Archives de catégorie : Mise à jour

Argent, Arnaque, Cyber-attaque, Cybersécurité, escroquerie, Espionnae, Mise à jour, Particuliers, Patch, Piratage

Les internautes allemands confrontés à des publicités malveillantes

Les clients du Fournisseur T-Online et du site eBay visés par des publicités malveillantes. Un cheval de Troie était installé dans les ordinateurs des victimes.

Sale ambiance, fin de semaine dernière, pour des milliers d’internautes allemands. Des pirates informatiques ont réussi l’infiltration d’une importante régie publicitaire locale, MP NewMedia. Lors de cette intrusion, les malveillants ont fait de manière à afficher de fausses annonces sur d’importants sites web (boutique, presse, …).

Parmi les diffuseurs involontaires d’un cheval de Troie, le fournisseur d’accès à Internet T-Online ou encore eBay. Dans le cas du FAI, dès qu’un visiteur souhaitait se rendre sur son compte mail, une message lui proposait de télécharger un logiciel. Derrière le programme, un code malveillant d’espionnage ! Tous les clients ayant visité T-Online, du vendredi 16 octobre au dimanche 18 octobre ont pu être compromis.

Prudence, il y a de forte chance que les pirates se soient attaqués à d’autres régies publicitaires. (MalwareBytes)

Cybersécurité, Mise à jour, Patch

Les attaques DDoS sont-elles des leurres ?

Une enquête réalisée par B2B International révèle que dans la plupart des cas une attaque DDoS n’est que la partie visible de l’iceberg : 74 % des responsables interrogés signalent que les attaques DDoS contre leur entreprise se sont accompagnées d’autres incidents de sécurité informatique.

Parfois, il ne s’agit pas de simples coïncidences mais de tentatives délibérées de diversion pour détourner l’attention du personnel informatique. On parle alors de la technique de l’« écran de fumée » DDoS.

Les attaques DDoS, un moyen de détourner l’attention des services informatiques
Les participants à l’enquête citent le plus souvent les logiciels malveillants (21 %) et les piratages (22 %) comme les menaces numéro un pour leur entreprise, mais ils ne sont que 6 % à mentionner les attaques DDoS. En parallèle, les attaques DDoS coïncident souvent avec des incidents provoqués par des malwares (dans 45 % des cas) et des intrusions dans le réseau de l’entreprise (32 %). Des fuites de données ont également été détectées en même temps qu’une attaque dans 26 % des cas.

Les entreprises des secteurs de la construction et de l’ingénierie ont été confrontées à ce problème plus souvent que les autres : selon les responsables interrogés, 89 % des attaques DDoS dont elles ont été la cible sont allées de pair avec d’autres types d’attaques.

1 attaque DDoS sur 4 engendre une indisponibilité totale des services
Cependant, même sans tenir compte des dommages collatéraux, les attaques DDoS demeurent un sérieux problème qui touche de plus en plus les ressources des entreprises. En particulier, dans 24 % des cas, une attaque DDoS a causé une indisponibilité totale des services (39 % dans les entreprises publiques). Dans 34 % des cas, certaines transactions ont échoué en raison de telles attaques, ce chiffre grimpe à 64 % pour les compagnies de transport. L’an passé, ces chiffres étaient nettement plus bas : seules 13 % des entreprises avaient fait état d’une indisponibilité totale de leurs services à la suite d’attaques DDoS, et 29 % d’erreurs dans des transactions.

Un ralentissement significatif du chargement des pages web reste l’une des conséquences les plus courantes des attaques DDoS (53 % cette année contre 52 % l’an passé) ; cependant, selon l’enquête, les attaques peuvent durer des jours voire des semaines.

« Il est naturel que les attaques DDoS posent des problèmes croissants aux entreprises. Les méthodes et techniques employées par les criminels évoluent, les auteurs des attaques cherchant de nouveaux moyens de paralyser les activités de leurs victimes ou de masquer une intrusion dans leurs systèmes. Même avec un vaste contingent de personnel informatique, il est quasi impossible pour les entreprises de faire face à une attaque DDoS d’envergure et de restaurer leurs services par elles-mêmes. En outre, si une autre activité malveillante se déroule simultanément, cela démultiplie les dégâts. Le plus dangereux réside dans le fait que les entreprises soient susceptibles de ne jamais apprendre qu’elles ont été victimes d’une attaque DDoS, servant souvent d’écran de fumée », conclut à DataSecurityBreach.fr Evgeny Vigovsky, responsable des activités de Kaspersky Lab pour la protection contre les attaques DDoS.

La contre-mesure la plus efficace face aux attaques multivecteurs est une protection complète qui assure la sécurité à la fois contre les malwares, les intrusions et les attaques DDoS. Kaspersky Lab s’est spécialisé dans cette forme de protection depuis de nombreuses années et l’efficacité de ses solutions est confirmée aussi bien par des laboratoires de test indépendants que par les 270 000 entreprises clientes de la société.

Comme le blog ZATAZ.COM a pu le prouver, les attaques DDoS sont de plus en plus simple à lancer via des sites offrant, contre argent, des minutes de blocage. La grande majorité des DDoS rencontrés avaient pour mission de vanter ce genre de « boutique » de DDoS.

Cybersécurité, Emploi, Entreprise, Linux, Mise à jour, Patch, Propriété Industrielle

L’open source : L’innovation et la sécurité par la transparence

Le contraste entre les logiciels propriétaires et open source est aussi vieux que l’industrie de l’informatique elle-même. Dans presque toutes les catégories, des logiciels sont disponibles soit auprès de fournisseurs qui développent et commercialisent eux-mêmes leur code, soit auprès de communautés de développeurs travaillant avec du code ouvert.

Au cours de la dernière décennie, l’aversion envers l’utilisation des logiciels libres, particulièrement dans les entreprises, a pris un tournant majeur. Les managers ont réalisé que si même les géants de l’informatique comme Facebook, Google et Amazon font appel à l’open source, les entreprises ordinaires devraient pouvoir le faire aussi. Les avantages de l’open source sont bien connus : les coûts inférieurs (à noter que coûts inférieurs ne veut pas forcément dire gratuits), la qualité supérieure et la sécurité qui découlent d’une grande communauté de développeurs et l’absence de dépendance à un fabricant sont des arguments de poids. Dans certains domaines, les produits open source sont déjà leaders de leur catégorie. Linux, Firefox et WordPress, par exemple, sont d’énormes réussites auprès des particuliers. MySQL, Apache, Free BSD, Zimbra et Alfresco se retrouvent fréquemment dans les environnements d’entreprise.

Toutefois, la distinction n’est pas aussi claire qu’on pourrait le penser : il n’est pas possible de diviser simplement les logiciels en catégories (ouvert ou fermé, libre ou non-libre, open source ou propriétaire). Il existe toutes sortes de sous-catégories, ce qui donne lieu à d’importantes différences dans les conditions de licence. Pour les entreprises, toutefois, il est pertinent de s’intéresser aux catégories de logiciels open source et propriétaires, et c’est la combinaison des deux, sous la forme de logiciels open source commerciaux, qui offre de fait le meilleur des deux mondes.

Un changement culturel global est en cours en faveur de l’open source. Par exemple, l’UE et le gouvernement des États-Unis investissent de grosses sommes d’argent pour augmenter leur utilisation de l’open source. Et au CERN (l’Organisation européenne pour la recherche nucléaire), qui a longtemps été un pionnier de l’informatique, les scientifiques sont encouragés à mener leurs recherches à l’aide de solutions libres de nouvelle génération. La tendance ne se limite plus désormais aux logiciels. Le « matériel libre » se répand : le Raspberry Pi, le Kano, l’Arudion, le MatchStick basé sur Firefox, le NAO et le Hummingboard sont tous des exemples démontrant le dynamisme des projets libres, qui font naître de nouvelles tendances comme l’Internet des Objets. Et pourtant l’open source n’est pas quelque chose de réellement nouveau. La plateforme informatique open source ultime reste le mainframe, qui était également le noyau de l’ordinateur personnel actuel et a donc toujours représenté une communauté open source considérable.

Des solutions open source commerciales : un système donnant-donnant

Le modèle de développement open source permet aux entreprises de prendre en charge leur projet avec des technologies adaptées, évolutives et un code ajusté à leurs exigences, et par là même de renvoyer l’ascenseur à la communauté. Dans les logiciels open source commerciaux, tout nouveau code passe par un processus strict d’assurance qualité pour garantir la sécurité des entreprises clientes et de leurs utilisateurs finaux. Les changements pouvant bénéficier à un ensemble plus large d’entreprises clientes sont contrôlés et la communauté les ajoute ensuite à son code de base. Pour pouvoir utiliser tous les avantages de l’open source, il faut une relation étroite avec un fournisseur de solutions open source commerciales. C’est essentiel pour promouvoir la créativité et les contributions au sein de la communauté. Les entreprises peuvent également fournir du code pour prendre en charge leurs activités. Les fournisseurs de solutions open source commerciales ne fournissent que l’assistance et le processus strict de développement du produit, comprenant les tests avec les bases de données, les conteneurs et l’assurance qualité qui font normalement partie du développement des logiciels propriétaires.

Des soucis de sécurité avec l’open source ? Au contraire !

Avec l’acceptation croissante des logiciels open source, les logiciels propriétaires purs perdent du terrain sur le marché. Beaucoup d’utilisateurs doutent de la souplesse des logiciels propriétaires dans les années à venir et beaucoup considèrent leur dépendance par rapport à leur fournisseur comme une restriction indésirable. Lorsqu’elles envisagent le futur des services numériques, qu’il s’agisse de ceux des entreprises ou des administrations, des entreprises comme Facebook et Google considèrent l’open source comme indispensable. La plupart des fournisseurs utilisent d’ailleurs déjà l’open source dans divers domaines de leurs opérations informatiques. Les solutions open source fournissent, en particulier, une plateforme pour une technologie prête à l’emploi pouvant être personnalisée pour différents produits. Néanmoins, malgré l’acceptation grandissante de l’open source, les entreprises gardent des inquiétudes à propos de leur fiabilité et de leur sécurité. Mais quels sont les arguments derrière ces inquiétudes ?

Le préjugé menant à penser que les logiciels open source ne sont pas sécurisés ne se vérifie absolument pas. Le réseau international de développeurs, d’architectes et d’experts de la communauté open source est de plus en plus reconnu en tant que ressource majeure. La communauté fournit un retour professionnel d’experts du secteur qui peuvent aider les entreprises à produire du code plus robuste, à créer des correctifs plus vite, et capables de développer des innovations et des améliorations à de nouveaux services. Dans un modèle propriétaire, la qualité du logiciel est limitée à celle du petit ensemble de développeurs qui y travaillent. Les entreprises qui font appel à des vendeurs tiers pour leurs logiciels propriétaires peuvent avoir un sentiment de sécurité plus fort, mais elles se bercent d’illusions : au nom de la propriété intellectuelle propriétaire, les éditeurs peuvent facilement empêcher leurs clients professionnels de savoir s’il existe des failles de sécurité dans leur code – jusqu’à ce que des pirates les exploitent. Nous avons vu récemment de nombreux exemples de ce fait, qui ont entraîné des problèmes pour de nombreux clients.

En raison du haut degré de transparence au sein de la communauté open source, le travail de ce réseau d’experts est d’une grande qualité ; ses membres attachent une importance extrême au maintien de leur réputation. Personne ne peut se permettre de mettre sa crédibilité en jeu lorsque toute la communauté peut voir le code publié sous son nom et le commenter. Par conséquent, les membres de la communauté soumettent tout code nouvellement compilé à un long travail de vérification avant de le publier. Cela devrait dissiper les craintes injustifiées concernant les failles de sécurité.

Une architecture ouverte et une évolutivité sans limite pour des solutions fiables

Les médias sociaux, le cloud, les big data, la mobilité, la virtualisation et l’Internet des Objets révolutionnent constamment l’informatique. Les technologies existantes peinent à suivre le rythme de ces changements. Les entreprises et les institutions doivent fournir leurs services sur de nombreux canaux tout en garantissant une sécurité totale des données. Avec des systèmes propriétaires rigides, cela est pratiquement impossible, et la communauté open source démontre tous les jours que les produits utilisant du code open source sont plus que prêts à gérer des services importants. Apache est déjà le numéro un. MySQL en prend le chemin ; tôt ou tard, il est très probable qu’OpenStack deviendra le logiciel de référence pour la gestion des centres informatiques et OpenAM est l’un des meilleurs produits pour les droits d’accès reposant sur les identités numériques. Les entreprises qui refusent d’utiliser l’open source courent le risque de prendre du retard sur l’étendue et la puissance des fonctions, et de ne pas être en mesure de proposer à leurs clients une expérience utilisateur numérique complète.

La réussite de l’open source se mesure par sa capacité à garantir un haut degré de sécurité et d’innovation. Si les logiciels développés de façon libre n’étaient pas sûrs, la sécurité et l’innovation ne seraient pas possibles. L’open source offre donc la sécurité grâce à sa transparence, ce que les logiciels propriétaires ne peuvent pas se permettre. Les entreprises feraient bien de garder un œil sur les solutions open source. (Par Ismet Geri, vice-président Europe du Sud chez ForgeRock)

Argent, Arnaque, Cybersécurité, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering

Un malware prend la place de Chrome pour surveiller les machines piégées

Des chercheurs ont découvert un malware qui prend le relais du navigateur Chrome. Similaire au navigateur de Google, des bonus malveillants en plus.

Décidément, les malwares pour Android, iOS et autres ordinateurs sont légions. Gdata a annoncé, le 20 octobre 2015, pas moins de 3 millions de nouveaux codes malveillants découverts lors des 6 premiers mois de l’année 2015 ; Apple vient d’effacer 256 applications de l’App Store. Des applications qui volaient des données personnelles aux utilisateurs.

Dans cette panoplie malveillante, un petit nouveau qui est basé sur le code de Chromium, un outil open-source qui permet de garder la même interface que Chrome dans les outils créés. Le malware fonctionne ainsi : d’abord il fait de manière à devenir le navigateur par défaut. Il prend en charge un certain nombre de fichiers tels que HTML, JPG, PDF et GIF.

Malwarebytes explique que le malware détourne aussi les associations d’URL : HTTP, HTTPS et MAILTO et la quasi-totalité des authentifications du PC avec l’Internet. Le navigateur affiche ensuite des tonnes de publicités vers des sites pirates proposant faux antivirus et autres promotions commerciales douteuses. Le navigateur est diffusé par la société Clara Labs, une « entreprise » basée à San Francisco, du moins sa boite aux lettres.

Base de données, Cybersécurité, Entreprise, Mise à jour, Social engineering

Les identités numériques à l’heure de l’économie du partage

L’émergence de l’économie participative sur Internet offre à Monsieur tout le monde des possibilités jusqu’ici inenvisageables. Aujourd’hui, n’importe qui peut démarrer son activité de taxi en devenant chauffeur VTC (Voiture de Tourisme avec Chauffeur). Les propriétaires immobiliers peuvent louer leur bien comme un hôtel par le biais d’Airbnb. Grâce à ces sociétés qui mettent en relation les particuliers fournissant un service avec les consommateurs, le client a plus de choix. Tout se passe sur Internet par l’intermédiaire d’applications ou de sites Web.

Cette économie du partage repose en grande partie sur la confiance. Fournisseurs et consommateurs s’inscrivent pour pouvoir proposer ou acheter leurs services en ligne. Les transactions sont réalisées via une application ou un site Web dédié. Prenons le chauffeur VTC. Tant que le véhicule ne s’est pas
arrêté le long de la voie pour prendre son passager, le fournisseur du service et le consommateur ne s’étaient encore jamais rencontrés et n’avaient jamais discuté ensemble. Lorsque l’on loue l’appartement de quelqu’un, on peut parfaitement ne jamais rencontrer son propriétaire. Ainsi, il est fréquent qu’une personne, qui loue une maison à l’étranger par l’intermédiaire d’Airbnb, arrive et trouve les portes ouvertes, les clés posées sur la table avec une liste de consignes. À son départ, le locataire doit simplement reposer les clés au même endroit.

La plupart des gens sont dignes de confiance. Notre société ne fonctionnerait pas si ce n’était pas le cas. Bien sûr, certaines personnes malhonnêtes abusent de cette confiance. Dans le cadre d’une transaction en ligne anonyme, la confiance peut être plus difficile à instaurer. L’économie participative s’appuie sur des sources tierces pour établir l’identité des fournisseurs et des consommateurs. Les utilisateurs d’Airbnb peuvent même volontairement choisir de faire vérifier leur identité en envoyant une photo de leur carte d’identité nationale au service de vérification du site. Toute personne ayant des connaissances en sécurité de l’information sait pertinemment que cette procédure n’améliore pas significativement la procédure par défaut qui s’appuie sur les informations des profils Facebook, parfois couplées avec les identités sociales Google et LinkedIn.

On apprend parfois que tel appartement a été saccagé par un locataire lors d’une soirée. Ce genre d’incident reste rare. Airbnb prend la chose très au sérieux et a mis en place un plan de protection pour les propriétaires. Ainsi, en cas d’incident, Airbnb s’assure que le propriétaire est couvert.

Dans une économie du partage où des entreprises comme Uber et Airbnb mettent des personnes des quatre coins du monde en relation, la vérification des identités devient très compliquée. Sans être un pro de Photoshop, il n’est pas compliqué de falsifier l’image d’une carte d’identité nationale ou d’un
permis de conduire. Seul moyen de valider de manière fiable une identité en ligne ? Utiliser une identité électronique délivrée par une autorité nationale, ou à la rigueur, par un établissement bancaire. Pour la création de ces identités, l’enregistrement s’effectue lors d’un entretien en face à
face où l’intéressé doit produire une pièce d’identité complémentaire pour vérification. Son identité électronique ne lui sera délivrée qu’au terme de cette procédure. En arrière-plan, plusieurs processus sont mis en place pour affiner les vérifications d’identité d’une personne en interrogeant des bases de données officielles et d’autres ressources.

Base de données, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch

Fuite de données pour Deutsche Telecom

Un commentaire

L’opérateur Allemand de téléphonie, Deutsche Telekom, corrige une fuite de données.

Un internaute du nom d’Ibrahim a découvert comment il était possible de mettre la main sur une sauvegarde d’une base de données appartenant à l’opérateur Allemand Deutsche Telekom. Une fuite de données étonnante.

Lors de l’authentification à la page d’identification (https://demandplan.telekom.de), le bidouilleur a simplement ouvert le code source du dit espace. Plusieurs noms de fichiers étaient appelés, comme index.php, adminuser.php, ProjectExport.php… Si les deux premiers renvoyaient l’internaute vers la page index du portail, le troisième semblait mettre en place une action invisible. L’action n’était rien d’autre… que la sauvegarde d’une base de données en mode .txt (export.txt) sur le site de Deutsch Telekom.

Bilan, il suffisait de lancer demandplan.telekom.de/export/export.txt pour récupérer la fameuse sauvegarde. DT a versé 1000€ à son sauveur. L’histoire ne dit pas ce contenait cette base de données.

Cybersécurité, DDoS, Mise à jour, Patch, Piratage

Les DDoS exigent une stratégie de réponse à la hauteur des menaces

Les Dénis de service distribués (DDoS) ont évolué tant en complexification qu’en sophistication. Les menaces DDoS auxquelles sont confrontées toutes les entreprises, quelle que soit leur taille ou leur industrie, ont changé avec le temps. Si les attaques DDoS opportunistes sont encore une réelle menace, la plupart des attaques actuelles sont désormais ciblées. Il s’agit souvent de frappes brèves qui cherchent à échapper aux systèmes de mitigation traditionnelle. (Par Willie Georges, Ingénieur Réseaux et Sécurité Senior chez Corero Network Security)

Face à cette évolution, il est nécessaire que les entreprises aient une approche de la Défense contre les DDoS aussi sophistiquée que ces menaces. Les fournisseurs de services ont un rôle essentiel à jouer pour protéger leurs clients.

Les acteurs malveillants d’Internet lancent chaque jour des attaques DDoS pour protester, exercer des méfaits, des représailles, des actions de sabotage… On observe un éventail de plus en plus large de tactiques visant un nombre de cibles toujours plus important. Il est aujourd’hui facile pour n’importe qui de lancer une attaque paralysante pour très peu d’argent. Il existe par exemple des abonnements qui permettent de lancer plusieurs attaques DDoS de courte durée pour seulement quelques dizaines d’euros par mois. Il est aussi tout à fait possible d’installer des applications sur un smartphone pour lancer des DDOS.

L’Internet des Objets est un des vecteurs de la menace. Les téléviseurs intelligents, les voitures et maisons connectées, les capteurs de machine-à-machine, les villes intelligentes, les transports en commun et tous les matériels qui continuent à se connecter sont autant de points d’entrée pour les attaques. Ce sont ces dispositifs intelligents qui déjà en 2014 étaient utilisés comme vecteurs par un tiers des plus grandes attaques DDoS. Aujourd’hui, la fréquence des attaques augmente. Leur sophistication aussi. Au 4ème trimestre 2014, les clients de Corero Network Security ont connu en moyenne 3,9 tentatives d’attaque DDoS journalières, par client. Il s’agit d’une moyenne. L’un d’eux a subi une moyenne de 12 attaques par jour via son centre de données multi-environnement, pendant une période de trois mois !

Les motivations de ces attaques varient selon l’entreprise, le secteur économique auquel elle appartient ou l’image qu’elle véhicule. Il peut s’agir de cyber-terrorisme, d’un acte politique ou idéologique, de fraude, d’une demande de rançon, d’escroquerie, de cyber-espionnage, de sabotage numérique, de vol de données par exfiltration, de vengeance,… Les finalités sont multiples, les attaques se poursuivent et augmentent.

Certains événements, comme les attentats de Paris et les manifestations au Venezuela, en Arabie saoudite et aux Etats-Unis, sont très médiatisés. Par réaction, cette médiatisation a provoqué une légère hausse des actions hacktivistes. Par ailleurs, les cibles se sont élargies, incluant le monde des joueurs en ligne, des fournisseurs de cloud, des fournisseurs de vidéo en streaming et même des sites Web institutionnels…

Des frappes ciblées et répétées
Des techniques de réflexion et d’amplification augmentent le volume des attaques pour les rendre plus actives et paralyser totalement un site web par exemple. Les nouvelles attaques sont multi-vectorielles et leur durée est plus courte. Elles portent un coup rapide mais très efficace. 66% d’entre elles ont duré moins de cinq minutes et presque 96% moins de 30 minutes(1). Cette nouvelle approche complique le processus de nettoyage. Au moment où l’on active le service de mitigation chez le fournisseur, il est souvent trop tard et le mal est fait.

Les cybercriminels ont évolués, passant du pur volumétrique aux attaques DDOS multi-vecteurs. Des kits d’outils modernes peuvent lancer des attaques visant à la fois les infrastructures et les services. Ce sont des attaques SYN Flood, UDP Flood, DNS (Domain Name System) Flood avec un très grand nombre de requêtes pour obtenir une saturation. Le but ? Masquer une seconde vague de menaces qui vont bien au-delà des DDoS eux-mêmes.

Les acteurs de ces scénarios utilisent une saturation de lien partielle, laissant juste assez de bande passante disponible pour qu’une deuxième attaque puisse se produire. Dans ce cas, l’attaque DDoS sert à attirer l’attention et à concentrer les ressources de la victime sur le déni de service. Par exemple, un SYN flood pourrait remplir les tables des états de connexions pour faire tomber un pare-feu, tandis que l’amplification DNS serait utilisée pour attaquer les systèmes IPS. Entre les deux, des couches de sécurité compromises pour permettre une attaque ciblée par le biais de logiciels malveillants, avec l’objectif d’exfiltrer des données.

Les pirates effectuent des scans pour obtenir une cartographie du réseau ciblé. Puis, ils lancent une deuxième et éventuellement une troisième attaque qui contourneront la stratégie de protection. L’objectif étant le plus souvent l’exfiltration de données. Pour vaincre ces attaques sophistiquées, seule une analyse en temps réel est nécessaire et efficace, déterminant la nécessité de personnaliser les contremesures.

Les fournisseurs de service doivent agir
Il est aujourd’hui possible d’agir sur le trafic des attaques DDoS qui transitent sur les réseaux des fournisseurs de services mobiles et fixes – FAI, fournisseurs de convergence, opérateurs de systèmes multiples (MSO), etc. – sont bien placés pour changer fondamentalement l’impact des attaques DDoS en aval. De plus, c’est pour eux une nouvelle source de revenus que d’offrir une protection de nouvelle génération à leurs clients.

Avec les nouvelles solutions permettant des économies d’échelle pour une mitigation des DDoS modernes et sophistiqués, les fournisseurs de services sont désormais à même de relever ce défi. Ils doivent se focaliser sur cette bataille pour deux raisons majeures. D’abord le maintien de la bande passante nécessaire, fonction du nombre de leurs clients. Ensuite le fait qu’ils vont vers une architecture de réseau plus distribuée et plus chère pour fournir des services personnalisés à leurs abonnés.

Une protection locale instantanée devient alors capitale, ce qui contraint à s’éloigner de l’ancien modèle pour adopter une solution de protection moderne assise sur trois éléments stratégiques forts :
• Mettre en œuvre une technologie pour détecter, analyser et répondre aux attaques DDoS en inspectant le trafic Internet brut, puis pour identifier et bloquer les menaces dès les premiers paquets d’une attaque donnée.
• Mettre en place une stratégie de sécurité multicouche mettant l’accent sur la visibilité continue et l’application de la politique de sécurité pour installer une première ligne de défense proactive capable de lancer la mitigation des attaques DDoS, tout en assurant la disponibilité des services.
• Donner une visibilité totale des couches applicatives et du réseau lors d’attaques DDoS. Cette bonne pratique permet également l’analyse forensique des menaces passées et permet de disposer des rapports de conformité aux polices de sécurité.

La position des fournisseurs de services, au cœur de la circulation des données, de leur accessibilité ou de leur stockage les oblige désormais à intégrer dans leur projet d’entreprise cette stratégie de sécurité. Autant pour leur propre pérennité que pour la satisfaction et la tranquillité de leurs clients.

(1) Rapport trimestriel Tendances et analyse des DDoS de Corero Network Security.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Mise à jour, Patch, Piratage

IBM traite 15 milliards d’événements de sécurité chaque jour

IBM Security aide les établissements financiers à partager plus rapidement leur connaissance concernant les menaces à l’échelle mondiale.

IBM a annoncé, à l’occasion de la conférence SIBOS 2015, travailler avec l’industrie des établissements financiers pour renforcer la collaboration et le partage mondial des connaissances des menaces et de leur exécution à travers de multiples secteurs et organisations. Les membres du FS-ISAC (Financial Services Information Sharing and Analysis Center), organisation à but non lucratif dans le domaine des services financiers, auront accès à la recherche avancée contre les menaces ainsi qu’aux analyses directement depuis IBM X-Force Exchange. Actuellement IBM a la plus importante équipe de services en sécurité, avec plus de 6 000 professionnels et un réseau de 11 SOCs (Security Operations Centers) à travers le monde. IBM gère et contrôle plus de 15 milliards d’événements de sécurité chaque jour, pour plus 4 000 clients.

Cybersécurité, Mise à jour, Patch

Patch Tuesday d’octobre 2015

Le Patch Tuesday d’octobre 2015 s’avère une édition légère. En effet, il ne comprend que six bulletins, mais concernent tous les produits phares. Un bulletin critique pour Internet Explorer (mais pas pour Edge), un bulletin pour Office, victime de vulnérabilités à base d’exécution de code à distance (RCE), ainsi qu’un correctif pour remédier des vulnérabilités dans le noyau Windows qui autorisent une élévation des privilèges. En outre, ce Patch Tuesday résout un problème intéressant dans le shell Windows qui autorise aussi l’exécution de code à distance. Toutes les versions de Windows et Office, sont concernées sauf qu’aucun paquet logiciel supplémentaire avec des mises à jour (.NET, logiciel serveur, etc.) n’est disponible ce mois-ci.

    Commençons par Internet Explorer qui figure en tête de notre liste interne des priorités. Le bulletin MS15-106 fournit 15 correctifs pour des vulnérabilités dont neuf sont critiques car pouvant entraîner des exécutions de code à distance (RCE) si l’un de vos utilisateurs se rend sur un site Web malveillant. Déployez cette mise à jour de sécurité en priorité sur toutes les plates-formes affectées, depuis Vista et IE7 et jusqu’à Windows 10 et IE11.

    Les bulletins MS15-107 et MS15-108 sont associés au bulletin pour Internet Explorer. MS15-107 est une nouvelle version pour le nouveau navigateur Edge, mais ce bulletin de sécurité ne contient que 2 correctifs plutôt mineurs : une fuite d’information ainsi qu’une mise à jour pour le filtre XSS. MS15-108 reprend quatre des problèmes traités par le bulletin MS15-106 pour les machines qui exécutent une autre version de JavaScript, principalement Internet Explorer 7.

    Les bulletins MS15-109 et MS15-110 sont plus importants et méritent toute votre attention. Commençons par le MS15-110. Ce dernier résout six problèmes sévissant dans Office (essentiellement Excel), dont cinq entraînent une exécution de code à distance. L’utilisateur est invité à ouvrir une feuille de calcul Excel contenant un exploit pour l’une de ces vulnérabilités, ce qu’il fera sans trop hésiter si les feuilles de calcul présentent par exemple des informations produits pertinentes, des tarifs et encore des remises de fournisseurs concurrents (je reçois environ un e-mail par semaine avec ce type d’information). Le bulletin MS15-109 traite une vulnérabilité dans le shell Windows qui peut être déclenchée via un e-mail et une navigation Web et qui, en cas d’exploit réussi, fournira une exécution à distance RCE à l’attaquant.

    Quant à la mise à jour MS15-111, elle gère des vulnérabilités à base d’élévation locale de privilèges sous Windows, ce qui affecte une fois encore toutes les versions de Windows depuis Vista jusqu’à Windows 10. Les attaquants utiliseront ce type de vulnérabilité pour accéder au niveau système, une fois qu’ils auront pris le contrôle de la machine ciblée.

    En résumé : appliquez le patch MS15-106 pour Internet Explorer en priorité, puis MS15-110 pour Excel. Ensuite, le bulletin MS15-109 pour le shell Windows. Les autres bulletins sont moins critiques et peuvent être déployés dans le cadre de votre cycle de patch normal.

    Enfin, Adobe a également publié des mises à jour pour Adobe Reader et Flash : APSB15-24 pour le Reader et APSB15-25 pour Flash. Ces bulletins traitent plusieurs vulnérabilités critiques (plus de 50 pour le Reader) qui permettraient à un attaquant d’exécuter du code dans le contexte de l’utilisateur. Nous recommandons la correction immédiate du Flash. D’autre part, la sandbox d’Adobe renforce le durcissement de sa visionneuse PDF car depuis plus d’un an des fichiers PDF sont utilisés pour lancer des exploits à l’aveugle. Corrigez dans le cadre de votre cycle de patch normal. Quant à Oracle, il publiera sa mise à jour de patchs critiques (CPU) le 20 octobre.

Banque, Base de données, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Le pirate de JPMorgan Chase s’est attaqué à d’autres sociétés

Le pirate informatique qui s’est attaqué à la banque JPMorgan Chase a aussi visé, avec plus ou moins de succés, Citigroup, E*Trade Financial Corp, Automatic Data Processing et Regions Financial Corp.

Si certaines structures n’ont pas confirmé cette affirmation de plusieurs enquêteurs qui ont souhaité  rester anonyme, des entreprises comme E*Trade Financial Corp ont confirmé avoir été attaquées en 2013 par ce qui semble être le même pirate que la banque JPMorgan.

En 2014, ETCF avait indiqué ne pas savoir si des données clients avaient été impactées. Deux ans plus tard, voici la confirmation de cette infiltration. Au moins 31 000 clients de la structure bancaire ont été alertés d’une violation de leurs données. Les pirates ont pu avoir accès aux noms et e-mails des clients, ainsi que les adresses physiques de ces derniers. Il n’y a « aucune preuve que toutes les informations des comptes clients, y compris les mots de passe, numéros de sécurité sociale, ou des informations financières eurent été compromises » indique le communiqué de presse de la banque.

Un détail dés plus déroutant. Il est pourtant assez simple de savoir ce que les pirates ont pu lire, copier… Toutes les données contenues dans la base de données compromise ont été accessibles.

Banque, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Propriété Industrielle

Le FBI lance une alerte sur les cartes à puce… puis la retire

Les banques, plus fortes que le FBI ? L’agence fédérale américaine a lancé une alerte au sujet des cartes bancaires à puce. Un message retiré à la demande des institutions financières.

Le FBI de San Diego a fait fort, vendredi 9 octobre. Une alerte publique, comme l’agence en produit très souvent, indiquait que les cartes bancaires avec puces pouvaient encore être la cible des pirates. Dans son document intitulé « Les nouvelles cartes de crédit avec micropuces peuvent encore être vulnérables face aux fraudeurs » [New microchip-enabled credit cards may still be vulnerable to exploitation by fraudsters] Mulder et Scully expliquaient simplement que le fait d’avoir une puce et un mot de passe ne devait pas empêcher les utilisateurs des nouvelles cartes bancaires (avec une puce et un mot de passe) de faire attention à leur bout de plastique. Les banques n’ont pas aimé l’alerte. Bilan, le FBI a retiré son avertissement et a été invité à revoir sa copie.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

Les installations nucléaires civiles ne demandent qu’à être piratées

Les infrastructures nucléaires civiles dans le monde entier seraient insuffisamment préparées à l’éventualité d’une cyberattaque.

Tout le petit monde du nucléaire c’est donné le mot, la semaine dernière, pour annoncer que les centrales nucléaires ne tiendraient pas face à une attaque informatique. C’est selon un nouveau rapport des chercheurs de la Chatham House, un think-tank basé à Londres, que l’on apprend que les pirates informatiques ne feraient qu’une bouchée des centrales nucléaires.

Les installations deviennent de plus et plus dépendantes des systèmes numériques et autres logiciels, et que la sensibilisation de haut niveau des menaces liées à la cybersécurité stagne, un événement grave semble s’écrire. « Les récentes attaques de grande envergure, y compris le déploiement du worm Stuxnet, ont soulevé de nouvelles inquiétudes concernant les failles de sécurité des cyber d’installations nucléaires, commente le rapport. Les cyber-criminels, les États et les groupes terroristes augmentent leurs activités en ligne, la crainte d’une cyber-attaque sérieuse est toujours présente.« 

D’ici là à penser que le survol de centrales françaises par des drones avaient pour mission de sniffer les connexions wifi des installations !

Cybersécurité, Hacking, loi, Mise à jour, Patch, Rendez-Vous

Un drone film une base de la NSA en Allemagne

Des hacktivistes manifestent contre la cyber surveillance de la NSA en survolant une base de la Nationale Security Agency basée dans le sud de Francfort, en Allemagne.

Le groupe d’hacktivistes Intelexit vient de lancer une manifestation à l’encontre de la surveillance de masse mise en place par les Américains. Leur idée, si la NSA nous surveillance, surveillons la NSA. Avec un drone, ils ont survollé la base militaire américaine Dagger, basée au sud de Francfort (Allemagne).

En plus de filmer, le drone a lâché des brochures exhortant les employés de la NSA à quitter leur emploi et à soutenir la lutte contre la surveillance de masse. Le complexe abriterait l’outil XKeyStore, un système utilisé par la NSA qui permettrait de suivre et de stocker tout ce qu’un utilisateur fait à travers l’Internet. L’outil est connu comme un des piliers de la NSA dans la collecte des informations diffusées en Europe.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Mise à jour, Patch, SAAS

Menaces sur les applications SAAS

Palo alto networks dévoile son nouveau rapport sur les menaces et souligne la nécessité de sécuriser les applications SAAS.

Palo Alto Networks, spécialisé dans les solutions de sécurité de nouvelle génération, annonce la nouvelle et 12ème édition de son rapport AUTR (Application Usage and Threat Report), réalisé par son équipe de recherche sur les menaces, la Palo Alto Networks Unit 42 Threat Intelligence. Ce rapport, s’appuyant sur les données de plus de 7 000 entreprises dans le monde, présente les tendances réelles en matière d’utilisation des applications d’entreprise, ainsi que les nouveaux événements cruciaux dans les offensives contre les entreprises. Il contient en outre des recommandations pratiques pour éviter les cyberattaques.

Le rapport met en exergue l’avancée phénoménale des applications SaaS (logiciels sous forme de services) qui créent une brèche d’infiltration pour les nouveaux risques de sécurité ou les accès non autorisés aux données sensibles. Le rapport démontre aux organismes de sécurité que les vecteurs d’attaque courants ou existants depuis toujours, tels que les emails et les fichiers exécutables, continuent de poser des difficultés. Il décrit également les tendances d’utilisation des applications à haut risque dans le monde, par exemple les applications à accès distant.

PRINCIPALES CONCLUSIONS DU RAPPORT

La popularité des applications SaaS a explosé – Le nombre des applications SaaS dans les réseaux d’entreprise a augmenté de 46 % entre 2012 et 2015, et comprend désormais plus de 316 applications. Les pièces jointes par email continuent d’être un vecteur de danger – Plus de 40 % des pièces jointes par email se sont révélées malveillantes. L’utilisation des applications à accès distant est largement répandue – Il existe actuellement 79 applications à accès distant différentes dans le monde qui sont fréquemment utilisées par les cyberattaquants dans le cadre de leurs opérations. Les catastrophes de l’actualité ou les gros titres sont détournés en vecteurs d’attaque – En moyenne, un délai de six heures s’écoule entre la parution d’une actualité exceptionnelle et son exploitation par une campagne de phishing ciblé ou de spam, ou une attaque Web. Les identités des principaux ennemis ont été dévoilées – Trois acteurs majeurs ont été identifiés : Carbanak (Russie/Ukraine), Sandworm (Russie) et Shell Crew (Chine). Ces trois groupes, spécialisés dans le cyber-espionnage et la cybercriminalité, ciblent les gouvernements et les entreprises en Europe et en Amérique du Nord.

« Chez Palo Alto Networks, nous sommes convaincus que le partage des informations sur les cyber-menaces est bénéfique pour la société dans sa globalité. C’est cette conviction qui motive la publication de notre rapport annuel Application Usage and Threat Report. Des professionnels de la cybersécurité bien informés, ce sont des professionnels mieux armés : s’ils connaissent les méthodes utilisées par les attaquants pour exploiter les applications et compromettre les réseaux, ils pourront identifier les offensives et riposter avant qu’elles ne puissent endommager leurs réseaux », commente à DataSecurityBreach.fr Ryan Olson, directeur du renseignement, Unit 42 de Palo Alto Networks

ACTIONS RECOMMANDÉES

· Face à la popularité grandissante des applications SaaS, les équipes de sécurité ont tout intérêt à se familiariser avec le phénomène dit du « shadow IT », ou informatique fantôme. Désormais courant dans les entreprises où les employés utilisent les solutions SaaS et d’autres applications à l’insu du service informatique ou sans son approbation, cette tendance a le pouvoir d’affaiblir les politiques de sécurité.

· L’omniprésence des pièces jointes malveillantes accentue la nécessité de mettre en place des mesures de sécurité automatiques capables d’intercepter automatiquement un fichier exécutable déguisé, activé par erreur par un utilisateur.

· Les nouvelles menaces évoluent désormais de plus en plus vite. Les outils d’attaque automatisés permettent aux cybercriminels d’exploiter les nouvelles vulnérabilités en quelques heures à peine. Pour arrêter ces attaques, il est indispensable de mettre en œuvre des dispositifs de prévention sophistiqués et automatiques, fournissant une visibilité élargie des menaces connues et inconnues et une protection solide contre ces dernières.

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Propriété Industrielle, Social engineering

Et si cette panne de courant cachait un piratage informatique ?

Panne de courant, porte d’entrée récalcitrante, prise téléphonique dévissée ? Et si ces problèmes physiques cachaient les prémices d’une attaque informatique ?

En Avril 2013, une intrusion dans une station électrique de PG&E basée dans la Silicon Valley, par des voyous locaux, avait mis en panne les bureaux accueillant les appels de secours au 911 et un opérateur régional des services dédiés aux téléphones portables. Derrière cette panne, des coups de feu tirés par les malfaiteurs lors d’une course poursuite avec la police. Bref, un fait divers qui ne  concerne pas, à première vue, le piratage informatique. Du moins, directement. Les tirs avaient occasionné la destruction de 17 transformateurs électriques. Depuis cette affaire, les renseignements américains ont alertés les entreprises d’être plus « suspicieuses » face à des problèmes physiques. Ils cachent peut-être une attaque informatique en cours. Un programme de surveillance, baptisé « suspicious activity reporting » [SAR] a été mis en place. Il a pour mission de lutter contre le terrorisme et enregistre l’ensemble des rapports liés aux comportements suspects découverts dans des espaces particuliers (transformateurs électrique…) et qui pourraient se conclure par une attaque/un problème informatique.

backdoor, Cybersécurité, Mise à jour, Patch, Virus

Wifatch, le virus qui vous veut du bien

Un code viral baptisé Wifatch s’attaque aux routeurs pour mieux les protéger des autres virus.

Voilà une action qui est à saluer. Un hacker aurait mis en action depuis quelques jours un code informatique baptisé Wifatch. L’idée de ce « virus » s’infiltrer dans les routeurs pour empêcher que les autres virus, beaucoup plus malveillants, ne puissent exploiter les boîtiers. Les routeurs sont mal sécurisés, rarement mis à jour et exploités par des attaques informatiques ayant pour mission, par exemple, de participer à des Dénis Distribués de Services (DDoS) contrôlés par des bots qui contrôlent les routeurs infiltrés.

Symantec explique que ce code se tient informé via le P2P et bloque les canaux par lesquels les logiciels malveillants peuvent attaquer les routeurs que Wifatch a pris en main. Un virus qui protège les victimes potentielles en quelque sorte. Les auteurs expliquent que la création de Wifatch est due, tout d’abord, pour l’apprentissage. Deuxièmement, pour la compréhension. Troisièmement, pour le plaisir, et la quatrième et derniére raison, pour votre (et notre) sécurité. Il n’infecte que les routeurs dont le mot de passe n’a pas été changé, comme « password » !

Une belle bête qui a pointé le bout de ses bits en novembre 2014.

backdoor, Cyber-attaque, Cybersécurité, Mise à jour, Piratage, Virus

Le malware Dridex refait surface et s’attaque au Royaume-Uni

Après l’annonce par Brian Krebs des arrestations en septembre des principaux responsables supposés du groupe de cybercriminels qui avait créé et exploité le malware Dridex, Unit 42, l’équipe de recherche contre les cybermenaces de Palo Alto Networks, a constaté un net déclin de l’activité de ce cheval de Troie visant le secteur bancaire, du moins jusqu’à aujourd’hui.

Dridex est en effet réapparu sur la scène des cybermenaces avec une vaste campagne de phishing par email détectée via la plateforme Palo Alto Networks AutoFocus qui a identifié des échantillons de cette résurgence de Dridex. Fidèle à son mode opératoire d’origine, l’équipe de Dridex continue à utiliser des fichiers Microsoft Word Doc contenant des macros intégrées, tout comme elle l’avait fait début 2015. Le kit Bartalex, très apprécié de nombreux cybercriminels, construit ces macros pour envoyer son contenu malveillant. Lorsque l’utilisateur ouvre le document infecté, le code macro contacte une adresse URL et télécharge l’exécutable de Dridex. Dans la campagne d’attaque d’aujourd’hui, l’Unit42 a identifié les différentes associations de fichiers Microsoft Word Doc et d’adresses URL (à découvrir ici).

A la date d’aujourd’hui, seuls 17 des 56 antivirus du site Web de VirusTotal reconnaissent les fichiers Doc associés à cette nouvelle mouture de Dridex comme malveillante, et deux d’entre eux seulement détectent l’implantation virale associée. La plateforme Palo Alto Networks AutoFocus a pu identifier correctement tous les composants de cette menace sous la balise Unit 42 Dridex.

Cible et mode de distribution
L’analyse de l’Unit42 a révélé que ce retour de Dridex cible essentiellement le Royaume-Uni. Le blog de Dynamoo (tenu par Conrad Longmore) a publié un exemple de cette nouvelle série de messages de phishing de Dridex. Les fichiers Doc malveillants identifiés utilisent tous une convention d’appellation d’ordre similaire (par exemple “Order-SO00653333-1.doc”), et demandent au destinataire d’imprimer la pièce jointe. Cette tentative de piégeage n’est pas des plus subtiles, mais elle reste néanmoins étonnamment efficace et permet à Dridex d’arriver à ses fins.

Les cybercriminels – notamment ceux qui ont déjà atteint un certain niveau de prospérité et de longévité – vont continuer à menacer les entreprises et les particuliers, et ce malgré les revers essuyés suite à des arrestations ou d’autres ripostes contre leurs opérations. Alors même que les principaux acteurs de l’équipe de Dridex ont été éliminés de l’équation pour le moment, ils laissent derrière eux une organisation qui a de fortes chances de subsister.

Par ailleurs, d’autres groupes criminels attendent toujours en coulisses, prêts à prendre la relève de l’une ou l’autre initiative si une vacance ou une opportunité se présente. La résurgence de Dridex ce mois d’octobre 2015 montre clairement que ces menaces continuent de s’adapter et d’évoluer.

Android, Cybersécurité, Logiciels, Mise à jour, Patch, Smartphone, Social engineering

Mp3 et Mp4 dangereux pour Android

Deux nouvelles failles découvertes dans Android pourraient malmener téléphones et tablettes via la lecture de Mp3 et Mp4 modifiés.

La société Zimperium mobile Threat Protection avait découvert, en avril 2015, un problème de sécurité dans la bibliothèque Stagefright sous Android. Joshua J. Drake, responsable des recherches a poursuivi son étude sur le traitement des médias par Android. Son enquête sur les attaques à distance l’a conduit à une nouvelle découverte.

Stagefright 2.0 est un ensemble de deux vulnérabilités qui se manifestent lors du traitement de fichiers MP3, ou de fichier vidéo MP4. La première vulnérabilité impacte presque chaque appareil Android depuis la version 1.0 sortie en 2008. Des méthodes pour déclencher la 1ére vulnérabilité avaient été découvertes pour Android version 5.0 en exploitant la seconde faille.

Google a notifié la faille CVE-2015-6602 et a indiqué qu’elle serait corrigée la semaine prochaine. « Nous prévoyons de partager des informations pour cette deuxième vulnérabilité dès que possible » souligne Zimperium.

La faille touche le traitement des fichiers MP3 et/ou MP4 spécialement conçus par un pirate, pouvant entraîner l’exécution d’un code arbitraire, comme le téléchargement d’un logiciel espion…

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Mise à jour, Patch, Piratage, ransomware

Le botnet XOR DDoS lance une vingtaine d’attaques par jour

Le nouvel avis d’alerte établit le profil de plusieurs campagnes d’attaques récentes lancées à partir du botnet XOR DDoS. Le botnet XOR DDoS s’est perfectionné, et est à présent capable de déclencher des méga-attaques DDoS à plus de 150 Gbit/s. 90 % des attaques par déni de service distribué, exécutées par le botnet XOR DDoS, ont ciblé des organisations en Asie.

Akamai Technologies, Inc, leader mondial des services de réseau de diffusion de contenu (CDN), publie une nouvelle alerte de cybersécurité faisant état d’une menace révélée par son pôle SIRT (Security Intelligence Response Team). Des pirates informatiques ont créé un botnet capable de mener des campagnes d’attaques par déni de service distribué (DDoS) à plus de 150 Gbit/s au moyen du malware XOR DDoS, un cheval de Troie servant à détourner des systèmes sous Linux.

Qu’est-ce que XOR DDoS ?

Le malware XOR DDoS est un cheval de Troie qui infecte les systèmes Linux, en leur demandant de lancer des attaques DDoS sur demande, pilotées par un pirate à distance. Au départ, le pirate s’empare d’une machine Linux via des attaques par force brute pour découvrir le mot de passe donnant accès aux services SSH (Secure Shell). Une fois cet identifiant obtenu, il se sert des privilèges « root » pour exécuter un script shell Bash qui télécharge et lance le binaire malveillant.

« En un an, le botnet XOR DDoS s’est perfectionné et peut désormais être utilisé pour lancer de gigantesques attaques DDoS », souligne Stuart Scholly, à DataSecurityBreach.fr, vice-président et directeur général de la division Sécurité d’Akamai. « XOR DDoS illustre parfaitement le changement de tactique des pirates qui créent des botnets à partir de systèmes Linux infectés pour lancer des attaques DDoS. Ce phénomène se produit beaucoup plus fréquemment qu’auparavant, lorsque les machines sous Windows étaient les principales cibles des malwares DDoS. »

Attaques par déni de service XOR DDoS

Les travaux du pôle SIRT d’Akamai ont établi que la bande passante des attaques DDoS, déclenchées par le réseau de machines zombies XOR DDoS, était variable, se situant entre moins de 10 Gbit/s et plus de 150 Gbit/s, soit un volume d’attaques extrêmement conséquent. Le secteur des jeux a été le plus souvent ciblé, talonné par l’éducation. Ce botnet attaque jusqu’à 20 cibles par jour, situées pour 90 % d’entre elles en Asie. Le profil de plusieurs des attaques de sa provenance, neutralisées par Akamai, correspond à celles documentées en date des 22 et 23 août dans l’avis. L’une d’elles a frôlé 179 Gbit/s, tandis que l’autre avoisinait 109 Gbit/s. Deux vecteurs d’attaques ont été observés : SYN- et DNS-floods.

Si l’adresse IP du bot est parfois usurpée, elle ne l’est pas systématiquement. Les attaques observées dans le cadre des campagnes DDoS menées à l’encontre des clients d’Akamai, étaient un mélange de trafic usurpé et non-usurpé. Les adresses IP usurpées sont générées de façon à ce qu’elles semblent émaner du même espace d’adressage (blocs /24 ou /16) que celles de l’hôte infecté. Une technique d’usurpation, consistant à modifier uniquement le troisième ou le quatrième octet de l’adresse IP, empêche les fournisseurs d’accès à Internet (FAI) de bloquer le trafic usurpé sur les réseaux protégés par le mécanisme uRPF (Unicast Reverse Path Forwarding) de vérification du chemin inverse.

Neutralisation des attaques XOR DDoS

Des caractéristiques statiques identifiables ont été observées, notamment la valeur TTL de départ, la taille de fenêtre TCP et les options d’en-tête TCP. Ces signatures de charge utile peuvent contribuer à la neutralisation des attaques par déni de service distribué. Elles sont consultables dans l’avis d’alerte. Par ailleurs, des filtres tcpdump sont prévus pour faire face au trafic d’attaques SYN-flood généré par ce botnet.

Détection et éradication du malware XOR DDoS

La présence du botnet XOR DDoS peut être détectée de deux manières. Sur un réseau, il faut repérer les communications entre un bot, ou zombie, et son canal de commande et contrôle (C2) en faisant appel à la règle Snort exposée dans l’avis. Sur un hôte Linux, il faut se servir de la règle YARA qui opère une mise en correspondance des chaînes relevées dans le binaire.

Le malware XOR DDoS est persistant : il exécute des processus qui réinstalleront les fichiers malveillants même s’ils sont supprimés. Par conséquent, son éradication relève d’un processus en quatre étapes pour lesquels plusieurs scripts sont spécifiés dans l’avis :

Localiser des fichiers malveillants dans deux répertoires.
Identifier des processus qui favorisent la persistance du phénomène.
Eradiquer les processus malveillants.
Supprimer les fichiers malveillants.

Akamai continue à surveiller les campagnes exploitant régulièrement le malware XOR DDoS pour déclencher des attaques par déni de service distribué. Pour en savoir plus sur cette menace, sur la suppression de ce malware et sur les techniques de neutralisation DDoS, un exemplaire gratuit de l’avis est téléchargeable à l’adresse www.stateoftheinternet.com/xorddos.

Base de données, Cybersécurité, Entreprise, Mise à jour, Paiement en ligne, Patch

Bug étrange pour H&M Belgique

Durant plusieurs dizaines de minutes, le site H&M Belgique a proposé dans sa boutique online l’ensemble de ses produits à 12,99€.

Une parka à 12,99 euros au lieu de 150 ; une veste à 12,99 au lieu des 70 euros habituels ; une chemise en soie pour 12,99€ au lieu de 40. L’ensemble de la boutique Internet Belge H&M a connu une salle aventure le week-end dernier. Un bug, une mise à jour ratée ou la manipulation malveillante de l’administration des prix ? H&M n’a pas communiqué sur le sujet, mais l’ensemble de son catalogue numérique était passé en intégralité à 12,99 euros. A noter également que les accessoires, moins chers, étaient eux aussi passés à 12,99 euros. (hln)

Apple, Cybersécurité, ios, iOS, Logiciels, Mise à jour, OS X, Patch, Smartphone, Social engineering

Sécurité de l’AppStore : la fin du mythe ou simple retour à la réalité ?

Apple et son Store victimes d’une attaque de sécurité majeure ! Une centaine d’Apps infectées par le biais d’une librairie utilisée par les développeurs ! La forteresse aura tenu longtemps, mais elle a fini par céder et l’actualité nous rappelle quelques vérités élémentaires en matière de sécurité informatique.

Peut-on faire confiance à un acteur mondial, fut-il Apple, pour traiter à l’échelle planétaire, et pour tout le monde, la sécurité des Apps ? Qui n’a jamais tenté de publier une application mobile sur l’AppStore, n’imagine pas les moyens et les efforts déployés par Apple pour effectuer des contrôles de sécurité poussés sur les applications mobiles distribuées sur son store. C’est un fait indéniable. Et c’est une réalité vécue quotidiennement par tous les développeurs. Apple évalue, Apple contrôle, Apple audite … Et Apple rejette les Apps qui ne répondent pas à ses exigences de sécurité. Cela ne fait aucun doute. Apple ne bâcle pas le travail en matière de sécurité. Il en va de son image. Mais pour autant est-il bien raisonnable d’imaginer qu’un acteur unique, fut-il le plus puissant de la sphère numérique, puisse promettre au monde entier un espace de sécurité absolue, contrôlé par lui seul et sur la base de règles qui lui sont propres ? Certes il est confortable et rassurant de le croire. Certes les preuves sont réelles des efforts consentis par Apple pour offrir à ses clients le store le plus sécurisé de la planète numérique.

Mais hélas, la réponse est non ! Et la preuve vient d’en être apportée par l’actualité récente. Apple est faillible car il est simplement impossible à échelle mondiale de garantir un espace de sécurité universel, commun pour tous, et cela, indépendamment du contexte d’usage des Apps, des terminaux mobiles et des systèmes d’information avec lesquels ils interagissent. La sécurité numérique est une notion subjective. Chaque entreprise voit la sécurité à sa porte avec ses propres règles, adaptées à ses spécificités et à ses composants sensibles. Imaginer le contraire relève quasiment de l’inconscience.

Les entreprises ne peuvent pas faire l’économie d’ajouter leur propres contrôles de sécurité aux contrôles d’Apple, fussent-ils les plus rigoureux. Agir différemment reviendrait à considérer dans le monde physique que la sureté du territoire national étant prise en charge par les services de l’Etat, il n’est pas nécessaire pour l’entreprise d’assurer sa propre sécurité et celle de ses personnels.

Apple n’y est pour rien. La firme de Cupertino aura beau multiplier les contrôles de sécurité. Ils ne couvriront jamais les exigences propres d’une banque, d’un opérateur de télécommunication ou d’un distributeur d’énergie. La sécurité numérique d’une entreprise est aussi et avant tout son affaire propre ! L’entreprise peut-elle faire confiance à ses seules équipes internes et/ou à ses prestataires, pour s’assurer de la sécurité de ses propres Apps ?

La première réponse qui vient à l’esprit est naturellement oui. Après tout, les équipes internes savent bien ce qu’elles font. Quant aux prestataires, ils sont encadrés et contrôlés, et ils auraient beaucoup à perdre à introduire des comportements malveillants au sein des applications mobiles qu’ils développent.

Hélas ! L’actualité d’Apple révèle combien le monde numérique est lié et interdépendant. La malveillance n’est pas venue des équipes de développement, qu’elles soient internes ou externes. Elle était simplement logée dans les outils qu’ils avaient à leur disposition … Dès lors la vieille histoire du cheval de Troie se réécrit en version numérique et la désormais fameuse librairie X code aura permis aux pirates de prendre la citadelle Apple en douceur.

Mais au final, et en toute bonne foi, des équipes de développement auront livré une application comportant une portion de code malveillant.

La leçon qu’il faut en retenir est simple : en matière d’applications mobiles, comme dans tous les domaines, la confiance implique le contrôle. Les entreprises doivent s’assurer que leurs applications et l’ensemble des éléments qui les composent sont auditées avec soin et cela dans les multiples et complexes ramifications qui constituent leur code informatique complet.

Peut-on aborder la sécurité des Apps au sein de l’entreprise de manière binaire ?
Une application doit être saine ou malveillante. Autorisée ou bloquée. Oui ou non, les questions de sécurité ne doivent accepter que ces seules réponses. Bien entendu, le monde des applications mobiles serait idéal si les réponses de sécurité étaient simplement binaires. Mais ce monde idéal n’existe pas. La sécurité est une notion relative. Chaque entreprise doit la considérer selon ses règles propres. En vérité, les applications se classent en 3 grandes catégories :

Les applications saines. Leur comportement ne présente pas de risque pour l’entreprise et ses collaborateurs. Pour autant, sur des critères qui ne relèvent pas de la sécurité, elles peuvent être interdites dans un cadre professionnel, à l’exemple des Apps de jeu électronique.

Les applications malveillantes. Indépendamment du contexte particulier d’une entreprise, certains malwares sont de véritables malwares universels. Une App de type « Ransomware » qui prend en otage les données de l’utilisateur (en les chiffrant) contre paiement d’une rançon, est à proscrire.

Et les applications « grises ». Elles sont saines pour certains. Elles sont malveillantes pour d’autres. L’interprétation de leur comportement dépend du contexte de l’entreprise. Une application qui récupère la géolocalisation de l’utilisateur peut être considérée comme dangereuse ou non, selon le contexte de l’entreprise.

La « zone grise » apporte de la complexité dans la gestion de la sécurité des Apps car elle possède des frontières à géométrie variable. Il convient à chaque entreprise de définir ses règles propres pour contrôler cette partie de l’univers des Apps qu’elle propose à ses salariés.

L’expérience révèle qu’à ce jour la majorité des entreprises oublient les Apps grises. Elles délèguent à un acteur mondial comme Apple le soin de gérer pour leur compte la question de la sécurité des Apps. Mais cela est impossible. Un acteur mondial ne peut déployer que des règles universelles communes pour tous. Or, les Apps grises doivent être traitées au cas par cas. D’autant que les technologies qui permettent une gestion personnalisée existent désormais sur le marché. (Par Clément Saad, Président de l’entreprise Pradeo)

Cybersécurité, Entreprise, Mise à jour, Patch, ransomware, Virus

Le risque caché d’un malware grand public pour les entreprises

Une analyse détaillée de la façon dont un cheval de Troie bancaire ciblant les particuliers peut infecter une entreprise.

Imperva, entreprise dédiée à la protection des données des entreprises et des applications critiques sur site et dans le cloud, vient de publier son dernier rapport Hacker Intelligence Initiative (HII) intitulé « Phishing Trip to Brasil ». Ce nouveau rapport émanant de l’Application Defense Center (ADC) analyse en détail une cyberattaque ciblant les consommateurs au moyen d’un cheval de Troie bancaire et montre comment un malware grand public peut infecter une entreprise. Il prouve également qu’en dépit d’éventuelles défenses antimalware, les attaques qui visent des employés isolés peuvent facilement pénétrer dans le réseau de l’entreprise.

La majorité des infections observées se sont produites pendant les « heures de bureau », preuve que les ordinateurs infectés étaient utilisés pour le travail. Au moins 17% des machines infectées étaient directement connectées au réseau de l’entreprise, ce qui montre la facilité avec laquelle les cyberattaques ciblant les consommateurs peuvent aussi bien menacer les entreprises.

Le malware grand public utilisé fait appel à une technique d’ingénierie sociale pour contaminer la victime, qui reçoit un message d’apparence authentique contenant un lien vers un fichier zippé. Si le destinataire extrait le fichier et lance l’exécutable délibérément ou à son insu, sa machine est infectée. Le malware commence alors à espionner l’activité de l’utilisateur. Si ce dernier se connecte à un site professionnel, en l’occurrence une banque brésilienne, le malware intercepte les données de la session et les transmet à des cybercriminels. Ces individus sont experts dans l’art de pirater les identifiants, dont ils se servent ensuite pour perpétrer des fraudes ou lancer d’autres attaques.

« Notre étude souligne le chevauchement entre vie professionnelle et vie personnelle : lorsqu’un employé reçoit un message suspect, il est plus enclin à l’ouvrir si celui-ci paraît provenir d’un expéditeur en qui il a confiance, par exemple sa banque. Malheureusement, si l’employé lit l’un de ces messages sur son ordinateur personnel connecté à l’entreprise via un réseau privé virtuel (VPN), il expose son employeur à une attaque potentielle », commente Amichai Shulman, cofondateur et CTO (Chief Technology Officer) d’Imperva. « Alors que le malware évolue plus vite que la protection antivirus, les entreprises ne doivent plus mettre l’accent sur la détection des attaques mais directement sur la surveillance et la protection de leurs données, applications et comptes utilisateurs. Avec les tendances du BYOD et du télétravail, la surveillance de l’activité sur les données et fichiers est le meilleur moyen de prévenir le piratage d’informations sensibles pour l’entreprise. »

Les attaques ne sont pas le fait d’un seul groupe de cybercriminels opérant dans l’ombre. Il apparaît qu’il en existe plusieurs, aux compétences variables sur le plan technique et en matière d’ingénierie sociale, mais exploitant tous le même malware sous-jacent. Cela illustre l’industrialisation de la cybercriminalité. Certains des serveurs C&C se trouvaient sur des sites Web légitimes qui avaient été détournés, tandis que d’autres avaient été mis en place expressément dans ce but. L’étude se concentre sur du malware provenant du Brésil et ciblant des banques de ce pays mais des attaques similaires sont possibles dans d’autres pays et secteurs.

Pour réaliser cette étude, l’ADC a évalué 14 serveurs de commande et de contrôle (C&C) différents, totalisant plus de 10 000 enregistrements sur presque 5000 adresses IP distinctes.

Apple, Cybersécurité, iOS, Logiciels, Mise à jour, OS X, Patch

Sécurité renforcée pour le nouvel OS d’Apple

Dans quelques jours sortira le nouvel OS d’Apple, EL Capitan. Apple annonce un renforcement de la sécurité pour ses Macintosh.

Les ordinateurs APPLE encore mieux protégés d’ici quelques jours ? Le géant américain indique que son nouvel OS, El Capitan proposera de nouvelles sécurités en plus de celles déjà existantes. Ce nouveau cerbère a été baptisé System Integrity Protection.

D’abord il va empêcher la moindre installation dans les dossiers sensibles du système. Les programmes non autorisés, déjà sauvegardés, vont être effacés lors de la mise à jour d’El Capitan. Les créateurs d’applications seront obligés de passer par https lors de la moindre communication de leur logiciel, le Mac et le web.

Cybersécurité, Entreprise, Mise à jour, Propriété Industrielle, Virus

Visite des laboratoires de GDATA en Allemagne

A l’occasion des 30 ans de l’éditeur de logiciels GDATA, nous avons visité les laboratoires de ce chasseur de codes malveillants dans ses locaux de Bochum, en Allemagne.

C’est dans une immense usine désaffectée de 15.000m² de la ville de Bochum, dans le nord est de Düsseldorf, que l’éditeur de GData m’a invité à découvrir ses laboratoires de lutte contre les logiciels malveillants. L’usine, imposante, est en plein travaux. Une remise au goût du jour pour ce spécialiste des nouvelles technologie et éditeurs de logiciels de sécurité informatique. Prêt de 400 employés, dont une centaine dans le monde, travaillent pour l’entreprise fondée en 1985 par Kai Figge et Frank Kühn. Depuis, l’entreprise germanique est dirigée par Franck Heisler et le Docteur Dirk Hochstrate. Dans l’ombre, des personnalités financières de première importance comme Natalya Kasperksy.

GData c’est des technologies qui sont reconnues de part le monde, comme le DoubleScan (deux moteurs d’analyse antivirus utilisant les moteurs de Bitdefender et Close Cap) qui a fait ses preuves. Il était d’ailleurs étonnant, et rigolo, de croiser le premier antivirus de la marque, tournant sous Atari ST, G Data AntiVirusKit. Sa version PC (MS-DOS) sortira 5 ans plus tard, en 1990.

Ce qui étonne le plus, l’aspect très familial de cette entreprise. Aujourd’hui encore, la majorité des parts de l’entreprise sont détenues par les employés et les fondateurs de GData. La zone de repos de l’Academy GData vaut son pesant de cacahuète, tenue par un ancien informaticien qui, un jour, a proposé à ses patrons de se charger du vin, de la bière et autres richesses « liquides » de l’entreprise. Bilan, il est devenu le sommelier de GData avec autant de folie dans ses yeux que de passion pour la vie (et le partage de sa passion, NDR). Les équipes sont nommées par des pseudos allant de « Petit Poney » en passant par Terminator 2 pour le patron du labo, Ralf Benzmüller. Il faut dire aussi que le gaillard mesure deux Schwarzenegger à lui tout seul.

Précision Allemande

Parmi les laboratoires que nous avons pu croiser, ceux des équipes en charge des codes malveillants inconnus, ceux dont les moteurs intégrés dans les logiciels de GData ne sont pas capable de bloquer. Des bureaux spacieux, des tableaux bardés de codes et d’informations sensibles. C’est d’ailleurs dans les locaux de Bochum que le code malveillant Tyupkin / APTRASST, il s’attaque aux distributeurs de billets, a été décompilé, décortiqué, analysé. Marrante aussi, cette immense boite noire qui ferait presque peur ! La boite de pandore qui cache en son sein toutes les « merdouilles » numériques capable de mettre à mal un ordinateur, un serveur, une entreprise.

Plusieurs milliers de codes malveillants sont analysés par mois. Les appareils mobiles sont d’ailleurs devenus la première préoccupation des équipes. En plus de l’augmentation des programmes malveillants (+25 % par rapport au premier trimestre 2015), le G DATA Mobile Malware Report a mis dernièrement en lumière une nouvelle tendance : la vente d’appareils Android déjà piégé dès la sortie d’usine.

Apple, Cybersécurité, Espionnae, ID, Identité numérique, ios, Logiciels, Mise à jour, OS X, Particuliers, Patch, Smartphone

Contourner iOS 9 LockScreen en 30 secondes

Utiliser SIRI pour contourner l’écran de verrouillage des nouveaux appareils d’Apple fonctionnant sous iOS9.

Une faille de sécurité a été découverte dans le nouvel OS d’Apple, iOS 9, sorti en septembre. Il permet d’exploiter Siri afin de contourner l’écran de verrouillage des téléphones et autres tablettes de la grosse pomme. Le « truc » permet d’accéder aux contacts et aux photos stockées dans l’appareil en 30 secondes. La faille n’est toujours pas corrigée dans la mise à jour 9.1.

La firme de Cupertino a annoncé que plus de 50% des appareils ont été mis à jour

La faille est d’une simplicité enfantine. Il est même étonnant qu’aucun test interne n’eut été réalisé face à ce genre de « bug ». Comment cela marche ? D’abord faire 4 erreurs lors de la demande de votre mot de passe. Attention, au bout de 5 tentatives, votre téléphone sera bloqué. Une protection classique. Dans cette 5ème tentative, tapez trois chiffres et laissez le dernier espace vide. Cliquez sur le bouton « Home » et fournissez un 4ème chiffre aléatoire. L’appareil sera bloqué, mais SIRI sera lancé. Demandez l’heure à Siri et cliquez sur l’îcone « Horloge ». Rajoutez une nouvelle horloge en cliquant sur +. Enregistrez cette horloge avec le nom de votre choix. Sélectionnez l’option « Partagez », ouvrez un nouveau message. Dans le champ « À », ouvrez la page info… et vous voilà avec un accès complet aux contacts et photos stockées dans le téléphone !

Pour éviter ce désagrément à la sauce « Big Brother », allez dans « paramètres », puis « code d’accès », sélectionnez l’option « Autoriser lors du verrouillage ». Bloquez l’accès à Siri quand l’accès à votre téléphone est bloqué par un mot de passe.

Apple, Chiffrement, cryptage, Cybersécurité, Espionnae, Fuite de données, ID, Identité numérique, Linux, Logiciels, Microsoft, Mise à jour, Particuliers, Vie privée, VPN

Firefox Beta : encore plus de sécurité

Protection contre le pistage au sein de la navigation privée. Firefox Beta est désormais disponible, avec de nouvelles fonctionnalités telles que la protection contre le pistage au sein de la navigation privée.

Cette nouvelle fonctionnalité bloque certains éléments tiers au sein des pages Web, utilisés notamment pour enregistrer l’activité de l’internaute et ainsi créer un profil de l’utilisateur en se basant sur sa navigation. La navigation privée au sein de Firefox permet de limiter l’accès aux données récoltées par les tiers. Firefox Beta propose également un nouveau centre de contrôle, incluant des paramètres de sécurité et de confidentialité regroupés en un seul endroit, et accessible via le bouclier dans la barre d’adresse. Firefox Beta tourne sur Windows, Mac et Linux.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Fuite de données, Mise à jour, Patch

CLOUD : la gestion des mots de passe devient une priorité pour les PME

Les petites et moyennes entreprises transfèrent de plus en plus souvent leurs outils de travail dans le Cloud. De plus, la frontière entre l’usage personnel et l’usage professionnel de la technologie est de plus en plus floue à mesure que les employés choisissent d’utiliser leurs applications préférées au bureau.

Malgré les économies et les gains de productivité liés au passage des outils de travail dans le Cloud, la réalité reste un cauchemar logistique pour les responsables quoi doivent désormais gérer toute un arsenal d’identifiants et de mots de passe associés à ces applications. Ajouter à cela les choix de mots de passe faibles d’une bonne partie de la population, et vous obtenez un trou béant dans la sécurité qui séduirait même le plus novice des hackers.

La possibilité de travailler à tout moment, n’importe où et sur n’importe quel appareil est devenu le mantra des employés d’aujourd’hui, et cela pousse les entreprises à adopter le Cloud. Selon une étude récente menée par Enterprise Strategy Group et LogMeIn, près de 3 quarts des employés qualifiés – ceux qui gèrent les informations – affirment que la mobilité est cruciale ou importante pour être productif dans leur travail, avec 70% d’entre eux travaillant ailleurs que dans un bureau plusieurs jours par semaine. Pourtant, 60% des PME n’ont pas mise en place de politique de sécurité pour répondre à la hausse de l’utilisation des applications Cloud sur le lieu de travail.

La saga des mots de passe
Si la gestion des mots de passe n’est pas un nouveau défi pour les PME, c’est un problème qui devient très complexe étant donné qu’en moyenne les utilisateurs possèdent des mots de passe pour plus de 25 applications qu’ils utilisent au travail. Et les enjeux pour les PME sont plus importants que jamais, étant donné que presque 80% des applications Cloud et des services contiennent des données sensibles, régulées ou confidentielles. Il suffit d’un seul piratage pour paralyser une entreprise, le Gartner estime que seulement 6% des entreprises sortent indemne d’un piratage de données alors que 43% mettant la clé sous la porte.

Même s’il semblerait que conserver un mot de passe unique fort soit contre-productif, il existe quelques moyens pour que les PME rendent plus simple le choix de mots de passe de leurs employés et qu’ils arrêtent leurs mauvaises habitudes.

1. Eviter les groupes populaires. Il est choquant de devoir encore le répéter, mais les PME ne devraient jamais, sous aucun prétexte, utiliser des mots de passe faciles à deviner pour protéger des informations sensibles. Les mots de passe les plus utilisés en 2014 étaient « mot de passe » et « 123456 ». Les mots de passe devraient être une combinaison de lettres en capitale et en minuscule, de nombres et de symboles.

2. Conserver vos mots de passe dans un coffre-fort. Si vous pouvez vous souvenir des identifiants et des mots de passe de toutes les applications que vous utilisez, soit vous avez une très bonne mémoire photographique, soit vous utilisez les mêmes pour toutes vos applications. Puisque chaque application devrait avoir un mot de passe unique, un gestionnaire de mot de passe sûr vous aidera à les gérer et vous encouragera à utiliser des mots de passe forts que vous n’aurez pas à retenir.

3. Déployer une solution de gestion des accès. Non seulement cela aidera vos employés à mieux gérer leurs mots de passe, mais cette solution sera également être utiles aux entreprises. Les PME pourront gérer l’accès pour que les employés qui rejoignent l’entreprise puissent obtenir un accès rapide – ou le retirer sans problèmes à ceux qui partent – et permettre le partage des comptes sans partager les mots de passe.

4. Utiliser l’authentification à deux facteurs. En ajoutant un niveau de sécurité via une authentification à deux facteurs, il sera plus difficile pour un hacker de compromettre un mot de passe, en particulier quand surtout pour les utilisateurs qui changent de navigateurs et de localisation.

Quand il s’agit de sécuriser les données de l’entreprise dans le Cloud, il n’y a pas de solution miracle. Cependant, les humains seront toujours le maillon le plus faible de la chaîne, donc, encourager une meilleure gestion des mots de passe – autant au niveau des employés qu’à celui du département informatique est un bon début pour réduire les risques. Il est temps de faire de la gestion des mots de passe une priorité pour garder les données de votre entreprise et de vos clients en sécurité. (Par Alain Logbo, Directeur Commercial Entreprises EMEA de LogMeIn)

Base de données, Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering

600.000 fans des sœurs Kardashian piratables

Les starlettes américaines Kardashian ont lancé une série de nouveaux sites web et applications mobiles afin de suivre « leur vie ». Seulement, comme le botox, le site web s’est tendu et a laissé fuir 600.000 informations privées de fans.

Parallèlement au lancement des applications mobiles, des logiciels qui trônent dans les premières places de l’App Store (des centaines de milliers de téléchargements), les sœurs Kardashian, des « célébrités » de la TV réalité américaine, ont également mis en ligne de nouveaux sites Web conçus pour les aider à mieux communiquer avec leurs fans.

Seulement, les sites avaient des bugs. L’un d’eux permettait de mettre la main sur les noms, prénoms et adresses mails de plus de 600.000 utilisateurs. C’est un jeune internaute de 19 ans, Alaxic Smith, qui a découvert le problème de configuration qui visait l’ensemble des sites Internet des starlettes. Le problème était dans l’API qui communiquait avec les smartphones des « fans » et les sites web des Kardashian. Des informations qui transitaient en claires.

Le responsable « technique » de ce barnum informatique a confirmé la faille et la correction de cette dernière. « Nos journaux indiquent que personne d’autre a eu accès aux informations des utilisateurs, les mots de passe, et les données de paiement n’ont pas été impactés« .

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Mise à jour, Patch, Piratage

RHIMES, l’anti pirate informatique de L’US navy

L’US Navy développe le Resilient Hull, Mechanical, and Electrical Security (RHIMES), un système de sécurité anti pirate embarqué sur les navires de guerre.

Pour la plupart des gens, le terme «cybersécurité» évoque des histoires de vol de données, de vilains virus dans les smartphones, les ordinateurs ou encore les tentatives d’usurpations d’identités. Mais dans ce monde en réseau, les pirates pourraient aussi essayer de désactiver ou de prendre le contrôle de machines dans notre monde physique à partir de grands systèmes comme les réseaux électriques et les installations industrielles, les moyens de transports comme les voitures, le train, un avion ou même des navires en mer.

En réponse à ce genre d’attaque informatique, l’US Navy développe son propre système de défense contre les pirates. Baptisé Resilient Hull, Mechanical, and Electrical Security (RHIMES) system, RHIMES est une protection qui serait capable de protéger les systèmes de bord mécaniques et électriques face aux cyber-attaques. L’outil est conçu pour empêcher un pirate de désactiver ou de prendre le contrôle des systèmes physiques sur un navire : système anti incendie, contrôle de la climatisation, de l’électricité, de l’hydraulique, de la direction et des moteurs.

RHIMES transporte en son sein des redondance pour chaque espace à protéger. Si une attaque est déclarée, il est capable d’écraser cette dernière avec une sauvegarde automatique tout en bloquant l’assaut numérique.

Un outil conçu par l’US Navy qui s’est lancée dans une orientation stratégique depuis quelques années  ayant pour mission de se protéger des menaces informatiques, comme avec l’US Navy Cyber Power 2020.

Base de données, Cybersécurité, Emploi, Entreprise, ID, Identité numérique, Mise à jour, Particuliers, Patch, Propriété Industrielle

Si c’est gratuit, c’est vous le produit, AVG le confirme

L’éditeur de la solution de sécurité informatique AVG vient de changer ses conditions d’utilisation et indique clairement que sa version gratuite lui permet de collecter des informations sur les utilisateurs. Données qui seront revendues.

L’éditeur Tchèque AVG, créateur de l’antivirus éponyme, propose une version gratuite de son antivirus utilisé par des millions de personnes. L’entreprise vient d’annoncer qu’elle avait modifié ses conditions d’utilisation. Des conditions qui ont le mérite d’être claires.

Dans sa version anglaise, les conditions d’utilisation indiquent qu’AVG peut revendre les données que la société collecte « Nous recueillons des données non personnelles pour faire de l’argent via nos offres gratuites afin que nous puissions les garder gratuites » [We collect non-personal data to make money from our free offerings so we can keep them free].

Après Windows 10, AVG est une nouvelle entreprise à jouer totale transparence sur les informations quelle collecte : informations sur les applications installées dans votre machine; la façon dont ces applications sont utilisées; l’identifiant publicitaire qui vous est associé; votre navigation et votre historique, y compris les métadonnées; le type de connexion Internet que vous utilisez pour vous connecter.

Cette nouvelle politique entrera en vigueur à partir du 15 octobre 2015. A noter que la page française de la « Politique de Confidentialité » d’AVG n’a pas été modifiée.

Mise à jour : AVG souhaite clarifier la situation et apporter plus de précisions sur ce sujet, via un billet posté sur le blog de la société. A la suite de notre article, l’éditeur a fait une petite marche arrière et a précisé, dans un nouveau post, la méthode pour « Comprendre la nouvelle politique de confidentialité de AVG« . L’éditeur explique que sa politique de confidentialité a été effectuée via la « mise en place d’une page, facile à lire, de la politique de confidentialité pour nos clients. Elle donne l’information dont ils ont besoin, plutôt qu’un long document, légalement écrit, est difficile à comprendre. » Le document indique aujourd’hui que « Lors de la création de notre nouveau format de cette politique, nous avons décidé que nos clients devaient avoir la possibilité de choisir, si oui ou non, ils souhaitaient participer à notre programme de collecte de données anonymisées« . Changement de ton, donc. « Exit » la ligne qui indiquait clairement que les données seraient revendues pour permettre à la version gratuite d’AVG de perdurer. Dorénavant, la collecte est une option « et nous pouvons confirmer qu’aucun partage des données ne se passera jusqu’à ce que nos clients soient en mesure de faire ce choix« . Bref, l’utilisateur de l’outil gratuit pourra accepter, ou non, de fournir ses données.

BYOD, Cloud, Cybersécurité, Entreprise, Mise à jour, Patch

Cloud hybride, gare à la récupération !

Le Cloud Computing va provoquer un véritable séisme dans le secteur informatique et certains acteurs historiques espèrent sauver leurs acquis en communicant sur une vision qui leur est très personnelle du Cloud hybride.

Avec l’essor des solutions de stockage dans le Cloud, avec l’arrivée d’offres Iaas (Infrastructures as a Service) performantes à faible coût, le Cloud Computing est en train de changer la donne sur le marché informatique. Les DSI considèrent de plus en plus le Cloud comme la meilleure alternative à l’achat et à la maintenance de serveurs dans leurs murs et, pour certaines applications comme le CRM, le Cloud s’est imposé comme la norme en vigueur. Une bonne nouvelle pour les entreprises et les budgets informatiques, une bonne nouvelle pour les DSI qui vont pouvoir consacrer leurs ressources davantage aux nouveaux projets et moins de ressources pour le « run », cette gestion de l’existant si couteuse pour les entreprises.

Le cloud hybride, un moyen pour les fournisseurs de maintenir l’emprise sur leurs clients ?
Ce basculement vers le Cloud est inéluctable et ce n’est pas sans conséquences tant pour les acteurs de l’informatique traditionnelle. Incapables de lutter contre le sens de l’histoire, ceux-ci ont dû se résoudre plus ou moins rapidement à lancer à leur tour leurs propres services Cloud. C’est le moyen qu’ils ont trouvé pour ne pas perdre tout à fait leurs clients « historiques », un moyen aussi de leur proposer d’autres services. Cette stratégie, ils l’ont maquillée sous le terme de Cloud hybride. Leur idée est simple : continuer à fournir des serveurs traditionnels, leur associer des services Cloud complémentaires et proposer une console d’administration pseudo-unifiée pour gérer l’ensemble. Du fait de leur poids sur le marché, ils se permettent de redéfinir ce qu’est le Cloud hybride. Ils se livrent à une véritable préemption du terme afin de garantir le « vendor lock-in », cette emprise qu’ils exercent sur leurs clients depuis des dizaines d’années. Un verrouillage du marché qui est tout autant pratiqué par d’autres acteurs de l’informatique traditionnelle, tels les grossistes. Contraints de réinventer leur business model face à des clients qui se détournent du matériel au profit du service, ils répliquent leur modèle du passé. Sans avoir ni les compétences ni les infrastructures, ils mettent en place une offre parcellaire et très sélective, uniquement basée sur leurs accords commerciaux passés et donc pas nécessairement en phase avec les attentes réelles du client final.

Or, le Cloud hybride n’est en rien une prolongation de pratiques aujourd’hui datées. Le Cloud hybride, c’est bien plus être capable de faire coexister une infrastructure legacy avec des technologies plus modernes. Le Cloud devient une extension du datacenter de l’entreprise. Elle va pouvoir étendre les capacités de son infrastructure interne avec un Cloud public ou privé externe sans remettre en question son existant. Le Cloud hybride tel que nous le concevons chez Aruba, ce n’est pas s’appuyer sur un fournisseur unique, ce n’est en aucun cas le concept figé tel que les fournisseurs historiques tentent d’imposer.

Une Cloud, c’est avant tout s’appuyer sur des standards
Pour profiter des vrais avantages du Cloud Computing, il faut avant tout privilégier des offres souples, adaptées au contexte et aux contraintes de chaque client. Quand une entreprise choisit un service Cloud, elle doit opter pour un fournisseur ouvert aux standards du marché. C’est uniquement comme cela qu’elle pourra profiter à plein de la souplesse et de l‘adaptabilité du Cloud et faire sauter ce « vendor lock-in » que font peser sur elle ses fournisseurs depuis des décennies. C’est la raison pour laquelle certaines offres Cloud s’appuient tant sur les offres VMware, la plateforme de virtualisation la plus utilisée par les entreprises, que sur Hyper-V la solution Microsoft ou encore Hyper-V low cost. C’est le fait d’être agnostiques en termes de technologies, d’être multi-hyperviseurs, qui nous permet aujourd’hui d’apporter cette souplesse à nos clients, ce n’est que comme cela que l’on peut assurer une garantie de portabilité et de réversibilité. Faire le choix des standards du marché, c’est le seul moyen pour une entreprise, et tout particulièrement pour une PME dont les ressources techniques sont les plus modestes, de pouvoir tirer profit du Cloud tant dans une approche hybride que 100% externalisée.

La localisation d’un Datacenter a toute son importance
Autre critère à prendre en compte pour un projet de Cloud hybride comme pour un projet 100% Cloud, c’est la proximité avec son fournisseur. Le discours ambiant des fournisseurs de Cloud américains, notamment, c’est de dire que les distances ne comptent plus, que le Cloud abolit toute notion de localisation. C’est faux, tant sur le plan des performances réseau que sur la qualité du support offert. Quant aux garanties liées à la confidentialité des données, l’actualité a montré les limites de leurs promesses. Outre les gains en performances réseau, choisir un opérateur d’infrastructure de Cloud européen a de vraies conséquences tant techniques que juridiques. C’est comme cela que nous concevons le Cloud Hybride. (Eric Sansonny, Directeur Général Aruba Cloud)

Base de données, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Sauvegarde

Chiffrement des données en natif pour MariaDB

MariaDB colmate les failles de sécurité des données grâce à la contribution de Google sur le chiffrement des bases de données Open Source.

MariaDB Corporation, leader reconnu des solutions de bases de données Open Source garantissant haute disponibilité, évolutivité et performances élevées, annonce sa nouvelle version MariaDB 10.1 RC, une version supervisée par la Fondation MariaDB qui fournit un chiffrement natif des bases de données, facile à déployer, sans sacrifice de performances, ni d’augmentation des coûts. Avec la mise à jour de MariaDB 10.1, les utilisateurs de MySQL et de MariaDB peuvent entièrement chiffrer leurs bases de données sans aucune modification des applications ni dégradation des performances globales. Les bases de données et applications commerciales peuvent également migrer vers MariaDB 10.1 pour permettre aux entreprises de chiffrer et de protéger leurs bases de données ainsi que les données qui y sont stockées ; pour une infime partie du coût total de possession actuel. MariaDB 10.1 intègre également des améliorations en termes d’évolutivité, de haute disponibilité, de performances et d’interopérabilité pour les applications critiques.

Étant donné le coût de réaction et de remédiation des failles de données qui atteint 3,8 millions de dollars au niveau mondial ainsi que le coût moyen par enregistrement compromis estimé à 154 dollars, chiffrer ses données est un impératif majeur. Les pilleurs de données ont évolué et leurs techniques sont désormais plus sophistiquées. Si l’on ajoute à cela la croissance exponentielle des données sensibles que doivent gérer les entreprises, que ce soit dans des environnements distribués, sur site ou dans le Cloud, le coût lié à l’utilisation de systèmes de sécurité périmétrique n’est plus une option viable.

Traditionnellement, les fournisseurs de SGBD ont enrichi leurs offres avec des extensions tierces pour chiffrer les bases de données, mais leur coût élevé, leurs besoins en maintenance ainsi que leur impact sur les performances en font une solution qui n’est plus viable sur le long terme pour la plupart des entreprises. En intégrant à la version MariaDB 10.1 le chiffrement natif des bases de données fourni par Google, MariaDB facilite la création d’une protection de sécurité multicouche.

« La sécurité des données est essentielle, mais le coût, les problèmes de performances et les défis de déploiement ont toujours été des obstacles à une adoption plus massive du chiffrement des données » déclare Garrett Bekker, analyste en chef de la division Sécurité d’entreprise chez 451 Research. « Le chiffrement natif et transparent des données intégré à MariaDB 10.1 résout les problèmes d’adoption rencontrés par les CISO et CIO qui cherchent à adopter les meilleures pratiques en matière de sécurité des données. »

« Nous sommes ravis de mettre MariaDB 10.1 à la disposition de la communauté Open Source avec des fonctionnalités de chiffrement de données fournies par Google, » déclare Otto Kekäläinen, CEO de la Fondation MariaDB, « Avec cette toute dernière version, MariaDB offre la base de données Open Source la plus évolutive, fiable et sécurisée actuellement disponible sur le marché ».

Sécurité – Les avantages par rapport à d’autres bases de données Open Source :

  • Chiffrement des données au repos : chiffrement au niveau des instances et des tables avec support des clés tournantes (contribution Google)
  • Validation des mots de passe
  • Contrôle d’accès à base de profils (profil par défaut) renforcé et optimisé

Haute disponibilité – Les améliorations apportées en termes de disponibilité élevée offrent une solution hors pair avec une intégration totale de Galera Cluster.

Montée en charge – le renforcement comprend :

  • Réplication parallèle optimiste : toutes les transactions sont considérées comme exécutées en parallèle pour renforcer les performances de réplication maître-esclave
  • Exécution de déclencheurs par l’esclave lors de l’utilisation de réplication
  • Améliorations spécifiques de WebScaleSQL

Performances accrues :

  • Délai d’attente des requêtes
  • Améliorations apportées à InnoDB, qu’il s’agisse du nettoyage multi-thread ou de la compression des pages pour FusionIO/nvmfs
  • Amélioration de l’optimiseur et EXPLAIN JSON, EXPLAIN ANALYZE (avec FORMAT=JSON)

Interopérabilité renforcée :

  • Support JSON/BSON pour le moteur CONNECT

MariaDB a été positionnée par Gartner dans la catégorie Leaders du Magic Quadrant pour les systèmes de gestion de bases de données opérationnels. »

Disponibilité

MariaDB 10.1 RC est disponible immédiatement en téléchargement ; sa disponibilité générale est prévue pour début octobre.

Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

L’OTAN va avoir accès aux codes sources de Microsoft

Nous vous en parlions en juin 2015, Microsoft a ouvert une antenne de son Transparency Center en Belgique. Dans la foulée, le partenariat avec l’OTAN vient d’être renouvelé.

Le Transparency Center, un espace de Microsoft dédié aux états et autres entités souhaitant découvrir les codes sources des produits Microsoft. Le géant américain a ouvert un TC en Europe, en juin 2015, et plus exactement à Bruxelles. Ce centre permet d’avoir accès aux informations « cybersécurité » du géant américain. Un rapprochement qui a du être décidé pour ne pas perdre un contrat de longue date avec l’OTAN.

Depuis 12 ans, Microsoft et la Nato Communications and Information Agency (NCI) ont un partenariat lié aux outils du géant de Redmond. Un nouvel accord, et donc un prolongement du contrat, vient d’être signé. L’OTAN a dorénavant la possibilité d’accéder au code-source de certains produits. Failles, 0days et informations de cybersécurité sont liés à ce contrat.

42 agences gouvernementales de 23 pays disposent d’un accès au Transparency Center.

Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, ios, iOS, Logiciels, Mise à jour, OS X, Particuliers, Smartphone

iOS 9 : bonne pratique de sécurité

La version finale d’iOS 9 est disponible dès ce 16 septembre ! À cette occasion, voici les bonnes pratiques en matière de sécurité iOS.

Bien que les appareils et les OS Apple aient une réputation de sécurité forte, 84 % des vulnérabilités mobiles découvertes l’an dernier ont touché iOS, selon le dernier rapport de Norton by Symantec sur les menaces de sécurité Internet (ISTR). D’ailleurs, une récente famille de logiciels malveillants, appelée KeyRaider, a compromis un nombre record de comptes d’utilisateurs sur les iPhones jailbreakés.

Ci-dessous, vous trouverez trois conseils de sécurité pour iOS 9 à utiliser pour protéger vos informations personnelles. D’abord, utiliser un mot de passe Apple ID fort et unique. Le nouvel iOS 9 exige désormais un code à six chiffres plutôt que quatre. Si ce dernier est couplé avec un mot de passe Apple ID fort qui utilise des lettres, des chiffres et des symboles, il sera plus difficile pour les criminels de deviner les mots de passe.

Ensuite, DataSecurityBreach.fr vous conseiller d’activer l’authentification à deux facteurs (Comme pour double authentification Gmail, Facebook, Dropbox, …) Dans iOS 9, une authentification à deux facteurs, une couche supplémentaire de sécurité, est étendue à iTunes et iCloud, et les utilisateurs devraient l’activer immédiatement. Celle-ci oblige les utilisateurs à entrer un code de vérification unique de six chiffres (envoyé à un dispositif de confiance) ainsi que leur adresse e-mail et mot de passe lorsque l’ils se connectent à leur compte à partir d’un nouveau navigateur ou terminal.

Enfin, désactiver l’accès à Siri depuis l’écran de verrouillage. Siri est l’assistant personnel intelligent iOS, mais bien qu’utile, Siri peut aussi être un risque de sécurité. Il y a eu plusieurs cas dans le passé où Siri a été utilisé pour contourner l’écran de verrouillage de l’iPhone. Empêcher Siri d’être utilisé à partir de l’écran de verrouillage va protéger les appareils de ces types de hacks.

Cybersécurité, Entreprise, Mise à jour, Patch, spam

Eté 2015 : 40 marques visées par des mails frauduleux

Return Path, le spécialiste de l’Email Intelligence, vient d’annoncer le lancement de sa solution Email Threat Intelligence, ainsi que la disponibilité de son premier rapport d’analyse des fraudes email Email Threat Intelligence Report.

En étudiant les données intégrées au sein des emails, la solution Email Threat Intelligence permet de détecter les messages frauduleux qui n’ont pas pu être identifiés par les technologies d’authentification classiques. La solution a permis d’enregistrer plus de 750 000 emails frauduleux ayant touché 40 marques à travers le monde, durant les mois de juillet et août 2015. Il est apparu que la plupart des expéditeurs de ces messages corrompus avaient utilisé la technique d’usurpation d’identité (brand spoofing) pour contourner les protocoles d’authentification des emails.

Techniquement, l’usurpation d’identité (brand spoofing) consiste à contrefaire un nom, un compte ou un objet d’email, pour faire croire au destinataire que le message frauduleux provient d’une marque reconnue et légitime. Une usurpation de nom de domaine (domain spoofing) se réfère quant à elle au fait de s’approprier illégalement un nom de domaine géré par une marque. Pour protéger leurs abonnés contre l’usurpation de nom de domaine, les marques peuvent déployer des solutions d’authentification telles que DMARC (Domain-based Message Authentification, Reporting and Compliance). Cependant, Return Path a estimé que seulement 30% des attaques emails utilisaient cette technique d’usurpation de nom de domaine. Email Threat Intelligence a été développée pour pouvoir détecter les 70% de menaces restantes non identifiables par DMARC.

Email Threat Intelligence s’appuie sur la plateforme Data Cloud de Return Path ainsi que sur un réseau de plus de 70 fournisseurs de services de messagerie électronique et de services de filtrage anti-spam pour analyser plus de 6 milliards d’emails par jour. Grâce à de puissants algorithmes de détection développés par Return Path, la solution identifie les menaces en temps réel, permettant aux marques concernées de prendre des actions immédiates pour protéger leurs abonnés contre les messages reconnus comme frauduleux.

En s’appuyant sur sa solution Email Threat Intelligence pour rechercher les techniques de fraudes les plus couramment utilisées par les cybercriminels, Return Path a enregistré plus de 750 000 emails frauduleux ayant touché 40 marques à travers le monde, durant les mois de juillet et août 2015. Il est apparu que la plupart des expéditeurs de ces messages corrompus avaient utilisé la technique d’usurpation d’identité pour contourner les protocoles d’authentification des emails.

Outre l’usurpation d’identité, la solution Email Threat Intelligence a permis de détecter l’usage d’une technique de spam dite « à la raquette », qui consiste à contourner les filtres en envoyant plusieurs séries d’emails frauduleux à partir de multiples adresses IP. Les messages envoyés par ce biais sont extrêmement difficiles à identifier en amont. Sur les 100 attaques les plus importantes étudiées, 22 ont eu recours à cette technique utilisant des réseaux d’adresses IP (également appelés botnets). Par ailleurs, 27 attaques ont été bloquées avant la remise en boîte de réception du destinataire (souvent des attaques provenant de sources uniques), démontrant que les filtres et listes noires élaborés à partir de la réputation des expéditeurs restent une technique de lutte efficace contre la fraude email.

« L’usurpation d’identité est actuellement la tactique de fraude email la plus courante, notamment en raison de la difficulté à la détecter. Même si les solutions d’authentification telles que DMARC représentent la meilleure protection disponible pour lutter contre l’usurpation d’identité, les entreprises n’avaient jusqu’à présent aucun moyen de se prémunir efficacement contre les attaques qui contournent ces filtres. Maintenant il en existe un », explique Robert Holmes, Directeur Général, Email Fraud Protection, au sein de Return Path. « Ces solutions sont complémentaires. Les marques qui utilisent conjointement DMARC et Email Threat Intelligence peuvent agir rapidement contre la fraude email. Protéger les consommateurs contre les attaques de phishing, malwares et autres escroqueries est crucial pour préserver l’intégrité des marques. La solution Email Threat Intelligence de Return Path permet ainsi aux marques de passer un cap déterminant dans leur stratégie de lutte contre la cybercriminalité ». (Le rapport)

backdoor, Banque, BYOD, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fraude au président, Fuite de données, Leak, Mise à jour, OS X, Paiement en ligne, Piratage

Le cybercrime en hausse de 20% au deuxième trimestre 2015

Se basant sur l’analyse de milliards de transactions mondiales menée d’avril à juin 2015, le Réseau ThreatMetrix Digital Identity a détecté et stoppé plus de 75 millions de cyberattaques en temps réel à travers le monde. Le secteur du e-commerce a particulièrement été touché, les attaques frauduleuses y ont crues de 20% durant cette période avec 36 millions de tentatives de fraude stoppées par le Réseau. Selon ThreatMetrix, ces attaques auraient généré 2,73 milliards d’euros de pertes pour les cybermarchands si elles avaient abouti.

Les nouvelles créations de comptes ont présenté le plus de risques, comptant pour près de 7% des transactions analysées bloquées par ThreatMetrix. Bien que sources de fraudes les plus fréquentes (80%), les ouvertures de sessions de comptes ont paradoxalement présenté moins de risques ce trimestre, comme en témoignent les seuls 3% de transactions bloquées par la société. Par ailleurs, 3% des paiements au niveau global ont également été jugés frauduleux au cours de la période. En France, avec 6,4% de transactions rejetées par le Réseau, les ouvertures de sessions de comptes ont été le plus soumises à des activités criminelles devançant ainsi les nouvelles créations de comptes (2.9%) et les paiements (2.5%).

Concernant la localisation des attaques, la tendance confirmée par ThreatMetrix dans son précédent rapport de sécurité se poursuit : la moitié des cyber-menaces (51%) ayant pesé sur les entreprises françaises durant cette période a eu de nouveau pour origine l’hexagone. Au niveau plus global, les Etats-Unis et le Royaume-Uni ont constitué durant ce trimestre, les principales scènes de la cybercriminalité internationale suivies par l’Allemagne, l’Inde et la République Dominicaine.

LE CREDIT EN LIGNE : DANS LA LIGNE DE MIRE DES CYBERCRIMINELS
Selon le rapport ThreatMetrix, les cybercriminels ciblant les organismes financiers se sont focalisés tout particulièrement sur le crédit en ligne. En effet, durant cette période, les attaques ont bondi de manière significative dans ce secteur ciblant principalement la création de nouveaux comptes et les remboursements. Considéré par les particuliers ayant un accès limité aux services financiers comme la façon la plus simple d’obtenir des prêts en un laps de temps très court, le marché du crédit en ligne est devenu une cible de choix pour les cybercriminels.

“Le crédit en ligne est un foyer de fraudes parce que c’est un canal insécurisé ciblant les exclus bancaires dans les économies développées » commente Pascal Podvin, Vice Président des Opérations Amériques et EMEA. “Tant que les entreprises et les particuliers stockeront et géreront leurs données financières en ligne, les cybercriminels seront en alerte maximale. C’est pourquoi la priorité numéro 1 aujourd’hui est de s’assurer que les identités numériques soient efficacement authentifiées et protégées.”

Le cybercrime est un phénomène mondial de plus en plus professionnalisé et organisé.  Dotés des technologies les plus abouties et de tactiques toujours plus ingénieuses, les cybercriminels partagent leurs connaissances avancées avec les filières du crime organisé, les gouvernements et les cyber bandes décentralisées. Ils attaquent les sources traditionnelles et non traditionnelles de données consommateurs pour mettre en commun des identités exploitables et générer leurs exactions.

ENCORE PLUS D’ATTAQUES LIEES AUX USAGES MOBILES
Représentant un tiers de l’ensemble des transactions analysées, le mobile est aujourd’hui la source d’opportunités et de risques à la plus forte croissance pour les entreprises et les institutions financières qui souhaitent proposer des expériences transactionnelles toujours plus fluides à leurs clients. Les usages mobiles continuent à se développer comptant pour plus de 31% des transactions mondiales. Avec plus de 20 millions de nouveaux périphériques mobiles ajoutés chaque mois au Réseau ThreatMetrix, cette tendance sera encore amenée à croitre.

“Plus vous aurez de transactions mobiles, plus les cyber assaillants auront d’opportunités pour conduire des fraudes d’usurpation ou des vols d’identités en imitant d’autres périphériques pour faciliter les attaques,” ajoute Pascal Podvin. “ Les consommateurs favorisent principalement leurs smartphones au cours de leur temps libre. Ils seront donc plus enclins à conduire des transactions et des paiements pouvant compromettre leur empreinte numérique.”

Parmi les autres résultats marquants de ce rapport :

  • L’apparition dans le Top 5 de l’Inde et de la République Dominicaine comme pays sources de cyberattaques durant le deuxième trimestre 2015.
  • L’usurpation des identités et des périphériques (spoofing) ont constitué les menaces les plus courantes en France, comptant respectivement pour 5.2% et 7.9% des attaques sur la période.
  • Malgré le développement du commerce mondial, les transactions transfrontalières ont décliné par rapport aux transactions locales.
  • Hausse des bots et des violations de données.
  • La confiance reste un élément déterminant et critique pour la conversion et la fidélisation client comme les institutions financières et les cybermarchands aspirent à établir un fort relationnel avec leurs utilisateurs.

Pour plus d’informations, “ThreatMetrix Cybercrime Report: Q2 2015”

Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fraude au président, Fuite de données, Mise à jour, Paiement en ligne, Patch, Propriété Industrielle

Pourquoi il est vital de développer une culture de sécurité numérique en entreprise

Au moment où les décideurs prennent conscience de l’importance vitale du développement d’une culture sécurité, il est indispensable de travailler sur une approche verticale de la sensibilisation. Par Michel Gérard, DG de Conscio Technologies

La plupart des outils utilisés pour la mise en œuvre de campagnes en ligne, que sont les intranets ou les « learning management systems » ne permettent clairement pas de travailler comme il faut dans l’objectif du développement d’une culture de sécurité numérique. D’après une étude de PWC, les entreprises qui développent cette culture font une économie de 72% sur le coût des incidents de sécurité !

Une approche verticale de la sensibilisation permet un travail sur les trois aspects de la sensibilisation : sensibilité au sujet, connaissance et compréhension des enjeux et des bonnes pratiques, comportements réellement adoptés. Tout en s’adaptant aux spécificités du monde de l’entreprise.

Un public interne hétérogène
Hétérogène en âge, en sexe, en métier, en culture, en langue… La stratégie de sensibilisation doit donc tenir compte de cette homogénéité en diversifiant le contenu en fonction des profils.

Une communication à adapter
Les salariés n’attendent pas le lancement d’une campagne comme celui de la prochaine saison de « Games of Thrones ». Il est donc impossible de se contenter de mettre à disposition un contenu de référence et ensuite d’attendre que les collaborateurs viennent par eux même. La solution utilisée doit donc permettre de lancer des invitations et de programmer des relances, voire de communiquer et de commenter le déroulement de la campagne sur toute sa durée.

Doser et cadencer l’information
Vouloir faire ingurgiter en une seule fois tout un corpus de connaissances et de règles peut s’avérer contre productif. L’expérience nous a montré qu’il était bien plus efficace de mettre à disposition des contenus plutôt courts mais de façon répétée. N’oublions pas non plus l’effet de halo qui veut que lorsqu’on parle de certains thèmes de cybersécurité, on sensibilise globalement les salariés au sujet dans son ensemble.

Placer le contenu au cœur de la sensibilisation
Le contenu de la campagne est au coeur du succès de l’opération de sensibilisation. Il est donc important de pouvoir disposer de contenus génériques que l’on peut amender et enrichir en fonction de la politique de sécurité bien sûr mais aussi en fonction de l’environnement, et des particularités de la population cible. L’actualité étant telle sur ces sujets qu’il peut être nécessaire de réagir au plus vite. Là encore, la solution choisie doit permettre les modifications des contenus proposés et la possibilité de les mettre à jour de façon permanente.

Réduire le coût de incidents de sécurité
D’après une étude de PWC, les entreprises qui développent cette culture fond une économie de 72% sur le coût des incidents de sécurité. Il est donc important de mesurer l’impact de ce que l’on fait ainsi que le chemin parcouru.

En conclusion, les derniers incidents de sécurité les plus graves subis par les entreprises dans le monde le démontrent, il est absolument vital de développer une culture de sécurité numérique dans nos organisations. Cette tâche doit être prise très au sérieux dans les entreprises et les objectifs fixés doivent être précis. On ne doit pas se résoudre à une seule obligation de moyens. Les résultats doivent être au rendez-vous. Pour cela il faut en revanche se donner les bons moyens.

A noter que l’équipe de Data Security Breach propose des ateliers de sensibilisations à la sécurité informatique en entreprise, associations, territoriales, … n’hésitez pas à nous contacter.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Firewall, Fuite de données, Logiciels, Mise à jour, Patch, Propriété Industrielle

Fonctions analytiques de sécurité

HP a annoncé pouvoir protéger les entreprises numériques avec de nouvelles fonctions analytiques de sécurité. De nouvelles solutions identifient rapidement les menaces à haut risques et les IoC (indicators of compromise) afin d’aider à protéger les échanges entre utilisateurs, applications et données.

A l’occasion de HP Protect, la conférence annuelle sur la sécurité informatique d’entreprise, HP a dévoilé de nouvelles solutions centrées sur l’analyse de données de sécurité conçues pour aider les entreprises à passer des méthodes traditionnelles de sécurité à une approche moderne basées sur la protection des interactions entre les utilisateurs, les applications et les données, et sécuriser ainsi leurs actifs les plus précieux.

Les entreprises sont quotidiennement submergées par des données portant sur la sécurité. Elles doivent réussir à traduire ces données en informations utiles pour gérer de manière proactive les menaces qui engendrent un risque certain. Face à la complexité et le volume croissants des données, une plate-forme de sécurité intelligente est donc essentielle. Celle-ci doit être en mesure d’exploiter la puissance des solutions de Security Information and Event Management (SIEM) et d’effectuer une surveillance active avec l’analyse de données de sécurité extraites de cas d’usages, et capables d’être dérivées en actions de prévention concrètes.

« La détection des failles de sécurité est la préoccupations principale des acheteurs de solutions de sécurité. Les fabricants des solutions techniques se vantant d’identifier les failles ou de détecter des attaques sophistiquées font toujours plus de bruit » déclare Eric Ahlm, directeur de recherches chez Gartner, dans un récent communiqué de presse. « Les plateformes d’analyse de données de sécurité s’efforcent de conduire à une prise de conscience des événements de sécurité en collectant et en analysant un ensemble de données toujours plus large, de façon à ce que les événements les plus nuisibles pour les entreprises soient détectés et classés par ordre de priorité avec une efficacité accrue.»

Tirer parti de l’analyse des données de sécurité pour automatiser l’analyse des menaces
Les entreprises reçoivent chaque semaine en moyenne 17 000 alertes de programmes malveillants, et dépensent chaque année en moyenne 1,27 million US$ en temps et en ressources pour répondre à des menaces 2 provenant de données imprécises ou erronées. En raison du volume de données que les professionnels de la sécurité d’entreprise doivent surveiller, on estime à environ quatre pour cent, seulement, les alertes de logiciels malveillants faisant l’objet d’investigations 2, laissant ainsi une faille importante dans la gestion des problèmes de sécurité. En outre, les solutions traditionnelles périmétrique et les actions manuelles ne sont pas capables d’intercepter toutes les infections critiques dues à des programmes malveillants et laissent ainsi les entreprises encore plus exposées aux risques.

Pour les aider à automatiser l’analyse des données relatives aux menaces, HP annonce HP DNS Malware Analytics (DMA), une solution unique conçue pour identifier les systèmes infectés en analysant le trafic sur les serveurs DNS de l’entreprise. Cette solution sans agent a été développée en partenariat avec les HP Labs, les laboratoires de recherche d’HP, et le centre interne HP Cyber Defense Center. Travaillant à partir d’algorithmes, elle répertorie les serveurs infectés sans logiciel installé sur les composants périmétriques, et aide les clients à détecter rapidement les menaces à haut risque, réduire l’impact des failles de sécurité et améliorer leur politique globale de sécurité.

« Aujourd’hui les organisations doivent faire face à des volumes croissants de données de sécurité. Sans avoir la possibilité de séparer les signaux réels du bruit ambiant, les entreprises peuvent être victimes d’attaques malveillantes non détectées aux conséquences graves à la fois en termes financiers et opérationnels » déclare Sue Barsamian, Senior Vice-Président et Directeur Général de l’entité HP Enterprise Security Products. « La nouvelle solution HP DNS Malware Analytics (DMA) utilise les techniques de traitement des données pour détecter des malwares à partir de larges volumes d’événements fournis par les serveurs DNS. HP DMA est une solution packagée simple et très efficace adaptée aux grandes et moyennes entreprises. Combinée à la plateforme HP ArcSight SIEM, elle apporte des fonctionnalités de nouvelle génération qui renforcent la protection de l’entreprise. »

HP DMA identifie rapidement les cibles infectées comme les serveurs, les postes de travail et les appareils mobiles, afin de pouvoir les isoler avant qu’ils ne se connectent au réseau. La solution propose un algorithme unique en son genre – ce qui la différencie de la plupart des offres bâties sur des règles – capable d’analyser un très grand nombre d’enregistrements DNS. Ceci permet la détection d’un nouveau malware inconnu tout en réduisant par 20 le nombre de faux positifs par rapport aux autres offres de détection de malware sur le marché 3. Les entreprises économisent ainsi du temps et des ressources IT, et peuvent répondre aux risques les plus élevés en fonction des priorités qu’elles auront définies.

Avec un paramétrage simple et un reporting dans le cloud, HP DMA peut être déployé rapidement pour offrir une vigilance permanente face aux menaces. La solution s’intègre de façon transparente avec la plateforme the HP ArcSight SIEM, ce qui permet d’exploiter la capacité des systèmes SIEM, en tirant parti des déploiements de ArcSight Enterprise Security Management (ESM) afin de corréler d’autres données contextuelles, de donner des alertes et de proposer des actions appropriées.

Intégrer les données de sécurisation des applications pour élargir la couverture de sécurité
En prolongement de son engagement sur les offres de sécurité basées sur l’utilisation de données, HP annonce également HP Fortify scan analytics, une technologie unique qui exploite la puissance des données de sécurité issues des applications afin d’améliorer l’acuité et l’efficacité des solutions de sécurisation des applications. En traitant un volume croissant d’enregistrements fournis par des scans applicatifs et en réduisant la quantité d’éléments demandant l’analyse d’un spécialiste, la solution permet aux entreprises de concentrer leurs ressources sur un nombre plus faible de tâches plus prioritaires. Cette technologie analytique s’intègre de façon transparente dans les workflows existants de tests de sécurité des applications, ce qui contribue à augmenter à la fois l’efficacité du processus d’audit de la sécurité des applications et la pertinence des résultats.

Tirer parti de l’analyse prédictive pour accélérer la détection de menaces internes
Les nouvelles offres analytiques HP DMA et Fortify renforcent les capacités analytiques d’HP autour de l’analyse comportementale annoncées au cours de cette année. HP User Behavior Analytics (UBA) offre aux clients une meilleure visibilité dans le comportement des utilisateurs afin d’identifier les plus négligents ou les plus malveillants, ou de détecter les attaques externes qui infectent les comptes des utilisateurs de l’entreprise. En classant les anomalies détectées et les risques associés, HP UBA permet aux clients de concentrer leurs efforts et leurs ressources sur les activités, les utilisateurs et les applications qui présentent les risques les plus élevés pour l’entreprise.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering

Sites de rencontres : la protection n’est pas au rendez-vous !

Une étude de Dashlane au sujet des Sites de rencontres met en avant le fait que la protection n’est pas au rendez-vous.

Cela fait maintenant trois mois que le site Ashley Madison, la version américaine du site de rencontres adultères Gleeden, a été piraté avec les conséquences désastreuses que l’on connaît. Carrières ruinées, familles brisées, procès, c’est un mauvais feuilleton dramatique qui se déroule sous nos yeux outre-Atlantique. Les autres sites de rencontre ne semblent toutefois pas en avoir tiré d’enseignements. L’étude publiée par Dashlane, qui gère l’identité numérique et les mots de passe de 3M d’internautes, montre que la plupart des sites de rencontre n’ont pas mis en place de politique de sécurité pour s’assurer que leurs utilisateurs soient protégés par des mots de passe forts. Les internautes qui partagent des informations pour le moins confidentielles sur ces sites risquent fort d’être très intéressés par les résultats ci-dessous…

Dashlane a étudié 24 sites de rencontre (dont 12 en France) parmi les plus populaires et les a classé selon leur approche de la sécurité des mots de passe. 19 critères ont été utilisés comme la longueur minimale du mot de passe acceptée ou le fait d’exiger ou non un mot de passe alphanumérique, composé de lettres et de chiffres. L’étude prend également en compte l’acceptation par le site des mots de passe très basiques comme « 123456 ».

Les résultats sont alarmants: Alors que les grands sites Internet ont renforcés leurs politiques de sécurité concernant les mots de passe (sur le même test, Apple a un score de 100, Hotmail de 88 et Gmail de 76), les sites de rencontre n’ont en général pas mis en place de politique pour inciter leurs utilisateurs à employer des mots de passe forts. Le plus avancé des sites de rencontres analysés, OK Cupid, n’a qu’un score de 62 et seuls trois sites, sur les douze analysés, ont un score « passable » supérieur à 50.

· Les disparités sont grandes entre les sites. Si OK Cupid a un score de 62, Badoo et Plenty Of Fish ferment la marche avec un petit score de 22.
· Derrière les mauvaises notes, on observe des pratiques de sécurité d’un autre âge. Badoo ou Attractive World envoient à leurs utilisateurs leur mot de passe en clair par email. Encore plus effrayant, sur Match.com ou Plenty Of Fish, il est possible de créer des mots de passe d’une seule lettre ! Aucun des sites analysés pour le marché français n’exige un mot de passe alphanumérique (composé de chiffres et de lettres) et sur les douze, seuls quatre adressent un email aux utilisateurs lorsque leur mot de passe est modifié !
· Les personnes qui recherchent à faire des rencontres extra conjugales sur Internet peuvent aussi se poser des vraies questions car les sites spécialisés, Ashley Madison et Gleeden ne recueillent que des notes respectives de 30 et 32.

Cela fait maintenant trois mois que le site Ashley Madison, la version américaine du site de rencontres adultères Gleeden, a été piraté avec les conséquences désastreuses que l’on connaît. Carrières ruinées, familles brisées, procès, c’est un mauvais feuilleton dramatique qui se déroule sous nos yeux outre-Atlantique. Les autres sites de rencontre ne semblent toutefois pas en avoir tiré d’enseignements. L’étude publiée par Dashlane, qui gère l’identité numérique et les mots de passe de 3M d’internautes, montre que la plupart des sites de rencontre n’ont pas mis en place de politique de sécurité pour s’assurer que leurs utilisateurs soient protégés par des mots de passe forts. Les internautes qui partagent des informations pour le moins confidentielles sur ces sites risquent fort d’être très intéressés par les résultats ci-dessous…

24 sites de rencontre (dont 12 en France) étudiés, parmi les plus populaires. Ils ont été classés selon leur approche de la sécurité des mots de passe. 19 critères ont été utilisés comme la longueur minimale du mot de passe acceptée ou le fait d’exiger ou non un mot de passe alphanumérique, composé de lettres et de chiffres. L’étude prend également en compte l’acceptation par le site des mots de passe très basiques comme « 123456 ».

Les résultats sont alarmants. Alors que les grands sites Internet ont renforcés leurs politiques de sécurité concernant les mots de passe (sur le même test, Apple a un score de 100, Hotmail de 88 et Gmail de 76), les sites de rencontre n’ont en général pas mis en place de politique pour inciter leurs utilisateurs à employer des mots de passe forts. Le plus avancé des sites de rencontres analysés, OK Cupid, n’a qu’un score de 62 et seuls trois sites, sur les douze analysés, ont un score « passable » supérieur à 50. Les disparités sont grandes entre les sites. Si OK Cupid a un score de 62, Badoo et Plenty Of Fish ferment la marche avec un petit score de 22.

Derrière les mauvaises notes, on observe des pratiques de sécurité d’un autre âge. Badoo ou Attractive World envoient à leurs utilisateurs leur mot de passe en clair par email. Encore plus effrayant, sur Match.com ou Plenty Of Fish, il est possible de créer des mots de passe d’une seule lettre ! Aucun des sites analysés pour le marché français n’exige un mot de passe alphanumérique (composé de chiffres et de lettres) et sur les douze, seuls quatre adressent un email aux utilisateurs lorsque leur mot de passe est modifié !

Les personnes qui recherchent à faire des rencontres extra conjugales sur Internet peuvent aussi se poser des vraies questions car les sites spécialisés, Ashley Madison et Gleeden ne recueillent que des notes respectives de 30 et 32.

Cybersécurité, Entreprise, Firewall, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Social engineering

détection des menaces basé sur l’apprentissage automatique Machine Learning

Avast conçoit un système de détection des menaces basé sur l’apprentissage automatique Machine Learning. Sa collaboration avec Qualcomm permet de protéger les utilisateurs face aux attaques zero-day, aux logiciels malveillants et à la violation des données personnelles.

Avast Software, éditeur des solutions de sécurité PC et mobiles, a développé une solution de sécurité mobile au niveau du noyau. Avast collabore actuellement avec Qualcomm Technologies, Inc., une filiale de Qualcomm Incorporated, afin de mettre sur pied cette nouvelle technologie. Qualcomm Technologies est le concepteur de Qualcomm® SnapdragonTM Smart Protect, un outil conçu pour détecter et classifier en temps réel les attaques zero-day et les malwares transformés, grâce à une analyse des comportements basée sur l’apprentissage automatique qui permettra de renforcer la protection des données personnelles et la sécurité des appareils. Snapdragon Smart Protect devrait être disponible sur les appareils grand public d’ici 2016 et sera intégré au processeur Snapdragon 820.

« Étant donné leur expérience et leur renommée sur le marché de la sécurité mobile, Avast était pour nous un choix évident pour cette intégration, déclare Asaf Ashkenazi, directeur de la gestion des produits chez Qualcomm Technologies. Grâce à la technologie AV avancée et aux solutions de sécurité mobile d’Avast, les clients bénéficieront d’une sécurité et d’une protection de la vie privée plus performantes. »

« Chez Avast, nous sommes ravis de collaborer avec Qualcomm Technologies en vue d’élaborer une solution de sécurité matérielle qui sera intégrée aux processeurs Snapdragon et à leur firmware, déclare Vince Steckler, PDG d’Avast. Le nombre de menaces grandit chaque jour, raison pour laquelle les fabricants et opérateurs mobiles doivent protéger leurs utilisateurs en temps réel. Snapdragon Smart Protect offrira une sécurité matérielle au niveau du processeur, afin de protéger les consommateurs plus efficacement face aux applications malveillantes, aux attaques zero-day et aux rançongiciels. »

Une solution de sécurité traditionnelle est uniquement capable d’analyser et de surveiller les comportements des logiciels au niveau des applications et de la structure logicielle. Avast utilisera ici la technologie embarquée Snapdragon Smart Protect et son algorithme d’apprentissage automatique au niveau du processeur afin de contrer les attaques zero-day et de différencier les applications logicielles autorisées et malveillantes. Alors que les utilisateurs bénéficieront d’une protection optimisée, les fabricants et opérateurs mobiles pourront quant à eux limiter les risques de violations de données et d’attaques malveillantes au sein de leurs systèmes.

Cybersécurité, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Particuliers, Social engineering, Vie privée

Données d’utilisateurs UBER fuitent sur Google

Les fuites de données sont aussi l’affaire des propriétaires des données qui fuitent. Un exemple concret avec le cas UBER/Google.

Si la grande majorité des fuites sont dues à des piratages, des erreurs d’employés d’entreprises ou à un bug, des cas démontrent que certains internautes ne font pas attention à leur hygiène de vie numérique. Un exemple intéressant avec des informations appartenant à des utilisateurs d’UBER (portail qui permet de mettre en relation des piétons avec des automobilistes, du moins quand des taxis ne bloquent pas l’idée, NDR) qui se sont retrouvées sur Google. Parmi les données, adresses postales, noms du conducteur, informations sur la voiture. Le fautif de ce genre de fuite ? L’utilisateur lui même qui a partagé ses données sur Internet, Twitter.

Google a sauvegardé les informations via ses robots de recherche. Certains de ces voyages remontent à 2013, et incluent des voyages aux États-Unis, Royaume-Uni, Russie, Indonésie, Inde ou encore Philippines. Des données et informations qui restent en ligne, toujours accessibles aujourd’hui, via la cache de Google. Le responsable sécurité de chez UBER indique que son équipe a constaté que « tous ces liens sont volontairement partagée par les utilisateurs.« 

https://twitter.com/four/status/639163190757081088

 

Chiffrement, cryptage, Cybersécurité, Mise à jour, Patch, VPN

NoLimitVPN, la petite start-up qui monte

Un commentaire

Le fournisseur Français de VPN, NoLimitVPN, propose un nouveau service de type Firewall As A Service, explication.

Sécuriser ses surfs avec un VPN est devenu une obligation aujourd’hui. Cela permet de protéger ses navigations numériques du regard malveillant de personnes non autorisées. La start-up Française NoLimitVPN (Nicolas THIBAUT, fondateur et expert en cyber-sécurité/cyberdéfense, Didier THIBAUT directeur marketing et commercial et Lucas PHILIPPE consultant en cybersécurité/cyberdéfense) viennent de rajouter une nouvelle corde à leur arc, un Firewall As A Service. Explication.

DataSecurityBreach.fr – Qu’est ce qu’un Firewall As A Service ?
NoLimitVPN – Le concept de « Firewall As A Service » est nouveau et vient s’ajouter aux nombreux services disponibles dans le Cloud (SaaS, IaaS, etc). L’objectif est de supprimer des investissements initiaux élevés en dématérialisant une solution existante (tel qu’un pare-feu Sophos ou Netasq). Concernant les entreprises, un autre avantage est d’offrir une solution évolutive, qui les accompagne au cours de leur développement en s’adaptant très rapidement aux différents besoins (sans avoir de frais de mise à jour par exemple). Enfin notre solution de protection est transparente pour l’utilisateur final, les attaques sont stoppées en amont des appareils (et même en amont du réseau interne).

DataSecurityBreach.fr – Pourquoi vous orienter vers cette idée ?
NoLimitVPN – NolimitVPN existe maintenant depuis presque 2 ans et nous avons souhaité faire évoluer notre service VPN en un service de protection innovant.
Lors de notre participation au Kaspersky Security Startup Challenge 2015 (Ils ont fini 3ème, NDR), nous avons longuement réfléchi à des améliorations qui pourraient rendre notre service unique. En intégrant un pare-feu au service VPN, nous avons pu ajouter un niveau supplémentaire de sécurité tout en conservant tous les autres fonctionnalités.

DataSecurityBreach.fr – Qu’est ce que cela peut apporter à une entreprise ? Un particulier ?
NoLimitVPN – Nous offrons une couche de sécurisation complémentaire à un antivirus standard. En effet, notre service propose une protection proactive contrairement aux antivirus qui agissent généralement de manière réactive (une fois que la menace s’est introduite). Le service fonctionne comme un filtre de sécurité sur votre trafic Internet, bloquant tout ce qui pourrait être dangereux pour votre environnement informatique. Un particulier, comme une entreprise, est ainsi caché derrière ce filtre (diminuant les risques d’attaques directes).

DataSecurityBreach.fr – Intéressant, le rapport d’attaques. Qu’est ce qu’il découle de ce rapport, les attaques les plus courantes ? Les plus étonnantes ?
NoLimitVPN – Après plusieurs mois en phase bêta, nous avons constaté que la majorité des menaces sont des attaques phishing ou des sites hébergeant des fichiers malveillants. Nous bloquons également plusieurs serveurs de contrôle, ce qui permet à chaque utilisateur d’être protégé même si un appareil a été transformé en botnet (car les communications avec les serveurs de contrôle sont bloquées). Enfin, il est important de préciser que nous collectons seulement les logs d’activité du trafic de nos serveurs pour avoir des statistiques afin de garantir un anonymat absolu et une confidentialité totale à nos utilisateurs.

Apple, Argent, Arnaque, backdoor, Banque, Cyber-attaque, Cybersécurité, escroquerie, Leak, Logiciels, Mise à jour, OS X, Particuliers, Patch, Piratage

Keyraider, un nouveau malware compromettant en France et dans le monde plus de 225 000 comptes Apple

Un commentaire

En coopération avec WeipTech, Palo Alto Networks et son unité de recherche Unit42 ont identifié 92 échantillons d’une nouvelle famille de malwares ciblant l’iOS, et agissant en toute impunité. Nous avons analysé les échantillons afin de déterminer quel était l’objectif final de leur auteur. Nous avons en outre baptisé ce malware “KeyRaider”. Nous pensons qu’il s’agit du plus important vol de comptes Apple jamais causé par un malware.

KeyRaider cible les appareils iOS débridés et est distribué en Chine via des référentiels tiers de Cydia. Au total, cette menace aurait touché des utilisateurs de 18 pays : Chine, France, Russie, Japon, Royaume-Uni, Etats-Unis, Canada, Allemagne, Autriche, Israël, Italie, Espagne, Singapour et Corée du Sud.

Le malware prend au piège les processus système à l’aide d’un hook via MobileSubstrate, puis capte les noms d’utilisateur et les mots de passe du compte Apple ainsi que l’identificateur unique global (GUID) de l’appareil, en interceptant le trafic iTunes sur l’appareil. KeyRaider dérobe les certificats et les clés privées envoyés par le service de notification Push d’Apple, vole et partage les informations d’achat sur l’App Store, et désactive les fonctionnalités de déverrouillage local et distant des iPhones et des iPads.

KeyRaider est parvenu à s’emparer de plus de 225 000 comptes Apple valides et de plusieurs milliers de certificats, de clés privées et d’accusés de réception de commandes. Le malware envoie les données volées à son serveur de commande et de contrôle (C2), lequel contient lui-même des vulnérabilités qui exposent les informations utilisateur.

L’objectif de cette attaque était de permettre aux utilisateurs de deux tweak de débridage d’iOS de télécharger des applications depuis l’App Store officiel et d’y faire des achats mais sans payer. Les tweaks de débridage sont des packages logiciels qui permettent aux utilisateurs d’exécuter des actions normalement impossibles dans iOS.

Ces deux tweaks détournent les demandes d’achats d’applications, téléchargent les comptes volés ou les accusés de réception de commande du serveur C2, puis émulent le protocole iTunes pour se connecter au serveur d’Apple et acheter des applications ou d’autres éléments demandés par les utilisateurs. Les tweaks ont été téléchargés plus de 20 000 fois, ce qui laisse supposer qu’environ 20 000 utilisateurs exploitent frauduleusement les 225 000 informations personnelles subtilisées.

Certaines victimes ont fait savoir que leurs comptes Apple volés font état d’un historique d’achats d’applications anormal. D’autres sont confrontés à un rançonnement de leur téléphone.

Palo Alto Networks et WeipTech ont mis à disposition des services qui détectent le malware KeyRaider et identifient les informations personnelles volées.

Cybersécurité, Espionnae, ID, Identité numérique, Mise à jour, Particuliers, Patch, Social engineering, Vie privée

Activity Update de Windows 10 surveille les enfants

De nombreux parents américains hurlent à l’espionnage de leurs enfants via l’option Activity Update de Windows 10.

Activity Update est l’une des nombreuses, très nombreuses options de Windows 10 permettant de collecter des informations pour « une meilleure utilisation client » indique Microsoft. Sauf que « la mise à jour de l’activité » permet aussi aux parents de recevoir la vie numérique de leur progéniture sur la toile.

Cette mise à jour d’activité est présente dans les Windows 10 de base. L’idée, permettre aux parents de recevoir les informations de connexion des enfants, ou des utilisateurs de la machine en question. Des parents ont découvert la chose en recevant la liste des sites web visités, le temps passé sur le web. Une option activée par défaut, comme l’ensemble des « bonus » de Windows 10. Autant dire que pas mal d’adolescents risquent de devoir expliquer pourquoi ils disent merci à cette Jacquie et à ce Michel. [independent]

Antivirus, Chiffrement, cryptage, Cybersécurité, Logiciels, Mise à jour, Patch, Virus

Le processeur Qualcomm Snapdragon 820 équipé d’un anti malwares

Qualcomm Snapdragon Smart Protect équipera le prochain Snapdragon 820 de l’analyse comportementale afin de renforcer la sécurité et la détection de logiciels malveillants.

Qualcomm renforce son leadership technologique en matière de sécurité mobile avec l’introduction de Qualcomm Snapdragon™ Smart Protect. Le futur processeur Qualcomm Snapdragon 820 sera le premier équipé de Snapdragon Smart Protect, proposant le « machine learning » (apprentissage automatique) directement sur le terminal et en temps réel. Snapdragon Smart Protect va notamment permettre la détection précise et efficace de menaces émanant de malwares de type « zero-day » et améliorer ainsi la protection des données personnelles et la sécurité des terminaux. Snapdragon Smart Protect est également la première application à utiliser la technologie Qualcomm® Zeroth™ venant renforcer le champs d’action de solutions anti-malware conventionnelles, grâce à la détection de logiciels malveillants en temps réel, la classification et l’analyse des causes à un moteur d’analyse comportementale basé sur l’informatique cognitive.

Cybersécurité, escroquerie, Mise à jour, Particuliers, Patch, Vie privée

Mozilla change sa politique de sécurité dans Firefox 41

Un commentaire

Mozilla va modifier la sécurité de son navigateur Firefox afin de protéger les utilisateurs des extensions malveillantes. Les add-ons non signés seront interdites.

Firefox 41 est attendu dans les ordinateurs le 22 septembre prochain. Une nouveauté qui se sentira aussi du côté des add-ons proposés dans le butineur. Mozilla va bloquer toutes les extensions qui ne seront pas signées. Les utilisateurs pourront toujours les exécuter, mais à leurs risques et périls.

Mozilla a déclaré que le nouveau processus de signature est nécessaire pour empêcher les utilisateurs d’être exposés à des logiciels pirates. Des widgets qui peuvent injecter des publicités non sollicitées ou, plus dangereux, des scripts malveillants.

À partir de Firefox 42, les développeurs seront tenus de soumettre leurs extensions pour examen. Ils recevront la précieuse « signature » Mozilla avant le déploiement de leur proposition numérique. Les add-ons qui ne seront pas signés, ne pourront pas être installés ou utilisés avec Firefox.

Android, Cybersécurité, Logiciels, Mise à jour, Patch, Sécurité, Smartphone, Téléphonie

0day pour Dolphin et Mercury sous Android

Un chercheur en sécurité informatique conseille aux utilisateurs des navigateurs Dolphin et Mercury de passer sous un butineur web. Des failles 0Day découvertes.

Un chercheur connu sous le pseudonyme de Rot logix a annoncé la découverte de plusieurs 0day, failles non publiques, visant les navigateurs web Dolphin et Mercury. Des navigateurs pour Android. Rotlogix indique qu’il est fortement conseillé de basculer vers d’autres applications en attendant les corrections. Selon Google Play, plus de 50 millions d’internautes utilisent Dolphin Browser ; entre 500 000 et 1 million d’installations pour Mercury.

Les attaques pourraient être profitables à un malveillant, via un Mitm, l’attaque dite de l’homme du milieu. En gros, il y a vous, le pirate et l’espace numérique que vous souhaitez visiter. Le pirate pouvant ainsi intervenir sur les données passant par votre connexion.

La faille est liée à une fonction qui permet aux utilisateurs de télécharger et d’appliquer des thèmes pour les navigateurs web. Les thèmes sont téléchargés en HTTP. Un pirate pourrait en profiter pour injecter son code malveillant. En Mars 2015, des chercheurs de chez Versprite avaient mis à jour des failles dans la version 3.0 de Mercury.

Adobe, Android, BYOD, Cloud, cryptolocker, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ios, Leak, Logiciels, Mise à jour, OS X, Patch, Piratage, ransomware, Sécurité, Smartphone, Virus, VPN, Windows phone, Wordpress, Wordpress

État des lieux de l’Internet du 2ème trimestre 2015

Akamai Technologies, Inc., leader mondial des services de réseau de diffusion de contenu (CDN), annonce la disponibilité de son rapport de sécurité « État les lieux de l’Internet » du 2ème trimestre 2015. Il livre une analyse et un éclairage sur les cyber-menaces qui pèsent sur la sécurité cloud à l’échelle mondiale.

« La menace des attaques par déni de service distribué (DDoS) et applicatives web ne cesse de s’intensifier chaque trimestre », précise John Summers, vice-président, Cloud Security Business Unit d’Akamai. « Les acteurs malveillants brouillent perpétuellement la donne en changeant de tactique, en dénichant de nouvelles vulnérabilités, voire en remettant au goût du jour des techniques considérées comme obsolètes. En analysant les attaques observées sur nos réseaux, nous sommes en mesure d’inventorier les menaces et tendances naissantes et de communiquer au public les informations indispensables à la consolidation de leurs réseaux, sites web et applications, et à l’amélioration de leurs profils de sécurité cloud. »

Dans ce rapport sont analysés deux vecteurs d’attaques applicatives web supplémentaires, mais aussi examiné les menaces représentées par le trafic TOR (routage en oignon) et même mis au jour certaines vulnérabilités dans des modules externes WordPress tiers, en cours de publication dans le dictionnaire CVE », ajoute-t-il. « Plus les menaces de cybersécurité sont documentées, mieux la défense d’une entreprise peut être opérée.

Panorama de l’activité des attaques DDoS
Sur les trois derniers trimestres, il apparaît que le nombre d’attaques DDoS double d’une année sur l’autre. Si, au cours de ce trimestre, les pirates ont privilégié les attaques de moindre débit mais de plus longue durée, toujours est-il que le nombre de méga-attaques ne cesse de croître. Au 2ème trimestre 2015, 12 attaques à un débit supérieur à 100 Gb/s ont été recensées et 5 autres culminant à plus de 50 Mp/s (millions de paquets par seconde). Très peu d’entreprises sont capables de résister par elles-mêmes à des attaques de cette ampleur.

L’attaque DDoS la plus massive au 2ème trimestre 2015, mesurée à plus de 240 Gb/s, a duré plus de 13 heures. Le débit crête est généralement limité à une fenêtre d’une à deux heures. Sur cette même période, l’une des attaques présentant le débit de paquets le plus élevé jamais encore enregistré sur le réseau Prolexic Routed a également été déclenchée (à un pic de 214 Mp/s). Ce volume d’attaques est capable de paralyser des routeurs de niveau 1 comme ceux utilisés par les fournisseurs d’accès Internet.

L’activité des attaques DDoS a établi un nouveau record au 2ème trimestre 2015, en hausse de 132 % à trimestre comparable un an auparavant, et de 7 % par rapport au 1er trimestre 2015. Si le débit crête et le volume maximal moyens des attaques ont légèrement progressé au 2ème trimestre 2015 comparativement au trimestre précédent, ils demeurent nettement en-deçà des valeurs maximales relevées au deuxième trimestre 2014.

SYN et SSDP (Simple Service Discovery Protocol) sont les vecteurs les plus couramment utilisés ce trimestre, chacun d’eux représentant approximativement 16 % du trafic d’attaques DDoS. Eu égard à la prolifération d’équipements électroniques de loisirs non sécurisés, connectés à Internet via le protocole UPuP (Universal Plug & Play), leur utilisation comme réflecteurs SSDP demeure attrayante. Quasiment inexistant il y a encore un an, le SSDP s’est imposé comme l’un des principaux vecteurs d’attaques ces trois derniers trimestres. Quant à la technique par saturation de type « SYN flood », elle continue à dominer les attaques volumétriques et ce, depuis la première édition du rapport de sécurité parue au troisième trimestre 2011.

Le secteur des jeux en ligne demeure une cible privilégiée depuis le 2ème trimestre 2014, systématiquement visé par environ 35 % des attaques DDoS. Au cours des deux derniers trimestres, la majorité du trafic d’attaques ne provenant pas d’adresses usurpées a continué à émaner de la Chine, pays qui figure dans le trio de tête depuis la parution du premier rapport au troisième trimestre 2011.

Activité des attaques applicatives web
Des statistiques sur les attaques applicatives web ont commencé à être publiées par Akamai au premier trimestre 2015. Ce trimestre, deux autres vecteurs d’attaques ont été analysés : les failles Shellshock et XSS (cross-site scripting).

Shellshock, vulnérabilité logicielle présente dans Bash mise au jour en septembre 2014, a été exploitée dans 49 % des attaques applicatives web ce trimestre. En réalité, 95 % des attaques Shellshock ont visé un seul client appartenant au secteur des services financiers, dans le cadre d’une campagne qui a duré plusieurs semaines en début de trimestre. Généralement menée sur HTTPS, cette campagne a rééquilibré l’utilisation des protocoles HTTPS et HTTP. Au premier trimestre 2015 en effet, seulement 9 % des attaques avaient été dirigées sur HTTPS, contre 56 % ce trimestre.

Par ailleurs, les attaques par injection SQL (SQLi) représentent 26 % de l’ensemble des attaques, soit une progression de plus de 75% des alertes de ce type rien qu’au deuxième trimestre. À l’inverse, les attaques de type LFI (inclusion de fichier local) s’inscrivent en net recul. Principal vecteur d’attaques applicatives web au premier trimestre 2015, LFI n’est plus à l’origine que de 18 % des alertes au deuxième trimestre 2015. L’inclusion de fichier distant (RFI), l’injection PHP (PHPi), l’injection de commandes (CMDi), l’injection OGNL Java (JAVAi) et le chargement de fichier malveillant (MFU) comptent, pour leur part, pour 7 % des attaques applicatives web.

Comme au premier trimestre 2015, ce sont les secteurs des services financiers et du commerce et de la grande distribution qui ont été les plus fréquemment touchés par les attaques.

La menace des modules externes et thèmes WordPress tiers
WordPress, plate-forme la plus en vogue dans le monde pour la création de sites web et de blogues, est une cible de choix pour des pirates qui s’attachent à exploiter des centaines de vulnérabilités connues pour créer des botnets, disséminer des logiciels malveillants et lancer des campagnes DDoS.

Le code des modules externes tiers est très peu, voire nullement, contrôlé. Afin de mieux cerner les menaces, Akamai a testé plus de 1 300 modules externes et thèmes parmi les plus répandus. Résultat : 25 d’entre eux présentaient au moins une vulnérabilité nouvelle. Dans certains cas, ils en comprenaient même plusieurs puisque 49 exploits potentiels ont été relevés au total. Une liste exhaustive des vulnérabilités mises au jour figure dans le rapport, accompagnée de recommandations pour sécuriser les installations WordPress.

Les forces et les faiblesses de TOR
Le projet TOR (The Onion Router, pour « routage en oignon ») fait en sorte que le nœud d’entrée ne soit pas identique au nœud de sortie, garantissant ainsi l’anonymat des utilisateurs. Bien que nombre des utilisations de TOR soient légitimes, son anonymat présente de l’intérêt pour les acteurs malveillants. Pour évaluer les risques liés à l’autorisation de trafic TOR à destination de sites web, Akamai a analysé ce trafic web à l’échelle de sa base de clients Kona sur une période de sept jours.

L’analyse a révélé que 99 % des attaques émanaient d’adresses IP non-TOR. Néanmoins, une requête sur 380 issues de nœuds de sortie TOR était malveillante, contre une sur 11 500 seulement en provenance d’adresses IP non-TOR. Ceci dit, le blocage de trafic TOR pourrait se révéler préjudiciable sur le plan économique. Toutefois, les requêtes HTTP légitimes vers les pages d’e-commerce correspondantes font état de taux de conversion équivalents entre nœuds de sortie TOR et adresses IP non-TOR. Le rapport.

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Patch, Piratage

Un rapport IBM X-Force dévoile une utilisation accrue de Tor et une évolution des attaques avec rançon

IBM Sécurité annonce les résultats de son rapport Q3 2015 IBM X-Force Threat Intelligence.

Ce rapport dévoile les dangers grandissants provoqués par les cyber-attaques provenant du Dark Web à travers l’utilisation du réseau Tor (The Onion Router), ainsi que les nouvelles techniques mises en place par les criminels pour les attaques avec rançon. Rien que depuis le début de l’année,  plus de 150 000 événements malveillants provenant de Tor ont eu lieu aux États-Unis.

Même si on entend davantage parler des fuites de données que des demandes de rançon, les « ransomware » représentent une menace grandissante. Comme la sophistication des menaces et des attaquants croît, leur cible fait de même, et ainsi certains attaquants se sont par exemple spécialisés dans la demande de rançon concernant les fichiers de joueurs de jeux en lignes populaires. Le rapport dévoile que les agresseurs peuvent maintenant également bénéficier de « Ransomware as a Service » en achetant des outils conçus pour déployer de telles attaques.

Comme les hauts fonds des océans, le Dark Web demeure largement inconnu et inexploré, et il héberge des prédateurs. L’expérience récente de l’équipe IBM Managed Security Services (IBM MSS) montre que les criminels et d’autres organisations spécialisées dans les menaces utilisent Tor, qui permet d’anonymiser les communications aussi bien en tant que vecteur d’attaques que d’infrastructure, pour commander et contrôler les botnets. La façon dont Tor masque le cheminement offre des protections supplémentaires aux attaquants en les rendant anonymes. Ils peuvent aussi masquer la location physique de l’origine de l’attaque,  et même la remplacer par une autre de leur choix. Le rapport étudie également Tor lui-même, et fournit des détails techniques permettant de protéger les réseaux contre les menaces, intentionnelles ou non, véhiculées par Tor.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Leak, Mise à jour, OS X, Patch, Piratage, Social engineering, Virus

La sophistication et le dynamisme des cyber-attaques au cœur de la course à l’innovation des pirates et professionnels de la sécurité

Un commentaire

Comme chaque année, Cisco publie son Rapport semestriel 2015 sur la sécurité et dévoile son analyse des menaces et tendances en matière de cyber sécurité. Il révèle la nécessité absolue pour les entreprises de réduire les temps de détection (TTD), afin de contrer les attaques sophistiquées perpétrées par des pirates particulièrement motivés. Le kit d’exploits Angler est le type même de menaces auxquelles seront confrontées les entreprises. La multiplication des vecteurs d’attaques innovants et des opportunités de monétisation sont exploités par les hackers, à la faveur de l’essor de l’économie numérique et de l’Internet of Everything.

Les nouveaux risques associés à Flash, l’évolution des ransomwares et les campagnes de malwares de plus en plus dynamiques, tels que Dridex, augmentent la nécessité de réduire les temps de détection. Avec la digitalisation des entreprises et l’avènement de l’IoE (Internet of Everything), les malwares et autres menaces se font de plus en plus omniprésents. Cette situation ne manque pas de soulever des inquiétudes quant à la durée des temps de détection, actuellement compris entre 100 et 200 jours, d’après les estimations des professionnels de la sécurité. À titre de comparaison, le temps de détection moyen des solutions AMP (Advanced Malware Protection) de Cisco est de 46 heures, grâce à l’analyse rétrospective des attaques.

Le rapport souligne l’importance pour les entreprises, de privilégier le déploiement de solutions intégrées ainsi que le recours à des fournisseurs de services de sécurité à des fins d’orientation et d’évaluation. Par ailleurs, les géopoliticiens notent l’urgence de définir un cadre mondial de cybergouvernance afin de soutenir la croissance économique.

Angler, des assaillants tapis dans l’ombre pour mieux frapper – Grâce à l’exploitation de la vulnérabilité des solutions Flash, Java, Internet Explorer et Silverlight, Angler est actuellement l’un des kits d’exploits les plus sophistiqués et les plus largement utilisés. Le kit excelle également à passer au travers des détections en utilisant, en autres techniques : le « domain shadowing ».

Dridex, des campagnes en constante évolution – Les créateurs de ces campagnes de malwares en perpétuelle mutation ont bien compris comment échapper aux systèmes de sécurité. Pour mieux passer à travers les mailles du filet, les assaillants s’empressent de modifier le contenu des e-mails, noms d’utilisateurs, pièces jointes ou contacts, et de lancer de nouvelles campagnes, obligeant ainsi les systèmes anti-virus traditionnels à remettre à jour leur base de données afin de les détecter.

Flash is Back – Les exploits utilisant les vulnérabilités d’Adobe Flash intégrés dans les kits d’exploits Angler et Nuclear ont également le vent en poupe. Ce succès tient en partie au manque de solutions de correctifs automatiques, ainsi qu’à la négligence des utilisateurs qui n’effectuent pas immédiatement les mises à jour. Au cours du premier semestre 2015, le nombre de vulnérabilités Adobe Flash Player signalées par le système CVE (Common Vulnerabilities and Exposure) a augmenté de 66 % par rapport aux chiffres de 2014. À ce rythme, Flash est en passe d’établir un record absolu du nombre de signalements CVE pour l’année 2015.

L’évolution des ransomwares – Les ransomwares demeurent des solutions particulièrement lucratives pour les hackers qui ne se lassent pas d’en développer de nouvelles variantes. Les opérations de ransomware se sont tellement perfectionnées qu’elles sont aujourd’hui totalement automatisées et contrôlées depuis le Dark Web. Afin de soustraire les transactions à la loi, les rançons sont payées en monnaie virtuelle, telle que le bitcoin.

La nécessité d’une mobilisation générale

L’accélération de la course à l’innovation entre assaillants et éditeurs de solutions de sécurité expose les entreprises et utilisateurs finaux à un risque croissant. Les éditeurs doivent veiller à développer des solutions de sécurité intégrées permettant aux entreprises de se montrer proactives et d’associer professionnels, process et technologies de manière judicieuse.

Un cadre de cybergouvernance mondiale – À l’heure actuelle, la cybergouvernance mondiale ne dispose pas des outils nécessaires lui permettant de faire face aux menaces émergentes ou aux enjeux géopolitiques. La question des frontières, expose la problématique pour les états de collecter et de partager des données sur les entreprises et les citoyens entre différentes juridictions. Ceci constitue un obstacle de taille à la mise en place d’un système de cybergouvernance cohérent, dans un monde où la coopération est limitée. Afin de soutenir la croissance économique des entreprises et leurs efforts d’innovation, il est nécessaire d’instaurer un cadre de cybergouvernance multipartite et collaboratif au niveau mondial. De l’importance d’une transparence des éditeurs – Il est indispensable pour les entreprises de demander aux éditeurs une pleine transparence dans tous les aspects du développement de leurs produits de sécurité, et ce depuis la chaîne logistique et pendant toute la durée de déploiement de ces derniers.

Télécharger un exemplaire du Rapport semestriel Cisco 2015 sur la sécurité.

Cyber-attaque, Cybersécurité, Emploi, Entreprise, Justice, loi, Mise à jour, Patch, Piratage, Propriété Industrielle, santé, Virus

Un appareil médical interdit en raison de vulnérabilités numériques

2 commentaires

La Food and Drug administration vient de faire interdire un appareil médical considéré comme dangereux en raison de trop nombreuses vulnérabilités informatiques. Un pirate pourrait manipuler les transfusions à un patient.

La FDA, la Food and Drug administration, l’Agence américaine des produits alimentaires et médicamenteux vient de tirer la sonnette d’alarme au sujet des matériels médicaux face aux pirates informatiques. Pour ce faire entendre, et faire de manière à ce que les constructeurs écoutent avec leurs deux oreilles, la FDA vient de faire interdire le dispositif médical de la société Hospita.

Le matériel incriminé, une pompe à perfusion, l’Hospira Symbiq Infusion System. La FDA encourage « fortement les établissements de soins de santé à changer de matériel, à utiliser des systèmes de perfusion de rechange, et de cesser l’utilisation de ces pompes [celles d’Hospita]. »

La raison de cette interdiction ? Trop de vulnérabilités pourraient être exploitées par des pirates informatiques, et donc mettre en danger les patients. Des failles qui pourraient permettre à un utilisateur non autorisé de contrôler l’appareil et de modifier la perfusion. Délivrer plus ou moins de médicament par exemple.

Une interdiction qui était prévue chez Hospira. Le constructeur avait annoncé en mai 2013 qu’il mettrait à la « retraite » Symbiq, ainsi que d’autres pompes à perfusion. Une mise à la retraite prévue pour la fin 2015.

Antivirus, Cybersécurité, Entreprise, Fuite de données, Logiciels, Microsoft, Mise à jour, Patch, Propriété Industrielle, Virus

Des vilains chez Kaspersky ?

Deux ex-employés de Kaspersky indiquent que l’éditeur russe d’antivirus aurait diffusé de faux positifs pour embêter la concurrence.

Les plus anciens se souviennent très certainement des polémiques autour de plusieurs éditeurs d’antivirus, nous sommes alors dans les années 1990. Des éditeurs avaient été accusés d’être les auteurs de codes malveillants, histoire de faire parler la presse de leurs outils, capable d’éradiquer ces mystérieux monstres numériques. Nous sommes alors à l’époque de VX BBS, des worms Murphy, Nomenclatura, Beast, 512, Number of Beast (Virus made in Bulgarie) ou encore des russes Peterburg, Voronezh ou encore LoveChild. Une époque ou les lecteurs des Magazine Pc Today, ou encore Amstrar CPC, se souvient des codes malveillants cachés dans la disquette offerte par le journal ou proposé dans la page du journal.

Juillet 2015, voici revenir la rumeur. Selon l’agence de presse américaine Reuters, le russe Kaspersky aurait tenté de diffuser des fichiers modifiés afin de les faire détecter comme dangereux, par la concurrence. En gros, réussir à faire effacer par les concurrents des programmes indispensables permettant de lancer Windows. Bref, mettre le souk dans les signatures des autres antivirus.

Deux anciens employés, donc pas content de ne plus bosser pour Kaspersky, ont affirmé ce fait à Reuters. L’idée malveillante aurait été lancée il y a plus de dix ans. Kaspersky visait  les antivirus de Microsoft, AVG ou encore Avast. Sa méthode consistait donc a faire effacer des programmes importants, et non dangereux, par les antivirus des concurrents. Intoxiquer la concurrence et faire décliner l’efficacité de leurs outils. Reuters indique que le fondateur Eugene Kaspersky en a lui-même donné l’ordre. Il voulait, paraît-il, faire payer les concurrents qui auraient simplement imité la technologie utilisée dans son propre antivirus.

Kasperksy a bien entendu démenti la diffusion de ces faux positifs. Pourtant, il y a 5 ans, Kaspersky avait expliqué comment, en diffusant 10 faux positifs, ils avaient découvert les agissements de 14 concurrents. ces derniers auraient repris ses informations comme argent comptant. Dennis Batchelder, responsable des recherches anti-malwares chez Microsoft a confirmé à Reuters avoir découvert des fichiers modifiés ayant pour mission de paraître dangereux. Bref, la nouvelle guerre froide entre Russie et USA vient de se déplacer, aussi, dans le petit monde des antivirus.

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage

Piratage de l’Université de Virginie, des Européens concernés

L’Université de Virginie a annoncé vendredi que son réseau informatique avait été victime d’une cyberattaque.

Les fonctionnaires de cette institution ont déclaré qu’une enquête en cours avait déjà permis de conclure qu’aucune information personnelle, telles que les numéros de sécurité sociale, données bancaires, ou des renseignements personnels sur la santé, avaient été consultés/copiés par les pirates.

L’attaque semble provenir de Chine, du moins d’un des milliers d’ordinateurs piratés Chinois qui ont pu être exploités par un malveillant agissant hors de la Grande Muraille. L’Université a été alertée non pas par ses informaticiens, mais par les autorités américaines, le 11 Juin 2015. L’école a communiqué sur le sujet, en cette mi-août. Elle vient de « patcher » la faille, une injection SQL aussi idiote qu’efficace.

Une mise à jour qui aura pris trois jours. Les utilisateurs ont dû, ensuite, changer l’ensemble de leurs mots de passe. Étrange, le communiqué de presse de l’Université a disparu. Plus grave que prévue l’attaque ?

Argent, Arnaque, Contrefaçon, Cybersécurité, Entreprise, escroquerie, Mise à jour, Particuliers, Patch, Sécurité, Smartphone, Social engineering

Les cybercriminels ciblent aussi les gamers

A l’occasion de la Gamescom, G DATA a donné quelques conseils afin de ne pas tomber dans les pièges qui ciblent les joueurs.

Le secteur du jeu vidéo a généré en France un chiffre d’affaires de 1,592 milliards d’euros (hors matériel et accessoires) en 2014, selon l’AFJV (Agence Française pour le Jeu Vidéo). Avec 45 % des achats de jeu vidéo qui se réalisent sur des plateformes dématérialisées, les cybercriminels disposent d’un vivier pour leurs tentatives de vols et d’arnaques. Hameçonnage, fausses offres spéciales, malware dédiés au vol d’identifiants de jeu, les pièges ne manquent pas. À l’occasion de la Gamescom de Cologne, G DATA fait un point sur les attaques les plus courantes et donne ses conseils pour les éviter.

« Les cybercriminels se concentrent de plus en plus sur le trafic de clés de jeu vidéo illégales », explique Ralf Benzmüller, directeur du G DATA SecurityLabs, « des malware et campagnes d’hameçonnage dédiés sont utilisés pour voler les données d’accès des plateformes de jeu en ligne. Les joueurs doivent être prudents et vérifier toutes les offres sur Internet avec attention. De plus, il est nécessaire d’utiliser une solution de sécurité. »

Commerce de licences de jeu achetées illégalement

Grâce aux plateformes de jeu telles que Steam ou Origin, les ventes de jeu sur ordinateur sont entrées depuis longtemps dans l’ère de la dématérialisation. L’arnaque la plus courante chez les cybercriminels consiste à acheter des clés d’enregistrement pour les jeux du moment en utilisant des données de cartes bancaires volées. Ces clés sont ensuite vendues moins cher sur des sites de vente entre particuliers ou des sites d’enchères. Mais la joie des joueurs ne sera que de courte durée, car les fournisseurs couperont l’accès après un certain temps.

Les comptes en ligne Xbox Live, PlayStation Network ou encore iTunes n’échappent pas non plus à ce type d’arnaque. À titre d’exemple, il est possible de trouver sur le marché noir cybercriminel des crédits PSN moitié moins chers que leur valeur réelle.

Les exclusivités comme appât

Les gamers sont toujours à la recherche des avant-premières et des dernières captures des jeux en développement. Les cybercriminels le savent et attirent les joueurs vers des sites voués à infecter leur système et voler leurs données de jeu. Actuellement, des noms des jeux à venir tels que Fallout 4, Star Citizen ou Star Wars : Battlefront sont particulièrement ciblés par les attaques.

Jeux sur mobile : des risques nouveaux

Les jeux sur tablette et smartphone connaissent une forte croissance. Avec eux apparaissent de nouveaux risques, notamment liés aux publicités in-app. De nombreux jeux gratuits utilisent la publicité insérée dans le jeu pour se financer. Mais toutes les applications derrière ces publicités ne sont pas bonnes à prendre. Applications faussement gratuites ou infectées sont de la partie. Les paiements in-app sont aussi à prendre en compte, surtout lorsque les appareils sont utilisés par les enfants.

Comment les joueurs peuvent-ils se protéger ?

– Correctifs non officiels et modifications : il est important de n’installer que les mises à jour officielles provenant des fournisseurs de jeu. Une mise à jour venant d’un fournisseur tiers peut se révéler être un malware.
– Spam et emails infectés : les cybercriminels connaissent les jeux attendus et les utilisent pour attirer les gamers. Il faut bien entendu éviter de cliquer sur des liens ou des pièces jointes douteuses.
– Solution de sécurité active : pour optimiser les performances, la tentation de désactiver la solution de sécurité pendant le jeu est grande. C’est justement ce qu’attendent les attaquants !
– Des logiciels mis à jour : Le système d’exploitation et tous les logiciels utilisés doivent être constamment maintenus à jour. Cela empêche les cybercriminels d’utiliser les failles de sécurité.
– Authentification forte : les comptes Steam et Origin proposent des systèmes d’authentification à deux facteurs qu’il est conseillé de mettre en place afin de sécuriser efficacement ces comptes contre le vol.
– Privilégier les plateformes officielles : les gamers doivent opter pour les plateformes de vente officielles. Des tarifs trop bas sur des sites exotiques doivent alerter l’acheteur.

backdoor, Cybersécurité, Entreprise, Fuite de données, Logiciels, Mise à jour, Patch, Propriété Industrielle, Virus

Symantec.. la prochaine passoire ?

Un commentaire

Découverte de plusieurs failles dans les outils de sécurité Symantec. Un pirate peut installer et exécuter un code distant malveillant.

Le chercheur en sécurité informatique Markus Wulftange de chez Code White Sec vient de mettre à jour une faille gênante pour les outils de sécurité informatique de l’éditeur Américain Symantec : Symantec Endpoint Protection (SEP). Il est possible d’exploiter un contournement d’authentification. Bilan, il devient possible d’exécuter un code distant non authentifié et de déposer/exécuter un shell dans la machine censée être protégée.

Symantec Endpoint Protection visant avant tout les entreprises, voilà une possibilité malveillante qui fait tache. Markus Wulftange a découvert six autres vulnérabilités critiques dans Symantec Endpoint Protection (SEP) Suite 12.1, affectant les versions antérieures à 12.1 RU6 MP1 (SYM15-007).

Des failles intéressantes alors que l’on apprenait, en juin dernier, que la National Security Agency, les grandes oreilles de l’Oncle Sam, disposerait d’un logiciel capable de faire sauter les antivirus et de suivre les utilisateurs des outils de protection informatique. La NSA posséde-t-elle aussi ces failles ? Snowden n’est pas au courant !

Apple, backdoor, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, OS X, Patch, Piratage, Propriété Industrielle, Sauvegarde

Le premier worm pour MAC débarque

2 commentaires

Des chercheurs découvrent comment corrompre le firmware des appareils Apple avec un worm dédié. La fin des MAC ?

Quand vous parlez informatique, les amateurs fortunés d’un MAC vous crieront haut et fort que les machines d’Apple sont infaillibles. Pas de virus, pas de piratage, pas de danger. Bon, il faut aussi admettre que les utilisateurs de MAC sont tellement sûrs de leur fait qu’ils oublient les différents cas ayant visé leur machine, comme ce keylogger indirect caché. Là ou les utilisateurs de MAC avaient plus ou moins raison est que des attaques directes, comme à l’encontre d’un ordinateur sous Windows, il n’en existait pas, du moins d’efficace. A première vue, la découverte de chercheurs américains risque de changer la donne si des pirates se penchent sur le problème.

Trois chercheurs [Xeno Kovah, Trammell Hudson et Corey Kallenberg] ont constaté que plusieurs vulnérabilités connues affectant le firmware de tous les meilleurs fabricants de PC peuvent également frapper le firmware du MAC. Qui plus est, les chercheurs ont conçu un ver, un worm « proof-of-concept », qui permettrait une attaque de firmware afin de se diffuser automatiquement de MacBook à MacBook, sans la nécessité pour eux d’être mis en réseau.

L’année dernière, Kovah et son partenaire Corey Kallenberg ont découvert une série de vulnérabilités de firmware qui touchaient 80% des ordinateurs qu’ils avaient examiné, y compris ceux de Dell, Lenovo, Samsung ou encore HP.

Bien que les fabricants de matériel ont mis en œuvre certaines protections pour éviter la modification sauvage de leur firmware, les chercheurs ont constaté qu’il restait assez simple de contourner les protections et flasher de nouveau le BIOS afin d’implanter un code malveillant. Les chercheurs ont alors décidé de voir si les mêmes vulnérabilités pouvaient s’appliquer à Apple. Ils ont constaté que oui, comme il l’indique dans Wired !

Démonstration du Thunderstrike 2 « firmworm » attendu lors du DEFCON 2015 de Las Vegas, cette semaine.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle, Scada

La sécurité informatique au sein des environnements industriels 4.0 : le savoir est la meilleure protection

Avec l’Industrie 4.0, les entreprises du secteur industriel ont accès à l’Internet… mais risquent également d’ouvrir leurs portes aux pirates. La meilleure façon de se protéger des fuites de données et du sabotage est de tirer parti d’informations décisionnelles. Des initiatives comme Shodan et Conpot permettent aux équipes chargées de la sécurité de profiter de grandes quantités de renseignements sur leurs propres vulnérabilités et les méthodes des pirates. Comme le dit notre slogan, chez DataSecurityBreach.fr, s’informer, c’est déjà se sécuriser.

Les sites de production des sociétés industrielles et du secteur de l’énergie ont été relativement à l’abri des attaques au cours des dernières décennies. Les systèmes de contrôle industriel (ICS) les plus répandus tels que les SCADA étaient optimisés pour accroître le rendement, et tenus à l’écart d’Internet (créant ainsi le fameux « Air Gap », ou « lame d’air »). Ils communiquaient à l’aide de protocoles propriétaires tels que Modbus, Profibus, S7comm ou DNP3, et étaient rarement les cibles des cybercriminels.

La situation a changé. L’interconnexion des systèmes de production est la promesse de gains énormes en matière de rendement, ce qui pousse de plus en plus d’entreprises à ouvrir leurs réseaux. Cette approche leur permet de simplifier et de centraliser la gestion de leur système, facilite la fourniture de nouveaux services, et contribue à minimiser les temps d’arrêt liés à l’assistance et à la maintenance, ainsi que leurs coûts.

Connecter des réseaux ICS à Internet présente cependant des menaces réelles. Un pirate parvenant à accéder au réseau peut alors infiltrer l’environnement de production étape par étape. Le logiciel et le matériel propriétaires utilisés ne sont généralement pas intégrés avec les systèmes de sécurité, et sont donc essentiellement non protégés. Selon ses objectifs et ses intentions, le pirate peut commencer à récupérer des données sensibles, manipuler les processus de production ou même saboter l’environnement de production tout entier. Le potentiel de dégâts de ce type d’attaques (prenons l’exemple marquant d’une attaque menée à l’encontre d’une centrale) est évidemment nettement plus élevé que celui d’une attaque MITM (l’interception de communications entre deux parties) contre une entreprise du secteur tertiaire ou autre.

Au commencement, il y eut Stuxnet
Au cours des dernières années, de nombreuses attaques de ce genre ont été enregistrées, Stuxnet en étant l’exemple le plus connu. En 2010, le ver SCADA (qui sans doute a été développé par des organismes gouvernementaux occidentaux) a ainsi saboté le projet de recherche nucléaire iranien. Ce fut le premier logiciel malveillant prouvant (officiellement) que du code informatique pouvait provoquer des dégâts sur des équipements matériels. Depuis, bien d’autres ont été menées à l’encontre de sites industriels, souvent en utilisant des logiciels malveillants créés sur mesure avec des fonctionnalités destinés aux ICS, comme Duqu ou Havex.

L’organe ICS-CERT (géré par le département américain de la Sécurité intérieure, et spécialisée dans la protection des infrastructures critiques) énumère d’ailleurs plusieurs faits inquiétants dans son Rapport pour l’année 2014 : son équipe d’analyse de la sécurité a été consultée dans près de 250 cas afin de participer à l’analyse de cyberattaques lancées sur des cibles critiques. Une grande partie de ces attaques étaient ciblées, les pirates s’infiltrant souvent dans les entreprises par la partie connectée à Internet de leur réseau à l’aide de logiciels malveillants sur mesure. Les cybercriminels utilisent également une grande variété de techniques. Selon l’ICS-CERT, le Spear phishing (une variante de hameçonnage où les employés sont convaincus d’exécuter des logiciels malveillants grâce à des e-mails semblant provenir de leurs supérieurs) reste le vecteur d’attaque le plus populaire. Mais d’autres menaces gagnent aussi en popularité, comme les attaques aux « points d’eau » (« watering hole »), une stratégie consistant à remplacer les mises à jour logicielles sur les sites des éditeurs par des chevaux de Troie, eux aussi taillés sur mesure.

Le BSI répertorie les attaques contre les ICS

L’Office fédéral allemand pour la sécurité des technologies de l’information (BSI) brosse un tableau similaire. Son rapport annuel « État des lieux de la sécurité informatique en Allemagne en 2014 » documente, entre autres, une attaque réussie sur une aciérie allemande. Les pirates ont utilisé les méthodes du Spear Phishing et de l’ingénierie sociale pour accéder au réseau de l’entreprise victime. Ils ont alors infiltré l’environnement de production, où ils ont causé d’énormes dégâts en compromettant plusieurs systèmes de contrôle. Le BSI affirme que les cybercriminels possédaient des connaissances détaillées sur les systèmes de contrôle industriel et les processus de production, en plus de leurs évidentes compétences en informatiques.

L’information est d’une importance cruciale

La guerre cybernétique a donc atteint les sites de production. Cela ne signifie pas nécessairement que le secteur industriel devrait renoncer au potentiel offert par l’interconnectivité, ni même en ralentir la progression. Les services chargés de la sécurité informatique doivent utiliser des systèmes de sécurité existants pour faire en sorte que les réseaux soient connectés à l’Internet de façon sécurisée. Mais pour cela, il leur faut d’abord des informations décisionnelles et détaillées. Ils doivent également connaître les vulnérabilités de leurs réseaux de production, les vecteurs d’attaque et les outils de piratage, ce qui leur permettra d’analyser les attaques, de neutraliser les logiciels malveillants et de réparer les dégâts éventuels.

Les experts en matière de sécurité cherchant à rassembler ces informations peuvent également s’appuyer sur leurs grandes connaissances et leurs réseaux de renseignement établis : d’une certaine façon, les attaques contre les systèmes industriels sont assez similaires aux attaques classiques contre les environnements informatiques des entreprises du tertiaire. Mais, bien que la protection effective de certains systèmes ICS puisse être très étendue, le problème reste que les informations disponibles sont limitées. Heureusement, la situation évolue également à ce niveau. Plusieurs initiatives de sécurité innovantes sont axées sur la protection des milieux industriels, et ont clairement pour principal objectif de fournir aux professionnels de la sécurité les renseignements dont ils ont besoin sur les menaces et les vulnérabilités.

Shodan et honeypot Conpot ICS/SCADA, des initiatives intéressantes

Shodan : le moteur de recherche pour l’IdO
Le moteur de recherche Shodan a été créé par le développeur John Matherly en 2009, permettant ainsi aux utilisateurs de rechercher sur le web une grande variété de systèmes connectés à Internet. Contrairement aux moteurs orientés contenu comme Google, Shodan utilise les scans des ports des adresses IP disponibles, puis recueille et indexe les bannières qu’il reçoit ensuite. Il peut ainsi parcourir le Web à la recherche de serveurs ou de routeurs d’un certain type, ou même de terminaux possédant des adresses IP comme des caméras de sécurité ou des dispositifs médicaux. Les utilisateurs peuvent créer leurs requêtes en utilisant une grande variété d’options de filtrage, par exemple en combinant des noms de fournisseurs, des informations sur des ports, des codes ou des protocoles régionaux afin de trouver des serveurs SCADA dans leur pays. Shodan est donc un bon outil pour localiser les vulnérabilités ou les systèmes mal configurés au sein de votre réseau : si une recherche révèle que l’un des automates ou l’une des IHM sur la plage d’IP de votre entreprise est visible sur Internet, vous savez que l’un de vos systèmes est probablement mal configuré et avez la possibilité de corriger cette erreur. Les vulnérabilités causées par des systèmes non patchés, des ports ouverts ou des mots de passe par défaut inchangés peuvent être repérées et corrigées tout aussi facilement. Cependant, si vous trouvez votre système sur Shodan, il est probable que vous ne soyez pas le seul. La proactivité reste donc de mise.

En outre, ce moteur de recherche n’est pas sans détracteurs. Comme presque toutes les solutions de test et de gestion des vulnérabilités, Shodan est souvent critiqué car il peut être utilisé à mauvais escient comme outil de piratage puissant, ce qui est incontestable : des boîtes à outils de piratage avec des interfaces Shodan existent depuis longtemps sur le Darknet. Mais la plupart des experts en sécurité s’accordent sur le fait que des fonctions de recherche similaires sont également disponibles en utilisant des botnets. Les professionnels de la sécurité des environnements industriels devraient clairement envisager d’intégrer Shodan à leur gestion des vulnérabilités.

Analyser les vulnérabilités et minimiser la visibilité d’un ICS sur Internet est de toute évidence un premier pas important dans la sécurisation des environnements de production. Mais la recrudescence des menaces ciblées persistantes et complexes (APT), qui sont créées sur mesure pour passer à travers les mailles des systèmes de sécurité existants, oblige les équipes chargées de la sécurité à analyser l’éventail des menaces tout aussi minutieusement.

Malheureusement, peu d’informations sont disponibles sur la façon dont les attaques contre les sites industriels surviennent, ou alors ces renseignements sont publiés trop longtemps après un incident. En effet, peu de cas sont documentés, et peu d’informations tangibles sur les menaces ont été recueillies jusqu’à présent. L’initiative de sécurité Conpot a pour but de changer la donne.

Conpot : des pots de miel pour le secteur industriel

L’initiative Conpot (abréviation de « système de contrôle Honeypot ») a été créée sous l’égide du Projet Honeynet par un groupe de professionnels de la sécurité expérimentés, parmi lesquels Lukas Rist de Blue Coat Systems. Le principe est de créer partout sur Internet des systèmes virtuels interactifs se comportant exactement comme des serveurs ICS ou des réseaux industriels non protégés. Une fois ces systèmes en place, le développeur du système honeypot (« pot de miel ») n’a plus qu’à attendre qu’un pirate attaque le site, terminal distant (RTU) ou ICS ainsi émulé, et peut alors observer et analyser l’attaque étape par étape. Par nature, tous les cas permettent de procéder à une analyse utile de leur vecteur d’attaque. L’intérêt supérieur de ces pots de miel se manifeste lorsque les membres de cette initiative peuvent corréler les données de plusieurs dizaines d’attaques, puis analyser leurs tendances et évolutions, identifier d’éventuels axes régionaux ou thématiques d’attaque, et recueillir ainsi davantage des données précieuses.

Habituellement, pour un analyste, rechercher une anomalie dans son réseau de production est comme chercher une aiguille dans une botte de foin. En déployant un honeypot dans votre réseau, tous les événements qui atteignent ce terminal sont susceptibles d’être des « aiguilles » (par exemple les attaques ou dispositifs mal configurés), étant donné qu’aucun élément réel n’est censé communiquer avec ce pot de miel. Ce dernier peut également être vu comme un leurre : le temps qu’y passe le pirate ainsi piégé correspond au laps de temps dont vous disposez pour sécuriser votre infrastructure critique avant qu’elle ne soit compromise à son tour.

N’importe quel professionnel de la sécurité peut contribuer à Conpot. L’émulateur est disponible en tant que logiciel Open Source à l’adresse www.conpot.org. Avec cet outil puissant, chaque développeur a la possibilité de concevoir un modèle réaliste et virtuel de son environnement, et de le connecter à Internet. Ainsi, les responsables de la sécurité peuvent obtenir des renseignements utiles leur indiquant ce à quoi ils doivent s’attendre en connectant leurs systèmes à Internet, et peuvent planifier leurs défenses en conséquence.

Les cyberattaques menées à l’encontre d’environnements industriels sont un phénomène réel. Ces attaques suivent essentiellement les mêmes mécanismes que pour les environnements des entreprises classiques du tertiaire. Une grande partie des attaques ont des motifs professionnels : d’abord, parce que les lamers (ou « script kiddies ») ne sont pas encore vraiment actifs dans ce segment, et ensuite parce que l’énorme potentiel de dégâts (ou la valeur des actifs) suscite l’intérêt d’acteurs importants tels que des organismes gouvernementaux, des groupes terroristes et des voleurs de données professionnelles. Les entreprises cherchant à sécuriser leurs réseaux doivent donc vérifier et minimiser la visibilité de leurs systèmes ICS sur Internet. Face à la recrudescence des menaces complexes, il est de plus en plus important de collecter de renseignements sur les menaces. Les équipes de sécurité ont besoin d’informations détaillées sur les vecteurs d’attaque et sur l’ensemble du cycle de vie des menaces. Ils peuvent alors élaborer une stratégie de défense globale en s’appuyant sur ces informations. Des initiatives telles Shodan et Conpot sont d’ailleurs un bon point de départ pour la collecte des renseignements nécessaires.

En parallèle, les entreprises doivent mettre en œuvre des meilleures pratiques de sécurité et protéger minutieusement les parties de leurs réseaux accessibles au public. Des solutions de sécurité dédiées aux ICS existent également pour les environnements particulièrement sensibles. Par exemple, Blue Coat propose la solution d’analyse ICS Protection Scanner Station, qui protège les systèmes industriels des logiciels malveillants véhiculés par des périphériques USB. En outre, la solution Security Analytics Platform Analytics propose également un module SCADA ThreatBLADE permettant d’identifier en temps réel les activités potentiellement malveillantes ciblant les systèmes SCADA.

Le rêve d’une solution parfaitement intégrée pour la protection des environnements industriels ne deviendra réalité qu’une fois que l’ensemble des différentes normes industrielles propriétaires auront été remplacées par des systèmes informatiques standard, et ces derniers intégrés aux architectures de sécurité existantes. Les technologies nécessaires pour cela (le protocole réseau IPv6, la surveillance complète des réseaux et la gestion rigoureuse des correctifs et des vulnérabilités) existent maintenant depuis un certain temps. L’étape suivante est leur mise en œuvre complète, ce qui pourrait prendre un certain temps en raison des cycles de vie plus longs des équipements industriels. (Christophe Birkeland pour DataSecurityBreacg.fr. Il est directeur technique en charge de la division Malware Analysis chez Blue Coat Systems).

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle

Cyber-sécurité : Les PME démunies face aux nouveaux risques

La sécurité pose un réel problème aux PME qui n’ont bien souvent pas les moyens d’avoir une équipe informatique dédiée afin de faire face à tous les challenges engendrés par les nouvelles technologies et les nouvelles habitudes de vie. A ces nouveaux challenges de sécurisation s’ajoute l’inventivité des hackers qui ne cessent de renouveler leurs techniques d’attaques.

Pour répondre à cette problématique, l’ANSSI (agence nationale de la sécurité des systèmes d’information) et la CGPME (conférence Générale des Petites et Moyennes Entreprises) ont publié un guide de bonnes pratiques de l’informatique relatant les 12 règles essentielles pour sécuriser les équipements informatiques. Les mesures sont variées, et pour certaines basiques : sécurisation des mots de passe, de la connexion wi-fi, sauvegardes régulières ou encore mise à jour des logiciels pour disposer des derniers patchs de sécurité. Mais, parmi ces mesures basiques, certaines règles viennent encadrer les nouveaux usages informatiques.

Règle n°3 : Bien connaître ses utilisateurs et ses prestataires
Le conseil pourrait sembler évident mais à l’heure des services hébergés en cloud, il est primordial de connaître les standards de son fournisseur en termes de sécurité et de conformité. Selon une étude Freeform Dynamics commandée par Barracuda Networks, 69% des entreprises prévoient une utilisation de plus en plus fréquente du cloud pour les services essentiels tels que les emails et la gestion de la relation client. Pour bien penser sa sécurité, il faut aussi comprendre quelle expérience les utilisateurs feront des infrastructures et des services informatiques.

Règle n°6 : Être aussi prudent avec son smartphone ou sa tablette qu’avec son ordinateur
Autre tendance pouvant affecter la sécurité de l’entreprise : l’utilisation croissante de tablettes et de smartphones – qu’ils soient personnels (BYOD) ou fournis par l’entreprise. Les collaborateurs utilisent ces terminaux pour travailler et pour accéder au réseau de l’entreprise, toujours selon l’étude Freeform Dynamics : 62% des interrogés prévoient une augmentation de l’accès mobile et à distance aux réseaux informatiques de l’entreprise.

Pourtant ce matériel reste très peu sécurisé et représente un danger notable. Chaque appareil personnel connecté au réseau représente une porte d’entrée potentielle pour les cyber-attaques.  Les entreprises doivent donc s’assurer de la sécurisation de ces terminaux, soit en les fournissant elles-mêmes à ses employés soit en offrant une solution pour sécuriser leurs propres appareils.

Les entreprises sont conscientes des problèmes de cyber-sécurité auxquelles elles se confrontent, mais ne savent pas par où les attaquer. Le guide prodigue les conseils essentiels, les avertit du danger, mais il est essentiel maintenant d’enseigner aux PME les bonnes pratiques de la sécurité informatique. (Par Stéphane Castagné, pour DataSecurityBreach.fr – Responsable Commercial France – Barracuda Networks)

Apple, Cybersécurité, Entreprise, Fuite de données, ios, iOS, Logiciels, Mise à jour, OS X, Patch, Smartphone

L’Attaque Zero Day sur OSX et iOS : ce qu’il faut savoir

Comme beaucoup d’entre vous le savent probablement, un groupe de chercheurs a récemment révélé l’existence d’un ensemble d’exploits zero-day affectant aussi bien les dernières versions de Mac OSX que d’iOS. Vous trouverez ici des détails sur ces attaques, ainsi que le compte-rendu de recherche.

Dans le cadre de sa stratégie permanente de gestion des risques, l’équipe Good Technology Security a enquêté sur les rapports faisant état de vulnérabilités potentielles au niveau des systèmes d’exploitation Apple OS X et iOS.

Après l’examen du document technique publié par ces chercheurs, la conclusion est que la majorité des menaces évoquées s’appliquent à OS X, et que la seule menace pour iOS est le problème du « Scheme Hijacking », qui profite d’une faiblesse au niveau du système de communication inter processus (Inter-Process Communication ou IPC) d’iOS entre les applications. Selon les chercheurs, cette vulnérabilité empêche les applications d’authentifier correctement l’application à laquelle elles se connectent.

Fonctionnement de l’attaque

Apple iOS permet à différentes applications installées sur un même appareil iOS de communiquer entre elles. Cette communication ne nécessite d’origine aucune authentification. C’est ainsi qu’une application non autorisée/malveillante peut intercepter des données et des informations d’authentification destinées à une autre application.  Le rapport de recherche décrit un scénario selon lequel un système d’identification unique (SSO) Facebook pourrait être compromis. Le même scénario pourrait s’appliquer à une application d’entreprise transmettant des données d’authentification à l’aide du protocole OpenURL.

Analyse de Good Technology

Good n’est pas vulnérable à cette attaque, car nous n’utilisons pas uniquement l’IPC natif pour les communications entre applications. Pour cela, Good met en place un service sécurisé baptisé « Communications inter conteneurs » (ICC). Notre système ICC permet à chaque application Good d’authentifier de façon sécurisée l’autre application Good avant qu’elles soient autorisées à communiquer entre elles. L’ICC atténue la vulnérabilité de l’IPC et empêche les applications non autorisées d’intercepter des données sensibles, comme des informations d’authentification transmises via le protocole OpenURL, comme décrit précédemment.

Des rapports préliminaires du secteur indiquent que le trousseau d’Apple iOS est vulnérable. Après l’examen détaillé du document publié par les chercheurs, il est clair que l’attaque envers ce trousseau ne fonctionne que sur OS X. Cependant, dans l’éventualité d’un problème au niveau du trousseau d’iOS, Good ne serait pas affecté. En effet, par défaut, nous n’utilisons pas cette ressource afin de stocker des clés. Good stocke les identifiants professionnels dans des conteneurs sécurisés à l’aide de ses propres systèmes de contrôle, notamment le chiffrement certifié FIPS au niveau des applications.

Que faire

Ces révélations montrent pourquoi les organisations doivent adopter une approche à plusieurs niveaux en matière de sécurité afin de protéger les données professionnelles présentes sur les smartphones et tablettes grand public. Good recommande de respecter les étapes suivantes :

1) Continuez de sensibiliser vos utilisateurs quant aux différentes menaces que courent leurs appareils mobiles.  Cela permet non seulement de protéger vos données professionnelles, mais également d’aider vos employés à protéger leurs données personnelles.

a. Encouragez vos utilisateurs à télécharger des applications depuis des sources fiables. Cela ne permettra peut-être pas de limiter entièrement les problèmes soulevés dans ce rapport, mais le risque que des applications malveillantes interagissent avec l’appareil d’un utilisateur en sera atténué.

b. Encouragez vos utilisateurs à signaler les applications qui, selon eux, présentent des lacunes en matière de fonctionnalités de protection des données personnelles ou professionnelles.

2) Activez la détection de jailbreak si ce n’est pas encore le cas. Bien que cette attaque pourrait contourner le processus de validation d’applications d’Apple, il vaut toujours mieux s’assurer que les applications soient téléchargées à partir de sources fiables.

3) En outre, si vous êtes client de Good, fournissez à vos utilisateurs les applications sécurisées par Good nécessaires pour gérer leurs activités de façon adaptée et avec une bonne productivité. Le conteneur de Good utilisant des communications entre applications indépendantes de l’ICC d’Apple, il ne sera pas affecté par cette attaque.

4) Assurez-vous que les systèmes de protection contre la perte de données appropriés soient activés afin d’empêcher vos données de s’échapper des applications protégées.

a. « Empêchez la copie à partir d’applications GD vers des applications non sécurisées par GD »

b. « Empêchez la copie à partir d’applications non sécurisées par GD vers des applications GD »

5) Enfin, les services d’évaluation de la réputation des applications tels que NowSecure, FireEye et autres devraient vous fournir les outils nécessaires afin d’analyser les risques que représentent les appareils de vos employés. (Good).

Apple, Cyber-attaque, Cybersécurité, Entreprise, Espionnae, Fuite de données, Leak, Logiciels, Mise à jour, OS X, Particuliers, Patch, Piratage

Prendre la main sur un Mac OS X 10.10, aussi simple qu’un tweet

3 commentaires

Une faille visant les utilisateurs de MAC permet à un pirate de prendre la main sur un ordinateur de la grosse pomme. Une faille triviale qui est déjà corrigée… pour les futurs MAC.

Prendre la main sur un mac, sous Mac OS X 10.10, aussi simplement que de cliquer sur une souris. Yosemite, la version 10.10 de l’OS de la grosse pomme, est la dernière version stable du système d’exploitation d’Apple. Bilan, de nombreuses personnes sont donc touchées par cette vulnérabilité. L’exploit est si trivial qu’il tient dans un tweet.

Pour devenir root, un pirate n’a pas grand chose à faire pour obtenir les privilèges de niveau administrateur sur un Mac OS X Yosemite. Un bug de sécurité qui peut être exploité par des logiciels malveillants. La faille a été découverte par Stefan Esser, un allemand spécialiste de la sécurité informatique pour MAC. Une attaque possible grâce à une variable d’environnement appelée DYLD_PRINT_TO_FILE qui a été ajouté dans le Yosemite. Un pirate n’a jouer avec la chose pour devenir calife à la place du calife.

Cette faille est présente dans la dernière version de Yosemite, OS X 10.10.4, et dans la version bêta (10.10.5). Il faut mettre à jour son MAC avec la version bêta El Capitan (OS X 10.11) pour ne plus être vulnérable. « Apple fournit des correctifs pour la sécurité des versions bêtas de ses futurs produits, mais ne résout pas les versions actuelles » termine Esser. Vous pouvez installer SUIDGuard, sur votre « vieux » Mac, en attendant de passer sous une version El Capitan propre et 100% terminée. (Merci à Metabaron)

Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Sauvegarde

595 To données accessibles via de mauvaises configurations de MonGoDB

Le système de gestion de bases de données MongoDB mal configuré est une vraie pipelette. Un chercheur découvre que plus de 595 TO de données fuitent pour cette raison, sur Internet.

Les sites Internet d’envergure comme le New-York Times, eBay ou encore Foursquare utilisent MongoDB. Cet excellent système de gestion de base de données est pourtant une possibilité de fuite en cas de mauvaise configuration. Ici, ce n’est pas l’outil qui est dangereux, mais la manipulation humaine de ce dernier. John Matherly, un chercheur en sécurité informatique a constaté que près de 600 téraoctets de données sont accessibles en raison de cette mauvaise configuration ou obsolescence de MongoDB non mis à jour. Les sites cités ci-dessus sont des « fuiteurs« . Matherly explique que 30.000 bases de données sont ainsi exposées à travers l’utilisation d’anciennes versions de la plate-forme.

Android, Arnaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Logiciels, Microsoft, Mise à jour, Particuliers, Patch, Phishing, Scam, Sécurité, Smartphone, Social engineering, spam, Vie privée, Windows phone

Faille dans Skype ? Microsoft vous invite à changer votre mot de passe

Un nombre indéterminé d’utilisateurs Skype harcelés par des messages frauduleux. Microsoft enquête et propose aux clients de son outil de communication de changer leur mot de passe.

Microsoft cherche comment des pirates informatiques, adeptes de spams publicitaires, peuvent bien s’inviter dans les comptes de ses utilisateurs Skype. Depuis des semaines, des publicités non sollicitées et des messages « malveillants » s’invitent dans des centaines de compte. Phishing ? Faille ? La firme de Redmond semble avoir du mal à trouver le problème.

Microsoft a conseillé aux utilisateurs de Skype de changer leur mot de passe. L’équipe Skype a déclaré, de son côté, qu’une enquête sur la question était « en cours ». A noter que plusieurs failles Skype existent depuis plusieurs mois, dont celle qui permet de retrouver l’ip derrière un pseudonyme, et vice-versa. Une possibilité que certains sites commercialisent. Les messages malveillants apparaissent sous forme de lien Google [goo*gl/92829Yj]

Banque, Chiffrement, cryptage, Cybersécurité, Entreprise, escroquerie, Facebook, Fuite de données, Identité numérique, Mise à jour, Paiement en ligne, Particuliers, Patch, Social engineering, Twitter

Durant les vacances, sécurisez vos connexions wifi, smartphone, tablette et ordinateur

Un commentaire

Vous allez partir en vacances ? Pensez à sécuriser votre téléphone, votre tablette, votre ordinateur portable des regards indiscrets. Voici quelques astuces.

Comme le rappel ZATAZ.COM, avant votre départ, pensez à vous créer un compte électronique dédié uniquement à vos vacances. Ainsi, à la fin de votre séjour, de retour à votre domicile, au bureau, ce compte éphémère pourra être mis en sommeil, jusqu’à vos prochains congés. Si vous n’avez pas le choix, et que vous devez utiliser un de vos comptes emails habituels, achetez un accès VPN. Certaines sociétés, comme HideMyAss, proposent d’acquérir un abonnement d’un mois, le temps de votre déplacement. Un VPN sécurisera vos connexions et les contenus que vous consultez (mails, sites Internet, …).

Méfiez-vous aussi de votre chambre d’hôtel. Pensez à chiffrer le disque dur, ou du moins, un espace qui ne sera pas lisible au petit curieux qui accéderez à son contenu. Ne pensez pas que le mot de passe qui protège la session de votre ordinateur est un rempart parfait. Un truc simple pour protéger les fichiers que vous avez sur votre machine, utilisez 7zip, un logiciel gratuit qui permet d’enfermer, dans un conteneur informatique, les fichiers de votre choix. Il suffit de chiffrer le contenu via l’option dédiée. De l’AES-256 efficace en 2 clics de souris.

Pour finir, n’utilisez pas les ordinateurs en libre service proposés dans les aéroports, les hôtels, … pour accéder à vos espaces privés (webmail, …). Cela vous évitera de laisser des données sensibles et privées en accès libre alors que vous pensiez les avoir effacé.

Android, Cybersécurité, Logiciels, Mise à jour, Patch, Sécurité, Smartphone

Failles pour l’ensemble des téléphones mobiles LG

Une faille visant les smartphones LG sous Android toujours pas corrigée. Le constructeur annonce patcher la vulnérabilité dans les prochaines versions de ses téléphones sous Lollilop.

Des étudiants chercheurs de l’université de Budapest (SEARCH-LAB) avaient découvert, en 2014, une faille pour les téléphones LG fonctionnant sous Android. La société avait indiqué ne pas vouloir patcher une faille difficile d’accès. SEARCH-LAB avait notifié LG en novembre 2014.

Selon un document publié lundi, LG a répondu à la notification en indiquant que le constructeur envisageait un correctif qui ne sera appliqué qu’aux nouveaux modèles de la marque. Des téléphones sous Android Lollipop. « Selon l’état actuel, l’ensemble des smartphones LG basés sur Android sont affectés par cette vulnérabilité« , confirme les chercheurs.

L’attaque est possible via la méthode man-in-the-middle [l’homme du milieu, ndr] qui permet de piéger le certificat SSL du serveur de LG qui n’est pas vérifiée par l’application de mise à jour du constructeur. Pour se protéger, pour le moment, il est conseillé aux utilisateurs de couper la connexion wifi automatique (On ne laisse jamais son wifi ouvert hors zone sécurisée, NDR) et d’effectuer les mises à jour de son téléphone que via une connexion fiable et sécurisée.

Après les 600 millions de téléphones Samsung et les différentes failles pour iOS, les ordiphones sont dans la ligne de mire des failles et des possibilités malveillantes.

BYOD, Cloud, Cyber-attaque, Cybersécurité, Entreprise, escroquerie, Fuite de données, ID, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Social engineering, Vie privée

Piratage dans le petit monde de la TV connectée

Le service PLEX, spécialisé dans la diffusion de films dans les télévisions connectées, piraté. Les clients sont invités à changer leur mot de passe.

Des pirates informatiques ont réussi à prendre la main sur le forum et le blog du serveur de l’entreprise Plex. La société, dont le logiciel éponyme permet de diffuser des films, photos et vidéo sur sa télévision connectée, vient d’avertir ses clients et propose de changer le mot de passe utilisé pour accéder à ses services. Le pirate aurait eu accès aux adresses IP, messages privés, courriels et aux mots de passe (chiffrés MD5, NDR) du forum.

Dans un message, la société a attribué le problème à une vulnérabilité PHP/IPB qui a permis au pirate de mettre la main sur les données. DataSecurityBreach.fr peut confirmer qu’un pirate, du nom de Savaka, a réclamé 1500 £ pour ne pas diffuser les informations volées. Il a prouvé son passage en modifiant la page index de l’administration du site.

Dear Plex User,

Sadly, we became aware this afternoon that the server which hosts our forums and blog was compromised. We are still investigating, but as far as we know, the attacker only gained access to these parts of our systems. Rest assured that credit card and other payment data are not stored on our servers at all.

If you are receiving this email, you have a forum account which is linked to a plex.tv account. The attacker was able to gain access to IP addresses, private messages, email addresses and encrypted forum passwords (in technical terms, they are hashed and salted). Despite the password encryption measures, we take your privacy and security very seriously, so as a precaution, we’re requiring that you change your password.

Be sure to choose a strong password, never share it, and never re-use passwords for different accounts! Even better, use a password manager (1Password, for example) to manage a unique password for you. Access to your Plex account will be blocked until you do so.

Please follow this link to choose a new password.
We’re sorry for the inconvenience, but both your privacy and security are very important to us and we’d rather be safe than sorry!
We will post more detailed information on our blog shortly. Thanks for using Plex!

The Plex Team

Chiffrement, cryptage, Cybersécurité, ID, Identité numérique, Mise à jour, Particuliers, Patch, RFID, Vie privée

Maison connectée : le défi de la protection de l’identité

Fin mai se tenait à Paris la Connected Conference, un rendez-vous devenu incontournable pour tous les acteurs du Monde Connecté où de grands acteurs de l’industrie ont été invités à s’exprimer (Nest, Alcatel-Lucent, Lego). C’est en se rendant à l’intérieur de leur «Maison Connectée» créée pour l’événement que l’on pouvait prendre la mesure du phénomène: de l’ampoule, aux serrures en passant par les thermostats, tout sera connecté.

Il est nécessaire que les industriels développent des appareils se focalisant sur l’identité de l’utilisateur et créent un protocole de sécurité simple et uniforme, à travers les appareils, les applications, et les réseaux. Cependant, comment être sûrs que ces appareils soient assez sécurisés au vue de leur nombre et diversité et de la croissance exponentielle des applications multi-plateformes ?

Des défis à ne pas négliger
Les technologies biométriques s’installent peu à peu dans notre quotidien, mais ce n’est que tout récemment qu’elles ont fait leur entrée dans nos maisons. Au-delà des nombreux avantages que peut offrir la maison connectée pour nous faciliter la vie (praticité, automatisation des processus, optimisation des coûts…), elle soulève de nombreuses questions, notamment en matière de confidentialité et de sécurité des données. « Avec de nouveaux points d’entrées dans nos foyers, les pirates peuvent facilement s’immiscer dans notre quotidien, connaitre nos habitudes et pirater nos données »

Les appareils connectés d’ores et déjà disponibles à la vente offrent des services au top de la technologie, mais dont la sécurité est souvent sacrifiée à la fonctionnalité : la plupart d’entre eux ne disposent pas, par exemple, de mécanismes de réponse en cas de piratage de leurs équipements. Avec ces nouveaux points d’entrées dans nos foyers, les hackers peuvent facilement s’immiscer dans notre quotidien, connaitre nos habitudes et pirater nos données. Nous entendons trop souvent parler de cyber attaques, de vols de données confidentielles pour ne pas s’interroger, à juste titre, sur les menaces pesant sur les appareils enregistrant notre quotidien, nos habitudes, nos préférences, notre intimité.

Il est ainsi nécessaire que les industriels développent des appareils se focalisant sur l’identité de l’utilisateur et créent un protocole de sécurité simple et uniforme, à travers les appareils, les applications, et les réseaux. Ainsi, le thermostat intelligent devra être en mesure d’ordonner à votre lave-linge quand commencer un programme d’une autre marque, via un réseau Wi-Fi dont on connaît que trop bien la vulnérabilité. Certes ces appareils ne représentent pas des données confidentielles mais les caméras de surveillance la porte du garage, les baby-phones,… nombreux sont les objets sensés nous rassurer et que des hackers pourraient utiliser contre nous.

La biométrie, une option gagnante
La biométrie, c’est l’identification d’une personne par une partie de son corps (main, œil, doigt, visage) pour accéder à un service ; en d’autres termes, c’est un excellent moyen pour s’authentifier ou se connecter à tous types d’appareils. « Il devient urgent que les industriels s’attachent à travailler conjointement avec des professionnels de la sécurité des identités numériques »

Dans la maison intelligente du futur, la biométrie et par extension toutes les technologies nécessitant l’identité de l’utilisateur pour commander un service seront utilisées. Le téléphone portable sera l’objet central de la maison connectée. Depuis ce dernier, les utilisateurs pourront contrôler tous les aspects de leur maison et de leurs appareils ménagers grâce à l’authentification biométrique. Le management de l’identification et de l’authentification sera la clef pour les contrôler. Il est ainsi maintenant possible de mettre en route certains objets à distance : faire chauffer de l’eau, contrôler la température d’un four depuis notre voiture, tout est possible ! De plus en plus diversifié, le marché de l’IoT doit veiller à uniformiser ses offres s’il ne veut pas basculer dans la complexité. L’industrie a besoin de créer un accès simplifié et sécurisé pour permettre aux différents objets connectés de marques concurrentes de communiquer entre eux.

Nous pouvons facilement imaginer qu’à l’avenir, tout ce qui requiert une connexion par identification ou authentification pourrait être contrôlé par la biométrie : thermostats, compteurs intelligents, interrupteurs… Dans le futur, nous pourrons rendre nos foyers aussi connectés que nous le souhaitons !

L’internet des Objets offre de nombreux avantages mais soulève à la fois de nombreuses inquiétudes en terme de connexion et d’accès. Il devient urgent que les industriels s’attachent à travailler conjointement avec des professionnels de la sécurité des identités numériques pour garantir un accès sécurisé afin de protéger de manière optimale des données hautement confidentielles.

Android, backdoor, Banque, Bitcoin, Chiffrement, cryptage, Cybersécurité, Mise à jour, Patch, Sécurité, Smartphone

Risques sur mobiles : 1 code malveillant sur 2 cible l’argent des victimes

Selon le G DATA Mobile Malware Report, 5000 nouveaux programmes malveillants ciblent les appareils mobiles chaque jour.

Les achats réalisés à partir d’appareils mobiles connaissent une forte croissance. En France, le m-commerce représente 20 % des transactions en ligne selon le bilan du e-commerce au 1er trimestre 2015 de la Fevad. La gestion des comptes bancaires en ligne avec le mobile est une autre tendance qui attise la convoitise des cybercriminels. En gérant ses accès bancaires avec son mobile, l’utilisateur casse la protection à double facteur et laisse la porte ouverte aux attaques. Le rapport sur les dangers mobiles montre que 50% des 440 000 programmes analysés au premier trimestre 2015 ont un objectif purement financier.

La banque sur mobile, nouvelle cible ?
La croissance de l’utilisation des appareils mobiles pour gérer les comptes bancaires en ligne pose un nouveau problème de sécurité exploité par les cybercriminels. Les authentifications à double facteurs (identification sur le site Internet et validation par envoi SMS sur le mobile) mises en place par les banques pour sécuriser l’accès au compte en ligne montrent leur limite lorsque l’accès au compte et la validation se réalisent sur le même appareil. Une faille exploitée par exemple par le trojan bancaire FakeToken. Ce code se déguise en une application fournie par la banque. Une fois installée sur le mobile, l’application accède au compte de la victime et réalise des transactions bancaires en interceptant les codes de validation envoyés par SMS.

L’argent comme priorité
Les tablettes et smartphones deviennent des cibles de choix chez les attaquants. Il a été constaté qu’au moins 50% des programmes malveillants analysés ont une finalité financière. Les trojans constituent la majorité de ces dangers. Certains chiffrent les données de l’utilisateur et demandent une rançon ou abonnent la victime à des services surtaxés. D’autres, plus avancés, ciblent les comptes bancaires.

Hausse des dangers sur mobiles au premier trimestre 2015
Les experts ont identifié 440 267 nouveaux échantillons de malware Android au premier trimestre 2015. Comparé au dernier trimestre 2014 (413 871), le nombre de programmes nuisibles pour Android augmente de 6,4%, et de 21% si l’on compare au 1er trimestre 2014 (363 153).

backdoor, Cybersécurité, Logiciels, Microsoft, Mise à jour, Patch

Guerre ouverte entre Samsung et Microsoft ?

Samsung aurait délibérément désactivé Windows Update de ses machines.

L’information a de quoi étonner. D’après BSOD Analysis, le géant Coréen aurait désactivé Windows Update de ses machines. SW Update est le logiciel de mise à jour OEM pour les ordinateurs Samsung. Sa mission, mettre à jour vos pilotes Samsung, etc. La seule différence entre les autres logiciels de mise à jour OEM est que l’outil de Samsung… désactive Windows Update. A première vue, Samsung n’a pas appris des erreurs de l’affaire Lenovo/Superfish.

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, loi, Mise à jour, Patch, santé, Social engineering

Nos données de santé, source de convoitises pour les pirates

2 commentaires

91% des entreprises de santé interrogées ont subi une violation de leurs données au cours de ces 2 dernières années selon l’étude « Privacy and Security of Healthcare Data » du Ponemon Institute et seulement 32% pensent avoir les ressources suffisantes pour parer ces incidents1. La majorité des entreprises de santé sont désarmées et ne sont absolument pas en mesure de répondre à la Réglementation européenne sur la Protection des Données qui devrait être mise en application très prochainement.

L’étude Ponemon montre que, pour la première fois, les attaques criminelles sont la première cause de violations de données de santé. Jusqu’alors, la perte ou le vol d’ordinateurs, de tablettes ou de smartphones par négligence avait conduit à des violations de données. Aujourd’hui, les choses ont évolué. Nous passons des violations de données accidentelles ou opportunistes aux violations de données intentionnelles. Une tendance qui s’affirme. Les cybercriminels ciblent de plus en plus les données médicales. Ils exploitent cette mine de renseignements personnels, financièrement lucratifs. Les centres hospitaliers, laboratoires d’analyses médicales, pharmacies… ne disposent malheureusement pas des ressources, des processus et des technologies pour prévenir et détecter les attaques contre les données sensibles qu’elles manipulent. Leur défaillance, régulièrement pointée du doigt par les médias, se traduit par la fuite des données sensibles de leurs patients. On se souvient par exemple, des centaines de résultats d’analyses médicales provenant d’une soixantaine de laboratoires, accessibles sur Internet à cause d’une faille2 ou de la publication du dossier médical de Michael Schumacher3.

Si l’on observe une légère hausse des investissements des organisations de santé pour protéger les informations médicales, ces efforts restent cependant insuffisants pour contrer les cyber-menaces qui évoluent très rapidement. La moitié des entreprises de santé ont peu confiance – parfois même pas du tout – dans leur capacité à détecter une perte ou un vol de données de leurs patients.

Une faiblesse en décalage avec les obligations légales
En France, les informations relatives à l’état de santé physique et psychique d’un patient sont des données personnelles, soumises au Code de la santé publique et à la loi Informatique et Liberté. La Réglementation générale sur la protection des données, en cours d’adoption par le Conseil de l’Union Européenne vient compléter la législation française. Les professionnels et les établissements de santé sont strictement tenus au respect des obligations concernant la collecte, l’utilisation, la communication, le stockage et la destruction des données à caractère personnel. En pratique, les professionnels de la santé doivent prendre toutes les précautions nécessaires pour empêcher que ces données soient modifiées, effacées (par erreur ou volontairement) et que des tiers non autorisés y aient accès.

L’absence de mise en œuvre de mesures de sécurité est considérée comme une atteinte grave à la protection de la vie privée et peut être pénalement sanctionnée (amende et emprisonnement). Cependant, de nombreux professionnels ont des difficultés à se mettre en conformité avec la réglementation. En milieu hospitalier, par exemple, médecins, infirmiers et personnel administratif n’ont pas toujours été sensibilisés aux règles à respecter en matière de sécurité et de confidentialité des données.

Une réglementation unique pour toute l’Europe
La mise en œuvre de la future Réglementation sur la Protection des Données qui s’effectuera de manière identique dans tous les pays membres contrairement à la Directive actuelle, devrait avoir d’importantes conséquences sur l’organisation de l’entreprise. Comment respecter cette norme qui va engendrer des changements au niveau de la collecte, du stockage, de l’accessibilité et de l’utilisation des données ?

Toute violation des données devra obligatoirement être déclarée. Concrètement, un système actif de surveillance des échanges et des flux de données devient nécessaire. Il convient en premier d’examiner avec attention le rôle et la responsabilité des différents acteurs de l’entreprise manipulant les dossiers médicaux. Il faut engager une sensibilisation forte au respect des bonnes pratiques, puis établir une politique de sécurité et de protection des données. On commence par évaluer les risques pour décider les actions à adopter, en fonction des faiblesses de l’établissement de santé. Le point clé est la visibilité sur la circulation des données au sein du réseau, compte tenu du risque que leur transmission génère. La mise en place d’une solution de SIEM* est le moyen efficace pour surveiller la sécurité des systèmes informatiques, contrôler l’accès aux systèmes où sont stockées les données médicales et recevoir des alertes quand on y accède. Les logs fournissent une vision complète et exacte de ce qui a été consulté. Informer rapidement les organismes de réglementation en cas de violation des données devient alors possible ainsi que configurer des rapports prouvant la conformité à la Réglementation.

Anticiper la mise en place de solutions efficaces
La communauté des entreprises de santé partage des données vulnérables et offrent une grande surface d’attaque avec de nombreux points d’accès aux cybercriminels de plus en plus habiles à dérober et exploiter des informations personnelles. Aussi convient-il de faire appel à des experts pour mettre en place dès à présent ces exigences en matière de sécurité et de conformité. On peut bien sûr penser que rien ne presse, la mise en œuvre effective de la réglementation étant prévue après une période de deux ans. L’expérience montre que l’examen d’une structure organisationnelle ainsi que les mises à niveau nécessaires du système prennent du temps. (par Frédéric Saulet, pour DataSecurityBreach.fr, Directeur Régional Europe du Sud de LogPoint)

* SIEM : Security Information and Event Management – Le principe du security information management est de gérer les événements du système d’information (Wikipédia).

backdoor, Chiffrement, cryptage, Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, pourriel, Propriété Industrielle, ransomware, Sauvegarde, Social engineering

Les collaborateurs, première menace pour les données de l’entreprise ?

Selon une récente étude[1] réalisée en France, les salariés seraient très confiants quant à la sécurité informatique au sein de leur entreprise. En effet, seuls 36% d’entre eux pensent qu’elle a déjà été la cible de hackers alors qu’en réalité, 90% des organisations reconnaissent avoir déjà subi une attaque. En outre, 85% des personnes interrogées estiment que leur entreprise est bien protégée contre les cyber-attaques et les hackers.

Des résultats qui révèlent une importante contradiction entre la perception des employés et la réalité des risques actuels qui planent sur les ressources et les données d’une organisation alors que les menaces se multiplient et sont de plus en plus sophistiquées. Jean-Pierre Carlin, Directeur Europe du Sud chez LogRhythm, a fait les commentaires suivants : « Ces chiffres sont surprenants dans la mesure où les affaires de faille de sécurité et de vol de données massifs font très régulièrement la une des médias depuis quelques mois. Ce sentiment de confiance représente une véritable porte ouverte aux hackers car si les collaborateurs n’ont pas conscience des risques qui planent sur les données et les ressources de l’entreprise, il y a fort à parier pour que les bonnes pratiques et les procédures essentielles en matière de sécurité ne soient pas non plus appliquées, voire négligées ».

En outre, ce n’est pas parce qu’une entreprise est protégée qu’elle ne subira pas d’attaque, ce que semblent pourtant penser les employés interrogés. En effet, des hackers qui souhaitent pénétrer au sein d’un système d’information finiront tôt ou tard par y parvenir, même si cela prend du temps.

Pour que les collaborateurs aient une perception en adéquation avec la réalité, les entreprises doivent impérativement poursuivre leurs efforts pour les sensibiliser aux cyber-risques, aussi bien pour leurs données personnelles que pour celles de l’organisation, ainsi qu’aux conséquences préjudiciables que peut entrainer une fuite de données. La formation de l’ensemble des membres d’une organisation aux risques, aux différents types d’attaques potentielles ainsi qu’à l’application systématique des bonnes pratiques représentent la base pour initier une stratégie globale de sécurité efficace. Le contrôle d’accès, la vigilance relative aux emails ainsi que le renouvellement régulier des mots de passe font notamment partie des mesures indispensables. En outre, les responsables de la sécurité doivent mettre en place un dispositif de sanction pour les employés qui ne respectent pas les règles imposées par l’entreprise, pour une meilleure implication mais aussi pour engager leur responsabilité.

Selon l’étude Capgemini, 28% des personnes interrogées estiment que la politique de sécurité informatique de leur société n’est pas vraiment claire, voire pas du tout, et 39% déclarent ne pas la connaître. Ces résultats révèlent un manque d’information et peut-être un manque d’implication de la part des directions à se saisir de ces problématiques auquel les entreprises doivent rapidement remédier. Pour les entreprises qui ne possèdent pas forcément les ressources en interne (un CSO par exemple, responsable principal de la sécurité), l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) et la Confédération Générale du Patronat des Petites et Moyennes Entreprises (CGPME) ont publié en mars dernier un guide des bonnes pratiques pour les PME. Cette excellente initiative répond à l’urgente nécessité de sensibiliser les salariés aux conséquences qui peuvent résulter d’une simple négligence et des règles de base à respecter, et aide les organisations en leur proposant une expertise adaptée à leurs besoins. Nous les encourageons donc vivement à partager ce guide en marge de leur stratégie globale de sécurité pour une meilleure information, prévention et prise de conscience des risques qui conduiront à l’adoption des bons réflexes.

La contradiction entre la perception de la cyber-sécurité par les salariés et la réalité met en avant le fait que l’humain reste l’un des maillons faibles d’une organisation. Les hackers le savent très bien, c’est la raison pour laquelle ils sont à l’affût du moindre faux pas. Dans ce contexte, la protection des données et des ressources représente aujourd’hui un véritable défi pour les entreprises. Il est donc primordial de faire prendre conscience aux employés que les cyber-risques sont réels, que les attaques ne sont pas uniquement portées sur les grandes organisations connues, et qu’ils peuvent eux-mêmes en être à l’origine. Avec une plus grande implication de la direction générale pour la formation de l’ensemble des collaborateurs, associée aux initiatives des autorités régissant la sécurité informatique, les entreprises vont pouvoir renforcer la protection de leurs données ainsi que l’efficacité de leur politique de sécurité, un enjeu majeur à l’heure où les cyber-attaques sont devenues monnaie courante.

[1] Etude « La Cybersécurité vue par les collaborateurs » menée par Opinion Way pour Capgemini auprès d’un échantillon de 1010 salariés français de bureau d’entreprises privées en mai 2015

Chiffrement, Cybersécurité, Emploi, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Social engineering

Comment élaborer une bonne stratégie de sécurité

Les DSI ont pris note des scénarios de cauchemar que les violations de données peuvent engendrer : vous souvenez-vous de Sony ou de Target ? Pour combattre ces bombes à retardement, ils ont étoffé leurs budgets de sécurité. L’équipe d’intervention informatique d’urgence (CERT) de la Carnegie Mellon University recommande également de mettre en place une stratégie de sécurité que vous pouvez consulter si vos systèmes sont compromis.

Pourquoi avez-vous besoin d’une stratégie de sécurité ? Une stratégie de sécurité contient des procédures organisationnelles qui vous indiquent exactement quoi faire pour prévenir les problèmes ainsi que la marche à suivre si vous vous trouvez en situation de violation de données. Les problèmes de sécurité peuvent concerner :
– la confidentialité, lorsque des personnes obtiennent ou divulguent des informations de manière inappropriée ;
– l’intégrité, quand des informations sont altérées ou validées de manière erronée, délibérément ou accidentellement ;
– la disponibilité, avec des informations inaccessibles lorsqu’elles sont requises ou disponibles à plus d’utilisateurs que nécessaire.

En tout cas, disposer d’une stratégie permettra d’assurer que tous les membres du service informatique se trouvent sur la même longueur d’onde en ce qui concerne les processus et procédures de sécurité.

À quoi ressemble une bonne stratégie de sécurité ?
Vous avez peut-être une idée de ce à quoi la stratégie de sécurité de votre entreprise doit ressembler. Mais si vous souhaitez vérifier votre travail ou disposer d’indicateurs supplémentaires, visitez la page consacrée aux modèles de stratégies de sécurité de l’information  de SANS. Vous y trouverez vingt-sept stratégies de sécurité à consulter et utiliser gratuitement. Une bonne stratégie de sécurité doit ressembler à :
– Objectifs : des attentes et des buts clairs.
– Conformité : les législations peuvent faire partie des exigences d’une stratégie de sécurité, et il est donc essentiel de les énumérer.
– Dernière date de test : les stratégies doivent constituer une documentation vivante fréquemment contrôlée et remise en question.
– Date de dernière mise à jour : les documents d’une stratégie de sécurité doivent être mis à jour pour s’adapter aux changements de l’entreprise, aux menaces extérieures et aux évolutions technologiques.
– Contact : les informations contenues dans les stratégies de sécurité sont censées être lues, comprises et mises en application par tous les collaborateurs d’une entreprise et s’il y a des questions, un propriétaire du document doit y répondre.

Questions à poser lors de la création de votre stratégie de sécurité ?
Lorsque vous créez une stratégie de sécurité, il est utile de poser des questions parce qu’en y répondant, vous découvrirez ce qui est important pour votre entreprise et vous pourrez discerner les ressources nécessaires pour former et maintenir votre stratégie. Voici quelques questions pour démarrer :
– De quelle(s) personne(s) vous faudra-t-il l’approbation ?
– Qui sera le propriétaire de cette stratégie de sécurité ?
– Quel est le public concerné par cette stratégie ?
– Quelles réglementations s’appliquent à votre secteur d’activité (par exemple, GLBA, HIPAA, Sarbanes-Oxley, etc.) ?
– Qui a besoin d’avoir accès aux données de votre entreprise ?
– Qui possède les données que vous gérez ? Votre entreprise ? Vos clients ?
– Combien de demandes d’accès aux données recevez-vous chaque semaine ?
– Comment ces demandes sont-elles satisfaites ?
– Comment et quand l’accès est-il examiné ?
– Comment pouvez-vous vous assurer qu’aucun conteneur ne sera ouvert à un groupe d’accès global (Tout le monde, Utilisateurs du domaine, Utilisateurs authentifiés, etc.) sans autorisation explicite des propriétaires de données et de la hiérarchie concernée ?
– Comment toutes les activités d’accès seront-elles enregistrées et disponibles pour audit ?
– Si des données n’ont pas été consultées depuis 18 mois, comment seront-elles identifiées et restreintes afin que seuls leurs propriétaires y aient accès jusqu’à ce qu’une demande soit formulée par un autre utilisateur ?
– Comment harmoniserez-vous votre stratégie de sécurité aux objectifs de l’entreprise ?

Derniers conseils
Les stratégies de sécurité donnent de meilleurs résultats lorsqu’elles sont concises et vont droit au but. Elles doivent aussi favoriser et répondre aux besoins de l’activité. Grâce à une maintenance régulière, la stratégie de sécurité de votre entreprise contribuera à en protéger les actifs. (Par Norman Girard, pour DataSecurityBreach.fr, Vice Président et directeur général Europe de Varonis)

BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Propriété Industrielle, Social engineering

Stratégies BYOD : sécuriser les données d’entreprise dans un monde mobile

Les environnements des entreprises évoluent rapidement. Dans ce contexte, les employés doivent pouvoir accéder à leurs informations professionnelles à tout moment en situation de mobilité, ceci afin d’améliorer leur productivité, leur niveau de satisfaction et les performances globales de leur entreprise. Souvent, les salariés veulent accéder à leurs messageries, calendriers, contacts, données clients et documents sensibles sur leurs appareils personnels, ce qui représente un potentiel cauchemar pour les départements informatiques, qui doivent s’assurer de la sécurité des informations professionnelles.

Selon les prévisions du Gartner, d’ici 2017, un employeur sur deux exigera de ses employés qu’ils utilisent leurs appareils personnels au travail. Les entreprises doivent donc impérativement prendre des mesures appropriées afin de s’assurer que la vague de smartphones et de tablettes pénétrant dans le périmètre de l’entreprise soit sécurisée. Pour cela, elles doivent mettre en œuvre des stratégies BYOD offrant de la flexibilité aux employés, et assurant dans le même temps la sécurité au niveau de l’entreprise. De telles stratégies peuvent faire toute la différence, car elles instaurent des règles strictes permettant de faire face à diverses problématiques essentielles : quels appareils et applications sont autorisés à accéder aux informations professionnelles ; qui est responsable des applications et des données ; quelles données doivent être en lecture seule / modifiables, ou disponibles hors ligne ; ou encore qui doit payer pour la consommation professionnelle de données et de voix.

Déterminer en quoi il est nécessaire de migrer vers le BYOD
La première étape dans la mise en œuvre d’un programme BYOD efficace est tout d’abord de définir en quoi celui-ci est nécessaire, et d’établir clairement des indicateurs de réussite. Un tel programme est-il nécessaire pour réduire les dépenses d’investissements et les frais ? L’objectif est-il de stimuler la productivité du personnel ? Lorsque l’on détermine la nécessité d’un programme BYOD pour une entreprise, il est important de s’assurer que le raisonnement adopté soit en accord avec les objectifs de l’entreprise. Une fois le but clairement défini, il sera plus facile pour les dirigeants de justifier un investissement continu dans un tel programme, et l’adoption de ce dernier devrait également s’en trouver renforcée dans l’entreprise.

Il est également essentiel de démontrer la valeur ajoutée du BYOD pour l’entreprise, et de présenter ses avantages et ses risques aux utilisateurs mobiles, ainsi que la façon dont le programme envisagé permettra d’en assurer la protection. Les équipes informatiques pourront faire l’objet d’un certain rejet lors d’un tel déploiement  : en effet, certains employés verront cela comme une excuse pour accéder aux appareils personnels, craindront de voir leurs informations personnelles effacées, ou encore que leur consommation personnelle de données et de voix augmente sur leurs forfaits mensuels. Cependant, les départements informatiques prenant le temps d’expliquer en quoi ce programme leur sera bénéfique et permettra de les protéger ont alors plus de chance de rencontrer de l’enthousiasme de la part des utilisateurs plutôt que l’inverse. Une stratégie BYOD pertinente implique que chacune des parties soit sur la même longueur d’onde dès le début pour que les organisations récoltent rapidement les fruits de leurs efforts.

Exposer les droits de la société en matière de gestion de données professionnelles sur des appareils personnels
Lors de la mise en œuvre d’un programme BYOD, un contrat de licence de l’utilisateur final (EULA) devrait clairement définir le comportement attendu des employés et promouvoir le respect volontaire des stratégies d’entreprise et de sécurité, tout en protégeant leur vie privée. Le cas échéant, la stratégie mise en œuvre devrait clairement préciser que l’entreprise se réserve le droit d’effacer ses données et applications lorsque nécessaire.

Beaucoup d’organisations se tournent vers une solution de conteneurisation garantissant une séparation nette entre les données professionnelles et personnelles. Une telle solution permet de satisfaire le besoin de confidentialité des employés mobiles, ainsi que les exigences des départements informatiques en matière de sécurité des données professionnelles. De cette façon, en cas de vol ou de perte de l’appareil, ou si un employé quitte l’entreprise, seules les données professionnelles seront effacées à distance, réduisant ainsi le risque de compromission de données sensibles. Pour les équipes informatiques, la conteneurisation est un gage de confiance quant à la sécurité des données. Ils peuvent ainsi promouvoir en toute sérénité l’utilisation d’informations professionnelles sur des appareils appartenant aux employés ou à l’entreprise dans le cadre de workflows mobiles. Du côté des employés, le fait que leurs messageries personnelles, photos et bibliothèques musicales soient inaccessibles et ne puissent pas être effacées par leur département informatique est une source supplémentaire de tranquillité quant au respect de leur vie privée.

Envisager des solutions de facturation partagée
Le BYOD est récemment devenu un point de discorde quant à l’identité de celui devant payer la facture mensuelle de services de téléphonie mobile. Ainsi, en 2014, la Cour suprême et la Cour d’appel de Californie se sont prononcées sur la question.

La facturation partagée peut faciliter la transition vers la gestion de la mobilité d’entreprise (EMM) pour les entreprises, en leur évitant des problématiques complexes d’indemnisation, de remboursement et d’attribution de crédits. Au lieu d’inclure les frais de données liées à une consommation professionnelle sur des forfaits mensuels personnels, l’accès aux applications fournies par l’entreprise peut être directement facturé à l’employeur et aux partenaires. Les remboursements peuvent ainsi être rationalisés en même temps que les questions de responsabilité des RH et juridique quant aux contenus des utilisateurs. Plus besoin d’enregistrer des notes de frais, de payer des frais cachés liés au traitement des remboursements, ou de gérer des questions fiscales liées à des indemnisations.

En intégrant un forfait de données professionnel et une facturation partagée à leurs stratégies BYOD, les dirigeants d’entreprise peuvent accélérer la transition de leur personnel vers la mobilité.

Impliquer également les employés
Malgré toutes les meilleures intentions du monde, les services juridiques et informatiques élaborent parfois une stratégie BYOD manquant de convivialité. Lorsqu’ils définissent et déploient une telle stratégie, les dirigeants doivent impliquer tous les services, y compris les RH, le service financier et juridique, les responsables de la sécurité et de la confidentialité, ainsi que les responsables informatiques. Ils pourront ainsi exposer à ces principaux acteurs un cadre de meilleures pratiques de BYOD structuré afin de favoriser une prise de décision rapide et collaborative.

La mobilité est essentielle pour lutter contre la concurrence. En donnant aux employés la possibilité de travailler sur les appareils de leur choix, il est possible d’accélérer les tâches quotidiennes et d’accroître ainsi la productivité des salariés et leur degré de satisfaction. Lors de la mise en œuvre de stratégies BYOD complètes, les dirigeants doivent clairement présenter les arguments en faveur du déploiement de tels programmes, et établir avec précision le droit de leur entreprise à gérer les données professionnelles stockées sur les appareils personnels. Ils doivent également envisager de mettre en place une solution de conteneurisation afin de séparer les données professionnelles et personnelles, et réfléchir à une solution de facturation partagée afin d’éviter les problématiques complexes d’indemnisation, de responsabilité quant au contenu de l’utilisateur final et de contrôle des notes de frais des employés.

Enfin, il est essentiel d’aborder le déploiement de stratégies et de solutions BYOD dans votre entreprise comme un effort commun à tous vos services. Créez une campagne de marketing interne proactive destinée aux utilisateurs d’appareils mobiles en vous assurant qu’elle soit engageante et facile à comprendre, comme avec des vidéos, des posters, des FAQ, ou des événements dédiés à des endroits stratégiques. Expliquez clairement les avantages, et comment votre stratégie et votre solution BYOD permettent de gérer les risques au niveau des données professionnelles. La clé d’une stratégie efficace est de s’assurer que le programme créé profite aux employés tout en renforçant la sécurité des données professionnelles. (Par Florian Bienvenu, pour datasecuritybreach.fr, vice-président UK, Europe Centrale, Europe du Sud et Moyen Orient de Good Technology)

Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, Patch, Piratage, Propriété Industrielle, Sauvegarde

Microsoft ne veut pas corriger une faille

Un commentaire

Le géant de l’informatique, Microsoft, ne corrigera pas une faille visant Internte Explorer. Les chercheurs, derrière la découverte de la vulnérabilité, annonce diffuser le problème pour s’en protéger, seul.

En Février 2015, l’équipe de sécurité informatique de HP mettait à jour un 0day, une faille non publique, visant Internet Explorer. Présenté à Microsoft lors du Zero Day Initiative, l’équipe HP avait gagné 125.000 dollars de la Microsoft Mitigation Bypass Bounty.

Lors de la conférence RECon de Montréal, l’équipe a divulgué les détails de leur recherche. Ils ont expliqué cette divulgation par le fait que Microsoft a annoncé ne pas avoir l’intention de corriger la faille et de laisser Internet Explorer en danger face à l’utilisation de la vulnérabilité par des pirates. DataSecurityBreach.fr pense tout simplement que Microsoft faisant disparaitre son navigateur dans la prochaine monture de Windows, cette non correction peut inciter « consommateurs » à migrer vers Microsoft Edge.

Bilan, le problème découvert dans l’Address Space Layout Randomization (ASLR) restera problème. « Libérer des informations sur une faille non corrigée est une première pour nous, confirme l’équipe HP, nous ne faisons pas cela par dépit ou par malveillance. Nous préférerions expliquer le problème une fois corrigé. Cependant, depuis que Microsoft a confirmé nos contacts, ils ont indiqué ne pas prévoir de mesures à partir de nos recherches ». A noter que cela ne doit pas être si compliqué à protéger, HP en profite pour annoncer que ses outils de sécurité bloquent l’attaque !

Les informations techniques se trouvent sur GitHub. Une non correction, qui ressemble bizarrement aux inquiétudes autours du non « patchage », par certains opérateurs, des smartphones Samsung s4, s5, s6 en danger face à un piratage possible de masse.

backdoor, BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Emploi, Entreprise, Fuite de données, Leak, Mise à jour, Patch, Piratage, Propriété Industrielle, Sauvegarde

Une nouvelle menace nommée Equation Group

En février dernier, la sphère de la cyber-sécurité a pris conscience des efforts déployés par Equation Group, organisation de cyber-espionnage de haut niveau qui exploite les firmwares HDD et SSD.

McAfee Labs a évalué les modules de reprogrammation exposés et a observé qu’ils pouvaient reprogrammés les firmwares des HDD et des SSD. Ainsi, les logiciels malveillants peuvent être rechargés et infecter l’ordinateur à chaque redémarrage du système : ils ne disparaissent pas, même en cas de reformatage du disque ou de réinstallation du système d’exploitation. Une fois infecté, le logiciel de sécurité ne peut plus détecter le malware qui est caché au sein du système. « Chez Intel Security, explique David Grout, nous avons suivi de près ces types de menaces hybrides software/hardware. En effet, bien que ces logiciels malveillants aient historiquement été déployés pour des attaques ciblées, les entreprises doivent se préparer à l’inévitable volet commercial que pourraient représenter de telles menaces à l’avenir ».

Il est nécessaire pour une entreprise de prendre des mesures pour renforcer la détection des menaces existantes telles que l’hameçonnage intégrant des liens frauduleux et les malwares infestant les périphériques USB, et d’envisager des solutions qui pourraient prévaloir l’exfiltration des données.

Cybersécurité, Entreprise, Logiciels, Microsoft, Mise à jour, Patch, Propriété Industrielle, Sauvegarde

Windows Server 2003 : la fin des mises à jour le 14 juillet

Microsoft Windows Server 2003 ne sera plus mis à jour à partir du 14 juillet 2015. Changer ou subir de potentielles futures failles ? Faîtes vos jeux !

Les utilisateurs de Windows Server 2003 sont encore très nombreux. Microsoft parle même de 23,8 millions de WS 2003 en fonction dans le monde. Le cabinet  Enterprise Strategy Group a révélé dernièrement que 25% des sociétés interrogées déclaraient vouloir continuer à utiliser WS 2003 après le 14 juillet.  Difficile de passer à autre chose. Le coût, premier frein.

Sans service de support, ni de maintenance

Utiliser Windows Server 2003 peut être perçu comme une vulnérabilité d’exploitation dès la mis juillet. Un danger potentiel, comme les utilisateurs, et ils sont encore nombreux, de Windows XP.  Pour une question de budget, de temps ou tout simplement par manque d’information, vous ne changerez pas avant le 15 juillet. Ou parce que certaines de vos applications critiques exigent cet OS. Selon Distributique l’opération couterait 60 000 dollars par migration. Si vous êtes dans une situation qui vous oblige à garder Windows Server 2003 au-delà du 15 juillet, vous devriez vous pencher sur la gestion des vulnérabilités sans patch, grâce aux fonctionnalités de Deep Security comme le préconise Trend Micro.

Attention, l’outil ne va pas combattre une éventuelle vulnérabilité qui affecte le système, mais elle fournira une protection contre les attaques susceptibles d’utiliser cette vulnérabilité indique Sophie Saulet sur le blog de l’éditeur japonais. Trend Micro a diffusé un livre blanc sur le sujet. A consulter pour ce faire une idée. La meilleure des options est de mettre au rebut Windows Server 2003 avant la date butoir.

Chiffrement, cryptage, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, VPN

Attaque LogJam : les clés Diffie-Hellman visées

Des milliers de messagerie, Web, SSH, et les serveurs VPN sont vulnérables à une nouvelle attaque. Appelée Logjam, elle affecte l’échange de clés Diffie-Hellman. Le protocole d’échange de clé Internet (IKE) qui utilise l’algorithme de Diffie-Hellman est largement mis en œuvre dans le cryptage des données (par exemple, par SSL / TLS).

Le 20 mai 2015, une équipe de plusieurs chercheurs en sécurité de US a annoncé une faiblesse dans l’échange de clés Diffie-Hellman exploitée par l’«attaque Logjam » (Logjam attack). La faiblesse est causée par un défaut dans le protocole TLS qui est utilisé pour HTTP, SSH, et le cryptage de la connexion VPN. Elle peut être exploitée par la technique de l’homme du milieu (Man-in-the-Middle – MITM). Les cybercriminels peuvent surveiller ou même manipuler le trafic de données entre deux ou plusieurs parties de communication. La faiblesse est en fait dans la procédure de prise de contact TLS, au cours de laquelle l’attaquant fragilise l’exportation et l’échange de clés au lieu de l’échange de clés Diffie-Hellman normale. En réponse, le serveur continue échanger la clé de 512 bits, mais sans résultat.

Généralement, l’attaque de Logjam met en péril toutes les méthodes de chiffrement qui utilisent l’algorithme de Diffie-Hellman et l’échange de clés sur Internet (IKE). Comme déjà mentionné, ils comprennent le protocole TLS et SSL son prédécesseur qui sont largement utilisés pour SSH, courrier, web, et le cryptage de la connexion VPN.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Mise à jour, Patch, Piratage, Propriété Industrielle

Sésame ouvre-toi : un jouet Mattel ouvre les portes des garages

Le jouet Mattel IM-ME permet, avec une petite modification, d’ouvrir les portes des garages. Vive le sans-fil !

Les garages des Américains, nouvel espace de jeu pour les pirates ? Samy Kamkar, un informaticien curieux, a découvert qu’avec le jouet IM-ME de Mattel, et un code de son invention, il devenait possible d’ouvrir les portes des garages. Un outil qui ne coûte que quelques dollars.

nyan

Le problème est que certains garages ne sont protégés que par un code dont la sécurité est équivalente à un mot de passe à deux caractères. Samy Kamkar a réussi à cracker (pirater) la chose, avec son tool OpenSesame, en quelques secondes. « Une sécurité qui est une vaste blague, dit Kamkar. Un pirate peut entrer dans votre garage, en utilisant un appareil que vous ne remarquerez même pas dans sa poche, et en quelques secondes, votre porte de garage est ouverte.« 

OpenSesame ne fonctionne qu’avec les portes de garage dont l’ouverture se fait par un code unique, transmis en sans-fil via une télécommande. Bref, les portes ne tiennent pas longtemps, en ce moment, face aux pirates. Comme le cas du piratage des portières de voitures que ZATAZ vous révélait dernièrement. (Wired)

Android, BYOD, Chiffrement, Cloud, cryptage, Cybersécurité, Entreprise, Fuite de données, ios, Mise à jour, OS X, Sauvegarde, Sécurité, Smartphone, Social engineering, Windows phone

56 millions de données exposées par des applications de smartphones

Des chercheurs de l’Université Allemande de Darmstadt annoncent que les développeurs d’applications prennent la sécurité des données par dessus la jambe.

Leurs applications auraient exposé 56 millions de données en utilisant les services de Google, Amazon et Facebook. L’équipe de chercheurs a testé 750.000 applications Android et iOS. Ils ont utilisé les services d’identité « fédérés » afin de s’authentifier plus simplement, plus rapidement, entre leurs différents appareils. Sauf qu’il semble y avoir un gros problème. L’équipe a trouvé des données, y compris les adresses mails, mots de passe, et les dossiers de santé, se promenant entre les connexions. Autant de données qui pourraient être exposées à des yeux indiscrets, et les comptes respectifs compromis si les jetons d’authentifications étaient  capturés. « Les développeurs d’applications utilisent des bases de données dans le cloud, explique les étudiants. Ils stockent  les données des utilisateurs, mais apparemment ignorent les recommandations de sécurité des données que recommandent pourtant les fournisseurs cloud.»

Les pirates ont besoin, cependant, d’extraire la clé de l’application et/ou exploiter une connexion sans fil non sécurisée, pour agir. Les sociétés qui hébergent ont besoin de beaucoup moins ! (The Register)

Android, Apple, Cybersécurité, Entreprise, ios, Logiciels, Microsoft, Mise à jour, Patch, Sécurité, Smartphone, Téléphonie, Windows phone

Planter Skype à coup de http://:

Planter le Skype d’un correspondant et l’empêcher de redémarrer la machine, simple comme un message de 8 signes.

Nous avions vu, la semaine dernière, comment une commande mal interprétée dans certains iPhone, utilisant une version iMessage boguée (L’ensemble des iPhone n’était pas sensible à ce bug comme on a pu le lire un peu partout, NDLR).

Cette fois, prenons Skype avec une vulnérabilité bien plus gênante. Que vous soyez sous iOS, Android, Windows (sauf Windows 8.1) ou Mac, le fait d’envoyer le message  » http://:  » à un correspondant fait planter son outil de communication en ligne. Plus gênant encore, le chercheur russe qui est tombé sur ce bug, s’est rendu compte que le « code » continué le blocage de Skype si le message n’était pas effacé par l’émetteur. La solution, réinstaller l’outil de Microsoft dans sa nouvelle version. La rédaction s’est amusée à bloquer ses propres Skype sous MAC (OS X 10.10.3) ou Windows (Skype 7.3.0.101). Ca fonctionne malheureusement que trop bien. Imaginez les entreprises, utilisatrices de ce moyen de conversation. Lors d’un rendez-vous important, plus possible de communiquer. Bref, mise à jour obligatoire !

Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, Entreprise, Fuite de données, Identité numérique, Leak, Mise à jour, Particuliers, Patch, Piratage, Vie privée

Les Risques Cachés de l’Explosion du Trafic HTTPS

Si vous n’êtes pas préparé à une forte augmentation du trafic HTTPS, votre réseau est menacé !

Paradoxal, non ? HTTPS, après tout, est une bonne chose. Comme tout le monde le sait, HTTPS est la version sécurisée du Hypertext Transfer Protocol (HTTP), qui utilise le protocole SSL/TLS pour crypter et protéger le trafic web. Si vous souhaitez privatiser n’importe quelle action en ligne — qu’il s’agisse de l’achat de nouvelles chaussures ou du paiement d’une facture— HTTPS est ce qui protège vos communications des regards mal intentionnés.

Les professionnels de la sécurité ont toujours encouragé l’utilisation d’HTTPS par les applications web. Il semble que leurs vœux aient été exhaussés. Comme le confirme l’ouvrage The Cost of “S” in HTTPS, 50% des flux sur le web sont aujourd’hui sécurisés. En fait, beaucoup des plus grands sites web ont adopté HTTPS comme leur protocole par défaut, dont Google, Facebook et YouTube. Mieux encore, les fournisseurs de navigateurs tels que Google ont même commencé à considérer toutes les pages non HTTPS comme non sécurisées, un nouveau pas vers la standardisation par défaut d’HTTPS.

De nombreux facteurs contribuent à cette ruée vers HTTPS, dont le principal est probablement « l’effet Snowden. » Certes, les spécialistes ont toujours compris la facilité avec laquelle nos conversations sur Internet peuvent être interceptées, mais les documents secrets dévoilés par Edward Snowden n’ont pas seulement permis au grand public d’identifier le risque du ‘man-in-the-middle’ (MitM), mais ont prouvé que les gouvernements y ont participé activement depuis des années. Maintenant que nous savons que quelqu’un nous regarde, nous prenons la protection de nos conversations beaucoup plus sérieusement.

Au sens large, cet accroissement du trafic HTTPS est une bonne chose. Toutefois, sous la surface il dissimule deux écueils qui peuvent sérieusement affecter votre sécurité, si vous n’y êtes pas préparé. Spécifiquement,

1.      Les méchants utilisent aussi HTTPS,
2.      La sécurisation de ce trafic entraîne de nouvelles contraintes en matière de performances.

Les avantages que vous retirez d’HTTPS profitent également aux hackers. Les pirates veulent dissimuler leurs communications, qu’il s’agisse de leurs téléchargements de malware ou des canaux de commande et de contrôle (C&C) que leur malware utilise pour communiquer avec eux. HTTPS fournit un mécanisme très efficace pour faire précisément cela. Les méchants ont compris que HTTPS est typiquement un « trou noir » pour vos outils de sécurité réseau, et ont donc commencé à l’utiliser pour leurs activités malveillantes, afin de les masquer.

C’est la raison pour laquelle il est plus important que jamais de commencer à sécuriser HTTPS. Vous avez besoin de solutions de sécurité capables de “voir” à l’intérieur des communications HTTPS, et d’y appliquer les scans traditionnels de sécurité (IPS, antivirus, etc.).

Heureusement, il existe une solution à ce problème. De nombreuses solutions de sécurité réseau actuelles, telles que de nouvelles versions de boîtiers UTM, des firewalls de nouvelle génération (NGFW), et d’autres proxies de sécurité, disposent de passerelles sur la couche applicative ou de capacités d’inspection DPI pour HTTPS. En gros, ils effectuent une attaque MitM « amicale » sur HTTPS afin de le décrypter de façon temporaire et de mettre en œuvre les scans de sécurité. Le boîtier ré encrypte ensuite le trafic pour le délivrer au réseau. Ces outils nécessitent que vos clients acceptent un certificat numérique, afin de maintenir la confidentialité de la connexion HTTPS. En bref, ils vous permettent de potentiellement détecter des activités malicieuses dans un trafic normalement indéchiffrable, sans remettre en cause la vie privée de vos utilisateurs.

Toutefois, sécuriser le trafic HTTPS met en lumière et exacerbe le second problème – les contraintes d’HTTPS en matière de performances. En termes simples, encrypter quelque chose consomme des ressources de traitement et accroît le volume du trafic. Si vous désirez savoir dans quelle proportion, il vous suffit de consulter l’ouvrage que j’ai cité précédemment. En gros, les conséquences ne sont pas négligeables, mais nous disposons généralement des ressources processeur et réseau pour les gérer… Ceci, avant d’y ajouter les solutions de sécurité dont j’ai parlé plus haut.

Comme je l’ai mentionné précédemment, des solutions de sécurité peuvent maintenant décrypter le trafic HTTPS. Toutefois, ce décryptage double le temps de traitement d’HTTPS, le boîtier de sécurité devant décrypter puis ré encrypter avant de délivrer le trafic. De plus, dans l’environnement actuel riche de menaces, vous souhaiterez que plusieurs couches de sécurité (par exemple IPS, antivirus, détection C&C) contrôlent votre trafic HTTPS. Si vous avez mis en place un contrôle de sécurité séparé pour chaque couche, chacune d’entre elles nécessite un traitement, ce qui ralentit singulièrement le trafic. Si 50% du trafic Internet est en protocole HTTPS, cela représente un vrai goulet d’étranglement.

La solution ? Utiliser des contrôles de sécurité tout en un conçus pour traiter la charge HTTPS. Un des avantages des nouveaux boîtiers UTM et des firewalls de nouvelle génération est que leurs couches de sécurité sont toutes appliquées en un seul point. Ceci veut dire qu’ils n’ont à décrypter HTTPS qu’une seule fois. Cependant, si votre sécurité dépend à ce point d’un seul boîtier, mieux vaut être sûr qu’il sera capable de supporter la charge. Beaucoup de boîtiers UTM ou Next Generation Firewalls mettent en avant leurs performances firewall, qui ne tiennent pas compte des autres contrôles de sécurité et de l’inspection des paquets HTTPS. Il est donc très important d’examiner la performance du boîtier lorsque tous les contrôles de sécurité sont activés, et spécialement l’inspection des paquets HTTPS. Ce n’est qu’une fois cette vérification faite que vous saurez si votre boîtier sera capable ou non de traiter, et de sécuriser, l’explosion des flux HTTPS.

Pour résumer, l’usage accru du protocole HTTPS est une très bonne chose pour la sécurité du web. Toutefois, vous devez vous assurer que vos solutions de sécurité en place sont capables réellement d’identifier les menaces à l’intérieur d’HTTPS, et qu’elles peuvent supporter l’accroissement de la charge HTTPS induit par l’effet Snowden. (Par Pierre Poggy, Country Manager Watchguard France / TechDirt)