Archives de catégorie : Patch

Chiffrement, cryptage, Cyber-attaque, Entreprise, Fuite de données, Leak, Linkedin, Patch, Propriété Industrielle, Sauvegarde, Sécurité

Les responsables informatiques aveugles face aux failles de sécurité des réseaux d’entreprise ?

Dimension Data, le fournisseur mondial de services et de solutions informatiques, a déclaré à Data Security Breach que le nombre de périphériques vulnérables sur les réseaux informatiques d’entreprise a chuté entre 2011 et 2012, passant de 75 % à 67 %. Même s’il s’agit du chiffre le plus bas en deux ans, cette tendance met en évidence l’approche laxiste en matière de sécurité actuellement adoptée par les gestionnaires de réseau.

Telle est l’une des conclusions tirées dans le Baromètre des réseaux 2013 publié aujourd’hui par Dimension Data. Depuis son lancement en 2009, le Baromètre des réseaux informe de l’état des réseaux à l’échelle mondiale, en compilant des données en provenance des entreprises et les résultats des audits Technology Lifecycle Management (TLM) réalisés par Dimension Data dans le monde au cours de l’année écoulée. Ce rapport analyse la capacité opérationnelle des réseaux en évaluant la présence de failles de sécurité, le statut en fin de vie et le respect des bonnes pratiques de configuration des périphériques réseau. Aujourd’hui, Dimension Data affiche au compteur plus de 1 200 audits réalisés ces cinq dernières années, grâce à la solution Technology Lifecycle Management (TLM), auprès d’entreprises de toutes tailles et opérant dans tous les secteurs d’activités.

Comme l’explique à datasecuritybreach.fr Raoul Tecala, directeur du développement commercial de l’activité Intégration réseau chez Dimension Data : « Certaines failles de sécurité présentes depuis des années n’ont toujours pas été corrigées — et ce, malgré la proactivité dont font preuve certains fournisseurs comme Cisco Systems avec l’envoi d’alertes en cas de correctifs et les constantes mises à niveaux de leurs logiciels et systèmes. (…) « L’élimination de toutes les failles de sécurité peut constituer un défi de taille dans le cas d’environnements complexes d’envergure. Il convient toutefois de mettre en balance les perturbations subies et les efforts nécessaires, d’une part, avec les répercussions potentielles et les mesures qui s’avèrent indispensables. Bien que les réseaux semblent actuellement moins en proie aux failles de sécurité, la proportion importante de périphériques vulnérables se maintiendra jusqu’à l’application d’un correctif logiciel ou à la mise à niveau vers une nouvelle version plus sécurisée du code. »

Data security breach conseille aux entreprises de concentrer leurs efforts sur les failles de sécurité qui représentent le plus grand danger. « Plus le périphérique est proche d’Internet, plus le risque est important. Par conséquent, les entreprises doivent se montrer vigilantes et nous leur recommandons de mettre en place un système visant à évaluer, à hiérarchiser et à corriger en permanence les failles de sécurité des réseaux. termine Raoul Tecala, Même si les réseaux informatiques paraissent aujourd’hui moins vulnérables, bon nombre des failles de sécurité restantes sont difficiles à supprimer complètement et on en identifie de nouvelles chaque année. Il serait donc malvenu de se reposer sur ses lauriers ».

Cybersécurité, Patch, Sécurité

Oracle publie des correctifs pour 40 vulnérabilités dans Java SE

Le Critical Patch Update (CPU) publié par Oracle, fixe 40 nouveaux problèmes de sécurité dans Java SE. Datasecuritybreach.fr rappelle que toutes les vulnérabilités, exceptées trois, peuvent être exploitées à distance par un attaquant, et dans la plupart des cas, celui-ci peut prendre le contrôle intégral du système. Pour atteindre son objectif, l’attaquant utilise une variété de techniques « drive-by », laissant une applet Java exécuter un code arbitraire en contournant la sécurité du sandbox Java. Ce CPU affecte les versions 5, 6 et 7 de Java Development Kit (JDK) et Java Runtime Environement (JRE). Nous recommandons vivement l’application de ces correctifs dès que possible. DataSecurityBreach.fr a récemment constaté de nombreux problèmes de sécurité dans Java.

Cette année, nous recensons 137 vulnérabilités contre seulement 28 et 38 au cours de la même période pour les deux dernières années. En coopération avec Oracle, Apple a également publié une mise à jour de sécurité Apple-SA-2013-06-18-1 afin de protéger les utilisateurs de Mac OS X contre ces vulnérabilités Java. Nous encourageons vivement les utilisateurs à appliquer ces correctifs dès que possible. (Qualys)

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, Fuite de données, Leak, Patch, Sauvegarde

Les gens prennent soin de protéger leurs données mais négligent certaines mesures élémentaires

Un commentaire

Une étude que datasecuritybreach.fr a pu consulter, réalisée par Varonis, leader des logiciels complets de gouvernance des données, indique que la grande majorité des gens comptent que les entreprises protègent leurs données, malgré le nombre élevé de brèches de sécurité signalées. L’étude montre que la plupart des personnes interrogées ont généralement de bonnes pratiques de sécurité, mais ont néanmoins des comportements à risque qui pourraient permettre à des pirates d’accéder à leurs données.

La recherche révèle qu’une majorité écrasante de 91 % des personnes interrogées supposent que les entreprises protègent leurs données personnelles et leurs identités en ligne, et cela en dépit du fait que 93 % des grandes entreprises et 87 % des petites entreprises ont connu en 2013 des failles de sécurité des données. D’une façon générale, l’étude montre que la sécurité des données a une grande valeur : 97 % des répondants préfèrent faire affaire avec une entreprise qui protège leurs données et 54 % se déclarent prêts à payer plus cher s’ils pensent qu’une entreprise protège efficacement leurs données.

Les participants à l’enquête ont fait état de plusieurs habitudes de sécurité en ligne qui seraient mises en évidence dans n’importe quel rapport de sécurité. L’étude a établi que 71 % regardent les dispositions en petits caractères des accords de licence d’utilisation et autres conditions générales.

La sécurité mobile est également prioritaire : plus des trois quarts (77 %) protègent leur téléphone par un mot de passe, et près de la moitié (47 %) utilisent une authentification à deux facteurs pour protéger leur email personnel et leurs services en ligne.

Malheureusement, Varonis a aussi découvert quelques mauvaises habitudes troublantes. Si les participants protègent avec soin leur téléphone par un mot de passe, 61 % utilisent toujours ou fréquemment le même mot de passe sur des sites web ou des applications différents, mettant ainsi leurs informations personnelles en danger. Les deux tiers des participants (67 %) reconnaissent ou soupçonnent qu’ils ont envoyé par email des informations personnelles non cryptées à une entreprise.

« Il est encourageant de constater que les gens recherchent les entreprises qui parviennent mieux à sécuriser leurs données », explique David Gibson à Data Security Breach, vice-président de Varonis. « Cependant, le grand nombre de piratages qui se produisent presque tous les jours indique que les entreprises, comme les individus, ont encore du mal à mettre en oeuvre les bases nécessaires à la sécurisation de leurs données. »

Les personnes doivent se concentrer sur l’élimination de mauvaises habitudes numériques et prendre davantage le contrôle de leur sécurité. Les entreprises ont leur part à jouer pour s’assurer que les départements informatiques mettent en œuvre les bonnes pratiques élémentaires de sécurité.

Quelques recommandations de DataSecrityBreach.fr

.    Sachez où se trouvent vos informations, qui peut y accéder, et comprenez ce que les fournisseurs de service peuvent faire de vos données sans votre consentement explicite

.    N’envoyez jamais par email de données personnelles ou autres données sensibles non cryptées, spécialement les numéros de compte, de carte de crédit et de sécurité sociale, ainsi que les informations ayant trait à la santé 3.    Choisissez des mots de passe forts — mélangeant majuscules et minuscules, chiffres et symboles spéciaux — et utilisez un mot de passe unique pour chaque site. Les gestionnaires de mots de passe sont d’un grand secours dans ce but.

·      Authentification : vérifiez que toute personne accédant à un compte soit vraiment qui elle prétend être ; l’utilisation de plusieurs facteurs est préférable

·      Autorisation : assurez-vous que les employés ont exclusivement accès aux données dont ils ont besoin

·      Audit : surveillez tous les accès

·      Alerte : analysez l’activité à la recherche d’abus potentiels

.     Assurez-vous que les employés utilisent des plateformes sécurisées et autorisées

.     Concentrez-vous sur l’équilibre entre productivité et sécurité : les employés ont besoin d’une expérience de travail moderne qui ne fasse pas courir de risques aux données de l’entreprise.

L’occasion pour les particuliers de faire de même. Voici 6 conseils pratiques pour mettre en ordre son ordinateur et faire le grand ménage de printemps.

.            Sauvegarde des fichiers. Les utilisateurs ont tendance à conserver des fichiers importants et en grande quantité sur leur système sans jamais les stocker. Or, si le système « crash », toutes ces données seront perdues.  La solution la plus simple et efficace est alors de stocker les données les plus sensibles sur un disque dur externe.

.            Nettoyage du registre du système. Le système accumule de nombreux fichiers temporaires au cours de sa vie, surtout en surfant sur Internet.

Pour qu’il fonctionne plus rapidement, la suppression de ces fichiers est alors indispensable. Il existe plusieurs outils pour supprimer les anciennes entrées de registre (sur les PC) comme le fait de vider sa corbeille régulièrement, de supprimer les fichiers temporaires Internet et les cookies, ainsi que son historique de navigation. CCleaner est un outil connu gratuit qui peut effectuer ces tâches, néanmoins une plateforme de sécurité complète telle que Kaspersky PURE 3.0 contient des outils pour nettoyer son PC qui pourront réaliser la même opération tout en protégeant également le système.

.            Défragmentation du disque dur. Il s’agit d’une option sur les systèmes Windows qui augmente la vitesse et l’efficacité du système. Sur Windows 8, cette fonctionnalité se trouve dans « Fichiers » en cherchant « défragmenteur », sur une ancienne version de Windows dans « Programme », «Accessoires », et ensuite « Outils système ». L’utilisation du défragmenteur de disque prend un certain temps et oblige de laisser son PC « au repos ». Il est donc préférable de lancer la défragmentation quand l’utilisateur est absent de chez lui ou lorsque qu’il effectue d’autres activités.

.            Suppression des programmes inconnus.  Il y a de grandes chances pour qu’au fil du temps, les programmes inutilisés s’accumulent sur le système. Mais ces programmes occupent de l’espace sur le disque et ralentissent tout le système. Sur Windows, l’opération à suivre est la suivante : cliquer dans le panneau de configuration, puis sélectionner « Ajouter/supprimer des programmes ». Examiner la liste – sélectionner les programmes inutilisés cette année pour les supprimer. Sur Mac, ouvrir le LaunchPad, et déplacer les icônes des applications inutilisées dans la corbeille.

.            Changement des  mots de passe. Il s’agit d’une étape importante à effectuer régulièrement qui peut-être couplée à la mise à jour du système. Le mot de passe idéal doit être long et compliqué : le mélange des lettres et symboles non-alphanumériques permet de complexifier les mots de passe. Le classique « 123456 » est à éviter ! L’accumulation de mots de passe différents et complexes rend difficile leur mémorisation, l’utilisation d’un gestionnaire de mots de passe facilite grandement cette tâche.

.            Installation des mises à jour des programmes. Il est nécessaire de réaliser régulièrement les mises à jour car celles-ci contiennent les derniers patchs de sécurité. Les versions plus anciennes ont plus de risque d’être exploitées par des pirates informatiques qui trouvent des faiblesses dans les programmes dépassés. Sur Windows, cliquer sur le bouton « démarrer » puis se rendre dans le panneau de configuration, cliquer sur « tous les programmes » et ensuite sur « Windows Update ». C’est ici que se trouvent l’ensemble des mises à jour pour l’ordinateur. La dernière étape est de cliquer sur « rechercher des mises à jour » afin de savoir si l’ordinateur est bien à jour.

Patch

Oracle Critical Patch Update – Avril 2013

Oracle a publié deux mises à jour de sécurité critiques. Tout d’abord, une nouvelle version de Java corrige 42 vulnérabilités, dont 19 ayant le score CVSS le plus élevé (10) qui permet à un attaquant de prendre le contrôle total de la machine. Cette mise à jour corrige également les vulnérabilités découvertes lors de la compétition PWN2OWN à CanSecWest, en mars, où Java a été exploité par trois chercheurs en sécurité différents. Oracle a également modifié les alertes qui surgissent lorsque l’on exécute une applet Java, en introduisant des états distincts donnant plus d’informations sur la nature de l’applet. Les nouvelles versions sont Java v7 update 21et Java v6 update 45.

Dans l’ensemble, le CPU d’avril 2013 corrige plus de 120 vulnérabilités dans 13 gammes de produits. Une cartographie précise des logiciels installés sera cruciale dans l’application de ces correctifs en raison du grand nombre de produits couverts. Nous recommandons de commencer par les services exposés sur Internet, puis de mettre à jour en priorité les produits contenant des vulnérabilités avec un score CVSS élevé.

Le SGBDR d’Oracle dispose de quatre mises à jour pour des vulnérabilités ayant un score CVSS de 10. Les organisations doivent s’assurer en priorité que leurs bases de données Oracle ne sont pas exposées et appliquer les correctifs en conséquence.

La base de données MySQL dispose de 25 vulnérabilités corrigées, avec un score CVSS maximum de 6.9. Un score de niveau moyen qui donnent plus de temps aux administrateurs informatiques pour réagir.

Les solutions Oracle Fusion ont 29 vulnérabilités corrigées, avec un score CVSS de 10. Nous recommandons d’appliquer les patchs aussi rapidement que possible. Une des vulnérabilités se trouve dans le produit Oracle Outside-In, qui est utilisé par Microsoft Exchange Server. Il est noté 6.8, ce qui signifie que nous aurons une mise à jour d’Exchange très bientôt.

Oracle Solaris est affecté par 16 failles avec un score de 6.4, dont deux vulnérabilités exploitables à distance. Les administrateurs informatiques doivent se concentrer dans un premier temps sur ces deux vulnérabilités.

Les autres produits mis à jour comprennent Peoplesoft, Supply-Chain, E-Business, CRM.

En complément des mises à jour d’Oracle, Apple a également publié deux mises à jour de sécurité. La première adresse Java 6 qui est maintenu par Apple sur Mac OS X. La seconde corrige une vulnérabilité dans Webkit, le moteur de rendu HTML de Safari. La vulnérabilité dans Webkit a également été découverte lors de la compétition PWN2OWN, mais en l’occurrence dans le navigateur Chrome de Google. Google a corrigé cette vulnérabilité le mois dernier. (Wolfgang Kandek, CTO de Qualys pour Datasecuritybreach.fr)