Archives de catégorie : DDoS

backdoor, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, Leak, Paiement en ligne, Piratage, Propriété Industrielle

Le vol d’identité, en tête des avidités pirates

Les vols d’identité arrivent en tête de la cybercriminalité, avec 53 % des failles de données enregistrées, selon une étude de Gemalto.

Gemalto, spécialiste des solutions de sécurité informatique, vient de publier les résultats de l’étude Breach Level Index pour le premier semestre 2015. L’étude fait apparaître 888 failles de données signalées au cours de cette période, compromettant ainsi 246 millions d’enregistrements de données dans le monde.

Les failles de sécurité ont augmenté de 10 % par rapport au premier semestre de l’année précédente, alors que le nombre d’enregistrements de données compromis diminuait de 41 % au cours des six premiers mois. Cette nette amélioration peut être attribuée à la diminution du nombre de méga-failles à très grande échelle ayant touché le commerce de détail et la distribution, comparativement à la même période de l’année écoulée.

Malgré la diminution du nombre de données compromises, les failles les plus importantes ont touché des volumes considérables d’informations personnelles. L’incident le plus important constaté au cours du premier semestre – niveau 10 sur l’échelle de gravité du Breach Level Index –, a concerné un vol d’identité dont a été victime l’assureur-santé Anthem Insurance aux États-Unis, qui a impacté 78,8 millions de fichiers, soit le tiers (32 %) de l’ensemble des fichiers de données volés au cours du premier semestre. Parmi les autres failles notables recensées au cours de la période d’analyse, il faut citer une attaque touchant 21 millions de fichiers de l’US Office of Personnel Management (9,7 sur l’échelle BLI) ; une attaque touchant 50 millions de fichiers de la Direction générale de la population et des affaires de la citoyenneté en Turquie (9,3 sur l’échelle BLI) ; et une défaillance affectant 20 millions de fichiers du site de rencontre russe Top Face (9,2 sur l’échelle BLI). Les dix principales cyber-attaques ont représenté 81,4 % de l’ensemble des fichiers compromis.

« Nous sommes obligés de constater le fort retour sur investissement des attaques sophistiquées que mènent les pirates, qui affectent des volumes considérables de données. Les cybercriminels continuent de s’approprier, la majeure partie du temps en toute impunité, des jeux de données extrêmement précieux. A titre d’exemple, les failles qui ont touché le secteur de la santé au cours du premier semestre leur ont permis de recueillir en moyenne plus de 450 000 fichiers de données, soit une augmentation de 200 % par rapport à la même période de 2014 », explique Jason Hart, vice-président et directeur de la technologie, en charge du pôle protection des données chez Gemalto.

Incidents par source
Le nombre d’attaques conduites à l’instigation ou avec la bénédiction d’un État ou d’un service gouvernemental n’ont représenté que 2 % de l’ensemble des incidents enregistrés. Le nombre de fichiers affectés par ces épisodes représente toutefois 41 % de l’ensemble des fichiers compromis, en raison notamment de l’attaque ayant ciblé Anthem Insurance et l’US Office of Personnel Management. Alors qu’aucune des dix principales failles enregistrées au premier semestre 2014 n’était le résultat d’une action soutenue par un État, trois des principaux incidents recensés cette année ont été menés à l’instigation de services gouvernementaux – et notamment les deux premiers en termes de sévérité.

Les intrusions malveillantes menées à titre individuel ont cependant été la principale cause des failles de données enregistrées au premier semestre 2015, représentant 546 ou 62 % des attaques informatiques, contre 465 ou 58 % au premier semestre de l’année écoulée. 116 millions (soit 46 %) des fichiers affectés globalement l’ont été en raison d’intrusions malveillantes, ce qui constitue un net recul sur les 298 millions d’incidents (71,8 %) répertoriés en 2014.

Incidents par type
Le vol d’identité demeure, au premier semestre, la principale cible des cybercriminels, représentant 75 % de tous les fichiers affectés, et un peu plus de la moitié (53 %) des failles de données enregistrées. Cinq des dix principales failles, y compris les trois premières – toutes trois classées au niveau « catastrophique » sur l’échelle BLI –, ont porté sur des vols d’identité, contre sept sur dix au cours du premier semestre 2014.

Incidents par secteur
De tous les domaines d’activité recensés, les secteurs gouvernementaux et de la santé ont payé le plus lourd tribut à la cybercriminalité, puisqu’ils représentent environ les deux tiers (31 % et 34 % respectivement) des fichiers de données compromis. La santé ne représente toutefois que 21 % des atteintes informatiques enregistrées cette année, contre 29 % au cours du premier semestre de l’année précédente. Le secteur du commerce de détail et de la distribution connaît une nette diminution du nombre de fichiers volés, représentant seulement 4 %, contre 38 % au cours de la même période de l’année écoulée. En termes de localisation géographique, les États-Unis sont le pays le plus touché, avec plus des trois quarts (76 %) des failles de données enregistrées, et près de la moitié (49 %) de l’ensemble des fichiers affectés par des attaques. La Turquie représente 26 % des compromissions de données, avec notamment une attaque massive ciblant la Direction générale de la population et des affaires de la citoyenneté, au cours de laquelle quelque 50 millions de fichiers numériques ont été forcés dans le cadre d’une intrusion malveillante.

Le niveau de chiffrement utilisé pour protéger les données exposées – capable de réduire considérablement le nombre et l’impact des failles de données –, a légèrement augmenté et se situe à 4 % pour toutes les attaques enregistrées, contre 1 % au cours du premier semestre 2014.

« Malgré la fluctuation du nombre de failles de données, la question reste la même : il ne s’agit pas de savoir ‘si’ vous allez être victime d’un vol de données, mais ‘quand’. Les données collectées dans le cadre de l’étude Breach Level Index montrent que la majeure partie des sociétés ne sont pas en mesure de protéger leurs données dès lors que leur défense périmétrique a été mise à mal. Alors même qu’un nombre croissant d’entreprises procèdent à un chiffrement de leurs données, elles ne le font pas au niveau requis pour réduire l’ampleur et la gravité de ces attaques », explique Jason Hart. « Les entreprises doivent adopter une vision de la menace numérique centrée sur les données, à commencer par l’instauration de techniques de gestion des identités et de contrôle d’accès beaucoup plus efficaces, qu’il s’agisse de procédures d’authentification multifactorielle ou du chiffrement des données, pour rendre inutilisables les informations dérobées. »

Selon le cabinet Forrester, l’habileté et la sophistication croissantes des cybercriminels se traduisent par une érosion de l’efficacité des contrôles et techniques de sécurité classiques, essentiellement basées sur un contrôle périphérique. La mutation constante du paysage de la cybercriminalité nécessite donc de nouvelles mesures défensives, avec notamment la généralisation des technologies de chiffrement. Dans l’avenir, les sociétés procéderont par défaut à un chiffrement dynamique de leurs données, mais aussi lorsque leurs systèmes et leurs données seront au repos. Cette approche de la sécurité centrée sur les données s’avère beaucoup plus efficace pour lutter contre des cybercriminels déterminés. En adoptant le chiffrement des données sensibles, qui les rend inutilisables, les sociétés incitent les cybercriminels à aller chercher des cibles beaucoup moins bien protégées. Le chiffrement est appelé à devenir la clé de voûte de la sécurité informatique. Ce sera donc un élément stratégique central pour les responsables de la sécurité et de la gestion des risques au sein des entreprises.1

La synthèse complète des incidents et failles répertoriés au premier semestre 2015, par secteur, source, type et région, est disponible sur : 1H 2015 Breach Level Index Report.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Paiement en ligne, Piratage, ransomware

Augmentation des attaques et des tactiques plus agressives du groupe d’extorsion DD4BC

Un commentaire

Akamai indique dans une nouvelle étude une forte augmentation des attaques DDoS provenant du groupe d’extorsions de Bitcoin DD4BC.

Akamai Technologies, Inc., publie, via PLXert (Prolexic Security Engineering & Research), présente une nouvelle étude dans le domaine de la cybersécurité. Elle fait état d’une augmentation des attaques DDoS provenant du groupe d’extorsions de Bitcoin DD4BC, contre les clients d’Akamai entre septembre 2014 et août 2015. Depuis avril 2015, l’équipe a identifié 114 attaques de DD4BC, dont certaines, plus agressives, ciblant la réputation de marques via les réseaux sociaux.

« DD4BC exploite les attaques DDoS pour extorquer des paiements en Bitcoin de ses victimes en échange d’une protection contre de futures attaques », explique Stuart Scholly, Senior Vice President & General Manager, Security Division d’Akamai. « Les dernières attaques en date, visant principalement le secteur des services financiers, ont fait appel à de nouvelles stratégies et tactiques destinées à harceler, exercer un chantage, puis finalement mettre à mal publiquement la victime. »

Qu’est-ce que le groupe DD4BC et quel est son mode opératoire ?

Le groupe DD4BC est à l’origine d’un grand nombre de campagnes d’extorsion de Bitcoin dont les premières remontent à 2014. L’an passé, le groupe a étendu ses extorsions de fonds et attaques DDoS à un éventail plus large de secteurs d’activité, parmi lesquels les services financiers, les médias et le divertissement, le jeu en ligne et la grande distribution. Le groupe informe ses victimes par e-mail qu’une attaque DDoS de bas niveau va être lancée contre leur site Web, De juin à juillet 2015, l’intensité de certaines de ces attaques a dépassé 20 Gbit/s. Il exige ensuite une rançon en Bitcoin pour protéger l’entreprise contre une attaque DDoS de plus grande ampleur qui pourrait rendre son site Web inaccessible. PLXsert a retracé l’historique des activités du groupe dans le Bulletin de sécurité Akamai : profil opératoire de DD4BC, publié en avril 2015.

DD4BC utilise les réseaux sociaux pour exploiter les entreprises

D’après les recherches de PLXsert, DD4BC a récemment menacé de divulguer sur les réseaux sociaux le nom des entreprises ciblées, aggravant ainsi les dommages causés par l’attaque DDoS proprement dite. L’objectif est d’attirer l’attention sur la capacité du groupe à provoquer des interruptions de services en révélant publiquement l’identité de leur cible et en ternissant la réputation de l’entreprise via ces canaux à très forte audience.

Pour ce faire, le groupe DD4BC s’appuie généralement sur des campagnes d’attaques DDoS à vecteurs multiples, en s’en prenant à d’anciennes cibles et en y intégrant des attaques au niveau de la couche 7, pour se concentrer en particulier sur la vulnérabilité pingback de WordPress. Cette faille est utilisée pour envoyer à la victime, des requêtes GET itératives en miroir afin de saturer son site Web. Les chercheurs Akamai ont vu cette technique d’attaque intégrée dans des booters DDoS.

Neutralisation des menaces

Depuis septembre 2014, l’étude PLXsert a observé au total 141 attaques DD4BC confirmées contre des clients d’Akamai. La bande passante moyenne de ces attaques DDoS s’établit à 13,34 Gbit/s, la plus importante ayant atteint 56,2 Gbit/s. (L’étude)

Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Leak, Piratage, Propriété Industrielle

Opération et gestion des crises en cyber défense à Saint-Cyr Coëtquidan

Les écoles militaires de Saint-Cyr Coëtquidan viennent d’ouvrir, ce 31 août, le premier mastère spécialisé « Opération et gestion des crises en cyber défense ».

Le Ministère de la Défense indique que cette toute nouvelle formation a pour but d’appréhender les dimensions stratégiques et politiques d’une crise cyber. « Ce nouvel espace de bataille numérique nécessite une approche globale pour planifier et conduire les opérations tout en appréhendant les dimensions stratégiques et politiques d’une crise cyber« . Unique en son genre et accrédité par la conférence des grandes écoles, un mastère spécialisé « Opération et gestion des crises en cyber défense », doit permettre aux armées de disposer de spécialistes capables d’être l’interface entre les techniciens cyber et les chefs militaires.

Cette formation est inscrite dans le pacte cyber 2014-2016. 532 heures de formation pour 16 stagiaires des 3 armes. Au mois de juillet 2016, après un stage de quatre mois en entreprise ou dans leur future affectation, chaque étudiant rédigera un mémoire professionnel. A noter que pour les « civiles », un master cyber défense vient d’ouvrir ses portes à Valenciennes. Il est baptisé Master CDSI – Cyberdéfense des Systèmes d’Informations. Un licence, sur ce même sujet, est dispensé à l’IUT de Maubeuge : Licence Professionnelle Cyber défense, anti-intrusion des systèmes d’information. (MinDéf)

Adobe, Android, BYOD, Cloud, cryptolocker, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ios, Leak, Logiciels, Mise à jour, OS X, Patch, Piratage, ransomware, Sécurité, Smartphone, Virus, VPN, Windows phone, Wordpress, Wordpress

État des lieux de l’Internet du 2ème trimestre 2015

Akamai Technologies, Inc., leader mondial des services de réseau de diffusion de contenu (CDN), annonce la disponibilité de son rapport de sécurité « État les lieux de l’Internet » du 2ème trimestre 2015. Il livre une analyse et un éclairage sur les cyber-menaces qui pèsent sur la sécurité cloud à l’échelle mondiale.

« La menace des attaques par déni de service distribué (DDoS) et applicatives web ne cesse de s’intensifier chaque trimestre », précise John Summers, vice-président, Cloud Security Business Unit d’Akamai. « Les acteurs malveillants brouillent perpétuellement la donne en changeant de tactique, en dénichant de nouvelles vulnérabilités, voire en remettant au goût du jour des techniques considérées comme obsolètes. En analysant les attaques observées sur nos réseaux, nous sommes en mesure d’inventorier les menaces et tendances naissantes et de communiquer au public les informations indispensables à la consolidation de leurs réseaux, sites web et applications, et à l’amélioration de leurs profils de sécurité cloud. »

Dans ce rapport sont analysés deux vecteurs d’attaques applicatives web supplémentaires, mais aussi examiné les menaces représentées par le trafic TOR (routage en oignon) et même mis au jour certaines vulnérabilités dans des modules externes WordPress tiers, en cours de publication dans le dictionnaire CVE », ajoute-t-il. « Plus les menaces de cybersécurité sont documentées, mieux la défense d’une entreprise peut être opérée.

Panorama de l’activité des attaques DDoS
Sur les trois derniers trimestres, il apparaît que le nombre d’attaques DDoS double d’une année sur l’autre. Si, au cours de ce trimestre, les pirates ont privilégié les attaques de moindre débit mais de plus longue durée, toujours est-il que le nombre de méga-attaques ne cesse de croître. Au 2ème trimestre 2015, 12 attaques à un débit supérieur à 100 Gb/s ont été recensées et 5 autres culminant à plus de 50 Mp/s (millions de paquets par seconde). Très peu d’entreprises sont capables de résister par elles-mêmes à des attaques de cette ampleur.

L’attaque DDoS la plus massive au 2ème trimestre 2015, mesurée à plus de 240 Gb/s, a duré plus de 13 heures. Le débit crête est généralement limité à une fenêtre d’une à deux heures. Sur cette même période, l’une des attaques présentant le débit de paquets le plus élevé jamais encore enregistré sur le réseau Prolexic Routed a également été déclenchée (à un pic de 214 Mp/s). Ce volume d’attaques est capable de paralyser des routeurs de niveau 1 comme ceux utilisés par les fournisseurs d’accès Internet.

L’activité des attaques DDoS a établi un nouveau record au 2ème trimestre 2015, en hausse de 132 % à trimestre comparable un an auparavant, et de 7 % par rapport au 1er trimestre 2015. Si le débit crête et le volume maximal moyens des attaques ont légèrement progressé au 2ème trimestre 2015 comparativement au trimestre précédent, ils demeurent nettement en-deçà des valeurs maximales relevées au deuxième trimestre 2014.

SYN et SSDP (Simple Service Discovery Protocol) sont les vecteurs les plus couramment utilisés ce trimestre, chacun d’eux représentant approximativement 16 % du trafic d’attaques DDoS. Eu égard à la prolifération d’équipements électroniques de loisirs non sécurisés, connectés à Internet via le protocole UPuP (Universal Plug & Play), leur utilisation comme réflecteurs SSDP demeure attrayante. Quasiment inexistant il y a encore un an, le SSDP s’est imposé comme l’un des principaux vecteurs d’attaques ces trois derniers trimestres. Quant à la technique par saturation de type « SYN flood », elle continue à dominer les attaques volumétriques et ce, depuis la première édition du rapport de sécurité parue au troisième trimestre 2011.

Le secteur des jeux en ligne demeure une cible privilégiée depuis le 2ème trimestre 2014, systématiquement visé par environ 35 % des attaques DDoS. Au cours des deux derniers trimestres, la majorité du trafic d’attaques ne provenant pas d’adresses usurpées a continué à émaner de la Chine, pays qui figure dans le trio de tête depuis la parution du premier rapport au troisième trimestre 2011.

Activité des attaques applicatives web
Des statistiques sur les attaques applicatives web ont commencé à être publiées par Akamai au premier trimestre 2015. Ce trimestre, deux autres vecteurs d’attaques ont été analysés : les failles Shellshock et XSS (cross-site scripting).

Shellshock, vulnérabilité logicielle présente dans Bash mise au jour en septembre 2014, a été exploitée dans 49 % des attaques applicatives web ce trimestre. En réalité, 95 % des attaques Shellshock ont visé un seul client appartenant au secteur des services financiers, dans le cadre d’une campagne qui a duré plusieurs semaines en début de trimestre. Généralement menée sur HTTPS, cette campagne a rééquilibré l’utilisation des protocoles HTTPS et HTTP. Au premier trimestre 2015 en effet, seulement 9 % des attaques avaient été dirigées sur HTTPS, contre 56 % ce trimestre.

Par ailleurs, les attaques par injection SQL (SQLi) représentent 26 % de l’ensemble des attaques, soit une progression de plus de 75% des alertes de ce type rien qu’au deuxième trimestre. À l’inverse, les attaques de type LFI (inclusion de fichier local) s’inscrivent en net recul. Principal vecteur d’attaques applicatives web au premier trimestre 2015, LFI n’est plus à l’origine que de 18 % des alertes au deuxième trimestre 2015. L’inclusion de fichier distant (RFI), l’injection PHP (PHPi), l’injection de commandes (CMDi), l’injection OGNL Java (JAVAi) et le chargement de fichier malveillant (MFU) comptent, pour leur part, pour 7 % des attaques applicatives web.

Comme au premier trimestre 2015, ce sont les secteurs des services financiers et du commerce et de la grande distribution qui ont été les plus fréquemment touchés par les attaques.

La menace des modules externes et thèmes WordPress tiers
WordPress, plate-forme la plus en vogue dans le monde pour la création de sites web et de blogues, est une cible de choix pour des pirates qui s’attachent à exploiter des centaines de vulnérabilités connues pour créer des botnets, disséminer des logiciels malveillants et lancer des campagnes DDoS.

Le code des modules externes tiers est très peu, voire nullement, contrôlé. Afin de mieux cerner les menaces, Akamai a testé plus de 1 300 modules externes et thèmes parmi les plus répandus. Résultat : 25 d’entre eux présentaient au moins une vulnérabilité nouvelle. Dans certains cas, ils en comprenaient même plusieurs puisque 49 exploits potentiels ont été relevés au total. Une liste exhaustive des vulnérabilités mises au jour figure dans le rapport, accompagnée de recommandations pour sécuriser les installations WordPress.

Les forces et les faiblesses de TOR
Le projet TOR (The Onion Router, pour « routage en oignon ») fait en sorte que le nœud d’entrée ne soit pas identique au nœud de sortie, garantissant ainsi l’anonymat des utilisateurs. Bien que nombre des utilisations de TOR soient légitimes, son anonymat présente de l’intérêt pour les acteurs malveillants. Pour évaluer les risques liés à l’autorisation de trafic TOR à destination de sites web, Akamai a analysé ce trafic web à l’échelle de sa base de clients Kona sur une période de sept jours.

L’analyse a révélé que 99 % des attaques émanaient d’adresses IP non-TOR. Néanmoins, une requête sur 380 issues de nœuds de sortie TOR était malveillante, contre une sur 11 500 seulement en provenance d’adresses IP non-TOR. Ceci dit, le blocage de trafic TOR pourrait se révéler préjudiciable sur le plan économique. Toutefois, les requêtes HTTP légitimes vers les pages d’e-commerce correspondantes font état de taux de conversion équivalents entre nœuds de sortie TOR et adresses IP non-TOR. Le rapport.

BYOD, Chiffrement, Cloud, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, ID, Identité numérique, Mise à jour, Patch, Piratage

Un rapport IBM X-Force dévoile une utilisation accrue de Tor et une évolution des attaques avec rançon

IBM Sécurité annonce les résultats de son rapport Q3 2015 IBM X-Force Threat Intelligence.

Ce rapport dévoile les dangers grandissants provoqués par les cyber-attaques provenant du Dark Web à travers l’utilisation du réseau Tor (The Onion Router), ainsi que les nouvelles techniques mises en place par les criminels pour les attaques avec rançon. Rien que depuis le début de l’année,  plus de 150 000 événements malveillants provenant de Tor ont eu lieu aux États-Unis.

Même si on entend davantage parler des fuites de données que des demandes de rançon, les « ransomware » représentent une menace grandissante. Comme la sophistication des menaces et des attaquants croît, leur cible fait de même, et ainsi certains attaquants se sont par exemple spécialisés dans la demande de rançon concernant les fichiers de joueurs de jeux en lignes populaires. Le rapport dévoile que les agresseurs peuvent maintenant également bénéficier de « Ransomware as a Service » en achetant des outils conçus pour déployer de telles attaques.

Comme les hauts fonds des océans, le Dark Web demeure largement inconnu et inexploré, et il héberge des prédateurs. L’expérience récente de l’équipe IBM Managed Security Services (IBM MSS) montre que les criminels et d’autres organisations spécialisées dans les menaces utilisent Tor, qui permet d’anonymiser les communications aussi bien en tant que vecteur d’attaques que d’infrastructure, pour commander et contrôler les botnets. La façon dont Tor masque le cheminement offre des protections supplémentaires aux attaquants en les rendant anonymes. Ils peuvent aussi masquer la location physique de l’origine de l’attaque,  et même la remplacer par une autre de leur choix. Le rapport étudie également Tor lui-même, et fournit des détails techniques permettant de protéger les réseaux contre les menaces, intentionnelles ou non, véhiculées par Tor.

Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Paiement en ligne, Piratage

La France, 1ère cible des attaques DDoS de botnet en Europe au 2ème trimestre 2015

Un commentaire

Les trois quarts des ressources attaquées au deuxième trimestre de 2015 par des botnets se situent dans 10 pays seulement, selon les statistiques du système Kaspersky DDoS Intelligence.

En tête du classement, les États-Unis et de la Chine enregistrent un grand nombre d’attaques à cause du faible coût d’hébergement de ces pays. Cependant, les changements dans les autres positions du classement et le nombre croissant de pays affectés par ce type d’attaque prouvent qu’aucun territoire n’est sécurisé face aux attaques DDoS. Le nombre de pays où les ressources attaquées ont été localisés a augmenté de 76 à 79 au cours du deuxième trimestre de 2015 ; Dans le même temps, 72% des victimes se situaient dans seulement 10 pays ; Cependant, ce chiffre a diminué comparé à la période précédente, avec 9 victimes sur 10 présentes dans le top 10 au premier trimestre.

Le top 10 du deuxième trimestre incluait la Croatie, tandis que les Pays-Bas ont quitté le classement. La Chine et les Etats-Unis ont gardé leurs positions dominantes ; la Corée du Sud a fait descendre le Canada de sa troisième place. La cause en est une explosion des activités de botnets, la plupart ciblant la Corée du Sud. En outre, la proportion d’attaques localisées en Russie et au Canada a diminué comparé au trimestre précédent.

Une forte augmentation du nombre d’attaques a été observée dans la première semaine de mai, tandis que la fin du mois de juin montrait la plus faible activité. Le pic d’attaques par jour (1960) a été enregistré le 7 mai ; Le jour le plus « calme » a été le 25 juin avec seulement 73 attaques enregistrées ; Dans le même temps, la plus longue attaque DDoS du trimestre a duré 205 heures (8,5 jours).

Concernant la technologie sur laquelle sont basées les attaques, les cybercriminels impliqués dans le développement de botnets DDoS investissent de plus en plus dans la création de botnets d’appareils de systèmes de réseaux comme les routeurs et modems DSL. Ces changements annoncent sûrement une augmentation du nombre d’attaques DDoS utilisant des botnets à l’avenir.

Alerte du CERT US

Le CERT USA a lancé une alerte à ce sujet, le 17 août 2015. Même alerte pour l’Internet Crime Center (IC3) qui rajounte que des campagnes d’extorsion menacent les entreprises avec un déni de service (distribué DDoS). Si les entreprises ne paient pas une rançon, ils sont attaqués. La menace vient généralement par mail, et les rançons varient. Elles sont généralement exigées en Bitcoin. Dans les attaques connues et référencées par l’IC3, elle se composait principalement de Discovery Protocol (Simple SSDP) et NTP (Network Time Protocol). La plupart des attaques ont duré une à deux heures avec 30 à 45 gigaoctets de données envoyées. Le FBI pense que plusieurs personnes sont impliquées dans ces campagnes et que les attaques vont s’étendre d’autres industries en ligne. Selon MarketWatch, un site hors service peut coûter jusqu’à 100.000 dollars de l’heure pour certains établissements financiers. Des attaques de plus en plus simples à mettre en place, sans aucune connaissance technique préalable.

Cyber-attaque, DDoS, Piratage

DDoS : plus loin, plus fort

Une nouvelle enquête étudie les conséquences des attaques par DDoS et qualifie la réaction des entreprises face aux menaces actuelles.

Corero Network Security, spécialiste des solutions de sécurité contre les attaques par DDoS avec Première Ligne de Défense, publie les résultats d’une enquête menée lors d’Infosecurity en Europe et de la Conférence RSA 2015 aux Etats-Unis. Plus de la moitié des professionnels de la sécurité (52%) déclarent que la perte de confiance des clients est la conséquence la plus néfaste des attaques DDoS pour leurs entreprises. En outre, un cinquième des répondants (22%) indique que les attaques DDoS ont un impact direct sur leurs résultats – perturbant la disponibilité du service et empêchant que l’activité soit génératrice de revenus.

« La capacité d’une entreprise à maintenir la disponibilité du service pendant une attaque DDoS est primordiale pour conserver la clientèle, ainsi que pour gagner de nouveaux clients, sur un marché très concurrentiel », déclare à DataSecurityBreach.fr Dave Larson, CTO et Vice-Président Produits chez Corero Network Security. « Quand un utilisateur final se voit refuser l’accès à des applications Internet ou si des ralentissements le gênent, le résultat financier est immédiatement impacté. »

Un cinquième des personnes interrogées citent l’infection par virus ou par logiciel malveillant comme la conséquence la plus destructrice d’une attaque DDoS, alors que pour 11%, le vol de données ou la perte de propriété intellectuelle résultant d’une attaque DDoS reste le plus préoccupant.  Les attaques par DDoS sont souvent utilisées comme technique de diversion avec une arrière-pensée. Leur intention n’est pas toujours le déni de service. Il s’agit plutôt d’un moyen détourné, destiné à affaiblir les défenses sécuritaires, submerger les outils de logging et distraire les équipes informatiques tandis que diverses formes de malware se faufilent.

Près de la moitié des personnes interrogées admettent n’agir que par réaction aux attaques DDoS. Lorsqu’on leur demande comment elles savent qu’elles ont subi une attaque DDoS, 21% citent comme indicateur de l’attaque les plaintes des clients pour un problème de service, 14% les pannes d’infrastructure (par exemple, lorsqu’un pare-feu tombe), tandis que 14% évoquent les défaillances des applications, tel un site Web en panne pour les alerter qu’un DDoS est en cours. En revanche, moins de la moitié des répondants (46%) est capable de détecter par avance le problème, grâce à l’utilisation d’autres outils de sécurité réseau, remarquant les pics élevés de bande passante, signe avant-coureur qu’une attaque est imminente.

«  C’est malheureux – mais encore bien trop fréquent – que ce soit vos clients qui vous alertent d’une interruption de service. D’un point de vue technique, il est beaucoup plus difficile de faire face à une panne si vous n’êtes pas sur la défensive. La protection en temps réel est réellement le seul moyen pour combattre de manière proactive les attaques DDoS qui ciblent l’entreprise », remarque Dave Larson. « L’utilisation d’un centre de nettoyage hors site pour la mitigation des attaques DDoS revient à jouer au chat et à la souris. Avec 96% des attaques DDoS qui ne dépassent pas les 30 minutes, lorsque la demande de défense est engagée, il est déjà trop tard et les dommages sont faits. »

Environ 50% des personnes qui ont répondu comptent sur les infrastructures informatiques traditionnelles, comme les pare-feu ou les systèmes de prévention contre les intrusions pour se protéger des attaques DDoS ou bien dépendent de leur fournisseur en amont pour faire face aux attaques. Seulement 23% des personnes interrogées ont une protection dédiée contre les DDoS, via une technologie basée sur des appliances sur site ou provenant d’un fournisseur de services cloud anti-DDoS. Il semble cependant que de nombreuses organisations aient pris la mesure des conséquences des attaques DDoS, puisque 32% indiquent qu’elles ont l’intention d’adopter une solution de défense anti-DDoS dédiée pour mieux protéger leur entreprise à l’avenir.

Les attaquants inventent de nouvelles façons d’appliquer la tactique des DDoS et de masquer les logiciels malveillants et autres exploits de vulnérabilité, ce qui montre que le DDoS est un type de menace en mutation que l’entreprise connectée à Internet ne peut pas se permettre de négliger. On ne peut pas décider de compter sur l’infrastructure traditionnelle ou les services en amont pour se protéger contre les fréquentes attaques DDoS de plus en plus sophistiquées. Une technologie dédiée à la protection contre les DDoS, déployée en périphérie immédiate du réseau, ou l’appairage (peering) en mode Internet peut effectivement inspecter tout le trafic Internet et mitiger les attaques DDoS en temps réel, éliminant ainsi la menace sur votre entreprise avant que des dommages ne lui soient infligés.
L’enquête menée par Corero Network Security a étudié l’avis de 100 professionnels de la sécurité informatique présents aux conférences Infosecurity en Europe et RSA aux Etats-Unis. RSA s’est déroulée à San Francisco, en Californie du 20 au 24 Avril 2015 tandis qu’Infosecurity Europe a eu lieu à Londres du 2 au 4 Juin 2015.

backdoor, Cyber-attaque, Cybersécurité, DDoS, Justice, Leak, loi, Piratage

13 ans de prison pour un pirate informatique

Un ressortissant vietnamien condamné à 13 ans de prison pour avoir mis en place un groupe international de pirates informatiques. Il s’était spécialisé dans le vol d’identité.

Un ressortissant vietnamien a été condamné, aux USA, à 13 ans de prison pour le piratage de centaines d’ordinateurs d’entreprises américaines. But avoué par le pirate, mettre la main sur un maximum d’informations personnelles, les fameux PII américains. Ses attaques, qu’il orchestrait avec une bande de malveillants 2.0 qu’il avait recruté sur Internet, auraient visé environ 200 millions de citoyens américains. Des actions menées entre 2007 et 2013.

Hieu Minh Ngo, 25 ans, a été condamné par la Cour du district du New Hampshire pour ces agissements. HMN passait par des forums et sites de black market, dont Darkode, pour vendre les millions d’identités qu’il avait volé, les fullz (identités, données bancaires, …). Il a été découvert que le pirate possédait un porte feuille d’un millier de « clients » dispersés à travers le monde. Ngo possédait plusieurs sites Internet dont superget.info et findget.me.

La grande majorité des 200 millions de données volées provenaient du piratage d’une entreprise basée dans le New Jersey. Il aurait gagné sur une période de 6 ans, 2 millions de dollars. 13 673 citoyens américains, dont la PII a été volée et revendue, aurait été touché par des dépôts et des retraits  d’argent frauduleux à hauteur de 65 millions de dollars, dixit l’Internal Revenue Service.

Hieu Minh Ngo a été pourchassé par les Services Secrets, le FBI, et les services informatiques de plusieurs divisions de lutte contre le crime informatique de nombreux pays et de la section de la propriété intellectuelle des États-Unis.

Pendant ce temps…

L’Université de Miami piratée. La rédaction de DataSecurityBreach.fr a pu constater sur un site de diffusion de document, les identifiants de connexion de plusieurs centaines d’enseignants : logins, mots de passe (chiffrés, NDR) et adresses mails. Le pirate, qui semble Russe, a mis en ligne dans la foulée l’accès et les identifiants de connexion au WordPress de l’établissement. Les motifs évoqués par le pirate sont puériles « Depuis de nombreuses années, nous vous regardons. explique le pirate qui signe d’un dragon crachant du feu. Les gens se réveillent. Nous allons vous détruire. » Ce que ne dit pas le pirate est que sa base de données volée n’a pu être revendue dans le blackmarket en raison des mots de passe inutilisables. Bilan, une mise en pâture d’informations privées et personnelles à défaut d’en tirer quelques bitcoins.

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, loi, Piratage

La Chine renforce sa loi dédiée au cyber crime

La Chine vient va promulguer une nouvelle loi dédiée à la cyber sécurité. Pékin veut plus de coopération internationale pour contrer les pirates et renforcer ses moyens de réponse.

Le gouvernement Chinois a décidé de prendre le taureau par les cornes et souhaite arrêter les pirates qui, via son sol, attaqueraient toute la planète. Bref, Pékin en a marre d’être montré du doigt par les Etats-Unis et autres gouvernements du monde qui l’accusent d’orchestrer des attaques numériques. L’Assemblée Populaire Nationale (APN) a adopté cette nouvelle loi cyber défense. Zheng Shuna, vice-présidente de la Commission des affaires législatives de l’APN a indiqué que cette la loi était nécessaire car « la situation de la sécurité nationale de la Chine était de plus en plus difficile« . Cette nouvelle législation indique vouloir « développer la sécurité des informations rentrantes et sortantes du pays ; le renforcement des capacités scientifique de la Chine, ainsi que le renforcement de la coopération internationale« . Un moyen aussi pour la Chine de renforcer le contrôle des logiciels rentrant sur son territoire.

Pendant ce temps…

Les pirates chinois soupçonnés du piratage de milliers de dossiers de fonctionnaires de l’Oncle Sam auraient, aussi, mis la main sur les dossiers personnels d’agents du FBI. Une fuite qui pourrait avoir des implications de sécurité nationale. 35.000 agents fédéraux américains travaillent pour le FBI.

backdoor, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage

Confirmation du piratage du Bundestag

L’assemblée parlementaire Allemande, le Bundestag, piratée. Un cheval de Troie infiltré dans des machines.

Un porte-parole de la chambre basse du Parlement allemand, le Bundestag, a confirmé que des pirates avaient réussi à s’infiltrer et à voler des données après le piratage d’ordinateurs appartenant à l’assemblée parlementaire Allemande. Une attaque qui aurait débuté en mai. L’infiltration n’a été détectée que deux semaines plus tard.

Les détails ne sont pas claires quant aux services touchés par ce piratage. Un cheval de Troie a été découvert. Il aurait permis les actions malveillantes (vols de données ? rebond pour DDoS sur d’autres sites ? Espionnage ?).

Autant dire qu’un employé a très bien pu cliquer sur un lien en visitant un site pour adultes, télécharger un torrent moisi ou reçu un courriel piégé.  (DW)

Cybersécurité, DDoS, Entreprise, Fuite de données, Piratage, Propriété Industrielle

DDoS : diversion et intox

Pour des objectifs souvent très différents, de courtes attaques DDoS jouent un rôle de profilers réseau. Observant la stratégie de défense et de sécurité du réseau de leur cible, les DDoS – éclaireurs collectent des renseignements qui permettront à des attaques ciblées complexes et sophistiquées de contourner les outils de cyber-sécurité de l’entreprise visée. DDoS et APT, même combat.

Le paysage des menaces DDoS change. Historiquement, DDoS (distributed denial of service attack) était le nom donné aux attaques qui bloquaient ou ralentissaient l’accès aux sites web ou aux solutions basées sur le web. Bien que ce soit encore vrai dans bien des cas, les entreprises subissent
aujourd’hui un nouveau type d’attaque par DDoS. Celles-ci sont désormais opportunistes (i.e. les attaques qui ont suivi les événements de janvier 2015 en France) et ciblées. Les motivations sous-jacentes sont multiples : cyber-terrorisme, politique et idéologie, fraude, rançon, appât du gain, exfiltration de données et même avantage compétitif… Avec autant d’intérêts en jeu, les attaques sont nombreuses et la menace croît.Par exemple, au dernier trimestre 2014, Corero Network Security a observé que ses clients, hébergeurs, data centers, FAI et entreprises en ligne, tous professionnels expérimentés, ont subi en moyenne près de 4 tentatives journalières d’attaques par DDoS ! En particulier, un seul et même client, dans un environnement de multi-data center, a supporté 12 attaques/jour, en moyenne, pendant trois mois.

Les fournisseurs de mitigation des DDoS publient aussi des informations à ce sujet, bien sûr axées sur le cloud. Très intéressants en ce qui concerne les attaques DDoS à grande échelle, ces rapports ne parlent cependant que d’une fraction du trafic DDoS auquel chaque entreprise doit faire face
quotidiennement.

Les nouvelles attaques DDoS risquent de passer inaperçues ! Mais le mal est fait

Les attaques DDoS font régulièrement la une des journaux. La majorité des non-spécialistes pensent qu’il n’existe qu’un seul type d’attaque par DDoS. Pour eux, DDoS est synonyme de volume important et de longue durée. C’est malheureusement faux. Certaines attaques dont ont été victimes les hébergeurs, les data centers, les FAI et les entreprises en ligne évoqués dans notre propos, ont duré moins de cinq minutes et 96% d’entre elles ont été inférieures à 30 minutes ! Ce qui remet en cause ce que l’on savait sur le sujet. De toute évidence, cette nouvelle tendance constitue un changement radical. Nous avons désormais affaire à de courtes explosions de trafic et de moins en moins à des attaques prolongées. Une seconde tendance est synonyme de plus grand danger encore. Nous assistons actuellement à des attaques par saturation partielle des liaisons et non plus par inondation totale du réseau. Si l’on se réfère à l’exemple des clients de Corero, 87% des tentatives d’attaques utilisaient moins de 1 Gbps de bande passante. L’attaque est conçue pour laisser suffisamment de bande passante disponible pour d’autres attaques qui sont très sophistiquées et multi-vectorielles avec comme objectif principal l’exfiltration de données. C’est une méthode furtive où l’on vole sous la couverture radar. Si ce type d’attaque DDoS n’est pas atténué ou bloqué au niveau du réseau, il peut ne pas être remarqué par les solutions de sécurité traditionnelles et passer complètement inaperçu. L’attaque DDoS visible est en réalité un subterfuge, une intox qui masque la réalité : une autre attaque, discrète et dangereuse se prépare à partir des renseignements obtenus sur la stratégie de sécurité de la cible grâce à ce déni de service.

Des attaques DDoS multi-vectorielles et adaptables à leur cible

Les DDoS sont historiquement considérés comme des attaques volumétriques. Ce n’est pas surprenant. Les attaques avec une consommation élevée de la bande passante sont plus facilement identifiables par les solutions de défense sur site ou basées dans le cloud ou par la combinaison des deux. Mais les choses changent et les attaques s’affinent. La tendance qui se profile montre que les attaquants mettent en œuvre des méthodes multi-vecteur qui s’adaptent à leur cible afin de profiler la défense du réseau visé. Fort des renseignements obtenus, ils lancent ensuite une seconde voire une troisième attaque qui contournera les couches de protection de l’entreprise. Si les attaques volumétriques demeurent encore le type d’attaque le plus courant, les attaques adaptatives sont de nouvelles menaces dont il faut tenir compte et qui ciblent de plus en plus d’entreprises(1).

Quelle défense adopter ?

Les entreprises ont besoin de moyens de défense supplémentaires pour se prémunir contre un tel risque. A peine de courtes rafales de trafic illégitime sont-elles observées qu’il faut décider de la nécessité d’une intervention. Va-t-on basculer ou non vers le service anti-DDoS basé dans le Cloud ? Le temps de détection du trafic illégitime additionné au temps de lancement des mesures de mitigation peut durer plus d’une heure. Compte tenu, nous l’avons déjà dit, que 96% des attaques DDoS ont une durée de 30 minutes ou moins, le temps que la défense à la demande soit engagée, le mal est fait. De plus, ce n’est pas une surprise, le coût substantiel d’une approche de défense à la demande pour chaque attaque DDoS de courte durée à saturation partielle devient un vrai problème.

Défense anti-DDoS en temps réel

L’exécution précise de la politique de mitigation contre le trafic des attaques DDoS doit s’accomplir avec une efficacité maximum et conserver une haute disponibilité des réseaux. Sur site ou en ligne, la technologie est conçue pour gérer les différents types de DDoS en temps réel. Du fait de leur capacité en bande passante et de leur volume de clients, les attaques DDoS et les cyber-menaces constituent un important challenge pour les fournisseurs de service internet, particulièrement visés.

Les solutions en ligne de protection préventive contre les DDoS et les cyber-menaces permettent aux hébergeurs, aux data centers et aux FAI de répondre au défi des DDoS. Ils protègent non seulement leur infrastructure mais aussi celle de leurs clients des DDoS. Les fournisseurs des services internet peuvent ainsi étendre leur offre en proposant des services de sécurité à valeur ajoutée contre les menaces à leurs clients hébergés. Dans l’entreprise, une solution sur site de protection contre les DDoS devra être déployée en complément des pare-feu traditionnels ou de nouvelle génération, des IPS, des ADC et de tous les dispositifs de sécurité des infrastructures. Il est en effet indispensable d’empêcher que le trafic non désiré des attaques accède au réseau. Les risques sont alors réduits et les interruptions de service du site web à la suite d’une attaque DDoS diminuées. Les attaques par déni de service sont une réelle menace. Elles deviennent de plus en plus sophistiquées depuis quelques années. Les attaques deviennent multi-vectorielles et intelligents ; elles débordent les mécanismes traditionnels de défense et les contre-mesures. Comme l’expérience de certains fournisseurs l’indique, la régularité de la progression et de la virulence de ces attaques souligne simplement le besoin croissant d’une protection adaptée pour les vaincre à la périphérie du réseau. Tout le monde sur ce sujet est d’accord : rien n’est plus important que d’assurer la fluidité de l’accès à l’entreprise connectée à Internet ou aux fournisseurs d’accès Internet eux-mêmes. (Par Adrian Bisaz, Vice President Sales EMEA de Corero Network Security)

Le rapport trimestriel complet Tendances et analyse des DDoS.

Cybersécurité, DDoS, Justice, loi, Piratage

Un lycéen risque 5 ans de prison pour DDoS

A 17 ans, un lycéen fait face à des accusations qui pourraient l’entrainer en prison. L’adolescent a payé un service pour lancer une attaque DDoS.

S’il fallait faire simple, le DDoS n’a rien d’un acte de piratage informatique. S’il fallait comparer, un pirate informatique va crocheter la serrure de votre porte de maison et réussir à ouvrir cette dernière en exploitant une faille technique et humaine. Le DDoS n’a rien de technique et ne demande pas le moindre « savoir-faire » de pirate informatique. L’utilisateur de DDoS ne sait pas crocheter la porte, bilan, il va recouvrir la porte de déchets, histoire d’empêcher que quelqu’un puisse sortir/entrée dans la maison.

Un adolescent de 17 ans a cru la jouer grand pirate informatique en employant cette méthode. Il va payer un service dédié pour paralyser le West Ada school district, un établissement de l’Idaho (États-Unis). Le jeune homme a été retrouvé et arrêté. Il risque aujourd’hui jusqu’à 5 ans de prison ferme (dont 180 jours dans un établissement pour adolescents, NDR).

Le blocage par ce Déni Distribué de Service a empêché des élèves d’étudier en ligne, d’accéder aux cours. Le corps professoral et le personnel ont eu des problèmes d’accès aux systèmes administratifs. En outre, la famille du lycéen est responsable des actes de l’adolescent. Autant dire que l’amende s’annonce salée. 50 écoles ont été perturbées par ce DDoS.

Aujourd’hui, acheter des attaques DDoS est aussi simple qu’un clic de souris comme l’a démontré, dernièrement, ZATAZ.COM.

Cyber-attaque, DDoS, escroquerie, Leak, Particuliers, Piratage, Vie privée

Vivez-vous à côté d’un cybercriminel ?

Le rapport de sécurité trimestriel de ThreatMetrix met en lumière une rupture dans la localisation géographique et le comportement des cyber-assaillants. L’Europe commence à mener des attaques de plus en plus sophistiquées contre ses propres pays membres. La majorité du cybercrime est aujourd’hui devenue locale !

ThreatMetrix, acteur dans le domaine de la prévention des fraudes et l’un des plus grands réseaux d’identités numériques mondial, révèle à DataSecurityBreach.fr les résultats de son rapport de sécurité ThreatMetrix Cybercrime Report pour le premier trimestre 2015, désignant l’Europe comme la nouvelle scène de la cybercriminalité internationale. S’appuyant sur les incidents de sécurité détectés et analysés par le Réseau ThreatMetrix Digital Identity d’octobre 2014 à mars 2015 sur des milliards de transactions mondiales, le rapport démontre que la plus grande cyber-menace ayant pesé sur les entreprises françaises durant cette période aurait pour origine l’hexagone.

En rupture par rapport aux tendances dominantes où la grande majorité des cyberattaques avaient pour source la Russie, l’Asie ou l’Afrique, ce phénomène semble se généraliser à toute l’Europe : 72% des actes cybercriminels au Royaume-Uni proviennent d’Irlande et d’Angleterre, 81% en Allemagne, près de la moitié (54%) aux Pays-Bas, 94% en Italie et 85% en Russie, ont également été perpétrés à l’intérieur des frontières de ces mêmes pays.

Autre point singulier dans le classement des attaques mondiales : la croissance des réseaux de cybercriminalité en Amérique du sud et notamment l’arrivée du Mexique comme seconde source de cyber attaques visant l’Angleterre ; le Nigéria arrivant à la troisième place suivi de près par l’Allemagne et les États-Unis. Du point de vue du e-commerce, la France et l’Italie se situent dans le Top 5 en terme de volume d’attaques contre les entreprises britanniques.

 LA FRAUDE A L’IDENTITE : NOUVEAU PROCEDE FRUCTUEUX POUR LES HACKERS

Selon le rapport, les techniques d’usurpation d’identité (spoofing) sont aujourd’hui les menaces les plus courantes. Plus de 11.4 millions de tentatives de transactions frauduleuses ont été identifiées par le Réseau mondial ThreatMetrix au cours de la seule période des fêtes de fin d’année 2014. Face à des logiciels criminels de plus en plus sophistiqués, le Réseau pointe du doigt une croissance de la fraude à l’identité. Ceci est particulièrement vrai lors de nouvelles créations de comptes au cours desquels les hackers utilisent des identités volées pour escroquer les entreprises. La fraude sur les téléphones mobiles augmente également de manière exponentielle avec la hausse des transactions sur ces périphériques. L’usurpation d’identité sur périphériques mobiles est devenue aujourd’hui le vecteur d’attaque le plus usité.

LES ENTREPRISES ONT DU MAL A IDENTIFIER UN CLIENT LEGITIME D’UN CYBERCRIMINEL

Aujourd’hui, l’ensemble des pays européens profite des transactions records et des opportunités en fortes croissance générées par le mobile et le web. Mais paradoxalement, c’est du e-commerce et du m-commerce que proviennent les plus fortes menaces pour les entreprises car elle peinent à différencier une transaction frauduleuse d’une commande authentique.

De plus, la fraude à la carte de paiement sur Internet ayant représenté £2.92 milliards au Royaume-Uni en 2014, l’abandon des paniers pour cause de processus d’authentification de sécurité plus lourds et onéreux est aujourd’hui 10 fois plus coûteux que le cyber fraude elle-même.

COMMENT LES ENTREPRISES PEUVENT T’ELLES SE PREPARER ?

Tony Larks, Directeur de la Recherche et de la Communication EMEA de ThreatMetrix commente : “La confiance dans la marque est un élément fondamental pour le e-commerce. Mais aujourd’hui, la confiance doit être réciproque, les entreprises ayant également besoin de s’assurer de la légitimité du client. Les sociétés adaptent une approche trop uniforme et généraliste en matière de sécurité alors qu’elles devraient déployer des stratégie de défense sur mesure intégrant des informations de sécurité environnementales. Les sites de e-commerce craignent aujourd’hui l’exaction de leurs bases de données client et des pertes inhérentes pouvant s’élever à plusieurs millions d’euros. Nous sommes convaincus que la clé pour lutter contre la cybercriminalité est la collaboration entre les entreprises et le partage de renseignements sur les menaces. Cela veut dire, partager de l’information de manière anonyme sur des personnes ou des faits au moment où l’attaque se passe ».

Parmi les autres résultats marquants de ce rapport :

– Le mobile a progressé comptant pour plus de 30% de toutes les transactions mondiales

– Un plus grand nombre de périphériques Android a été identifié durant cette période. Une tendance qui va continuer à croitre selon ThreatMetrix, comme les marchés émergents profitent de plus en plus de périphériques mobiles à moindre coût.

– Les périphériques iOS ont représenté 2/3 des transactions mobiles.

– Le coût de la cybercriminalité a couté £27 milliards au Royaume-Uni en 2014 et 95% des entreprises britanniques ont subi une violation de sécurité au cours de cette année.

– Selon IMRG, 12% de l’ensemble des transactions à la carte de crédit sur Internet ont été refusées sur la base d’activités supposées suspectes ou frauduleuses.

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Linux, Mise à jour, Patch, Piratage, Propriété Industrielle

Des millions de routeurs en danger

Un commentaire

Des millions de routeurs de marques connues en danger. Une faille permet de bloquer les machines, à distance.

La société SEC Consult Vulnerability Lab vient d’annoncer qu’une faille, visant des millions de routeurs, permettait de bloquer un routeur Internet via une manipulation particulièrement formulée. Visé, le noyau Linux des routeurs, l’utilisation de NetUSB KCodes et le port TCP 20005. Un débordement de mémoire qui fait que les routeurs tombent en panne. Ce port permet un accès réseau aux périphériques (USB, imprimante, …) connectées au routeur.

TP-Link a publié des correctifs pour 40 de ses produits. Netgear vient de diffuser un patch pour 14 de ses machines. Quelques 24 autres fournisseurs, y compris D-Link et Western Digital sont potentiellement concernés par la faille.

BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Piratage

Augmentation des attaques par réflexion basées sur le protocole SSDP

Le rapport de NSFOCUS sur les menaces causées par les dénis de service distribué (DDoS) dévoile que les dispositifs connectés à l’Internet des objets contribuent à l’augmentation des attaques par réflexion basées sur le protocole SSDP.

NSFOCUS a publié son rapport semestriel sur les menaces causées par les DDoS qui dévoile les résultats sur les nouvelles attaques et les menaces croissantes dont les organisations devraient avoir conscience en 2015. Tandis que le volume des attaques par déni de service distribué continue à augmenter, l’expansion de l’Internet des objets (IdO) et l’arrivée massive de dispositifs connectés au réseau, tels que des webcams ou des routeurs, entraînent une plus grande intensité des attaques basées sur le protocole Simple Service Discovery Protocol (SSDP).

Les résultats des analyses statistiques et des principales observations sont fondés sur des données de véritables incidents causés par des attaques DDoS ayant eu lieu au deuxième semestre 2014. Ces données ont été recueillies auprès d’un ensemble de multinationales, de prestataires de services Internet, d’opérateurs régionaux de téléphonie et de fournisseurs d’hébergement Internet.

—  L’augmentation des dispositifs connectés à l’IdO est responsable de
la hausse des attaques par réflexion basées sur le SSDP : avec la
prolifération de l’Internet des objets, tout dispositif connecté au
réseau avec une adresse IP publique et un système d’exploitation
vulnérable va augmenter le nombre de dispositifs susceptibles d’être
utilisés pour lancer des attaques par réflexion basées sur le SSDP.
Ce type particulier d’attaque DDoS a été considéré comme la
deuxième menace principale, après les attaques basées sur le
protocole NTP, au cours du deuxième semestre 2014. Plus de 30 pour cent
des dispositifs mis en danger par des attaques SSDP étaient des
dispositifs connectés au réseau tels que des routeurs domestiques et
des webcams. Les résultats révèlent également qu’à l’échelle
mondiale, plus de 7 millions de dispositifs contrôlés par le protocole
SSDP pourraient potentiellement être utilisés.

—  Les attaquants sont de plus en plus rusés : alors que 90 pour cent des
attaques DDoS ont duré moins de 30 minutes, une attaque a duré 70
heures. Cette stratégie d’attaques plus courtes est utilisée pour
améliorer l’efficacité et détourner l’attention du personnel
informatique des véritables intentions d’une attaque : déployer des
logiciels malveillants et voler des données. Ces techniques indiquent
la tendance actuelle des attaquants à être de plus en plus rusés et
sophistiqués.

—  Les détaillants, médias et jeux en ligne restent les cibles
principales : alors que les détaillants et les sociétés de
divertissements et de jeux utilisent de plus en plus d’environnements en
ligne, les consommateurs demandent une qualité de service du plus haut
niveau. En ralentissant ou en inondant ces serveurs, les attaquants
cherchent à tirer parti des activités en ligne par toute une gamme de
moyens qui englobe le chantage, la concurrence déloyale et le vol
d’actifs.

Yonggang Han, directeur des opérations internationales de NSFOCUS, a déclaré à DataSecurityBreach.fr « Nous observons l’évolution des technologies d’attaque qui deviennent ni plus ni moins que des tactiques de ‘harcèlement’ (attaques par inondation) et de ‘profit tiré’ (épuisement des ressources) renforçant l’impact via l’utilisation de la bande passante du réseau. Pour contrer ces attaques, les organisations doivent se tourner vers des dispositifs qui nettoient le trafic et sont associés à d’autres protocoles de sécurité. »

Cyber-attaque, DDoS, Leak, Piratage

Pirate Versus Pirate

Un groupe de pirates s’attaque à un concurrent. De cette confrontation sont apparues les guerres des menaces persistantes avancées (APT).

L’éditeur de solution de sécurité informatique Kaspersky Lab a observé un cas qu’ils considèrent rare et inhabituel, une attaque perpétrée par un cybercriminel contre un autre. Ils ne doivent pas trainer souvent dans certains chans IRC, forums ou Twitter. Les pirates aiment se taper dessus. Le cas révélé par la société Russe a débuté en 2014. Hellsing, un petit groupe de cyber espions, assez  « anodin » sur le plan technique et ciblant principalement des organismes gouvernementaux et diplomatiques en Asie, a fait l’objet d’une attaque de spear-phishing. Cette attaque a été lancée par un autre groupe de cybercriminels et Hellsing a décidé de répliquer. Kaspersky Lab pense que cela pourrait marquer le début d’une nouvelle tendance dans le monde de la cybercriminalité : les guerres des APT (menaces persistantes avancées).

La découverte a été faite pendant leurs recherches sur les activités de Naikon, un groupe de cyber espionnage visant des cibles dans la zone Asie-Pacifique. Les experts ont remarqué que l’une des cibles de Naikon avait repéré la tentative d’infection de ses systèmes par un e-mail de spear-phishing comportant une pièce jointe malveillante. Le destinataire a vérifié l’authenticité de l’e-mail auprès de l’expéditeur et, apparemment non satisfait de la réponse, n’a pas ouvert la pièce jointe. Peu après, il a renvoyé à l’expéditeur un message contenant un malware de son cru.

Le mode de contre-attaque indique que Hellsing voulait identifier le groupe Naikon et recueillir des informations à son sujet. Une analyse approfondie de la menace Hellsing révèle une succession de mails de spear-phishing accompagnés de fichiers malveillants conçus pour propager un spyware entre les différents destinataires. Si l’un d’entre eux ouvre la pièce jointe malveillante, son système est infecté par un backdoor spécifique, capable de télécharger des fichiers, de se mettre à jour et de se désinstaller. Hellsing compterait près d’une vingtaine de victimes.

Les cibles de Hellsing
Le malware Hellsing a été bloqué en Malaisie, aux Philippines, en Inde, en Indonésie et aux Etats-Unis, les victimes étant les plus nombreuses dans les deux premiers pays. Les auteurs des attaques sont par ailleurs très sélectifs dans le choix de leurs cibles, tentant d’infecter principalement des organismes gouvernementaux et diplomatiques. « Le fait que le groupe Naikon ait été pris pour cible par Hellsing en représailles est pour le moins fascinant. Par le passé, nous avons assisté à des frappes accidentelles entre groupes APT, résultant du vol du carnet d’adresses des victimes puis d’un envoi massif à tous les destinataires répertoriés. Cependant, compte tenu du caractère ciblé et de l’origine de l’attaque, il paraît plus probable qu’il s’agisse d’un cas d’attaque délibérée entre APT », commente Costin Raiu, Directeur de l’équipe GReAT de Kaspersky Lab. Hellsing serait actif depuis au moins 2012 et demeure d’actualité.

Pour se protéger contre les attaques Hellsing, mais aussi par toutes les autres possibilités malveillantes débarquant par mail, DataSecurityBreach.fr vous conseille de ne pas ouvrir les pièces jointes suspectes provenant d’expéditeurs inconnus. De prendre garde aux archives protégées de mot de passe et contenant des fichiers SCR ou d’autres exécutables. En cas de doute sur une pièce jointe, essayer de l’ouvrir dans une zone de quarantaine. Veiller à disposer d’un système d’exploitation récent et à y installer tous les correctifs de sécurité. Mettre à jour toutes les applications telles que Microsoft Office, Java, Adobe Flash Player et Adobe Reader.

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Patch, Piratage, Propriété Industrielle

Du déni de service au contournement de la cyber-sécurité

Un commentaire

Premier rapport trimestriel de Corero Network Security : du déni de service au contournement de la cyber-sécurité. Des attaques plus fréquentes et avec de nouvelles visées, voilà le constat inquiétant du premier rapport publié par Corero et réalisé à partir des données de ses clients.

Corero Network Security, éditeur de solutions de sécurité contre les attaques par DDoS comme Première Ligne de Défense, publie aujourd’hui la première édition de son étude trimestrielle sur les tendances et l’analyse des DDoS. En analysant les données des clients du quatrième trimestre 2014, Corero constate que les pirates ont évolué dans leur utilisation des attaques DDoS. Celles-ci servent désormais à contourner les solutions de cyber-sécurité des entreprises, à perturber la disponibilité des services et à infiltrer les réseaux des victimes.

Le Rapport trimestriel Corero sur les tendances et l’analyse des DDoS s’appuie sur des données provenant de ses clients – hébergeurs, data centers, FAI et entreprises en ligne – du monde entier et sur l’analyse de l’état de l’art faite par le SOC (Security Operations Center) de la société.

Des attaques plus courtes et à saturation partielle
DDoS était précédemment le nom consacré pour ces attaques car elles déniaient l’accès aux sites web ou aux solutions basées sur le web. Bien que ce soit encore le cas en certaines circonstances, les organisations sont également visées par un nouveau type de trafic d’attaque par DDoS. Les données des clients de Corero montrent deux nouvelles tendances : de courtes explosions du trafic au lieu d’épisodes qui se prolongent et des attaques par saturation partielle des liaisons au lieu de l’inondation complète du réseau, comme le terme déni de service l’évoquait historiquement.

Au lieu de longues attaques, environ 96% des attaques DDoS ciblant les clients de SmartWall Threat Defense System (TDS) de Corero ont duré 30 minutes ou moins. Le problème provient du fait que les clients Corero observent en moyenne 3,9 tentatives d’attaques journalières. Pour les organisations qui s’appuient sur des défenses hors bande ou sur le nettoyage anti-DDoS pour réacheminer le trafic après qu’une attaque ait été identifiée, cela peut prendre jusqu’à une heure pour que la solution cloud de mitigation des DDoS prenne le relais avec succès. Ce temps de réponse assez long signifie que même les principaux outils du cloud pour la défense contre les DDoS pourraient complètement rater une attaque. Les organisations subiraient alors les pannes que ces solutions sont censées prévenir.

En outre, 79% des tentatives d’attaque DDoS ciblant les clients de Corero entre le 1er Octobre et le 31 Décembre 2014 avaient des pics d’utilisation de la bande passante inférieurs à 5 Gbps. Ces attaques visaient à partiellement saturer la liaison Internet et détourner l’attention des équipes de sécurité de l’entreprise, tout en laissant suffisamment de bande passante disponible pour qu’une attaque ultérieure permette d’infiltrer le réseau de la victime et d’accéder aux données sensibles ou à la propriété intellectuelle du client.

Des DDoS à des fins de profilage
Alors que les attaques volumétriques par DDoS sont plus faciles à identifier et recueillent souvent la plus grande attention, Corero a constaté que les attaquants commencent à démultiplier les attaques multi-vecteur et adaptables à leur cible. Cela leur permet de profiler la stratégie de défense de la sécurité du réseau de la victime, puis de lancer de nouvelles attaques qui contourneront les outils de cyber-sécurité de l’organisation.

« Les attaques par déni de service ont été une menace pour la disponibilité du service pendant plus d’une décennie. Plus récemment, ces attaques sont devenues plus sophistiquées et multi-vectorielles, débordant les mécanismes traditionnels de défense ou les contre-mesures réactives », déclare à DataSecurityBreach.fr Dave Larson, CTO et vice-président Produits de Corero Network Security. « Comme les expériences de nos clients l’indiquent, la régularité de ces attaques souligne simplement le besoin croissant d’une protection adaptée pour vaincre les attaques DDoS à la périphérie du réseau et assurer l’accessibilité nécessaire à l’entreprise connectée à Internet ou aux fournisseurs d’accès Internet eux-mêmes. »

Pour que les organisations se défendent à la fois contre les méthodes d’attaque DDoS traditionnelles et évolutives, Corero préconise de mettre en œuvre une technologie pour détecter, analyser et répondre aux attaques DDoS en inspectant le trafic Internet brut par le débit de la ligne, pour identifier et bloquer les menaces dès les premiers paquets d’une attaque donnée. Mettre en place une stratégie de sécurité multicouche mettant l’accent sur la visibilité continue et l’application de la politique de sécurité pour installer une première ligne de défense proactive capable de lancer la mitigation des attaques DDoS, tout en maintenant une connectivité de plein service et la disponibilité du trafic légitime. Veiller à la visibilité totale des couches applicatives et du réseau lors événements de sécurité DDoS. Cette bonne pratique permet également l’analyse forensique des menaces passées et permet de disposer des rapports de conformité de l’activité de sécurité. (Le rapport)

Apple, Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Emploi, Entreprise, Fuite de données, Leak, Logiciels, Microsoft, Mise à jour, Piratage, Propriété Industrielle

« Etat des lieux de l’Internet » du 4ème trimestre 2014

Un commentaire

Akamai Technologies, Inc. fournisseur en services de réseaux de diffusion de contenu (CDN), vient de publier son Rapport « Etat des lieux d’internet » du 4ème trimestre 2014. Établi à partir des données recueillies par l’Akamai Intelligent Platform™, ce rapport permet de mieux comprendre les principales statistiques mondiales, notamment les vitesses de connexion et adoption du haut débit sur les réseaux fixes et mobiles, le trafic global des attaques, préparation des réseaux au format 4K, épuisement des adresses IPv4 et mise en œuvre d’IPv6. Le rapport analyse aussi plusieurs failles de sécurité très connues, dont les failles Poodle et de type DNS flood, et les attaques UpnP et Yummba Webinject.

« En 2014, nous avons observé une croissance globale de tous nos principaux indicateurs : connectivité Internet, adoption du haut débit et préparation au passage à la vidéo 4K », indique à DataSecurityBreach.fr David Belson, l’auteur du rapport. « Ces tendances positives sont un encouragement au vu d’une étude récente qui révèle que 4,4 milliards de personnes n’ont pas accès à l’Internet. Il est donc plus que nécessaire de continuer nos efforts pour améliorer et déployer l’infrastructure Internet dans le monde. »

Vitesses moyennes de connexion et connectivité haut débit : la croissance positive à long terme se poursuit en Europe
Pour le 3ème trimestre consécutif, la vitesse de connexion moyenne dans le monde est restée supérieure au seuil du haut débit (fixé à 4 Mbps), avec 4,4 Mbps, soit une augmentation de 0,7 % par rapport au trimestre précédent. Avec une vitesse de connexion moyenne de 14,6 Mbps au 4ème trimestre (en hausse de 3,5 %), la Suède devance de peu la Suisse, et se classe en tête des pays européens pris en compte dans l’étude. La Suisse, qui détenait la première place depuis trois trimestres consécutifs, se place au 2ème rang, avec, 14,5 Mbps, comme au trimestre précédent. Ces deux pays, ainsi que les Pays-Bas, l’Irlande, la République tchèque, la Finlande, le Danemark, la Roumanie, la Norvège, le Royaume-Uni et la Belgique, enregistrent une vitesse de connexion moyenne supérieure au seuil de 10 Mbps, qui définit le très haut débit.

Par rapport à l’année précédente, les vitesses de connexion moyennes sont unanimement à la hausse en Europe. L’augmentation la plus faible concerne l’Autriche, avec 3,9 %, et la plus forte la Roumanie, avec un taux de croissance annuel de 61 %. En outre, la Finlande, la Suède et le Portugal enregistrent des augmentations de plus de 30 % par rapport au quatrième trimestre 2013.

Le pic moyen de vitesse de connexion a légèrement augmenté au 4ème trimestre, passant à 26,9 Mbps, soit 8,4 %. En Europe, les variations de ce trimestre oscillent de 1,3 % au Portugal (44,3 Mbps) à 14 % en Roumanie (67 Mbps). Les modifications par rapport à l’année précédente sont également à la hausse. L’Autriche, avec une augmentation de 9,4 %, est le seul pays européen à rester en dessous d’un taux de croissance annuelle de 10 %, tandis que la Finlande fait un impressionnant bond en avant de 40 %.

Les taux d’adoption du très haut débit (>10 Mbps) sont en hausse de 2,9 % au 4ème trimestre, faisant suite à un léger déclin au 3ème trimestre. En Europe, dans trois des pays analysés, plus de la moitié des adresses IP individuelles se connectaient à Akamai à plus de 10 Mbps en moyenne. La Roumanie, avec une hausse de 11 % par rapport au trimestre précédent, est repassée à un taux d’adoption du très haut débit de 55 %, rejoignant la Suisse (56 %) et les Pays-Bas (56 %). Le taux de croissance trimestriel a varié entre 1 % en Norvège et 17 % en Espagne. L’examen de la croissance par rapport à l’année précédente fait état d’une augmentation de 8 % ou plus dans tous les pays européens analysés. En outre, le Portugal et la Roumanie ont constaté des taux d’adoption du très haut débit qui ont plus que doublé depuis l’an dernier.

Le taux d’adoption du haut débit (>4 Mbps) a légèrement baissé au 4ème trimestre, soit une perte de 0,7% qui l’a stabilisé à 59 %. Au cours du trimestre, ce taux a atteint 90% ou plus dans trois pays européens : la Suisse (93 %), le Danemark (92 %) et les Pays-Bas (91 %). Dans tous les autres pays analysés, plus de 60 % des adresses IP individuelles se connectaient à Akamai à des vitesses moyennes supérieures à 4 Mbps.

Le 4ème trimestre a été marqué par une série d’annonces qui devraient dynamiser les initiatives autour du haut débit dans toute l’Union européenne. En novembre dernier, le gouvernement hongrois a ainsi déclaré son intention de consacrer une enveloppe de €586 millions pour implanter l’Internet haut débit sur tout le territoire d’ici 2018. La Commission européenne a pour sa part annoncé un plan de €315 milliards destiné à améliorer l’infrastructure et le haut débit.

Préparation au format 4K : la connectivité ultra-rapide de plus en plus accessible et répandue
Akamai avait intégré un nouvel indicateur, celui de la « Préparation à la technologie 4K », à son Rapport Etat des lieux de l’internet – 1er trimestre 2014. Il continue à dresser la liste des pays susceptibles de supporter des vitesses de connexion supérieures à 15 Mbps, car les streamings vidéo Ultra HD à débit adaptatif exigent généralement une bande passante comprise entre 10 et 20 Mbps. Les résultats obtenus ne tiennent pas compte des autres facteurs de préparation, tels que l’existence de contenu 4K ou de téléviseurs et lecteurs médias compatibles 4K.

Au 4ème trimestre 2014, dans neuf des pays européens analysés, au moins une adresse IP sur cinq se connectait à Akamai à des vitesses moyennes supérieures à 15 Mbps : la Suède, la Suisse, les Pays-Bas, la Roumanie, la Norvège, le Royaume-Uni, le Danemark, la Finlande et la République tchèque.

Au cours de ce trimestre, la Suède s’est classée première en Europe, avec le plus haut taux de préparation au 4K : 31 %. Elle reste toutefois talonnée de près par la Suisse et les Pays-Bas avec des taux de 30 %. Par rapport à l’année précédente, de fortes hausses de la préparation au 4K ont été observées dans tous les pays européens. Trois d’entre eux ont vu leur taux plus que doubler par rapport au quatrième trimestre de 2013 : la Roumanie (320 %), le Portugal (204 %) et l’Espagne (102 %). Dans huit autres pays européens, ce taux a dépassé une hausse annuelle de 40 % : la Hongrie (94 %), la Slovaquie (68 %), la Suède (61 %), la Finlande (55 %), le Danemark (50 %), la Suisse (50 %), la Norvège (50 %) et le Royaume-Uni (42 %).

Attaques et sécurité : les attaques contre le port 23 ont plus que doublé
Akamai gère un ensemble distribué d’agents anonymes, déployés sur tout l’Internet, et dont la mission est de consigner les tentatives de connexion pouvant être considérées comme des attaques. S’appuyant sur ces données, Akamai peut ainsi identifier les principaux pays à l’origine des attaques et les ports visés en priorité. Toutefois, le pays d’origine identifié par son adresse IP source n’est pas forcément celui dans lequel réside le hacker.

Au 4ème trimestre 2014, Akamai a observé des attaques en provenance de 199 pays ou zones géographiques distincts. Comme vu précédemment, la Chine reste loin devant les autres pays avec un taux de 41 %. Elle est ainsi à l’origine de trois fois plus d’attaques que les États-Unis (13 %). Ce trimestre, l’Allemagne a rejoint le groupe des 10 principaux pays incriminés, avec un taux d’attaques de 1,8 % de la totalité observée (soit une hausse de 0,6 % au 3ème trimestre). La majorité des attaques a cependant pour épicentre la région Asie Pacifique (59 %), suivie de l’Europe (19 %) soit une forte hausse (11 % au trimestre précédent).

Au total, les attaques visant les 10 ports principaux ont représenté 79 % du trafic au 4ème trimestre, soit une hausse de 38 % par rapport au trimestre précédent. Le Port 23 (Telnet) reste la cible favorite, avec 32 % des attaques constatées, soit une hausse 2,5 fois supérieure aux niveaux antérieurs. Les Ports 445 (Microsoft-DS), 8080 (HTTP Alternate), 3389 (services Microsoft Terminal) et 22 (SSH) ont également fait l’objet d’attaques.

Attaques par déni de service distribué (DDoS) en hausse en Europe ce trimestre
Le rapport comprend également une étude des attaques DDoS s’appuyant sur les observations de ses clients. Ces derniers ont signalé 327 attaques au 4ème trimestre 2014, soit une augmentation de plus de 20 % par rapport au trimestre précédent. Les secteurs du commerce et des grandes entreprises sont majoritairement visés.

En Europe, les attaques DDoS sont en hausse de 18 % par rapport au trimestre précédent. Une comparaison avec l’année précédente montre que le taux de ces attaques est beaucoup plus élevé en Europe qu’aux Amériques et en Asie Pacifique, soit une augmentation de 28 % (167 attaques en 2013 contre 214 attaques en 2014).

IPv4 et IPv6 : les pays européens restent les leaders de l’adoption d’IPv6
Au 4ème trimestre 2014, environ 803 millions d’adresses IPv4 originaires de 239 pays/zones géographiques différents étaient connectées à l’Akamai Intelligent Platform. Le nombre d’adresses IPv4 individuelles détectées dans le monde par Akamai a augmenté d’environ 12 millions d’un trimestre sur l’autre. Se classant parmi les 10 premiers au 4ème trimestre, le Royaume-Uni et la Corée du sud affichent les hausses les plus importantes, avec respectivement 8,1 % et 6,6 % par rapport au trimestre précédent.

Les pays européens ont confirmé leur domination en matière d’adoption de l’IPv6, en se classant parmi les 10 premiers dans le monde. Un nouveau-venu, la Norvège, a enregistré un spectaculaire bond en avant de 88 % de son trafic Ipv6 par rapport au trimestre précédent. La Belgique reste cependant le chef de file, avec 32 % de demandes de contenu transitant par IPv6, soit plus du double de l’Allemagne. Comme aux trimestres précédents, les opérateurs câble et téléphonie mobile restent la principale source des demandes IPv6 adressées à Akamai. Beaucoup d’entre eux sont des leaders de l’adoption IPv6 dans leurs pays respectifs. Les Belges Verizon Wireless et Brutele transmettent plus de la moitié des demandes à Akamai via IPv6, talonnés par Telnet. Quant aux opérateurs allemands Kabel Deutschland, Kabel BW et Unitymedia, au 4ème trimestre, plus d’un quart de leurs demandes à Akamai passent par IPv6.

Cyber-attaque, Cybersécurité, DDoS, Leak, Piratage

Exercice interarmées DEFNET 2015

Un commentaire

L’exercice annuel interarmées DEFNET se déroule du 16 au 27 mars 2015 au sein de sept sites militaires implantés sur le territoire national (Rennes, Douai, Toulon, Mont de Marsan et trois sur Paris) et à bord de deux bâtiments de la Marine nationale.

Placé sous l’autorité de l’officier général cyber, il s’inscrit dans le cadre de la montée en puissance de la chaîne opérationnelle de cyberdéfense du ministère de la Défense conformément au Livre blanc de 2013 qui fait de la cyberdéfense une des priorités nationales.

Entraînement fondateur pour la chaîne cyberdéfense, l’exercice DEFNET 2014 avait permis de valider des procédures opérationnelles dans l’emploi des groupes d’intervention rapide (GIR), et d’apporter des évolutions dans le format de la formation et de l’instruction cyber.

La deuxième édition de l’exercice DEFNET est particulièrement innovante par son caractère global. Elle permet d’entraîner nos forces spécialisées cyber depuis le niveau le plus bas jusqu’au niveau du Centre de planification et de conduite des opérations.

Les objectifs de l’édition 2015 sont multiples : expérimenter un modèle de centre opérationnel et le fonctionnement d’une réserve cyberdéfense dans un cadre opérationnel ; entraîner les joueurs à la planification et à la conduite des opérations dans le domaine de la lutte informatique défensive, au déploiement d’unités cyber (Terre, Mer, Air, DIRISI, expérimentation réserve Rennes et Paris) et à la prise en compte de la dimension cyber des opérations par des non spécialistes. Le scénario de DEFNET 2015 simule, dans un contexte international fictif, des menaces et des attaques cyber multiples contre plusieurs sites sur des thèmes très différents, au plus proche de la réalité. Associant les spécialistes de cyberdéfense des unités interarmées et des trois armées, cet exercice revêt une ampleur plus importante et un caractère résolument interarmées.

La cyberdéfense : une priorité nationale
« La cyberguerre, c’est la guerre de demain, elle commence déjà aujourd’hui, et la Loi de programmation militaire que j’ai présentée au Parlement intègre cette nouvelle donnée. Demain, il y aura une quatrième armée qui s’appellera l’armée cyber, demain il y aura des soldats cyber. Nous avons les moyens de réagir, nous avons aussi les moyens d’attaquer, mais nous sommes en situation de pouvoir répondre, parce que la cyberguerre c’est vraiment un outil majeur, contre lequel il faut se défendre, et la France est au rendez-vous« . (Jean-Yves Le Drian, ministre de la Défense, Europe 1, le 13 janvier 2015)

Depuis quelques années, le nombre d’attaques recensées a très fortement augmenté : plus de 780 incidents ont ainsi été traités par le ministère en 2013, contre 420 en 2012, et 196 en 2011. Déjà engagé sur ces enjeux depuis plusieurs années, le ministère de la Défense a renforcé considérablement ses moyens en raison de cette hausse significative de la menace cyber. En outre, le Livre blanc sur la défense et la sécurité nationale de 2013 a fait de la cyberdéfense une priorité nationale.

La cyberdéfense au sein du ministère de la Défense
La cyberdéfense militaire regroupe l’ensemble des actions défensives ou offensives conduites dans le cyberespace pour garantir le bon fonctionnement du ministère de la Défense et l’efficacité de l’action des forces armées en préparation ou dans la planification et la conduite des opérations.

Renforcement des moyens mis en œuvre pour la cyberdéfense
La Loi de programmation militaire (LPM) a renforcé significativement les moyens dévolus à la cyberdéfense. En complément des projets spécifiques mis en place et de l’augmentation des investissements RH et financiers, l’effort consacré à la cyberdéfense se traduit également par une série de mesures, telles que des exercices d’entraînement des forces cyber ou des journées de sensibilisation à la cybersécurité au sein de chaque unité militaire.

Le Pacte Défense Cyber
Le ministre de la Défense, M. Jean-Yves Le Drian, a lancé le « Pacte Défense Cyber » le 7 février 2014. Comptant parmi les priorités de la loi de programmation militaire (2014-2019) votée en avril 2013, la mise en place de ce pacte est dotée d’un milliard d’euros. Témoignant d’une ambition politique forte, ce plan vise à protéger la souveraineté de la France sur le long terme, et en faire une nation qui compte dans le cyberespace mondial.

L’expérimentation réserve
Le Livre blanc de la Défense et de la sécurité nationale de 2013 prévoit, pour faire face aux menaces actuelles et futures, d’organiser la montée en puissance de nouvelles composantes de la réserve, spécialisées dans des domaines dans lesquelles les forces de défense et de sécurité sont en plein essor. C’est notamment le cas de la cyberdéfense qui doit faire l’objet d’une composante dédiée.

Prévue par le Pacte défense cyber de 2014 pour assister l’État et les armées en cas de crise majeure, la réserve de cyberdéfense a une vocation opérationnelle. Sa création a été annoncée le 21 janvier 2015, à l’occasion du Forum international de la cybersécurité. Cette réserve de cyberdéfense est composée de 4 300 hommes et femmes spécialistes : militaires d’active, personnels civil de la Défense, réservistes opérationnels, et réservistes citoyens.

Ce nouveau modèle de réserve cyber sera expérimenté du 23 au 26 mars dans le cadre de l’exercice DEFNET 2015. Cette expérimentation consiste à accueillir des équipes de volontaires sur des sites militaires, simulant des sites d’intervention. Il s’agit de l’école militaire de Paris au centre d’études stratégiques de l’armée de Terre (CESAT) et de l’école des Transmissions de Cesson-Sévigné (ETRS). Des équipes d’expérimentation seront constituées d’un réserviste des armées (coordination), d’un ou deux enseignants français (encadrement technique) et de dix à douze élèves français du domaine de l’informatique et des télécommunications (bac+2 à bac+5). Elles devront effectuer un travail d’éradication de code malveillant et de réinstallation de système.

Cybersécurité, DDoS, Entreprise, Piratage

Le site du gouvernement hollandais HS durant 10 heures

Le site du gouvernement hollandais a été victime d’une attaque DDoS assez massive ayant entrainée une perte de service durant presque 10 heures. Les techniques utilisées sont des techniques de nouvelle génération. Les différentes équipes sécurité ainsi que les différents partenaires sécurité du gouvernement hollandais ont eu du mal à contenir cette attaque DDoS d’un nouveau genre. Il a fallu que toutes ces équipes analysent plus finement l’attaque pour la contenir le mieux possible.

Le simple volume de bande passante pouvant être exploité par une attaque est bien sûr problématique. Avec une consommation qui tutoie fréquemment les centaines de gigabits par seconde grâce à la combinaison dévastatrice des attaques par amplification et par réflexion, de nombreuses entreprises visées par une agression DDoS réalisent que leur connectivité à Internet représente un sérieux handicap face à ces menaces. Alors que des technologies émergentes telles que les architectures définies par logiciel (SDN) ou les réseaux virtuels permettent de répondre immédiatement à des besoins de capacité supplémentaire pour les services liés au réseau, il n’en reste pas moins que si la connectivité est compromise, l’ajout de capacité additionnelle au-delà du périmètre de l’entreprise a peu de chances d’être d’une quelconque utilité. En d’autres termes, si un hacker peut injecter des informations malveillantes en quantité suffisante pour saturer complètement votre connectivité Internet, une solution sur site ne sera à elle seule d’aucun secours. C’est pourquoi nombre d’analystes de renom recommandent la mise en œuvre d’une approche hybride pour affronter ces attaques DDoS.

L’approche DDoS hybride
Une approche hybride associe un service de détection et d’atténuation des attaques DDoS hors site (déployées sur le Cloud) à un ensemble de protections sur site. En permettant aux entreprises de tirer parti de la large bande passante disponible à proximité de la dorsale Internet — où résident la plupart des lanceurs d’attaques DDoS sur le Cloud lorsque des attaques « sur-souscrivent » leur propre connectivité tout en maintenant un haut niveau de sécurité sur site pour contrer la plupart des attaques volumétriques —, une telle approche est également adaptée aux attaques DDoS plus insidieuses, qui sont amorcées au niveau de la couche applicative.

Des solutions hybrides apportent la résilience et l’envergure des solutions basées sur le Cloud avec, en plus, la granularité et les fonctionnalités opérationnelles en permanence qui caractérisent les solutions déployées sur site. Plus important, une architecture DDoS hybride bien intégrée permet aux entreprises de faire face de manière plus efficace et plus rentable à des menaces qui se produisent rarement ; mais sont beaucoup plus dangereuses.

De plus, ces attaques sont rendues plus dangereuses par la façon dont les entreprises réagissent (naturellement) face à une attaque DDoS. Il est relativement courant qu’une entreprise qui se trouve sous le feu d’une agression concentre ses efforts sur la prévention des interruptions de service. Étant donné que les services de sécurité reposant sur de coûteuses ressources informatiques affichent rapidement leurs limites face au volume du trafic, la réaction consiste souvent à les fermer purement et simplement. Cela signifie que les systèmes de protection des identités (IPS), les pare-feu applicatifs et les systèmes de détection anti-fraude — entre autres — sont éliminés du chemin critique. Le trafic DDoS qui emprunte le réseau peut, dans une large mesure, être détecté et rejeté mais soudain, les attaques lancées au niveau de la couche applicative qui sont cachées dans les attaques volumétriques ont toute latitude pour « revenir » au niveau des applications. Fondamentalement, les défenses de la couche applicative sont traitées comme du lest dont on se débarrasse pour maintenir un bateau, c’est à dire le réseau, à flot.

Une approche hybride peut tirer parti de la capacité supplémentaire disponible sur le Cloud pour que les entreprises ne soient pas submergées par le volume excessif généré par certaines attaques, tout en leur permettant de se protéger contre des agressions plus fréquentes, mais plus faciles à maîtriser. Il est sans nul doute difficile de mettre en œuvre une solution anti-DDoS exclusivement déployée sur le Cloud si elle est utilisée pour contrer les attaques DDoS une par une, mais le jeu en vaut la chandelle en cas d’opération de grande envergure.

Une approche hybride constitue à n’en pas douter la meilleure approche architecturale dont disposent actuellement les entreprises pour limiter de manière rentable et efficace les risques associés aux attaques DDoS au sens large : une solution intégrée qui associe les outils déployés sur site et sur le Cloud représente la clé d’un processus d’intégration parfaitement transparent.

Chiffrement, cryptage, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage, Propriété Industrielle

La sécurité informatique : un enjeu méconnu et sous-estimé – Partie II

Un commentaire

Avec l’actualité de ce début 2015, la sécurité informatique devient un sujet dont beaucoup de monde parle. Cependant, l’immense majorité des entreprises ne connaissent pas l’étendue des risques liés à la sécurité de leur site. Partie II : La sécurité informatique : un enjeu méconnu et sous-estimé.

  • Les boutiques fantôme

Enfin, certains pirates créent pour leur usage personnel, sur un site de e-commerce piraté, une « boutique fantôme ». Ils créent en réalité une nouvelle page, invisible pour les visiteurs normaux et pour l’entreprise, où ils installent leur boutique, en général de produits illicites ou obtenus illicitement. Ainsi, seuls les « connaisseurs » ont accès à cette boutique cachée, via l’URL qu’ils tapent directement. Ici également, le but est lucratif.

Dans tous les cas, le possesseur du site piraté est légalement responsable, même s’il n’est pas au courant de ce qui se trame dans son dos. C’est aussi très mauvais pour son image. Pour faire une analogie, c’est comme si un gérant découvrait, dans la cave de son restaurant de prestige, un réseau de prostitution. Même si le restaurant ignorait que sa cave était utilisée ainsi et que les organisateurs avaient fait forger une clé, il serait légalement responsable et son image en pâtirait.

Dans une moindre mesure, l’utilisation des ressources d’un site par un pirate peut également faire ralentir le site en question, qui aura moins de ressources à disposition pour satisfaire ses visiteurs légitimes. Cela peut avoir des conséquences très importantes : une perte de crédibilité pour un site institutionnel, une perte éventuelle de clients pour les industriels, une perte de revenus potentiels pour les e-Commerçants (57% des acheteurs en ligne abandonnent un site sur lequel ils ont l’intention d’effectuer un achat si la page met plus de 3 secondes à charger).

  • Attaque de données et confidentialité
    • Attaque sur les utilisateurs du site

Une fois qu’un pirate a pris possession d’un site, il peut modifier son code source. Il a donc notamment la possibilité de rajouter dans ce code source une « commande » qui cause le téléchargement d’un malware, ou virus, sur les appareils des visiteurs du site (ordinateur, tablette, smartphone…). Voir le cas du journal Forbes et la modification d’un de ces widgets. Ce virus permettra au pirate de prendre le contrôle de ces appareils ou de récupérer leurs données. C’est un bon moyen pour le pirate d’augmenter facilement et rapidement son parc de machines.

Là encore, cela donne une très mauvaise image du site, qui va perdre énormément de visiteurs, d’autant plus si c’est l’un d’entre eux qui révèle l’attaque suite à l’utilisation frauduleuse de ses données. De plus, un moteur de recherche tel que Google identifiera le site comme malveillant et agira en conséquence sur son référencement. Le moteur de recherche va prévenir les visiteurs que le site est douteux, ou même complétement leur bloquer l’entrée au site si la connexion n’est pas sécurisée.

  • Ciblage des codes sources

Avant d’explorer le sujet de la récupération des bases de données, arrêtons-nous sur un autre type de vol, moins connu : le vol de code source. En effet, certains sites web contiennent des codes source sensibles ou d’excellente qualité, qu’ils ne souhaitent pas voir dévoilés ou utilisés par un tiers ; c’est en réalité un vol de leur expertise. Un pirate peut par exemple créer une copie du site pour l’utiliser à des fins malveillantes, simplement imiter sa mise en page… Il va utiliser un code de qualité sans payer au développeur du code tout le travail de création, qui peut avoir été très long. Même si ce vol n’est pas aussi grave que celui d’un ensemble de numéros de carte bleue, il reste important à noter.

  • Vol de bases de données

L’une des plus grandes peurs des entreprises, à raison, est le vol de leur base de données. Enormément d’informations peuvent être récupérées : nom, prénom, informations familiales, nom des enfants et du conjoint, âge, numéros de carte bancaire, de carte d’identité, de sécurité sociale, habitudes d’achats… C’est ce qu’a vécu la boutique français LBO. On entend régulièrement parler de ce type d’attaques, ce n’est que la dernière en date officiellement divulguée.

Il est par exemple tout à fait possible de déterminer, via un site de réservations, quand une famille part en vacances afin de pouvoir aller cambrioler sa maison au bon moment. Cela se fait beaucoup actuellement et ces informations s’achètent facilement auprès des pirates. En fait, en recoupant plusieurs sources, on peut facilement tout savoir sur n’importe qui.

De plus, si un utilisateur s’enregistre sur un site piraté via un compte de réseau social (Facebook, Twitter…), le pirate aura également accès au compte en question, sur lequel il pourra publier du contenu non approuvé.

Les pirates peuvent également usurper l’identité des personnes présentes sur la base de données. Ils peuvent par exemple envoyer des e-mails en leur nom, à leurs amis, afin de tenter d’infecter leurs machines et d’en prendre le contrôle. Il n’y a aucune limite à ce qu’un pirate en possession de ces informations peut faire.

Là encore, c’est l’image du site qui est très affectée, et au-delà l’entreprise. Selon les Echos, en France, une entreprise perd en moyenne 4,5% de ses clients lorsqu’il est découvert qu’un incident a touché l’intégralité de ces données.

  • Fraude au paiement

Quand un pirate contrôle une machine, il peut y déposer un programme qui regarde et enregistre tout ce qu’il se passe sur le site correspondant. Ce programme est invisible sans analyse poussée du code source ; il est donc tout à fait possible que l’un d’entre eux soit déjà présent sur votre site. Il a ainsi accès aux identifiants et codes de tous les clients se connectant (ce qui constitue également un vol de données).

Il peut aussi prendre une commission sur toutes les transactions, ou même rediriger certains paiements vers son compte plutôt que celui de l’e-commerçant ; c’est ici du vol pur et simple.

Il lui est également possible de faire du shoplifting : le pirate va utiliser une faille pour ne pas payer le prix demandé par le commerçant, mais un prix qu’il aura fixé lui-même. Il pourra donc payer 1 € un produit qui vaut en réalité 200€. La transaction ayant été complétée sans problème à cause de la faille, l’e-commerçant recevra une confirmation de paiement sans erreur et ne se rendra compte de l’arnaque que trop tard. Une faille de ce type concernant les paiements via Paypal sous la plateforme Magento a d’ailleurs été révélée en 2012. Cette faille a bien sûr été corrigée depuis.

Le but ici est très clair : l’argent. C’est le moyen le plus direct pour un pirate d’en gagner.

  • Intrusion

Il est possible d’aller encore plus loin et de ne pas se limiter aux actions touchant le site web. Un pirate peut facilement atteindre le serveur interne de votre entreprise via celui de votre site internet. C’est ce que l’on appelle les attaques par rebond.

En fait, le serveur interne (physique) est souvent relié au serveur hébergeant le site internet via un tunnel VPN. Il s’agit d’une connexion (physique ou virtuelle) transmettant des données chiffrées, permettant au site web d’accéder à des informations contenues dans le serveur interne (par exemple, la base de données clients). Les entreprises s’imaginent que le chiffrement de leurs données suffit à protéger leur Intranet, et que dans le pire des cas seul leur site internet sera piraté.

Mais par l’intermédiaire de nombreux rebonds, il est tout à fait possible d’arriver jusqu’au serveur interne.

Ce risque n’est absolument pas hypothétique. Par exemple, Target a subi en 2014 un vol de données, touchant environ 100 millions de clients via son fournisseur de climatisation. Ce prestataire avait en effet accès au serveur interne de Target pour pouvoir réguler la température des locaux ; il a été la porte d’entrée du pirate.

Il s’agit donc ici d’avoir accès à toutes les informations sur l’entreprise, ses clients, ses locaux, ses employés…

Cela peut même aller jusqu’à l’atteinte physique de l’entreprise : au-delà des données privées et sensibles contenues dans l’Intranet, un pirate peut, par exemple, obtenir le chiffrage des badges d’accès aux locaux et ainsi en créer d’autres, laisser les portes ouvertes, fermer l’accès à tous les badges déjà existants… Cela peut également se traduire par la prise de contrôle du réseau interne : mainmise sur le service téléphonique, accès à l’ensemble des dossiers de l’entreprise (données confidentielles, stratégiques, RH…)

Toutes ces attaques et, en général, le contrôle d’une machine correspondant à un site internet par un pirate peuvent causer la faillite d’une entreprise. C’est ce qui est arrivé à la société MtGox, plateforme d’échange de monnaie virtuelle Bitcoin, après qu’une attaque informatique a causé la disparition de 750 000 bitcoins de clients et 100 000 appartenant à la société. Elle a déposé le bilan en février 2014.

  1. Les solutions pour protéger votre entreprise

Nous espérons que cet article vous a fait comprendre que toutes les entreprises et tous les sites sont vulnérables aux attaques, et que la sécurité n’est plus un « bonus » à remettre à plus tard, mais bien une nécessité urgente.

Heureusement, il existe des solutions pour se prémunir efficacement contre ces attaques. Prenons l’exemple de CerberHost, une solution développée par NBS System. C’est un Cloud privé de très haute sécurité, composé de 8 couches de protection logicielles et humaines, dont le périmètre de sécurisation s’étend du site web au matériel physique, en passant par les bases de données, l’applicatif, le réseau… Il garantit la sécurité des sites à 99,9%, grâce à une amélioration continue permise par l’équipe R&D. En effet, ces solutions doivent toujours s’adapter pour intégrer les nouveaux types d’attaques, dans un contexte toujours en évolution.

L’objectif, avec ce type de solutions, est de protéger les sites contre tous les cas possibles via une sécurisation optimale et en rendant les attaques trop chère, pénibles ou complexes afin de décourager les pirates et les faire changer de cible. Il est important de mettre votre site entre les mains de personnes compétentes et surtout spécialisées en sécurité, pour le bien de votre entreprise comme celui de vos clients.

Partie I : La sécurité informatique : un enjeu méconnu et sous-estimé.

 

backdoor, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage

État des lieux de la sécurité sur internet du 4ème trimestre 2014

Sale ambiance numérique pour le dernier trimestre de 2014. Akamai indique que le nombre d’attaques DDoS a pratiquement doublé en un an ; le trafic DDoS a diversifié ses sources à l’échelon mondial et que près de la moitié des attaques DDoS ont exploité plusieurs vecteurs.

Akamai Technologies, l’un des principaux fournisseurs de services de cloud, d’optimisation et de sécurisation de contenus en ligne et d’applications professionnelles, annonce la publication du rapport « Etat des lieux de la sécurité sur internet » du 4ème trimestre 2014 sur les attaques DDoS. Produit par le PLXsert (Prolexic Security Engineering and Research Team), aujourd’hui rattaché à Akamai, qui rassemble des experts des services et stratégies de protection contre les attaques DDoS et de sécurisation cloud, il livre une analyse trimestriel et un éclairage sur les cyber-menaces et attaques à l’échelle mondiale, y compris sur les attaques DDoS observées sur le réseau PLXrouted.

« Un nombre impressionnant d’attaques DDoS ont eu lieu au 4ème trimestre, près du double par rapport à ce que nous avions observé à la même période un an plus tôt », souligne à DataSecurityBreach.fr John Summers, vice president, Security Business Unit chez Akamai. « Le déni de service est une menace répandue qui vise de nombreuses entreprises. Le trafic d’attaques DDoS n’a pas été cantonné à un secteur donné, comme celui du divertissement qui a pu faire la une des medias en décembre. Les attaques ont, au contraire, porté sur de multiples secteurs d’activité. »

Akamai a également observé une hausse de 52 % du débit moyen des attaques DDoS en comparaison du 4ème trimestre de l’année précédente. De volumineux paquets de trafic indésirable peuvent très vite anéantir la capacité d’une entreprise à traiter les requêtes légitimes de ses clients, et ce déni de service entraîner ainsi des pannes. Or, la plupart des sites non protégés sont incapables de résister à une attaque DDoS classique. Par conséquent, les attaques DDoS font aujourd’hui partie intégrante du paysage des menaces et de la cybersécurité que toute entreprise présente sur le Net se doit d’anticiper dans une évaluation des risques.

Le phénomène DDoS-for-hire et la montée en puissance des attaques par réflexion et multi vecteurs. Les suites de booters DDoS-for-hire, ont engagé peu de moyens puisqu’elles ont mis à profit des attaques DDoS par réflexion. Près de 40 % des attaques DDoS en tous genres ont fait appel à ces techniques, qui s’appuient sur des protocoles Internet pour générer un trafic en réponse considérablement amplifié et dispensent le hacker de prendre le contrôle du serveur ou du device.

La généralisation de services DDoS-for-hire a permis à des hackers amateurs d’acheter ces services prêts à l’emploi. L’essor de ce marché a également été propice à l’utilisation de campagnes multivectorielles, l’innovation des attaques étant stimulée par la concurrence. Les attaques multivecteurs observées ont été considérablement plus nombreuses – en hausse de 88 % par rapport au quatrième trimestre 2013. Plus de 44 % des attaques de toute nature ont exploité plusieurs vecteurs.

Répartition mondiale des cibles et des sources d’attaques DDoS
Le rythme des attaques DDoS a été plus homogène au 4ème trimestre lié à un nombre croissant de cibles importantes dans des zones géographiques jusqu’alors sous-représentées. Par ailleurs, l’origine géographique du trafic malveillant s’est déplacée. Les États-Unis et la Chine ont continué à répondre de la plupart du trafic DDoS, mais à la différence du 3ème trimestre 2014 marqué par la domination du groupe BRIC (Brésil, Russie, Inde et Chine), le trafic d’attaques DDoS, au 4ème trimestre 2014, a émané, pour l’essentiel, des États-Unis, de la Chine et de l’Europe occidentale. Quelques faits et chiffres marquants :

Par rapport au 4ème trimestre 2013
– Nombre d’attaques DDoS : + 57 %
– Débit crête moyen : + 52 %
– Nombre crête moyen de paquets par seconde : – 77 %
– Attaques de couches applicatives : + 51 %
– Attaques de couches d’infrastructure : + 58 %
– Durée moyenne des attaques : + 28 %
– Nombre d’attaques multivecteurs : + 84 %
– Attaques à plus de 100 Gb/s : + 200 % (9 contre 3)

Par rapport au 3ème trimestre 2014
– Nombre d’attaques DDoS :+ 90 %
– Débit crête moyen des attaques : + 54 %
– Nombre crête moyen de paquets par seconde : – 83 %
– Attaques de couches applicatives : + 16 %
– Attaques de couches d’infrastructure : + 121 %
– Durée moyenne des attaques : + 31 %
– Nombre d’attaques multivecteurs : + 38 %
– Attaques à plus de 100 Gb/s : – 47 % (9 contre 17)

Les botnets à la loupe
Les logiciels malveillants sont souvent utilisés pour favoriser la propagation des botnets DDoS. Leurs caractéristiques – infection multiplate-forme, détection du système d’exploitation et maliciels destructifs – sont exposées dans le Rapport de sécurité. Akamai a, par ailleurs, défini le profil de plusieurs botnets d’attaques visant des applications web au moyen d’une nouvelle technique d’analyse tirant parti de données glanées sur Akamai Intelligent Platform™. Les botnets en question visaient à automatiser la découverte de vulnérabilités dans ces applications web face à des attaques par injection de commandes RFI (Remote File Inclusion) et OS (Operating System). Les experts Akamai ont établi leur profil en isolant des URL et charges utiles de code malveillant identiques entre des attaques apparemment sans lien. Une charge utile a servi à regrouper les données et à cartographier l’activité des botnets, les acteurs en lice et les applications web victimes de ces attaques. Cette technique de profilage permettra de recenser d’autres sources d’attaques.

Neutralisation des bots, scrapers et autres spiders
Si les attaques par déni de service ralentissent considérablement les performances d’un site, les robots d’indexation ont, eux aussi, une incidence, mais dans un degré moindre. Les plus mal codés peuvent même s’apparenter à du trafic DDoS. Akamai établit un classement des robots d’indexation en fonction de leur intérêt et de leur impact sur les performances des sites. Le Rapport de sécurité documente la hiérarchisation et la neutralisation de leurs effets.(Le rapport)

Cybersécurité, DDoS, Entreprise, Piratage

Recrudescence des attaques DDoS en France au lendemain des marches contre le terrorisme

Le 15 janvier, le vice-amiral Arnaud Coustillière, officier général à la cyberdéfense faisait état d’une montée en flèche des attaques contre des sites Web français : « Parlant d’une vague sans précédent, le vice-amiral Arnaud Coustillière, officier général de la cyberdéfense à l’état-major des armées françaises, a déclaré que 19 000 sites Web français avaient été la cible de cyberattaques ces derniers jours, … ». Une attaque que révélait le site zataz.com.

Avec l’aide de l’observatoire ATLAS, la société Arbor Networks nous a permis de constater les répercussions de conflits du monde réel sur l’espace numérique. ATLAS reçoit des données anonymes du trafic relatives aux incidents DDoS provenant de plus de 330 fournisseurs d’accès Internet partenaires à travers le monde. Nous nous sommes intéressés aux attaques DDoS survenues avant et après le dimanche 11 janvier. Afin de jauger cette riposte, nous comparons les attaques DDoS observées entre le 3 et le 10 janvier à celles recensées du 11 au 18 janvier inclus.

Fréquence des attaques
Entre le 3 et le 18 janvier, au total 11 342 attaques distinctes ont été signalées contre la France, soit en moyenne 708 par jour. La série suivante de graphiques illustre la fréquence et l’ampleur des attaques DDoS durant les 8 jours ayant précédé et suivi la date du 11 janvier à 00:00:00 GMT. Nous observons une augmentation de 26 % du nombre d’attaques DDoS dans la période qui a suivi le 11 janvier.

Ampleur des attaques
Nous constatons une hausse de 35 % de l’ampleur moyenne des attaques DDoS après le 11 janvier. En effet, dans les huit jours précédant le 11 janvier, la moyenne était de 1,21 Gbit/s. Après le 11 janvier, elle est passée à 1,64 Gbit/s.

Répartition de l’ampleur des attaques
247 (5 %) des attaques DDoS sur la période antérieure au 11 janvier ont dépassé 5 Gbit/s, chiffre qui est passé à 678 (11 %) après le 11 janvier. Tandis que la Figure 2 indique une augmentation de 35 % de l’ampleur moyenne des attaques le 11 janvier, le pourcentage d’attaques supérieures à 5 Gbit/s a, quant à lui, plus que doublé.

Pics d’attaques
Le 9 janvier s’est déroulée une attaque à 40,96 Gbit/s, tandis qu’une attaque à 63,02 Gbit/s a été signalée le 11 janvier. L’attaque du 11 janvier a donc été 54 % plus violente que celle du 9 janvier.

Le 11 janvier, la plus grande manifestation depuis la libération, a vu des millions de personnes marcher pour lutter contre le terrorisme dans tout le pays[5]. Le 15 janvier, le vice-amiral Arnaud Coustillière a fait état d’une vague sans précédent de cyberattaques contre des sites Web français, parlant d’une « riposte aux manifestations de masse ». Les données Arbor ATLAS présentées ci-dessus paraissent corroborer ces affirmations.

Les comparaisons des statistiques d’attaques DDoS durant les huit jours ayant précédé et suivi le 11 janvier font en effet apparaître une hausse de 26 % du nombre d’attaques, une augmentation de 35 % de l’ampleur moyenne des attaques, un doublement du nombre d’attaques supérieures à 5 Gbit/s et un accroissement de 54 % de l’ampleur de l’attaque la plus violente entre les deux périodes. Il s’agit là d’un nouvel exemple frappant d’une recrudescence des cyberattaques en écho à des événements géopolitiques.

Argent, Arnaque, backdoor, Banque, Cyber-attaque, Cybersécurité, DDoS, escroquerie, Identité numérique, Leak, Particuliers, Piratage

La réalité de l’industrialisation de la cybercriminalité

Selon le Centre de lutte contre la Cybercriminalité d’Europol, il n’y aurait qu’une centaine de personnes responsables de la cybercriminalité dans le monde.

Ce chiffre reflète effectivement la réalité de l’industrialisation de la cybercriminalité d’aujourd’hui, à laquelle sont confronté les entreprises, les États et les individus. Ainsi, seul un tout petit nombre de programmes permettant d’exploiter des failles logicielles connues (exploits) et d’outils en matière de cybercriminalité sont très largement exploités par les réseaux cybercriminels professionnels dans le monde entier.

Le dernier rapport semestriel sur la sécurité de Cisco a d’ailleurs mis en évidence le fait que le nombre de kits d’exploits a chuté de 87 % depuis que le créateur présumé de Blackhole a été arrêté en 2013. Cela montre à quel point ce kit a largement été utilisé par la communauté cybercriminelle.

Nous savons également que les réseaux de cybercriminels sont si bien organisés qu’ils achètent désormais « clef en main » les kits d’exploits et logiciels qu’ils utilisent pour mener à bien leurs activités. La plupart du temps, ces logiciels sont même fournis avec des manuels d’utilisation et un support technique 24/7. Ensuite, les cybercriminels utilisent Internet pour mettre en place un « réseau de distribution » dans le monde entier et diffuser leurs attaques, que ce soit physiquement ou en ligne, via des réseaux de botnets.

Selon Europol, ces kits et ces malwares sont si sophistiqués qu’avec très peu d’effort ils peuvent être réutilisés maintes fois et adaptés aux cibles des cybercriminels.

Mais si ces outils sont si fréquemment et si largement répandus, pourquoi les entreprises ne parviennent-elles pas à prévenir les attaques de leurs réseaux et leurs PC ?

Ceci est en partie dû au fait que les cybercriminels ont une longueur d’avance sur les responsables de la sécurité en trouvant de nouvelles variantes à leurs kits d’exploit alors que les experts en sécurité cherchent le moyen de les bloquer. Cette « course à l’armement » ne cessera jamais et nous savons même que de nombreux réseaux de cybercriminels vont jusqu’à acheter les solutions de sécurité pour tester leurs exploits afin de voir si ces dernières parviennent à les arrêter. Et, si tel est le cas, ils développent une nouvelle version de l’exploit pour la communauté cybercriminelle.

Ce que les professionnels de la cybersécurité ont bien compris depuis longtemps, c’est que les hackers sont très motivés, bien équipés et très qualifiés pour s’enrichir grâce à leurs activités illégales.

Les entreprises doivent ainsi s’assurer que leur sécurité est à jour et dispose des toutes dernières signatures, protections et solutions disponibles. Car, tandis que de nombreuses attaques sont destinées à une entreprise en particulier (attaque ciblée) , nous savons que beaucoup d’entre elles sont moins ciblées mais réussissent grâce à un manque de patching ou de mise à jour des signatures, des protections ou des solutions dont sont équipées les entreprises.

Aussi, les entreprises doivent s’assurer que leurs solutions de sécurité ne prennent pas seulement en compte uniquement la défense des postes de travail, mais qu’elles soient également capables de détecter les activités malicieuses potentielles sur l’ensemble de leur réseau – où les menaces peuvent apparaître. Il est fort probable que votre entreprise soit attaquée un jour, mais plus vite vous le saurez et vous agirez, plus vite vous pourrez déterminer l’ampleur des dommages sur votre business et sur la réputation de votre entreprise.  (Par Christophe Jolly, Directeur France Security Group Cisco / BBC.)

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Leak, Piratage, Wordpress, Wordpress

Plusieurs média français piratés

France 3, Le Monde, RCF… plusieurs médias français dans la ligne de mire des pirates informatiques de l’opération Anti #CharlieHebdo. Étonnant, des frères ennemis s’allient pour une même cause.

L’Armée Électronique Syrienne ressort de sa cachette 2.0 en s’attaquant au journal Le Monde. Les pirates, pro Bachar-Al-Assad, via une technique qu’ils exploitent avec, malheureusement, efficacité. Parmi les victimes, la sécurité du journal Le Monde. Le CMS de la rédaction, mais aussi le Twitter ont été manipulés. Un courriel piégé aurait permis à la SEA de prendre la main sur le quotidien français. La SEA a indiqué, dans plusieurs Tweets «Je ne suis pas Charlie» ainsi qu’un rappel sur les bombardements en Syrie. Étonnant, les pirates de l’opération anti #charliehebdo ne sont pourtant pas des pro Bachar-Al-Assad. La SEA a déjà piraté Forbes, eBay, le FC Barcelone, Reuters ou encore The Sun.

Du côté des pirates ayant lancé une opération contre le web français, trois nouveaux groupes viennent d’apparaitre. ZATAZ.COM en a recensé plus d’une trentaine. Les nouveaux se sont attaqués à plusieurs sites appartenant aux groupes France Télévision avec des espaces basés en Outre-mer ou encore  les sites Internet régionaux de France 3. Une attaque qui a du obliger France Télévision a fermer les possibilités de diffuser le moindre article sur ses sites.

Pendant ce temps…
… La Fédération de Tennis vient de déposer plainte après le piratage d’un millier de site de club que la FFT hébergeait. : « Un large éventail de sites des comités et clubs a fait l’objet d’usurpation par des individus qui les utilisent comme vitrine de leurs revendications. Il n’échappera à personne le lien avec les événements tragiques de ces derniers jours. » indique un courriel diffusé aux présidents de club. Étonnant, le groupe montré du doigt, les Fellaga Anonymous n’ont pas revendiqué cette attaque.

Banque, BYOD, Cloud, Cyber-attaque, Cybersécurité, DDoS, Entreprise, Mise à jour, Patch, Piratage

Pour une approche mixte de la protection des données contre les attaques DDoS à venir

Pour de nombreuses entreprises qui veulent mettre en œuvre une stratégie de défense anti-DDoS, se pose le dilemme d’une réelle efficacité : doivent-elles déployer des appliances sur site ou s’abonner à un service cloud anti-DDoS ? Cette décision ne peut pas être prise à la légère ni sans analyser le vaste champ des nouvelles menaces DDoS.

Les plus visibles sont les attaques volumétriques par force brute qui cherchent à saturer le réseau et perturber les services et les opérations, tandis que les attaques ‘low et slow’ qui s’en prennent à la couche applicative, sont plus difficiles à détecter. Quelle que soit la taille ou la complexité de l’attaque, l’arrêt de l’activité provoqué par un DDoS entraîne d’importantes baisses d’activité et des pertes de revenus. On estime qu’un incident peut coûter plusieurs centaines de milliers d’euros. Sans parler des conséquences et du nécessaire examen des faits pour déterminer quelles infractions ont eu lieu et comment gérer les dommages survenus auprès des clients.

Solution cloud anti-DDoS
Les attaques volumétriques massives se produisent quand l’agresseur sature la  bande passante du réseau en envoyant énormément de trafic. Les attaques par saturation sont largement médiatisées et le plus souvent associées à un DDoS,  car elles sont le plus évident et le plus manifeste exemple de ces vecteurs d’attaque de plus en plus subtils. Avec un service cloud de défense à la demande contre les DDoS qui se trouve hors site, l’intervention humaine joue un rôle-clé. Lorsqu’une attaque est détectée, le Responsable de la Sécurité doit prendre la décision d’activer la bascule vers le fournisseur Cloud de service anti-DDoS. Le temps moyen entre la détection et la mitigation d’une attaque est variable et peut atteindre une heure. Or, la majorité des attaques volumétriques consommant une grande quantité de bande passante ne dure pas plus d’une demi-heure : le temps que la défense à la demande se mette en place, l’attaque est terminée et le mal est fait.

De plus, avec une solution Cloud anti-DDoS hors site, la visibilité de l’attaque et l’analyse correspondante commencent seulement après que le trafic ait été re-routé vers le service de nettoyage, ce qui fournit très peu d’informations sur l’événement de sécurité. Certaines entreprises qui subissent des attaques volumétriques* à grande échelle, souscrivent à un service cloud anti-DDoS continu. Cette solution apporte évidemment plus de sécurité, mais elle génère des coûts très importants.

Défense sur site en temps réel
Les solutions de défense DDoS sur site, conçues à cet effet, sont des produits de sécurité des réseaux basés sur des appliances déployées entre Internet et le réseau de l’entreprise. Cette approche crée une première ligne de défense qui empêche les pannes de réseau et de service provoquées par les attaques DDoS. Comment ? En inspectant la fréquence du trafic de la ligne et en bloquant les attaques en temps réel, tout en laissant circuler les « bons » flux, sans les interrompre. La défense sur site a comme avantage de procurer une visibilité complète et sophistiquée, tout en fournissant les renseignements de sécurité sur l’attaque DDoS (et toutes les autres cyber-menaces) qui ciblent les services exposés à Internet.

Une fois connue la nature du déploiement, l’exécution de la politique de mitigation contre le trafic dû aux attaques doit être réalisée sans faux-positifs, avec un niveau de débit performant et une efficacité maximale en termes de sécurité. La technologie sur site est conçue pour gérer les attaques volumétriques du réseau par DDoS, de type SYN Flood, les attaques par réflexion et usurpation amplifiées** frauduleuses, utilisant par exemple les protocoles DNS et NTP ou les attaques de la couche applicative qui sont presque impossibles à détecter avec les solutions hors site de mitigation des attaques DDoS.

L’ approche mixte est sans doute la solution
Comme l’a mentionné récemment le SANS Institute, « des solutions anti-DDoS composées d’équipements sur site, d’équipements des fournisseurs d’accès à Internet et/ou d’architectures de mitigation sont près de quatre fois plus efficaces que les solutions sur site seules ou les solutions de services seuls. La sophistication croissante des attaques DDoS et le caractère sensible de la perturbation des services marchands exigent à la fois une protection locale et une protection en amont, travaillant en totale synchronisation « . L’expérience des entreprises qui ont mis en place avec leur fournisseur de service à la demande un système assis sur la visibilité des attaques apportée par les solutions sur site montrent toute la pertinence de cette analyse
Autre avantage d’une telle approche : le dispositif local réduit considérablement la fréquence de passage à la mitigation cloud, ce qui allège les coûts associés à ces basculements et fournit toujours une protection contre toutes les formes d’attaques par DDoS.

Cette nouvelle stratégie de lutte contre les DDoS fournit aux entreprises le meilleur des deux mondes, en combinant la résilience et la dimension des solutions du cloud computing avec la protection en temps réel, la visibilité sophistiquée et l’inspection granulaire du trafic des solutions sur site. Ce type d’approche constitue une véritable ligne de défense avancée contre la panoplie des menaces DDoS qui évoluent en permanence. (Par Adrian Bisaz, Vice President Sales EMEA de Corero Network Security))

*Les attaques à volume important représentent moins que 20% des attaques par déni de service. La plupart sont inférieures à la bande passante de l’accès.
**En quoi consiste une attaque par réflexion ? C’est une attaque où le pirate ment sur son adresse IP. Il envoie des paquets avec une adresse IP source qui n’est pas la sienne. Les réponses à ces paquets mensongers sont envoyées à l’adresse IP source indiquée, c’est-à-dire celle de la victime. Le trafic reçu par la victime peut être énorme en raison de l’amplification. Les attaques par déni de service par réflexion utilisent un protocole comme DNS ou NTP.

BYOD, Cloud, Cybersécurité, DDoS, Entreprise, Mise à jour, Patch, Piratage

Faille pour les Linksys SMART WiFi

Les routeurs wifi Linksys SMART victimes de plusieurs failles qui pourraient permettre à un pirate de s’inviter dans les informations sensibles des boitiers.

Kyle Lovett, chercheur en sécurité informatique, a mis la main sur plusieurs failles ont été découvertes dans les routeurs de la marque Linksys. Le firmware des routeurs sont montrés du doigt. Un pirate, à distance,  peut être en mesure de lire ou de modifier les informations sensibles contenus dans les boitiers. Les linksys sensibles font parti de la gamme des EA. Les versions 2700, 3500, 4200v2, 4500, 6200, 6300, 6400, 6500, 6700 et 6900 sont faillibles.

Le problème a été découvert en juillet 2014. L’alerte officielle a été diffusée fin octobre par le KB Cert. Un attaquant non authentifié sur le réseau local (LAN) peut lire le fichier .htpassword du routeur en lançant la simple commande http://<router_ip>/.htpasswd. Le fichier .htpasswd contient le mot de passe de l’administrateur, chiffré en MD5. Même sanction pour les JNAP http://<router_ip>/JNAP/.

Une commande qui, dans certaines mesures, permet de lire et/ou modifier les informations sensibles sauvegardés sur le routeur. Deux ports ouverts ouvrent l’administration du routeur sans avoir besoin d’être authentifié : 100080 et 52000. LinkSys vient de diffuser une mise à jour qui est fortement conseillé d’installer. (nvd.nist.gov)

http://support.linksys.com/en-us/support/routers/E4200
http://support.linksys.com/en-us/support/routers/EA4500
http://support.linksys.com/en-us/support/routers/EA6200
http://support.linksys.com/en-us/support/routers/EA6300
http://support.linksys.com/en-us/support/routers/EA6400
http://support.linksys.com/en-us/support/routers/EA6500
http://support.linksys.com/en-us/support/routers/EA6700
http://support.linksys.com/en-us/support/routers/EA6900

Pendant ce temps…
Pensez aussi à protéger votre LinkSys des attaques du virus Moon. Ce malware « La Lune » a affecté certains Routeurs sélectionnés et anciens de série E de Linksys, et sélectionnés certains anciens points d’accès et routeurs Sans fil-N. Un correctif de micrologiciel est prévu au cours des prochaines semaines. Le malware The Moon contourne l’authentification sur le routeur en se connectant sans connaître les références de l’administrateur. Une fois infecté, le routeur commence à inonder le réseau avec des ports 80 et 8080 du trafic sortant. Bilan, ça rame ! Pour vous protéger, sélectionnez l’option « disabled » dans la partie Remote Managament Access dans votre administration de votre routeur. Assurez-vous aussi que l’option de Filter Anonymous Internet Requests sous Internet Filter est coché.

Cybersécurité, DDoS, Entreprise, Piratage

Se protéger des attaques DDoS

Un commentaire

Les organisations doivent arrêter de compter sur leurs fournisseurs de services Internet pour les protéger des attaques DDoS et doivent prendre les choses en main. (Par Christophe Auberger, Directeur Technique France chez Fortinet pour datasecuritybreach.fr)

Les attaques par Déni de Services Distribués (DDoS) sont l’une des menaces Internet les plus anciennes et continuent d’être le principal risque pour les réseaux à travers le monde. En même temps que les protections ont évolué, la technologie utilisée par les hackers s’est adaptée et est devenue beaucoup plus sophistiquée. De nouveaux types d’attaques ciblent désormais les applications et services, et sont souvent cachées dans les couches 3 et 4, ce qui les rend difficilement détectables.

En matière d’attaques DDoS, le secteur financier est l’une des cibles privilégiées des cybercriminels, suivie de près par le secteur public. Outre le fait de perturber les opérations Internet par un assaut brutal de données, les attaques DDoS ont récemment été utilisées pour recueillir des informations financières et relatives au commerce en ligne. Ces attaques ont souvent pour objectif de perturber les opérations, principalement en détruisant l’accès à l’information.

Il y a généralement trois catégories de motivations derrière les attaques DDoS: politique, de représaille et financière. Les attaquants politiques ciblent ceux qui ne sont pas d’accords avec leurs convictions politiques, sociales ou religieuses. Lorsqu’un botnet ou un important réseau cybercriminel est démantelé, cela peut déclencher des attaques de représailles contre ceux qui ont aidé ou assisté les autorités. Les attaques motivées par l’argent suivent un schéma « pay-to-play » dans lequel les hackers sont compensés par une tierce partie qui leur demande de mener l’attaque pour elle. Quelle que soit la motivation, le résultat est le même – votre réseau et services en ligne deviennent indisponibles, et peuvent rester ainsi pendant un long moment.

Méfiez-vous des attaques DDoS avancées visant la couche applicative
Il existe de nombreux types d’attaques DDoS largement utilisés aujourd’hui, allant des anciennes méthodes des débuts de l’Internet aux dernières attaques avancées visant la couche 7 et ciblant les applications. L’inondation de requêtes SYN et HTTP GET sont les plus communes et utilisées pour surcharger les connexions réseau ou les serveurs derrière les pare-feux et système de prévention d’intrusion (IPS).

Toutefois, le plus inquiétant est que les attaques visant la couche applicative utilisent des mécanismes beaucoup plus sophistiqués pour attaquer les services et réseau des organisations. Plutôt que d’inonder simplement un réseau avec du trafic ou des sessions, ces types d’attaques ciblent des services et applications spécifiques pour épuiser lentement les ressources au niveau de l’application (couche 7).

Les attaques visant la couche applicative peuvent être très efficaces en utilisant peu de volumes de trafic, et peuvent être considérer comme tout à fait normales par la plupart des méthodes de détection DDoS traditionnelles. Cela rend les attaques visant la couche applicative beaucoup plus difficiles à détecter que les autres types d’attaques DDoS basiques.

Les options en matière de protection DDoS
La plupart des FAI offrent une protection DDoS des couches 3 et 4 pour empêcher les liens des organisations d’être inonder lors d’attaques volumétriques de masse. Cependant, ils n’ont pas la capacité de détecter les plus petites attaques visant la couche 7. Ainsi, les centres de données ne devraient pas uniquement compter sur leur FAI pour bénéficier d’une solution complète DDoS, dont la protection de la couche applicative. Au lieu de cela, ils devraient envisager de mettre en place une des mesures suivantes:

1. Les fournisseurs de services DDoS: Il existe beaucoup de solutions hébergées DDoS basées sur le cloud qui fournissent des services de protection des couches 3, 4 et 7. Elles vont des projets peu couteux pour les petits sites Web jusqu’à ceux pour les grandes entreprises qui requièrent la couverture de plusieurs sites Web. Elles sont en général très faciles à mettre en place et fortement poussées auprès des petites et moyennes entreprises. La plupart offre des options de tarification personnalisée et beaucoup ont des services de détection avancée de la couche 7 à disposition des grandes organisations qui nécessitent que des capteurs soient installés dans le centre de données. Beaucoup d’entreprises choisissent cette option, mais certaines d’entre elles doivent faire face à des frais excédentaires importants et imprévus lorsqu’elles sont frappées par des attaques DDoS en masse. Par ailleurs, la performance n’est parfois pas à la hauteur car les fournisseurs de services redirigent le trafic DDoS vers les centres de protection au lieu de les stopper en temps réel, ce qui est particulièrement problématique pour les attaques de courte durée, qui sont celles généralement rencontrées.

2. Pare-feu ou IPS: Presque tous les pare-feux et système de prévention d’intrusion (IPS) modernes revendiquent un certain niveau de défense DDoS. Les pare-feux nouvelles générations avancés  (NGFW) offrent des services DDoS et IPS et peuvent protéger de nombreuses attaques DDoS. Avoir un dispositif pour le pare-feu, IPS et DDoS est plus facile à gérer, mais peut être submergé par des attaques volumétriques DDoS, et peut ne pas avoir les mécanismes sophistiqués de détection pour la couche 7 que d’autres solutions ont. Un autre compromis à prendre en compte est que l’activation de la protection DDoS sur le pare-feu ou l’IPS peut impacter la performance globale du seul dispositif, entrainant des débits réduits et une augmentation de la latence pour les utilisateurs finaux.

3. Appliances dédiées à la protection d’attaques DDoS: Ce sont des dispositifs matériels qui sont déployés dans un centre de données et utilisés pour détecter et stopper les attaques DDoS basiques (couche 3 et 4) et avancées (couche 7). Déployées au point d’entrée principal pour tout le trafic Web, elles peuvent à la fois bloquer les attaques volumétriques en masse et surveiller tout le trafic entrant et sortant du réseau afin de détecter les comportements suspects des menaces visant la couche 7. En utilisant un dispositif dédié, les dépenses sont prévisibles car le coût est fixé quelque soit la fréquence des attaques, que l’entreprise soit attaquée une fois en six mois ou tous les jours. Les aspects négatifs de cette option sont que ces dispositifs sont des pièces matérielles supplémentaires à gérer, que les unités à faible bande passante peuvent être submergées lors d’attaques volumétriques en masse, et que de nombreux fabricants nécessitent des mises à jour fréquentes en matière de signatures.

Les solutions matérielles dédiées de protection des attaques DDoS existent en deux versions principales – celle pour les opérateurs télécoms et celles pour les entreprises. Les premières sont des solutions complètes conçues pour les réseaux mondiaux des FAI et sont très couteuses. La plupart des organisations qui veulent protéger leurs centres de données privés optent habituellement pour les modèles entreprises qui offrent une détection et protection DDoS rentable. Les modèles d’aujourd’hui peuvent gérer des attaques volumétriques en masse et assurer une protection à 100% des couches 3, 4 et 7 ou peuvent être utilisés pour compléter une protection fournie par le FAI contre les attaques DDoS en masse et assurer une détection et protection avancées de la couche 7. Bien que ces dispositifs nécessitent un investissement initial, ce qui n’est pas le cas des solutions hébergées, ils sont généralement beaucoup moins chers à long terme si l’on prend en compte les frais excédentaires dans le budget total.

Les entreprises devraient considérer des appliances de protection d’attaques DDoS qui utilisent des méthodes d’adaptation basées sur le comportement pour identifier les menaces. Ces appliances apprennent les bases de référence de l’activité normale des applications et ensuite surveillent leurs trafics par rapport à ces bases. Cette approche d’adaptation/d’apprentissage a l’avantage de protéger les utilisateurs des attaques zero-days inconnues puisque que le dispositif n’a pas besoin d’attendre que les fichiers signatures soient mis à jour.

Les attaques DDoS sont en hausse pour presque toutes les organisations, grandes ou petites. Les menaces potentielles et volumes augmentent à mesure que de plus en plus d’appareils, y compris les téléphones mobiles, accèdent à Internet. Si votre organisation a une propriété Web, la probabilité de subir une attaque n’a jamais été aussi élevée. La nature évolutive des attaques DDoS signifie que les entreprises ne peuvent plus compter uniquement sur leur FAI pour se protéger. Les organisations doivent commencer à effectuer des changements dès à présent pour une plus grande prévoyance et bénéficier de défenses plus proactives pour les services au niveau des applications et du réseau.

Cyber-attaque, Cybersécurité, DDoS, Piratage

Lancement d’Antibot France

Un commentaire

Le CECyF – Centre Expert contre la Cybercriminalité Français et Signal-Spam ont lancé le 20 octobre 2014 Antibot France, un site d’information de prévention sur les botnets, membre du réseau européen du projet pilote Advanced Cyber Defence Centre.

Un botnet est formé par la connexion à un système de commande et de contrôle de plusieurs dizaines, centaines, voire milliers ou plus de systèmes infectés par un logiciel malveillant. Les botnets ont de nombreux usages comme: envoyer du courrier électronique non sollicité (spam), réaliser des attaques en déni de service distribué, détourner des informations confidentielles sur les machines contaminées (comme des mots de passe, l’accès à un compte bancaire), héberger des contenus illicites ou encore installer d’autres virus.

Le site www.antibot.fr informe sur ce que sont les botnets, comment ils se propagent – et donc en particulier comment un système numérique est contaminé par un virus aujourd’hui, mais aussi propose des moyens de s’en protéger et de nettoyer son ordinateur.

Le site comporte un blog qui diffusera régulièrement des articles informant sur l’actualité des botnets, propose parmi les outils de nettoyage des solutions qui ont été développés dans le cadre du projet Européen Advanced Cyber Defence Centre comme EU Cleaner ou Check and Secure un outil de diagnostic en ligne.

A noter, que les instigateurs de ce projet organisent le Botconf’14. The botnet fighting conference à Nancy, du 3 au 5 Décembre 2014.

Cyber-attaque, Cybersécurité, DDoS, Entreprise, Fuite de données, Piratage, Propriété Industrielle

Evolution des attaques par Déni de Service

Symantec vient de dévoiler une analyse expliquant l’évolution des attaques par Déni de Service (DDoS) ; des attaques toujours plus rapides et plus intenses, devenant davantage contraignantes pour les entreprises et les consommateurs.

En plus de rappeler les objectifs qui motivent généralement ce type d’attaque, ainsi que les différentes méthodes pour en atténuer les conséquences, l’analyse met en avant une augmentation de 183 % des attaques par amplification DNS, entre janvier et août 2014 ; A partir de 5 dollars (La rédaction de DataSecurityBreach.fr a pu constater de son côté des prix bien plus bas, NDLR), des pirates proposent de louer leurs services et de lancer des attaques DDoS sur n’importe quelle cible ; l’Inde est le pays d’où sont originaires le plus grand nombre d’attaques DDoS (26 %), devant les États-Unis (17 %) ;

Pour la première fois, une attaque a été détectée à hauteur de 400 Gigabitss par seconde, tandis qu’en 2013, la plus lourde attaque observée n’était “que” de 300 Gigabits/seconde. Bien qu’elles ne se déroulent pas à grande échelle pour le moment, il est probable qu’une augmentation des attaques DDoS provenant des smartphones et objets connectés devienne une réalité. [Symantec]