Archives de catégorie : Mise à jour

Cybersécurité, DDoS, Mise à jour, Patch, Piratage

Les DDoS exigent une stratégie de réponse à la hauteur des menaces

Les Dénis de service distribués (DDoS) ont évolué tant en complexification qu’en sophistication. Les menaces DDoS auxquelles sont confrontées toutes les entreprises, quelle que soit leur taille ou leur industrie, ont changé avec le temps. Si les attaques DDoS opportunistes sont encore une réelle menace, la plupart des attaques actuelles sont désormais ciblées. Il s’agit souvent de frappes brèves qui cherchent à échapper aux systèmes de mitigation traditionnelle. (Par Willie Georges, Ingénieur Réseaux et Sécurité Senior chez Corero Network Security)

Face à cette évolution, il est nécessaire que les entreprises aient une approche de la Défense contre les DDoS aussi sophistiquée que ces menaces. Les fournisseurs de services ont un rôle essentiel à jouer pour protéger leurs clients.

Les acteurs malveillants d’Internet lancent chaque jour des attaques DDoS pour protester, exercer des méfaits, des représailles, des actions de sabotage… On observe un éventail de plus en plus large de tactiques visant un nombre de cibles toujours plus important. Il est aujourd’hui facile pour n’importe qui de lancer une attaque paralysante pour très peu d’argent. Il existe par exemple des abonnements qui permettent de lancer plusieurs attaques DDoS de courte durée pour seulement quelques dizaines d’euros par mois. Il est aussi tout à fait possible d’installer des applications sur un smartphone pour lancer des DDOS.

L’Internet des Objets est un des vecteurs de la menace. Les téléviseurs intelligents, les voitures et maisons connectées, les capteurs de machine-à-machine, les villes intelligentes, les transports en commun et tous les matériels qui continuent à se connecter sont autant de points d’entrée pour les attaques. Ce sont ces dispositifs intelligents qui déjà en 2014 étaient utilisés comme vecteurs par un tiers des plus grandes attaques DDoS. Aujourd’hui, la fréquence des attaques augmente. Leur sophistication aussi. Au 4ème trimestre 2014, les clients de Corero Network Security ont connu en moyenne 3,9 tentatives d’attaque DDoS journalières, par client. Il s’agit d’une moyenne. L’un d’eux a subi une moyenne de 12 attaques par jour via son centre de données multi-environnement, pendant une période de trois mois !

Les motivations de ces attaques varient selon l’entreprise, le secteur économique auquel elle appartient ou l’image qu’elle véhicule. Il peut s’agir de cyber-terrorisme, d’un acte politique ou idéologique, de fraude, d’une demande de rançon, d’escroquerie, de cyber-espionnage, de sabotage numérique, de vol de données par exfiltration, de vengeance,… Les finalités sont multiples, les attaques se poursuivent et augmentent.

Certains événements, comme les attentats de Paris et les manifestations au Venezuela, en Arabie saoudite et aux Etats-Unis, sont très médiatisés. Par réaction, cette médiatisation a provoqué une légère hausse des actions hacktivistes. Par ailleurs, les cibles se sont élargies, incluant le monde des joueurs en ligne, des fournisseurs de cloud, des fournisseurs de vidéo en streaming et même des sites Web institutionnels…

Des frappes ciblées et répétées
Des techniques de réflexion et d’amplification augmentent le volume des attaques pour les rendre plus actives et paralyser totalement un site web par exemple. Les nouvelles attaques sont multi-vectorielles et leur durée est plus courte. Elles portent un coup rapide mais très efficace. 66% d’entre elles ont duré moins de cinq minutes et presque 96% moins de 30 minutes(1). Cette nouvelle approche complique le processus de nettoyage. Au moment où l’on active le service de mitigation chez le fournisseur, il est souvent trop tard et le mal est fait.

Les cybercriminels ont évolués, passant du pur volumétrique aux attaques DDOS multi-vecteurs. Des kits d’outils modernes peuvent lancer des attaques visant à la fois les infrastructures et les services. Ce sont des attaques SYN Flood, UDP Flood, DNS (Domain Name System) Flood avec un très grand nombre de requêtes pour obtenir une saturation. Le but ? Masquer une seconde vague de menaces qui vont bien au-delà des DDoS eux-mêmes.

Les acteurs de ces scénarios utilisent une saturation de lien partielle, laissant juste assez de bande passante disponible pour qu’une deuxième attaque puisse se produire. Dans ce cas, l’attaque DDoS sert à attirer l’attention et à concentrer les ressources de la victime sur le déni de service. Par exemple, un SYN flood pourrait remplir les tables des états de connexions pour faire tomber un pare-feu, tandis que l’amplification DNS serait utilisée pour attaquer les systèmes IPS. Entre les deux, des couches de sécurité compromises pour permettre une attaque ciblée par le biais de logiciels malveillants, avec l’objectif d’exfiltrer des données.

Les pirates effectuent des scans pour obtenir une cartographie du réseau ciblé. Puis, ils lancent une deuxième et éventuellement une troisième attaque qui contourneront la stratégie de protection. L’objectif étant le plus souvent l’exfiltration de données. Pour vaincre ces attaques sophistiquées, seule une analyse en temps réel est nécessaire et efficace, déterminant la nécessité de personnaliser les contremesures.

Les fournisseurs de service doivent agir
Il est aujourd’hui possible d’agir sur le trafic des attaques DDoS qui transitent sur les réseaux des fournisseurs de services mobiles et fixes – FAI, fournisseurs de convergence, opérateurs de systèmes multiples (MSO), etc. – sont bien placés pour changer fondamentalement l’impact des attaques DDoS en aval. De plus, c’est pour eux une nouvelle source de revenus que d’offrir une protection de nouvelle génération à leurs clients.

Avec les nouvelles solutions permettant des économies d’échelle pour une mitigation des DDoS modernes et sophistiqués, les fournisseurs de services sont désormais à même de relever ce défi. Ils doivent se focaliser sur cette bataille pour deux raisons majeures. D’abord le maintien de la bande passante nécessaire, fonction du nombre de leurs clients. Ensuite le fait qu’ils vont vers une architecture de réseau plus distribuée et plus chère pour fournir des services personnalisés à leurs abonnés.

Une protection locale instantanée devient alors capitale, ce qui contraint à s’éloigner de l’ancien modèle pour adopter une solution de protection moderne assise sur trois éléments stratégiques forts :
• Mettre en œuvre une technologie pour détecter, analyser et répondre aux attaques DDoS en inspectant le trafic Internet brut, puis pour identifier et bloquer les menaces dès les premiers paquets d’une attaque donnée.
• Mettre en place une stratégie de sécurité multicouche mettant l’accent sur la visibilité continue et l’application de la politique de sécurité pour installer une première ligne de défense proactive capable de lancer la mitigation des attaques DDoS, tout en assurant la disponibilité des services.
• Donner une visibilité totale des couches applicatives et du réseau lors d’attaques DDoS. Cette bonne pratique permet également l’analyse forensique des menaces passées et permet de disposer des rapports de conformité aux polices de sécurité.

La position des fournisseurs de services, au cœur de la circulation des données, de leur accessibilité ou de leur stockage les oblige désormais à intégrer dans leur projet d’entreprise cette stratégie de sécurité. Autant pour leur propre pérennité que pour la satisfaction et la tranquillité de leurs clients.

(1) Rapport trimestriel Tendances et analyse des DDoS de Corero Network Security.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Patch, Piratage

IBM traite 15 milliards d’événements de sécurité chaque jour

IBM Security aide les établissements financiers à partager plus rapidement leur connaissance concernant les menaces à l’échelle mondiale.

IBM a annoncé, à l’occasion de la conférence SIBOS 2015, travailler avec l’industrie des établissements financiers pour renforcer la collaboration et le partage mondial des connaissances des menaces et de leur exécution à travers de multiples secteurs et organisations. Les membres du FS-ISAC (Financial Services Information Sharing and Analysis Center), organisation à but non lucratif dans le domaine des services financiers, auront accès à la recherche avancée contre les menaces ainsi qu’aux analyses directement depuis IBM X-Force Exchange. Actuellement IBM a la plus importante équipe de services en sécurité, avec plus de 6 000 professionnels et un réseau de 11 SOCs (Security Operations Centers) à travers le monde. IBM gère et contrôle plus de 15 milliards d’événements de sécurité chaque jour, pour plus 4 000 clients.

Cybersécurité, Mise à jour, Patch

Patch Tuesday d’octobre 2015

Le Patch Tuesday d’octobre 2015 s’avère une édition légère. En effet, il ne comprend que six bulletins, mais concernent tous les produits phares. Un bulletin critique pour Internet Explorer (mais pas pour Edge), un bulletin pour Office, victime de vulnérabilités à base d’exécution de code à distance (RCE), ainsi qu’un correctif pour remédier des vulnérabilités dans le noyau Windows qui autorisent une élévation des privilèges. En outre, ce Patch Tuesday résout un problème intéressant dans le shell Windows qui autorise aussi l’exécution de code à distance. Toutes les versions de Windows et Office, sont concernées sauf qu’aucun paquet logiciel supplémentaire avec des mises à jour (.NET, logiciel serveur, etc.) n’est disponible ce mois-ci.

    Commençons par Internet Explorer qui figure en tête de notre liste interne des priorités. Le bulletin MS15-106 fournit 15 correctifs pour des vulnérabilités dont neuf sont critiques car pouvant entraîner des exécutions de code à distance (RCE) si l’un de vos utilisateurs se rend sur un site Web malveillant. Déployez cette mise à jour de sécurité en priorité sur toutes les plates-formes affectées, depuis Vista et IE7 et jusqu’à Windows 10 et IE11.

    Les bulletins MS15-107 et MS15-108 sont associés au bulletin pour Internet Explorer. MS15-107 est une nouvelle version pour le nouveau navigateur Edge, mais ce bulletin de sécurité ne contient que 2 correctifs plutôt mineurs : une fuite d’information ainsi qu’une mise à jour pour le filtre XSS. MS15-108 reprend quatre des problèmes traités par le bulletin MS15-106 pour les machines qui exécutent une autre version de JavaScript, principalement Internet Explorer 7.

    Les bulletins MS15-109 et MS15-110 sont plus importants et méritent toute votre attention. Commençons par le MS15-110. Ce dernier résout six problèmes sévissant dans Office (essentiellement Excel), dont cinq entraînent une exécution de code à distance. L’utilisateur est invité à ouvrir une feuille de calcul Excel contenant un exploit pour l’une de ces vulnérabilités, ce qu’il fera sans trop hésiter si les feuilles de calcul présentent par exemple des informations produits pertinentes, des tarifs et encore des remises de fournisseurs concurrents (je reçois environ un e-mail par semaine avec ce type d’information). Le bulletin MS15-109 traite une vulnérabilité dans le shell Windows qui peut être déclenchée via un e-mail et une navigation Web et qui, en cas d’exploit réussi, fournira une exécution à distance RCE à l’attaquant.

    Quant à la mise à jour MS15-111, elle gère des vulnérabilités à base d’élévation locale de privilèges sous Windows, ce qui affecte une fois encore toutes les versions de Windows depuis Vista jusqu’à Windows 10. Les attaquants utiliseront ce type de vulnérabilité pour accéder au niveau système, une fois qu’ils auront pris le contrôle de la machine ciblée.

    En résumé : appliquez le patch MS15-106 pour Internet Explorer en priorité, puis MS15-110 pour Excel. Ensuite, le bulletin MS15-109 pour le shell Windows. Les autres bulletins sont moins critiques et peuvent être déployés dans le cadre de votre cycle de patch normal.

    Enfin, Adobe a également publié des mises à jour pour Adobe Reader et Flash : APSB15-24 pour le Reader et APSB15-25 pour Flash. Ces bulletins traitent plusieurs vulnérabilités critiques (plus de 50 pour le Reader) qui permettraient à un attaquant d’exécuter du code dans le contexte de l’utilisateur. Nous recommandons la correction immédiate du Flash. D’autre part, la sandbox d’Adobe renforce le durcissement de sa visionneuse PDF car depuis plus d’un an des fichiers PDF sont utilisés pour lancer des exploits à l’aveugle. Corrigez dans le cadre de votre cycle de patch normal. Quant à Oracle, il publiera sa mise à jour de patchs critiques (CPU) le 20 octobre.

Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Le pirate de JPMorgan Chase s’est attaqué à d’autres sociétés

Le pirate informatique qui s’est attaqué à la banque JPMorgan Chase a aussi visé, avec plus ou moins de succés, Citigroup, E*Trade Financial Corp, Automatic Data Processing et Regions Financial Corp.

Si certaines structures n’ont pas confirmé cette affirmation de plusieurs enquêteurs qui ont souhaité  rester anonyme, des entreprises comme E*Trade Financial Corp ont confirmé avoir été attaquées en 2013 par ce qui semble être le même pirate que la banque JPMorgan.

En 2014, ETCF avait indiqué ne pas savoir si des données clients avaient été impactées. Deux ans plus tard, voici la confirmation de cette infiltration. Au moins 31 000 clients de la structure bancaire ont été alertés d’une violation de leurs données. Les pirates ont pu avoir accès aux noms et e-mails des clients, ainsi que les adresses physiques de ces derniers. Il n’y a « aucune preuve que toutes les informations des comptes clients, y compris les mots de passe, numéros de sécurité sociale, ou des informations financières eurent été compromises » indique le communiqué de presse de la banque.

Un détail dés plus déroutant. Il est pourtant assez simple de savoir ce que les pirates ont pu lire, copier… Toutes les données contenues dans la base de données compromise ont été accessibles.

Banque, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Propriété Industrielle

Le FBI lance une alerte sur les cartes à puce… puis la retire

Les banques, plus fortes que le FBI ? L’agence fédérale américaine a lancé une alerte au sujet des cartes bancaires à puce. Un message retiré à la demande des institutions financières.

Le FBI de San Diego a fait fort, vendredi 9 octobre. Une alerte publique, comme l’agence en produit très souvent, indiquait que les cartes bancaires avec puces pouvaient encore être la cible des pirates. Dans son document intitulé « Les nouvelles cartes de crédit avec micropuces peuvent encore être vulnérables face aux fraudeurs » [New microchip-enabled credit cards may still be vulnerable to exploitation by fraudsters] Mulder et Scully expliquaient simplement que le fait d’avoir une puce et un mot de passe ne devait pas empêcher les utilisateurs des nouvelles cartes bancaires (avec une puce et un mot de passe) de faire attention à leur bout de plastique. Les banques n’ont pas aimé l’alerte. Bilan, le FBI a retiré son avertissement et a été invité à revoir sa copie.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

Les installations nucléaires civiles ne demandent qu’à être piratées

Les infrastructures nucléaires civiles dans le monde entier seraient insuffisamment préparées à l’éventualité d’une cyberattaque.

Tout le petit monde du nucléaire c’est donné le mot, la semaine dernière, pour annoncer que les centrales nucléaires ne tiendraient pas face à une attaque informatique. C’est selon un nouveau rapport des chercheurs de la Chatham House, un think-tank basé à Londres, que l’on apprend que les pirates informatiques ne feraient qu’une bouchée des centrales nucléaires.

Les installations deviennent de plus et plus dépendantes des systèmes numériques et autres logiciels, et que la sensibilisation de haut niveau des menaces liées à la cybersécurité stagne, un événement grave semble s’écrire. « Les récentes attaques de grande envergure, y compris le déploiement du worm Stuxnet, ont soulevé de nouvelles inquiétudes concernant les failles de sécurité des cyber d’installations nucléaires, commente le rapport. Les cyber-criminels, les États et les groupes terroristes augmentent leurs activités en ligne, la crainte d’une cyber-attaque sérieuse est toujours présente.« 

D’ici là à penser que le survol de centrales françaises par des drones avaient pour mission de sniffer les connexions wifi des installations !

Cybersécurité, Hacking, loi, Mise à jour, Patch, Rendez-Vous

Un drone film une base de la NSA en Allemagne

Des hacktivistes manifestent contre la cyber surveillance de la NSA en survolant une base de la Nationale Security Agency basée dans le sud de Francfort, en Allemagne.

Le groupe d’hacktivistes Intelexit vient de lancer une manifestation à l’encontre de la surveillance de masse mise en place par les Américains. Leur idée, si la NSA nous surveillance, surveillons la NSA. Avec un drone, ils ont survollé la base militaire américaine Dagger, basée au sud de Francfort (Allemagne).

En plus de filmer, le drone a lâché des brochures exhortant les employés de la NSA à quitter leur emploi et à soutenir la lutte contre la surveillance de masse. Le complexe abriterait l’outil XKeyStore, un système utilisé par la NSA qui permettrait de suivre et de stocker tout ce qu’un utilisateur fait à travers l’Internet. L’outil est connu comme un des piliers de la NSA dans la collecte des informations diffusées en Europe.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Mise à jour, Patch, SAAS

Menaces sur les applications SAAS

Palo alto networks dévoile son nouveau rapport sur les menaces et souligne la nécessité de sécuriser les applications SAAS.

Palo Alto Networks, spécialisé dans les solutions de sécurité de nouvelle génération, annonce la nouvelle et 12ème édition de son rapport AUTR (Application Usage and Threat Report), réalisé par son équipe de recherche sur les menaces, la Palo Alto Networks Unit 42 Threat Intelligence. Ce rapport, s’appuyant sur les données de plus de 7 000 entreprises dans le monde, présente les tendances réelles en matière d’utilisation des applications d’entreprise, ainsi que les nouveaux événements cruciaux dans les offensives contre les entreprises. Il contient en outre des recommandations pratiques pour éviter les cyberattaques.

Le rapport met en exergue l’avancée phénoménale des applications SaaS (logiciels sous forme de services) qui créent une brèche d’infiltration pour les nouveaux risques de sécurité ou les accès non autorisés aux données sensibles. Le rapport démontre aux organismes de sécurité que les vecteurs d’attaque courants ou existants depuis toujours, tels que les emails et les fichiers exécutables, continuent de poser des difficultés. Il décrit également les tendances d’utilisation des applications à haut risque dans le monde, par exemple les applications à accès distant.

PRINCIPALES CONCLUSIONS DU RAPPORT

La popularité des applications SaaS a explosé – Le nombre des applications SaaS dans les réseaux d’entreprise a augmenté de 46 % entre 2012 et 2015, et comprend désormais plus de 316 applications. Les pièces jointes par email continuent d’être un vecteur de danger – Plus de 40 % des pièces jointes par email se sont révélées malveillantes. L’utilisation des applications à accès distant est largement répandue – Il existe actuellement 79 applications à accès distant différentes dans le monde qui sont fréquemment utilisées par les cyberattaquants dans le cadre de leurs opérations. Les catastrophes de l’actualité ou les gros titres sont détournés en vecteurs d’attaque – En moyenne, un délai de six heures s’écoule entre la parution d’une actualité exceptionnelle et son exploitation par une campagne de phishing ciblé ou de spam, ou une attaque Web. Les identités des principaux ennemis ont été dévoilées – Trois acteurs majeurs ont été identifiés : Carbanak (Russie/Ukraine), Sandworm (Russie) et Shell Crew (Chine). Ces trois groupes, spécialisés dans le cyber-espionnage et la cybercriminalité, ciblent les gouvernements et les entreprises en Europe et en Amérique du Nord.

« Chez Palo Alto Networks, nous sommes convaincus que le partage des informations sur les cyber-menaces est bénéfique pour la société dans sa globalité. C’est cette conviction qui motive la publication de notre rapport annuel Application Usage and Threat Report. Des professionnels de la cybersécurité bien informés, ce sont des professionnels mieux armés : s’ils connaissent les méthodes utilisées par les attaquants pour exploiter les applications et compromettre les réseaux, ils pourront identifier les offensives et riposter avant qu’elles ne puissent endommager leurs réseaux », commente à DataSecurityBreach.fr Ryan Olson, directeur du renseignement, Unit 42 de Palo Alto Networks

ACTIONS RECOMMANDÉES

· Face à la popularité grandissante des applications SaaS, les équipes de sécurité ont tout intérêt à se familiariser avec le phénomène dit du « shadow IT », ou informatique fantôme. Désormais courant dans les entreprises où les employés utilisent les solutions SaaS et d’autres applications à l’insu du service informatique ou sans son approbation, cette tendance a le pouvoir d’affaiblir les politiques de sécurité.

· L’omniprésence des pièces jointes malveillantes accentue la nécessité de mettre en place des mesures de sécurité automatiques capables d’intercepter automatiquement un fichier exécutable déguisé, activé par erreur par un utilisateur.

· Les nouvelles menaces évoluent désormais de plus en plus vite. Les outils d’attaque automatisés permettent aux cybercriminels d’exploiter les nouvelles vulnérabilités en quelques heures à peine. Pour arrêter ces attaques, il est indispensable de mettre en œuvre des dispositifs de prévention sophistiqués et automatiques, fournissant une visibilité élargie des menaces connues et inconnues et une protection solide contre ces dernières.

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Propriété Industrielle, Social engineering

Et si cette panne de courant cachait un piratage informatique ?

Panne de courant, porte d’entrée récalcitrante, prise téléphonique dévissée ? Et si ces problèmes physiques cachaient les prémices d’une attaque informatique ?

En Avril 2013, une intrusion dans une station électrique de PG&E basée dans la Silicon Valley, par des voyous locaux, avait mis en panne les bureaux accueillant les appels de secours au 911 et un opérateur régional des services dédiés aux téléphones portables. Derrière cette panne, des coups de feu tirés par les malfaiteurs lors d’une course poursuite avec la police. Bref, un fait divers qui ne  concerne pas, à première vue, le piratage informatique. Du moins, directement. Les tirs avaient occasionné la destruction de 17 transformateurs électriques. Depuis cette affaire, les renseignements américains ont alertés les entreprises d’être plus « suspicieuses » face à des problèmes physiques. Ils cachent peut-être une attaque informatique en cours. Un programme de surveillance, baptisé « suspicious activity reporting » [SAR] a été mis en place. Il a pour mission de lutter contre le terrorisme et enregistre l’ensemble des rapports liés aux comportements suspects découverts dans des espaces particuliers (transformateurs électrique…) et qui pourraient se conclure par une attaque/un problème informatique.

backdoor, Cybersécurité, Mise à jour, Patch, Virus

Wifatch, le virus qui vous veut du bien

Un code viral baptisé Wifatch s’attaque aux routeurs pour mieux les protéger des autres virus.

Voilà une action qui est à saluer. Un hacker aurait mis en action depuis quelques jours un code informatique baptisé Wifatch. L’idée de ce « virus » s’infiltrer dans les routeurs pour empêcher que les autres virus, beaucoup plus malveillants, ne puissent exploiter les boîtiers. Les routeurs sont mal sécurisés, rarement mis à jour et exploités par des attaques informatiques ayant pour mission, par exemple, de participer à des Dénis Distribués de Services (DDoS) contrôlés par des bots qui contrôlent les routeurs infiltrés.

Symantec explique que ce code se tient informé via le P2P et bloque les canaux par lesquels les logiciels malveillants peuvent attaquer les routeurs que Wifatch a pris en main. Un virus qui protège les victimes potentielles en quelque sorte. Les auteurs expliquent que la création de Wifatch est due, tout d’abord, pour l’apprentissage. Deuxièmement, pour la compréhension. Troisièmement, pour le plaisir, et la quatrième et derniére raison, pour votre (et notre) sécurité. Il n’infecte que les routeurs dont le mot de passe n’a pas été changé, comme « password » !

Une belle bête qui a pointé le bout de ses bits en novembre 2014.