur Informatique d’Epsilon System Solutions. « Ajouter la technologie AMP aux appliances de sécurité Web et Email et aux services de sécurité Web dans le Cloud est une initiative intelligente qui va grandement profiter aux clients dans leurs efforts pour se protéger contre les menaces désormais en constante évolution. AMP est l’unique solution que nous ayons vu qui puisse associer la puissance du sandboxing avec l’innovation de la sécurité rétrospective ; cela a contribué à nous mettre dans une meilleure position pour réduire davantage l’impact des attaques potentielles ».

Au lieu de s’appuyer sur les signatures de malwares, ce qui peut prendre des semaines ou des mois à créer pour chaque nouveau malware, AMP combine des fonctionnalités de File reputation et de sandboxing, et une analyse rétrospective pour identifier et arrêter les menaces tout au long du continuum d’attaque.

–    Les fonctionnalités de File reputation vérifient la réputation de chaque fichier en temps réel, fournissant aux utilisateurs les connaissances nécessaires pour bloquer automatiquement les fichiers malicieux et appliquer les règles définies par l’administrateur en utilisant l’interface de la solution de sécurité Web ou Email de Cisco.

–    L’analyse sandboxing utilise un environnement sécurisé pour analyser et comprendre le comportement réel des fichiers inconnus qui passent sur le réseau. Cela permet à AMP de récupérer plus d’informations basées sur le comportement du fichier et d’associer ces données avec les analyses humaines détaillées et celles de la machine pour mesurer le niveau de la menace d’un fichier.

–    L’analyse rétrospective résout les problèmes liés aux fichiers malicieux qui passent au travers des défenses périmétriques, mais qui s’avèrent ensuite être une menace. Plutôt que d’agir à un moment donné, l’analyse rétrospective est continue, en utilisant les mises à jour en temps réel d’AMP basée dans le Cloud et ainsi être informé de l’évolution du niveau de la menace. Ainsi, AMP aide à identifier et à traiter rapidement une attaque, avant qu’il y ait un risque de propagation.

Christopher Young, Vice-Président Senior, Cisco Security Business Group, précise « les menaces avancées d’aujourd’hui peuvent hacker les systèmes d’information grâce à une combinaison de plusieurs vecteurs qui requièrent une sécurité continue à défaut de solutions ajoutées les unes aux autres dans le temps. Les passerelles de sécurité Web et Email font une grosse partie du travail de protection dans le procédé de défense contre la menace, en bloquant l’arrivée de contenu malveillant. En réunissant la protection contre les malwares et l’analyse des menaces avec nos passerelles de sécurité Web et Email, y compris en mode Cloud, nous offrons à nos clients la meilleure protection contre les malwares avancés depuis le Cloud jusqu’au réseau, en passant par le poste de travail ».

La protection contre les malwares avancés sur le réseau
Sur le réseau, AMP est une fonctionnalité intégrée à FirePOWER dans les appliances Next-Generation IPS ou Next-Generation Firewall, ou disponible sous forme d’appliance seule. Aussi, les solutions FireAMP offrent une protection des postes de travail, des périphériques mobiles et des environnements virtuels, en fonctionnant grâce au FirePOWER ou de manière autonome grâce à un connecteur.

Comme la vitesse du réseau continue d’augmenter, le besoin en haute performance des appliances capables d’assurer une protection contre les malwares perfectionnés augmente. Pour répondre à ce besoin, Cisco annonce également le lancement de 4 dernières appliances FirePOWER plus rapides, toutes compatibles avec AMP. Les modèles 8350 (15Gbps), 8360 (30 Gbps), 8370 (45 Gbps) et 8390 (60 Gbps) viennent compléter la gamme FirePOWER et fonctionneront avec tous les NetMods existants pour permettre une modularité et un support mixtes. La série FirePOWER 8300 permet une augmentation de 50 % du débit contrôlé et peut offrir jusqu’à 120+ Gbps de débit.

Entreprise, Fuite de données, Social engineering

Quand l’escroc informatique se prend pour un mentaliste

Le CERT-FR, cellule gouvernementale en charge de la sécurité informatique des infrastructures étatiques, a constaté une recrudescence de techniques d’ingénierie sociale (Social Engineering) où un escroc se fait passer pour un agent appartenant à un service de support technique.

Comme le rappel le CERT France, deux méthodes principales sont employées pour contacter une victime potentielle. D’abord l’appel à froid « cold call ». L’escroc appelle directement sa victime en prétendant être le technicien d’un service de support informatique. Il utilise alors des techniques d’ingénierie sociale en expliquant à la victime que son ordinateur est sujet à des comportements suspects. Une technique vieille comme le monde. Kevin Mitnick, hacker mythique, s’en était fait une spécialité dans les années 80. En janvier dernier, une société du sud de la France se voyait « détourner » pas moins de 17 millions d’euros via l’ingénierie sociale.

Autre possibilité, la publicité en ligne. Certains pirates utilisent les moteurs de recherche pour référencer de fausses entreprises de support informatique. Un utilisateur à la recherche d’une solution à un problème technique pourra être tenté de rentrer en contact avec ces fausses sociétés. La victime mise en confiance est incitée à payer pour une assistance ou un produit. Dans certains cas, le prétendu technicien peut faire installer à l’utilisateur ciblé des logiciels de prise de contrôle à distance (tel que LogMeIn) sur ses équipements.

Depuis peu, le même type d’escroquerie a été constaté pour les terminaux mobiles. Le manque de connaissances, de formations, d’informations et la naïveté des victimes permet aux voleurs de prendre le contrôle de l’ordinateur, de la connexion ou d’un terminal. Nous vous parlions, l’année dernière, de faux antivirus commercialisés en Belgique. « Un technicien de support informatique légitime, explique le CERT France, n’est pas censé amener l’utilisateur à installer un quelconque outil supplémentaire sur un poste de travail, ni à lui demander d’identifiants et de mots de passe d’authentification« .

Pour s’en protéger, il suffit de faire preuve de la plus grande prudence vis-à-vis des appels téléphoniques provenant de services de support alors que ceux-ci n’ont pas été sollicités. Ne pas hésiter à être « paranoïaque et solliciter, dans un cadre professionnel, uniquement les services de supports internes à l’entreprise ou à l’organisation.

 

 

Cyber-attaque, Cybersécurité, Fuite de données, Leak, Mise à jour, Patch

Failles pour Internet Explorer et Chrome

Microsoft confronté à une faille dans ses navigateurs 9 et 10. Google en profite pour corriger 29 « bugs » pour Chrome. Les dernières attaques ayant visé des entreprises françaises et étrangères ont mis Microsoft en alerte. Les intrus ont exploité une faille 0Day pour lancer des codes malveillants à partir d’une vulnérabilité visant Internet Explorer 9 et 10. Comme l’indique le CERT FR, la faille permet l’exécution de code arbitraire à distance. Dans l’attente de la publication du correctif, il est recommandé d’appliquer le patch provisoire mis en ligne par Microsoft sur les navigateurs Internet Explorer à jour de leurs derniers correctifs de sécurité. Mission, bloquer la majorité des attaques connues ; de mettre à jour, lorsque cela est possible vers Internet Explorer version 11 (Sous Windows 8, seule la version pro 8.1 accepte IE 11) ; d’installer et de configurer l’outil de sécurité EMET sur les applications sensibles (dont Microsoft Internet Explorer) afin de limiter les risques connus d’exploitation.

Pour Chrome, Google a corrigé 29 possibilités pirates allant de l’exécution de code arbitraire à distance, de déni de service, de contournement de la politique de sécurité ou encore d’atteinte à la confidentialité des données. Bref, des failles très sérieuses qui touchent Google Chrome versions antérieures à 33.0.1750.117.

Logiciels, Mise à jour

Snort prend du poil de la bête avec une annonce de Cisco

Cisco, lors du rachat de Snort en 2012, avait annoncé continuer à soutenir les projets Open Source. Le géant américain va annoncer, ce mardi, qu’il mettait les petits plats dans les grands avec la détection et le contrôle d’accès applicatif Open Source via le langage OpenAppID. Une annonce qui va permettre un développement rapide des contrôles applicatifs grâce à la communauté. « OpenAppID permet de donner aux utilisateurs de Sourcefire toute la flexibilité attendue pour gérer la détection d’application, la corrélation temps réel et le contrôle d’accès applicatif (NGFW) sur des applications spécifiques ou sensibles. » explique à Data Security Breach Cyrille Badeau, Directeur Europe du Sud de Sourcefire. En s’appuyant sur la puissance de l’open source et de sa communauté, Cisco annoncera demain mardi qu’elle offrira désormais la possibilité de créer et d’intégrer de nouvelles fonctionnalités d’accès applicatif open source dans son moteur Snort grâce à OpenAppID. »Un message fort pour la communauté OpenSource et c’est dans la ligne tracée par Marty Roesch (créateur de Snort, ndr) depuis 12 ans. » confirme Cyrille Badeau à DataSecurityBreach.fr.

La détection et le contrôle d’accès applicatif open source est activé par le nouveau langage OpenAppID de Cisco centré sur la couche applicative. OpenAppID fournit une visibilité sur les applications, accélère le développement de systèmes de détection des applications, contrôle et offre à la communauté la possibilité de partager les systèmes de détection pour une meilleure protection. Comme de nouvelles applications sont développées et introduites dans les systèmes d’information des entreprises à un rythme sans précédent, ce nouveau langage permet aux utilisateurs, grâce à une flexibilité accrue, de contrôler les nouvelles applications sur le réseau. OpenAppID est particulièrement intéressant pour les entreprises qui utilisent des applications propres ou personnalisées et pour celles qui évoluent dans des secteurs réglementés qui exigent les plus hauts niveaux de contrôle et d’accès. « L’ouverture de l’OpenAppID va donner au NGFW de CISCO ce que SNORT a donné et donne au NGIPS historique de Sourcefire, indique Cyrille Badeau à Data Security Breach France. Pour ce dernier, le succès de la solution est très liée au caractère OpenSource du moteur de détection. Les clients sensibles vont pouvoir utiliser le NGFW SF-CISCO en gardant le contrôle et la confidentialité nécessaire sur leurs applications maisons et sensibles. »

Snort est le système de détection et de prévention d’intrusions open source et gratuit, créé par Martin Roesch en 1998. La détection et le contrôle applicatif open source permet aux utilisateurs de créer, partager et mettre en place une détection des applications personnalisée pour répondre aux nouvelles menaces qui visent les applications, aussi rapidement que possible.

Martin Roesch, créateur de Snort, Vice-Président et Directeur technique de Cisco Security Business Group précise que « l’open source est très important car il permet de créer une véritable collaboration et une confiance entre les éditeurs et les experts chargés de lutter contre les menaces persistantes et avancées. En plaçant le contrôle applicatif et la visibilité en mode open source, Cisco offre à la communauté une autonomie pour lui permettre de créer des solutions techniquement supérieures afin de répondre aux enjeux de sécurité les plus complexes« .

Dans le cadre de cette annonce, Cisco livre également une nouvelle version du moteur Snort qui inclut les nouveaux préprocesseurs OpenAppID. La communauté Snort a ainsi la possibilité de commencer à utiliser le langage OpenAppID pour créer des systèmes de détection d’applications. En outre, une bibliothèque de plus de 1000 règles OpenAppID sera disponible gratuitement avec la communauté Snort sur http://www.snort.org. Chaque membre de la communauté pourra ajouter des règles, y compris les entreprises qui disposent d’applications propres et qui ne sont pas commercialement disponibles. « Utiliser le NGFW de CSICO – SF sur des applications non connues et spécifiques, termine Cyrille Badeau. Dans beaucoup de cas, ces applications ne peuvent être partagées avec l’éditeur par le client (trop sensible, ndr). Avec OpenAppID, ce partage n est plus nécessaire car l’écriture du détecteur d’application se fait chez le client. (tout comme les règles spécifiques snort, ndr) »