CYBERSECURITY
New Security Magazine 154 – avril 2020
La cybersécurité doit être adaptée à chaque entreprise
Une liste des dangers possibles cite immédiatement la cybersécurité comme un ennemi diversifié. La protection doit être faite, de préférence, sur mesure. Photo Toreon
Nous constatons une forte recrudescence du nombre de mails de harponnage, avec des méthodes toujours plus audacieuses. Photo Toreon
En tant que service informatique, il faut s’armer de tous les moyens possibles contre un ennemi qui surgit de tous côtés. Photo Cheops Technology
Voici à quoi peut ressembler un cadre d’applications (framework). Certaines mesures constituent une base absolue, telles qu’un pare-feu ou un logiciel antivirus. D’autres mesures vont un peu plus loin. Photo Cheops Technology
L’actualité nous apprend que le nombre de piratages d’entreprises et d’organisations est en forte augmentation. En début d’année, Picanol et la ville de Willebroek, entre autres, en ont été victimes, mais ce n’est que le sommet de l’iceberg. En réalité, une tentative de cybercambriolage est souvent non détectée ou dissimulée pour éviter de nuire à la bonne réputation. Chacun doit donc se protéger, mais comment procéder au mieux ?
‘Mon entreprise n’intéresse pas les hackeurs’ ; c’est l’argument péremptoire utilisé par certaines entreprises pour abandonner ou reporter les mesures à prendre. Malheureusement, cette affirmation n’est plus d’actualité. Alors que les pirates informatiques pouvaient à l’origine être classés principalement dans la catégorie espionnage industriel, ce n’est plus le cas aujourd’hui. La raison ? Pour les hackeurs industriels, c’est le contenu des données qui est important, mais pour la plupart des logiciels rançonneurs, ce n’est plus vrai. En d’autres termes : chaque entreprise est aujourd’hui intéressante pour les pirates informatiques. De plus, grâce à une connectivité et une numérisation accrues, les risques augmentent en nombre et en diversité. C’est pourquoi nous commencerons par les évolutions des techniques de piratage.
Logiciel rançonneur et hameçonnage
L’hameçonnage (ou phishing) est une technique souvent utilisée. Auparavant, cela se faisait de manière relativement simple, avec comme exemple le plus connu : un prince nigérian ayant besoin de votre aide pour encaisser sa fortune. Aujourd’hui peu de gens tombent encore dans ce piège, et les hackeurs deviennent plus inventifs. Le harponnage (ou spear phishing) est l’étape suivante dans l’évolution, par laquelle on recherche très précisément les victimes potentielles. Cela peut se faire de manière très sophistiquée : les pirates cartographient votre entreprise ; ils savent qui occupe tel ou tel poste, et qui a des responsabilités (financières). En pénétrant ensuite dans une boîte mail, ils arrivent rapidement à apprendre et intercepter certaines transactions financières.
Passons au logiciel rançonneur (ou ransomware). Les pirates se frayent un chemin vers vos données et font en sorte que vous ne puissiez plus y accéder sauf de payer une rançon. Les façons dont ils accèdent à vos données sont aussi diverses qu’intensives. Ici aussi, nous voyons une approche différente : là où auparavant les logiciels malveillants (ou malware) étaient lancés ‘au petit bonheur la chance’, nous voyons maintenant émerger également des logiciels rançonneurs très ciblés. Ils sont destinés à prendre en otage des systèmes importants d’une entreprise spécifique, comme cela a été fait chez Picanol en début d’année. Un problème supplémentaire est que les entreprises sont souvent enclines à payer la rançon parce qu’elles perdent ainsi moins d’argent que de voir leur production mise à l’arrêt. Cependant, des voix appellent à interdire légalement ce paiement afin de stopper la rentabilité de ces opérations cybercriminelles.
Mesures à prendre
Que peut faire une entreprise pour se protéger ? Nous avons demandé conseil pour ce faire à des experts de Toreon. Siebe De Roovere, consultant principal chez Toreon : « Nous attachons une grande importance à l’individualité de chaque entreprise. Toute entreprise a un profil de sécurité spécifique. C’est pourquoi il est important que l’entreprise commence par sa propre évaluation, afin d’identifier ses propres risques et la situation de départ. Cela permet de préciser d’emblée les faiblesses opérationnelles, telles qu’une politique de droits d’accès mal conçue. Sans cette base indispensable, l’efficacité d’autres mesures est bien moindre. Il existe également de grandes différences entre les entreprises dans le domaine de la sécurité de l’information. La confidentialité est importante dans un hôpital, mais la disponibilité est encore plus importante. En cas de problème de confidentialité, vous n’avez ‘seulement’ qu’une violation de données ; en cas de problème de disponibilité, des vies humaines peuvent être en jeu. Dans le cas d’organisations technologiques avec propriété intellectuelle, l’intégrité des données est primordiale. Néanmoins, nous pouvons lister huit ‘gains rapides’ au total (voir encadré). »
« Un plan adapté à chaque entreprise »
Le fournisseur de services informatiques Cheops Technology affirme également la nécessité d’une meilleure protection. « Nous avons fait réaliser une étude auprès d’une cinquantaine d’entreprises belges et nous avons également les résultats d’autres études de marché comparables », déclare Kenny Dierickx, directeur d’opérations chez Cheops Technology. « Il en ressort un certain nombre de résultats troublants. Ainsi, 33 % des entreprises pensent que leur secteur n’est pas intéressant pour les hackeurs. 82 % d’entre elles indiquent qu’en 2019 elles ont eu au moins un incident de sécurité informatique – logiciel malveillant crypto-verrouilleur, perte de données,… Un autre chiffre significatif : une part de 11 % en moyenne du budget informatique total va vers la sécurité. C’est peu. »
« Si nous regardons les mesures futures que les entreprises indiquent vouloir prendre, nous voyons que la sensibilisation des collaborateurs est une priorité, tout comme la gestion de l’accès au réseau et les droits d’utilisation. En même temps, elles veulent aussi la sécurité. Les services informatiques doivent garantir que les entreprises peuvent se concentrer sur leur cœur de métier, mais en même temps, elles recherchent également des mesures adaptées. C’est pourquoi nous plaidons pour une méthode de travail appropriée, adaptée à chaque entreprise. Toute entreprise a ses propres risques. Ils dépendent de la taille, du secteur et de la nature des activités. Nous procédons de ce fait sur la base d’un cadre d’applications ou framework (voir l’illustration). Après une première évaluation, nous donnons à chaque mesure un niveau de priorité. Certaines mesures constituent une base absolue, telles qu’un pare-feu ou un logiciel antivirus. D’autres mesures vont un peu plus loin. Il est vraiment très important de créer une protection sur mesure. »
Par Sammy Soetaert
Huit gains rapides
1/ Planifier des sauvegardes et tester régulièrement. Cela ne doit pas être compliqué ; bien souvent c’est même déjà intégré dans les systèmes logiciels.
2/ La même chose s’applique à la gestion des correctifs (patches). Un logiciel malveillant est souvent développé spécifiquement pour exploiter les faiblesses du logiciel. Les correctifs des fournisseurs doivent dès lors être absolument suivis.
3/ Les logiciels antivirus sont tout aussi importants. Il arrive souvent que le serveur soit en lui-même bien protégé, mais que les appareils (ordinateurs portables, tablettes, etc.) raccordés extérieurement, constituent le maillon faible. Il peut être intéressant de mettre gratuitement votre logiciel antivirus à disposition des collaborateurs, surtout si vous fonctionnez selon le principe du ‘Bring your own device’ (Apportez votre propre équipement).
4/ Les anciennes applications fonctionnent parfois avec des logiciels obsolètes qui ne sont plus suivis, avec tous les risques que cela implique. La migration vers des systèmes modernes n’est souvent pas possible, mais dans ce cas, assurez-vous toujours qu’ils sont suffisamment séparés du reste du système.
5/ Gestion des droits d’accès : assurez-vous que les collaborateurs ne puissent accéder à plus de données que ce qui est absolument nécessaire pour leurs tâches. La femme de ménage qui doit enregistrer ses tâches dans le département en Corée du Sud, dans une application du prestataire local, ne doit pas avoir accès à l’application de vente du département belge et vice-versa. Veillez aussi au suivi de tous les droits d’accès et limitez-les, là ou nécessaire.
6/ Utilisez un gestionnaire de mots de passe. Les premiers jours nécessitent une certaine adaptation, mais après quelque temps cela s’avère plus efficace.
7/ N’ayez pas peur du cloud : les systèmes cloud sont souvent proposés par de grandes entreprises puissantes, qui peuvent investir beaucoup dans la sécurité de leurs systèmes grâce à leur taille. Une protection optimale peut ainsi être garantie en activant les bonnes options de sécurité.
8/ Continuez à insister sur la sensibilisation de chaque collaborateur.
Quelques exemples marquants
* La direction de l’entreprise X décide d’une réunion concernant les modalités de paiement des bonus. Ce que l’entreprise ne sait pas, c’est qu’un hackeur a également accès à ces informations d’actualité, probablement via une boîte mail. Le lendemain il envoie au service comptable un faux mail presque parfaitement imité dans lequel il se présente comme le DG, en demandant de verser les bonus sur un certain compte bancaire. La tentative échoue grâce à un employé plus méfiant, car le mail débute par ‘Salut Dirk’, là où le vrai DG utilise toujours ‘Cher Dirk’. À ce jour, l’entreprise ignore encore comment le pirate avait pu accéder à ces informations sensibles.
* Le service informatique d’une grosse entreprise belge laisse, à titre d’essai, traîner au hasard 40 clés USB dans les services. Elles comportent un programme intitulé ‘Financial Info’ (Infos financières). En réalité, ce programme lance un script qui établit automatiquement un contact avec le service informatique. Au bout d’une semaine, les 40 clés USB ont disparu. Six seulement sont ramenées en tant qu’objets perdus. Sur les 34 autres, dans dix-neuf cas l’on a cliqué sur le programme, dont seize fois depuis l’ordinateur de l’entreprise.
* L’entreprise de logistique Maersk a été victime d’un virus. Elle a pu, à la toute dernière minute et avec beaucoup de chance, échapper à une catastrophe financière parce qu’un de leurs centaines de serveurs n’était pas en fonctionnement à ce moment précis, suite à une panne de courant. Après avoir rapatrié cet unique serveur depuis l’Afrique, toutes les installations ont pu être redémarrées systématiquement.
* Des trafiquants de drogue ont pu accéder aux réseaux de compagnies de navigation et de sociétés de transbordement dans le port d’Anvers, via des enregistreurs de frappe (key loggers / programmes interceptant le texte), des plugs pwn (boîtiers d’alimentation transmettant des données) et des systèmes WiFi craqués. Ils ont pu ainsi connaître non seulement la position mais aussi le code pin de chaque conteneur.