Archives de catégorie : IOT

BYOD, Cybersécurité, Entreprise, IOT

Les opérateurs telcos & FAI : des cibles de choix pour les pirates

Alors que le nombre de clients et d’objets connectés ne cesse de croître, les opérateurs de télécommunications et fournisseurs d’accès Internet (ISP) doivent plus que jamais assurer le service au client tout en protégeant leur système d’information des attaques informatiques. Ces entreprises doivent toujours fournir des services disponibles et très rapides à leurs clients, même lorsqu’ils sont sous une attaque de type DDoS. Cela suppose de posséder une infrastructure performante et sécurisée prenant en charge de nouvelles charges de travail et des applications comme la téléphonie mobile, le BYOD (Bring Your Own Device) et l’Internet des objets. Mais parviennent-ils à répondre à ces attentes ? Quelles sont leurs méthodes ?

On pourrait croire que les opérateurs et FAI sont les entreprises les plus averties et conscientes des enjeux liés à la sécurité de leurs serveurs DNS. Or, l’expérience montre que lors d’une attaque les systèmes de sécurité traditionnels qu’ils utilisent ne sont pas ou plus adaptés aux nouvelles menaces. L’approche traditionnelle des FAI consiste à empiler les serveurs et les équilibreurs de charge pour soutenir l’augmentation du trafic, même s’ils ne connaissent pas vraiment le profil du trafic et ignorent pourquoi il augmente. Les solutions de sécurité DNS traditionnellement utilisées fonctionnent à “l’aveugle” et ne sont pas en mesure de comprendre ce qu’est réellement le profil de trafic sur ces serveurs. Les applications actuelles sont toutes basées sur le protocole IP et si un serveur DNS ne répond pas avec la performance attendue ou si elle est trop faible, toutes les applications seront inaccessibles ! Une cyberattaque a donc un impact négatif très rapide et directe sur l’entreprise, ses utilisateurs et ses clients. Les entreprises de télécommunication et les FAI se rendent compte que la faible sécurité DNS dégrade Internet et la disponibilité mais n’ont pas la bonne visibilité pour
comprendre et gérer cette infrastructure.

Une sécurité DNS mal gérée pour les telcos
De nombreux opérateurs de télécommunications et fournisseurs de services Internet pensent que le blocage du trafic est LA solution aux problèmes de DNS. Malheureusement, les attaques sont de plus en plus sophistiquées et il est de plus en plus difficile de comprendre le modèle, la source ou la cible d’attaque. Toutefois, bloquer simplement le trafic peut conduire à bloquer celui d’un client important, d’une société ou même un pays si l’information nécessaire à la bonne prise de décison n’est pas disponible. Les récentes attaques sur Rackspace ou DNS Simple ont démontré la limite des solutions de sécurité classique et DDoS, pour protéger les services DNS. L’attaque DDoS du fournisseur de services Rackspace a paralysé ses serveurs DNS pendant 11 heures. Pour faire face à cette attaque, l’entreprise a bloqué le trafic qu’il pensait être à l’origine de l’attaque, malheureusement ils ont admis avoir bloqué aussi du trafic légitime venant de leurs clients. Le même mois, DNSimple fait face une attaque similaire et décide finalement de désactiver le mécanisme de sécurité DDoS du DNS pour retrouver un service normal de résolution de noms.

Dans les deux cas, les entreprises ont pris des mesures radicales qui prouvent que les solutions actuelles ne sont pas adaptées aux problématiques des services DNS et que les entreprises restent vulnérables.

Des attaques aux conséquences lourdes …
La sécurité du DNS est mal gérée dans de nombreuses organisations informatiques et l’écosystème de la menace est apte à lancer des attaques où le serveur DNS peut être la cible ou un vecteur pouvant entraîner :
– Échec ou lenteur de l’accès à des sites Web et des applications
– Reroutage du trafic Web vers des sites Web non-autorisés et potentiellement criminelles entraînant des vols de données, une fraude d’identité, …

Au-delà de ces dommages, les entreprises de télécommunications investissent énormément dans leur infrastructure (pare-feu, load-balancer, monitoring…) pour faire face aux cyberattaques. Or, ce genre d’administration et de dépenses peuvent paraître excessives quand ces solutions ne savent pas exactement ce qui se passe. Quand on ne peut pas voir la source d’une attaque, y répondre s’avère risqué .

… mais contournables
Un fait important : 95% du trafic se focalise sur un minimum de nom de domaines souvent demandés (Ex : google, Facebook, sites d’informations,…). Partant de ce constat, la priorité est d’être réactif pour assurer un accès à ses utilisateurs, quel que soit le cas de figure. On a pu mesurer qu’en moins de cinq minutes, un opérateur peut perdre l’accès à ces 95% de trafic ; un timing limité pour prendre conscience de l’attaque et prendre une décision pour la contrer efficacement.

Heureusement, certains fournisseurs et éditeurs de solutions de sécurité DNS ont développé des technologies pour voir l’attaque de l’intérieur, ils peuvent donc effectuer une analyse plus fine ; une analyse qui permet de proposer une sécurité adaptative ou graduelle. Dans les cas extrêmes, la solution consiste à ne plus répondre qu’avec les données en cache et refuser les requêtes inconnues. C’est 95% du trafic qui est ainsi traité, ce qui constitue une bonne alternative et permet de gagner du temps pour répondre à la menace. Serait-ce la solution miracle pour limiter l’impact d’une attaque ? Il serait alors possible de mettre à la corbeille les multitudes de pare-feu, serveurs et autres équilibreurs de charge, coûteux en terme de gestion et pesant lourd dans le budget des entreprises de télécommunication. (Par Hervé DHELIN, EfficientIP)

Cyber-attaque, Cybersécurité, DDoS, ID, IOT, Mise à jour, Particuliers, Patch, Piratage, santé

Paralyser une voiture pour 90 euros

Via la prise USB d’une Toyota Corolla, un chercheur en informatique, bloque la voiture à coup de DDoS.

Le monde du « sans connexion » envahi nos vies. La marche de l’IoT est lancée et rien ne l’arrêtera vue les enjeux économiques. L’important, que le client achète, on verra ensuite pour sa sécurité. Du moins si le client est encore vivant.

Inoue Hiroyuki, professeur en informatique à la Graduate School of Information Sciences de l’université d’Hiroshima a expliqué comment il avait « planté » une Toyota Corolla avec 90€. Une clé USB trafiquée et un DDoS via le port USB de la voiture « Le pilote était incapable de bouger la voiture en appuyant sur l’accélérateur » explique-t-il dans le Japan Times. L’agrégé en informatique a indiqué avoir aussi été capable d’ouvrir et fermer les fenêtres de la voiture, afficher une lecture de compteur de vitesse incorrecte et geler l’accélérateur. Toyota a annonçait qu’il allait continuer « à faire des efforts » pour améliorer la sécurité de ses véhicules.

Il serait peut-être temps d’arrêter de nous prendre pour des idiots ? En juillet 2015, une Jeep Cherokee, et un mois plus tard, une Corvette étaient elles aussi malmenées. Le piratage des voitures ne fait que débuter ! Pour le moment, il ne se déroule officiellement que dans des laboratoires.

backdoor, Banque, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Propriété Industrielle

Cybercriminalité et libertés individuelles au cœur des préoccupations de sécurité en 2016

A l’aube de l’année 2016, l’heure est au bilan et le marché de la cyber sécurité a une nouvelle fois été secoué par des failles de grande ampleur qui n’ont épargné aucun secteur. De Vtech, en passant par Ashley Madison, le parlement allemand, Sony Pictures, TV5Monde ou encore le Bureau Américain du Personnel (OPM), le constat est sans appel : les organisations doivent renforcer leur pratiques de sécurité et les gouvernements doivent poursuivre leurs efforts en vue de mettre en place des réglementations plus claires en faveur de la lutte contre les cybermenaces.

Les équipes informatiques doivent garder une longueur d’avance sur les pirates informatiques et ressentent par conséquent une forte pression face aux menaces émergentes. Dans de nombreux cas, cela requiert des formations poussées, notamment au sein des industries concernées par l’Internet des Objets (IoT), ainsi que de nouvelles compétences dans les domaines prenant de plus en plus d’importance comme l’analyse comportementale. L’investissement dans des systèmes d’automatisation d’alertes relatives à des comportements inhabituels ou au blocage des menaces peut permettre de soulager les équipes d’une partie du fardeau. En outre, l’émergence de « réseau auto-protégé », capable d’apprendre à se protéger lui-même une fois qu’une attaque est détectée, peut également constituer une réponse à la problématique de manque de compétences.

La vie privée et l’IoT dans le collimateur des responsables de la sécurité
La violation de données chez Vtech pourrait marquer un tournant décisif en ce qui concerne la vie privée des consommateurs et l’IoT. Toutefois, selon le cabinet d’études Altimeter Group, 87% des consommateurs n’ont pas la moindre idée de ce que le terme « l’Internet des Objets » signifie et il est urgent d’y remédier. Au cours des prochaines années, les consommateurs devront être mieux informés de la manière dont leurs données sont collectées par les fournisseurs, et comprendre que ces informations peuvent être compromises si elles ne sont pas correctement sécurisées par le vendeur. Le risque de faille existe à partir d’un seul terminal connecté au réseau domestique ou à d’autres appareils. Ces risques sont encore plus élevés pour les entreprises où le déploiement d’objets connectés devient une réalité. Bien que ces appareils intelligents augurent une simplification du quotidien professionnel, ils ne sont la plupart du temps pas conçus avec le niveau de sécurité adapté, ce qui engendre un risque conséquent pour les entreprises. Cela devient d’autant plus critique avec la généralisation de leur utilisation et l’augmentation du nombre d’appareils.

L’entreprise devient la cible privilégiée de la cybercriminalité
2015 fût le théâtre de nombreuses extorsions de fonds menaçant les organisations victimes de voir leurs activités IT ou opérationnelles interrompues. En 2016, ces attaques seront plus agressives et viseront l’extraction d’informations financières, agitant la menace de divulgation d’informations compromettantes et d’augmentation des rançongiciels (ransomwares) à l’échelle de l’entreprise. Ce type d’attaques va en effet croitre à mesure que les pirates informatiques développeront des méthodes plus créatives de chantage envers les individus et les corporations ; les attaques continueront en outre de se transformer et de s’adapter aux environnements des entreprises ciblées, en utilisant des approches de type « caméléon » pour dérober les identifiants de connexion. Cette activité peut également donner un nouvel élan pour faire évoluer et affiner l’industrie mondiale de la cyber-assurance afin de renforcer la protection des entreprises. Aux Etats-Unis par exemple, les risques de cyberattaques et les mesures de préventions consenties devraient avoir des conséquences notables sur les analyses financière et la cote des entreprises.

La convergence des risques de terrorisme physique et cybernétique sur les infrastructures critiques
En 2015 des actes de terrorisme dévastateurs ont impacté la communauté internationale. En 2016, il y aura davantage de convergence entre les formes de terrorisme physiques et virtuelles. Nous avons déjà pu observer le piratage d’une compagnie aérienne : plutôt que de s’attaquer à l’avion directement, le pirate pourrait également utiliser une faille pour engendrer la confusion au sein de l’aéroport, en ciblant le système de billetterie par exemple. Ces deux catégories d’attaques devraient être plus coordonnées entre elles : utiliser une cyberattaque pour semer la confusion et l’attaque physique pour causer un maximum de dégâts. Au-delà des transports, ces attaques visant les infrastructures critiques pourront aussi concerner les systèmes de santé, les marchés financiers ou encore les réseaux d’énergies.

Les cyber-traités et la législation
Les pays mettent en place de nouvelles lois pour lutter contre la cybercriminalité ainsi que des accords plus larges pour développer des tactiques de cyberguerre. Cependant, ces réglementations risquent davantage de porter préjudice aux avancées technologiques que de diminuer les activités malveillantes. Définir la conformité et rendre responsables les organisations qui ne la respectent pas permettra également de déterminer la capacité d’engagement des gouvernements sur la question de la cyber-sécurité et la possibilité d’avoir une incidence réelle sur ce sujet.

Le chiffrement : existe-t-il un équilibre entre sécurité et libertés individuelles ?
Les récentes attaques terroristes perpétrées dans le monde ont relancé le débat initié lors des révélations de Snowden : les consommateurs lambda doivent-ils avoir accès aux technologies de chiffrement ? La nécessité de surveiller les activités terroristes prime-t-elle sur les droits à la vie privée des citoyens et de leurs communications ? En fin de compte, la population aura-t-elle droit à plus de chiffrement et de préservation de sa vie privée malgré les coûts de sécurité ou 2016 sera-t-elle l’année de limitation des libertés civiles ? Dans certains pays du monde, de nombreux citoyens ont déjà accepté de renoncer à la confidentialité de leurs données au nom d’une cyber sécurité renforcée.

Identifier les cyber-infiltrés
Au cours de ces trois dernières années, le gouvernement fédéral américain et les entreprises privées ont été la cible de fuites massives d’informations privées. Comme pour l’OPM américain ou les attaques ciblant les compagnies aériennes, la principale question est de savoir ce qui a été volé alors qu’il vaudrait mieux se demander si les pirates n’ont pas eux-mêmes introduit quelque chose dans les systèmes piratés. 2016 sera-t-elle l’année où l’on découvre que les espions, les terroristes ou autres acteurs gouvernementaux sont finalement des utilisateurs vérifiés et approuvés sur la base d’informations introduites au cours d’une cyberattaque ? (Par Jean-François Pruvot, Regional Director France chez CyberArk)

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, IOT, Leak, Mise à jour, Patch, Piratage

Intel Security révèle les dernières tendances et statistiques en matière de menaces informatiques

La dernière étude du McAfee Labs pointe du doigt les nouveaux malwares, macro et sans fichier, ainsi que les nouvelles menaces qui ciblent les services bancaires mobiles.

McAfee Labs, l’entité spécialisée dans la recherche de menaces informatiques d’Intel Security, révèle les principales menaces informatiques du troisième trimestre 2015, parmi lesquelles d’anciens types de menaces reconditionnés avec l’ingénierie sociale, de nouveaux malwares sans fichier (fileless malware) remplaçant les rootkits, des failles d’application mobile, mais surtout l’exploitation du maillon le plus faible de tout écosystème : l’utilisateur. Le bilan des menaces informatiques établi par McAfee Labs sur le mois de novembre (McAfee Labs Threat Report : November 2015) vient compléter l’évaluation trimestrielle de l’éditeur portant sur les cyber-menaces :

Les chercheurs de McAfee Labs d’Intel Security ont illustré que la médiocrité des pratiques de développement d’applications mobiles, et notamment le non-suivi des conseils de sécurité donnés par le prestataire des services back-end, peuvent conduire à l’exposition des données de l’utilisateur dans le Cloud.

Cette analyse démontre également comment les clients de services bancaires mobiles ont été victimes d’un tel scénario. En deux mois, l’équipe de chercheurs a analysé près de 300.000 applications mobiles et découvert deux chevaux de Troie visant à subtiliser les données de plusieurs milliers de comptes bancaires mobiles à travers l’Europe de l’Est. Les chercheurs d’Intel Security ont démontré que les cybercriminels ont pu exploiter des failles de code dans le back-end en contournant des privilèges root afin d’installer, de façon inaperçue, un code malveillant qui leur a permis de voler des numéros de carte bancaire et réaliser des transactions frauduleuses.

Le rapport a également étudié les macro-malwares utilisant l’ingénierie sociale pour gagner du terrain au sein des entreprises. Cette typologie de logiciels malveillants a augmenté d’un peu moins de 10.000 nouvelles attaques au cours du troisième trimestre 2014 à près de 45 000 ce trimestre. Un tel niveau n’avait pas été atteint depuis 2009.

Cette croissance est liée aux attaques de spearphishing plus nombreuses dont le but est d’inciter l’utilisateur à ouvrir des malwares joints à un email. Le nouveau type de macro-malware est capable de rester caché même après le téléchargement des ‘payloads’ malveillants.

Enfin, les chercheurs du McAfee Labs ont mis en avant la manière dont les hackers ont su tirer profit des fonctionnalités offertes par certains OS pour créer un nouveau type de logiciels malveillants sans fichier (fileless malwares) qui a su contourner les systèmes de détection traditionnels des menaces. Ce genre d’attaques semble désormais prendre la place des rootkits. Le Labs de McAfee a répertorié plus de 74 470 échantillons d’attaques ‘sans fichier’ au cours des trois premiers trimestres 2015. Le plus souvent, ce type de logiciel malveillant infect directement l’espace de mémoire vive d’un appareil, se cache derrière une API au niveau d’un noyau de système d’exploitation ou se dissimule dans le registre de système d’exploitation.

Cyber-attaque, Cybersécurité, IOT, Leak, Particuliers, Phishing, Piratage, Scam, Social engineering, Vie privée

Comment un cybercriminel peut infiltrer votre réseau

La sécurité est plus que jamais une priorité pour les entreprises, contribuant activement à sa réussite. Les RSSI doivent désormais s’assurer que leurs projets en matière de sécurité IT sont en phase avec les objectifs de l’entreprise.

Nous sommes tous connectés à Internet, ce qui est très positif. Mais ce lien permanent implique que nous sommes tous au cœur d’un écosystème de grande envergure. Il est essentiel de comprendre que tout ce qui touche une organisation impactera également de nombreuses autres entreprises, et notamment ses partenaires. Ainsi, en cas de piratage d’une entreprise, ce sont des données personnelles identifiables qui sont détournées. Ces données peuvent être revendues à des spécialistes de l’usurpation d’identité ou constituer un terreau favorable aux attaques de phishing. Plus l’assaillant disposera d’informations sur vous, plus l’email qu’il vous enverra apparaîtra comme légitime et vous incitera à cliquer sur un lien malveillant.

Notons que les tactiques d’attaques actuelles sont similaires à celles d’il y a quelques années : récupération de mots de passe faibles, attaques de type phishing et téléchargement de logiciels malveillants à partir de sites web infectés ou de publicités malveillantes. Sauf qu’aujourd’hui, l’assaillant a gagné en furtivité et en efficacité lorsqu’il mène son attaque.

Penchons-nous, par exemple, sur les réseaux sociaux et les services en ligne. Nous sommes très nombreux à les utiliser, qu’il s’agisse de Facebook, de LinkedIn, ou encore des sites de rencontres en ligne. Les assaillants l’ont parfaitement compris et capitalisent sur la fibre émotionnelle de chacun. Ils établissent ainsi leur passerelle d’entrée vers les dispositifs des utilisateurs en s’aidant de ces sites et de techniques d’ingénierie sociale. Ainsi, si les méthodes d’ingénierie sociale restent les mêmes, les vecteurs et la surface d’attaque ont, en revanche, progressé. Parallèlement, ce sont les techniques de furtivité qui ont gagné en précision, avec des assaillants toujours plus aptes à se dissimuler. Se contenter d’utiliser les antivirus traditionnels n’est donc tout simplement plus suffisant.

Parmi les techniques utilisées, l’attaque de type phishing est la méthode principale pour s’immiscer au sein des réseaux d’entreprise.

Un email de phishing, conçu pour paraître le plus légitime possible, est envoyé avec un fichier joint ou une URL malveillante, et incitant l’utilisateur à ouvrir le fichier ou à cliquer sur l’URL. L’attaque par téléchargement furtif (ou drive–by attack) est une autre technique utilisée par les assaillants. Ces derniers piratent un site Web et y installent un script java malveillant qui redirigera l’utilisateur vers un autre site hébergeant un logiciel malveillant téléchargé en arrière-plan vers l’équipement de l’utilisateur. Dans le cas d’une attaque ciblée, les assaillants peuvent passer des mois à identifier les sites Web les plus consultées par les organisations ciblées, pour ensuite les infecter.

Le malvertising (publicité malveillante) compte également parmi les techniques utilisées. Cette attaque emprunte les codes des attaques drive-by, mais l’assaillant se focalisera sur l’infection des sites de publicités. Il devient possible d’infecter un seul de ces sites qui, à son tour, pourra infecter jusqu’à 1 000 autres sites Web. Ou l’art d’industrialiser son attaque.

Enfin, n’oublions pas l’attaque mobile. Nombre de ces attaques sont similaires à celles mentionnées plus haut, mais elles ciblent les dispositifs mobiles. Notons qu’il est possible d’infecter un dispositif mobile via un message SMS, ou à l’aide d’un logiciel malveillant qui se présente en tant qu’application ludique ou de contenu pour adultes.

Lorsque l’assaillant est rentré dans un réseau et qu’il réside sur le dispositif d’un utilisateur (ordinateur de bureau ou portable, équipement mobile), il doit désormais injecter de nouveaux logiciels malveillants et outils pour mener à bien sa mission. Généralement, les informations de valeur ne sont pas stockées sur les postes de travail, mais plutôt sur les serveurs et des bases de données. Voici donc un aperçu des étapes supplémentaires pouvant être mises en œuvre par un cybercriminel déjà présent dans le réseau:

Téléchargement d’autres outils et logiciels malveillants pour compromettre davantage le réseau.
Exploration du réseau pour identifier les serveurs hébergeant les données ciblées. Recherche du serveur Active Directory contenant tous les identifiants d’authentification, dans l’objectif de pirater ces données, véritable sésame pour le cybercriminel.
Une fois les données ciblées identifiées, recherche d’un serveur provisoire pour y copier ces données. Le serveur idéal est un serveur stable, à savoir toujours disponible, et disposant d’un accès sortant vers Internet.

Exfiltration furtive et lente de ces données vers les serveurs des assaillants, généralement déployés dans le cloud, ce qui rend la neutralisation des communications plus complexe.

Les cybercriminels présents au sein du réseau sur une longue durée pourront obtenir tous types d’informations disponibles puisque les données d’entreprise, dans leur grande majorité, sont archivées sous format électronique. Plus le cybercriminel est présent sur le réseau, plus il en apprend sur les processus et les flux de données de votre entreprise. L’attaque Carbanak qui a ciblé de nombreuses banques dans le monde en est la parfaite illustration. Lors de cette exaction, les cybercriminels sont remontés jusqu’aux ordinateurs des administrateurs ayant accès aux caméras de vidéosurveillance. Ils ont ainsi pu surveiller de près le fonctionnement du personnel bancaire et enregistrer tous les processus dans le détail. Ces processus ont été reproduits par les cybercriminels pour transférer des fonds vers leurs propres systèmes.

Comme déjà souligné, une brèche dans le réseau s’initie généralement par un simple clic d’un utilisateur sur un lien malveillant. Après avoir investi le poste de l’utilisateur piraté, l’assaillant commence à explorer le réseau et à identifier les données qu’il souhaite détourner. C’est dans ce contexte que la notion de segmentation de réseau devient essentielle. Cette segmentation permet de maîtriser l’impact d’un piratage puisque l’entreprise victime peut  isoler la faille et éviter tout impact sur le reste du réseau. D’autre part, elle permet de cloisonner les données sensibles au sein d’une zone hyper-sécurisée qui rendra la tâche bien plus complexe pour ceux qui souhaitent les exfiltrer. Pour conclure, gardons à l’esprit qu’il est impossible de protéger et de surveiller le réseau dans sa totalité, compte tenu de son périmètre étendu et de sa complexité. Il s’agit donc d’identifier les données les plus sensibles, de les isoler et de porter son attention sur les chemins d’accès vers ces données. [par Christophe Auberger, Directeur Technique France, Fortinet]

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, IOT

Prendre en compte la sécurité dans le développement des smart cities : nouvel enjeu pour les gouvernements

Alors que le concept de smart cities (villes intelligentes) devient de plus en plus une réalité les problématiques concernant leur sécurité le deviennent également. Que peut-on faire pour s’assurer que les pratiques de sécurité mises en place soient adaptées à cette réalité ? Par Ismet Geri, vice-président Europe du Sud chez ForgeRock.

Le concept de smart city n’est plus une idée futuriste et lointaine. Il s’agit d’une véritable initiative que les gouvernements du monde entier adoptent. Toutefois, alors que l’Internet des Objets (IdO) continue à stimuler le développement des smart cities, il accroît également la nécessité de faire face aux problèmes liés à la sécurité qui vont de pair avec elles.

Au début du lancement de la première vague d’implémentations de l’Internet des Objets, il y a quelques années, la communication et la connectivité étaient naturellement les objectifs principaux. Le fait de se connecter au réseau de « simples » objets tels que les téléviseurs, les ampoules et les thermostats représentait une importante avancée technique. Ces nouveaux « objets » connectés donnaient de tels résultats que les aspects concernant la gestion des accès et de l’identité étaient souvent négligés.  Alors que les communications de l’IdO gagnent en maturité et en stabilité, nous comprenons maintenant mieux les vulnérabilités et les risques potentiels relatifs à la perte de données.

L’impressionnante quantité d’appareils de l’Internet des Objets offre un important vecteur d’attaque à des personnes malveillantes. À l’échelle d’une ville dans laquelle des milliers d’appareils communiquent simultanément à la fois avec des utilisateurs et entre eux, les implications en matière de sécurité sont importantes. Les villes intelligentes représentent la cible idéale pour les pirates informatiques souhaitant créer des réseaux de style botnet constitués d’appareils compromis et s’en servir afin d’exécuter des tâches différentes de celles pour lesquels ils étaient destinés à l’origine.

Par exemple, imaginez qu’un pirate informatique puisse compromettre le système gérant le flux de trafic d’une ville et qu’il fasse passer au rouge tous les feux de signalisation du centre-ville aux heures de pointe. Associez cela à des interférences sur les stations de radio locales : il ne serait alors plus possible d’avertir les citoyens. Alors que les automobilistes emprunteraient leur chemin habituel pour se rendre au travail sans se douter des problèmes, la ville entière risquerait de se retrouver embouteillée en l’espace de quelques minutes. Non seulement cet incident coûterait de l’argent à la ville du point de vue de la productivité, mais les services d’urgence ne pourraient également pas intervenir rapidement, ce qui pourrait potentiellement coûter des vies.

Comment peut-on réduire les menaces ?
Pour empêcher les menaces de cette nature, il faut en premier lieu comprendre d’où elles proviennent. La meilleure manière d’y parvenir consiste à s’assurer que chaque appareil connecté dans l’infrastructure de la ville intelligente, qu’il s’agisse d’une voiture, d’un réverbère ou d’un détecteur de tremblements de terre, dispose d’une identité validée et est correctement relié au réseau. En effet, si un appareil est identifiable, il est bien plus facile de confirmer que les données qu’il génère sont authentiques et qu’il est possible de leur faire confiance. En outre, cela signifie surtout que si l’appareil tente d’exécuter une action sans en avoir l’autorisation, il peut être identifié et son action peut être empêchée.

Des efforts axés sur une gestion des risques efficace
Il est irréaliste d’attendre d’un réseau qu’il soit entièrement exempt de comportements malveillants. Même si les meilleures mesures en matière de sécurité sont prises, quelqu’un/quelque chose finira par s’y introduire étant donné le grand nombre de vecteurs d’attaques et de menaces qui existent. À ce titre, une gestion des risques efficace est l’élément clé pour évaluer les menaces et y réagir dans n’importe quelle smart city.  Des contrôles et, de manière plus importante encore, des plans de restauration doivent également être mis en place non seulement pour réduire l’étendue du risque, mais aussi pour réagir activement une fois un problème décelé.

L’infrastructure publique représentera toujours une cible particulièrement attractive pour les criminels et les terroristes. Par conséquent, il est essentiel de prendre des mesures efficaces à cette échelle afin de sécuriser les smart cities. Tout programme visant à sécuriser les smart cities doit être vérifié régulièrement afin de garantir que les dernières innovations y soient intégrées et qu’il soit toujours conforme. En association avec la gestion de l’identité et une connaissance solide des vecteurs de menaces, ces mesures devraient suffire à protéger des smart cities qui ne cessent d’évoluer.

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, IOT, Sauvegarde, Social engineering

Fuite de données pour le service de réseautage Vixlet

Plusieurs centaines de milliers de comptes d’utilisateurs du service de réseautage Vixle accessible en quelques clics de souris.

La société Vixlet, anciennement Divide Nine LLC, est connue pour proposer des services de réseautage. Basée à Los Angeles, cette startup américaine propose des outils pour les réseaux sociaux à des clients tels que la ligue professionnelle de basket US ou encore l’ATP (Tennis).

Une faille a été découverte dans l’outil proposé par Wixlet. Elle permettait de mettre la main sur les informations des inscrits. Dans les données, mails, mots de passe et dates de naissance. Un serveur non protégé et le tour était joué pour accéder à la base de données. Les données des clients étaient sauvegardées dans un dossier baptisé VixLet prod. Un dossier de production contenant de vraies données… normale !

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, IOT, Social engineering

L’employés, le vilain petit canard de la données sensibles

Selon une étude réalisée par Kaspersky Lab et B2B International en 2015, 73 % des entreprises auraient été touchées par des incidents internes de sécurité informatique. La principale cause de fuites de données confidentielles reste les employés (42 %).

À mesure que l’infrastructure informatique d’une entreprise s’étend, il en va de même pour le paysage des menaces : à nouveaux composants, nouvelles vulnérabilités. La situation est aggravée par le fait que les employés – en particulier ceux ne possédant pas de connaissances spécialisées – ne sont pas tous en mesure de suivre les évolutions rapides de l’environnement informatique. C’est ce que confirme une récente enquête, révélant que 21 % des entreprises touchées par des menaces internes ont perdu de précieuses données, avec à la clé des conséquences sur leur activité. Il est utile de préciser que l’étude recense les cas de fuites accidentelles (28 %) et intentionnelles (14 %).

Les incidents internes, pas toujours des accidents
En dehors des fuites de données, les menaces internes concernent principalement la perte ou le vol des équipements mobiles des employés. 19 % des responsables interrogés reconnaissent égarer au moins une fois par an un mobile contenant certaines données de leur entreprise. Un autre facteur important concerne les fraudes au sein du personnel. 15 % des participants à l’enquête se sont retrouvés face à des situations où certaines ressources de leur société, notamment financières, ont été utilisées par des employés à des fins personnelles. Si ce pourcentage paraît faible, les pertes causées par ces incidents sont supérieures aux dommages résultant des fuites de données confidentielles dans les grandes entreprises. Les PME perdent jusqu’à 40 000$ euros en moyenne en raison d’activités frauduleuses de leurs employés, tandis que ce chiffre dépasse 1,3 million de dollars pour les grandes entreprises.

« Une solution de sécurité à elle seule ne suffit pas pour protéger les données d’une entreprise. Et c’est ce que confirment les résultats de cette étude », commente à DataSecurityBreach.fr Konstantin Voronkov, responsable des produits pour les postes de travail chez Kaspersky Lab. « Les entreprises ont besoin d’une approche intégrée à plusieurs niveaux, s’appuyant sur une veille de sécurité et d’autres mesures complémentaires. Ces mesures peuvent comprendre l’utilisation de solutions spécialisées et l’instauration de règles de sécurité, portant par exemple sur une restriction des droits d’accès. »

Etude menée auprès de 5500 spécialistes dans plus de 25 pays à travers le monde.

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, IOT, Social engineering

Mieux sensibiliser le personnel pour mieux prévenir les cyberattaques

D’après les conclusions d’une enquête, un responsable européen sur sept fait courir des risques à son entreprise en connaissance de cause, malgré un budget « cybersécurité » se chiffrant en milliards.

Une nouvelle enquête vient de pointer le bout de ses chiffres sur la sécurité informatique en entreprise. Signée par Palo Alto, les conclusions sur les attitudes en matière de cybersécurité des dirigeants et des cadres des entreprises européennes pourraient inquiéter sur le comportement numérique de ces derniers. Un nombre alarmant d’employés haut placés fait sciemment courir des risques en matière de cybersécurité aux entreprises, les principales raisons invoquées étant la frustration engendrée par les politiques d’entreprise et la mauvaise compréhension des menaces en ligne.

Cette étude montre que les actions des décisionnaires mettent à mal le budget de 35,53 milliards de dollars que les entreprises européennes prévoient de consacrer à la cybersécurité à l’horizon 2019. De fait, 27 % des répondants reconnaissent avoir exposé leur entreprise à une cybermenace potentielle, sachant que 14 % déclarent en avoir eu conscience au moment des faits.

Trouver l’équilibre entre sécurité et fonctionnalité
Si, dans un cas sur quatre, les auteurs de ces actions ont affirmé ne pas comprendre pleinement en quoi consiste un « cyber-risque » ou un risque pour la sécurité en ligne, la quasi-totalité des répondants (96 %) a néanmoins jugé que la cybersécurité devrait être une priorité pour leur entreprise. Le principal motif invoqué par les employés pour expliquer le non-respect des politiques d’entreprise est la nécessité de recourir à un outil ou à un service plus efficace que celui utilisé par l’entreprise, ou le fait que ces outils étaient considérés comme les meilleurs sur le marché. Cette tendance est confirmée par les 17 % de répondants indiquant que la politique de sécurité de l’entreprise est frustrante et les empêche d’accéder à des outils et à des sites qui contribueraient à accroître leurs performances professionnelles. L’éducation des employés est essentielle pour s’assurer que le raisonnement sous-tendant la politique est clair.

Non-respect des règles de sécurité par les cadres supérieurs
Les résultats de l’enquête indiquent que tout employé, quel que soit son service ou son degré d’ancienneté, est susceptible d’entreprendre des actions contestables ou de se forger une opinion erronée. Dans un cas sur dix, les répondants ont déclaré avoir été témoins du non-respect des lignes directrices de l’entreprise par un cadre ; et à cette question, un cadre supérieur sur quatre a effectivement reconnu avoir exposé son entreprise à une menace potentielle en connaissance de cause.

Responsabilité
D’après cette étude, un dirigeant sur cinq (18 %) ne considère pas avoir un rôle personnel à jouer dans les efforts de son entreprise en matière de cybersécurité ; et en cas d’attaque perpétrée avec succès, seul un sur cinq (21 %) pense que l’employé à l’origine de la faille devrait être tenu pour responsable, la majorité des répondants (40 %) estimant que la responsabilité devrait être rejetée sur le service informatique.

Les actions des employés n’ont pas forcément des répercussions visibles immédiatement, dans la mesure où les attaques se produisent souvent dans un deuxième temps. Aussi les entreprises peuvent-elles avoir du mal à en identifier l’origine. Étant donné que les deux tiers des employés n’ont pas encore conscience que chacun a un rôle à jouer dans la prévention des cyberattaques, il est évident que les entreprises doivent agir en 2016 sur le terrain de l’éducation en matière de cybersécurité.

« Ces conclusions suggèrent que les employés haut placés sont trop confiants et sont enclins à prendre des risques en partant du principe que “cela n’arrive qu’aux autres”. L’évolution des réglementations va faire la lumière sur ce qui se passe vraiment en Europe dans les prochaines années, et mettra ainsi un frein à ce type de comportement. Cela laisse également entendre que la cybersécurité est encore considérée par beaucoup comme une mesure prise pour l’entreprise, et non comme une ligne directrice qui doit être respectée par tous. », commente à DataSecurityBreach.fr Arnaud Kopp, Directeur Technique Europe du Sud, chez Palo Alto Networks

Cette enquête a été menée en ligne par Redshift Research, au mois d’octobre 2015, auprès de 765 décisionnaires travaillant dans des entreprises comptant plus de 1 000 employés au Royaume-Uni, en Allemagne, en France, aux Pays-Bas et en Belgique.

A noter que Data Security Breach vous propose des ateliers et formations de sensibilisation à la sécurité informatique. Elles sont dispensées par Damien Bancal, expert en la matière. Pour en a savoir plus, n’hésitez pas à le contacter.

backdoor, Cybersécurité, Espionnae, ID, Identité numérique, IOT, Mise à jour, Particuliers, Patch

Des ondes non audibles capables de lancer votre micro

Méfiez-vous des annonces publicitaires qui peuvent utiliser le son de vos enceintes pour permettre d’écouter votre téléphone, TV, tablette, et PC.

Supposez que votre navigateur Internet ouvre un site web avec une pub, et que celle-ci actionne par ondes acoustiques non-audibles le micro de votre smartphone. De la science-fiction ? Le Centre pour la démocratie et de la technologie (Center for Democracy and Technology) vient d’alerter la Commission Fédérale Américaine, la FTC, que cette possibilité était loin d’être à négliger.

Des entreprises (SilverPush, Drawbridge, Flurry) travaillent sur les moyens de suivre un utilisateur via les dispositifs informatiques qu’il utilise. Adobe développe également des technologies de suivi multi-appareils. A la vue du nombre de failles exploitées par les malveillantes dans les produits Adobe tels que Flash ou PDF, voilà qui a de quoi inquiéter.

La société Californienne SilverPush travaille sur des balises exploitant des ultrasons qu’un homme ne peut pas entendre. « SilverPush intègre également des signaux dans des publicités télévisées » confirme le document du CDT. L’idée de ce traçage, savoir quand le téléspectateur à vue la publicité. A-t-il zappé ? Est-il resté devant ? Cette idée semble être tirée de BadBIOS, un malware découvert par le chercheur Dragos Ruiu, qui utilise, lui aussi, les ultrasons dans ses basses besognes. (ArtTechnica)