Seules 35 % des entreprises assurent un traitement automatisé des
clés lorsque les administrateurs changent
SALT LAKE CITY–(BUSINESS WIRE)–Venafi®,
leader de solutions de protection de l’identité des machines, annonce
aujourd’hui les résultats d’une étude réalisée par Dimensional Research
en juillet 2017 afin de savoir comment les organisations gèrent
et mettent en œuvre Secure Shell (SSH) dans leurs environnements.
Plus de 410 spécialistes de la sécurité informatique ont participé à
cette étude qui révèle l’absence généralisée de contrôles de sécurité
SSH.
Les pirates informatiques peuvent faire un emploi abusif des clés SSH
pour sécuriser et automatiser les accès « administrateur-machine » et
« machine-machine » aux fonctions critiques de l’entreprise. Selon cette
étude, bien que les clés SSH assurent les niveaux les plus élevés des
accès administratifs, elles ne sont généralement ni suivies ni gérées et
restent mal sécurisées. C’est ainsi que 63% des personnes interrogées
reconnaissent ne pas assurer de traitement automatisé des clés en cas de
départ d’un administrateur, qui conserve alors un accès privilégié aux
systèmes critiques de l’entreprise.
« Une clé SSH qui tombe dans de mauvaises mains peut être extrêmement
dangereuse », affirme Nick Hunter, directeur technique de Venafi. « Les
pirates informatiques peuvent s’en servir à distance pour accéder aux
systèmes, contourner les outils de sécurité et utiliser généralement la
même clé pour accéder à un plus grand nombre de systèmes. Il ressort
très clairement de ces résultats que la plupart des entreprises n’ont
pas mis en œuvre de politiques de sécurité SSH ni de configurations de
restriction des accès SSH car elles ne connaissent pas les risques liés
au protocole SSH ni son impact sur les dispositifs de sécurité ».
Principales conclusions de l’étude :
-
61% des personnes interrogées n’appliquent pas de surveillance ni de
limitation du nombre d’administrateurs qui gèrent SSH ; seules 35 %
mettent en œuvre des politiques qui interdisent aux utilisateurs SSH
de configurer leurs clés autorisées ; les entreprises sont ainsi
exposées aux abus de personnes malveillantes bien informées. -
90% des personnes interrogées ont affirmé ne pas disposer d’un
inventaire complet et précis de toutes les clés SSH ; elles n’ont donc
aucun moyen d’établir si des clés ont été volées, utilisées de manière
abusive ou ne sont pas fiables. -
Seules 23% des personnes interrogées assurent une rotation des clés
sur une base trimestrielle ou plus souvent. Tandis que 40% ont affirmé
qu’elles n’effectuent aucune rotation des clés ou bien uniquement de
manière occasionnelle. Les hackers qui accèdent aux clés SSH
conservent un accès privilégié jusqu’à la rotation des clés. -
51% des personnes interrogées affirment ne pas appliquer le
« transfert de port » pour les SSH. Le transfert de port permet aux
utilisateurs de contourner effectivement les pare-feux entre les
systèmes. Un pirate informatique peut ainsi disposer d’un accès SSH
pour évoluer rapidement d’un segment de réseau à un autre. -
54% des personnes interrogées ne limitent pas les emplacements à
partir desquels les clés SSH peuvent être utilisées. Pour les
applications statiques, le fait de restreindre l’utilisation SSH à une
adresse IP spécifique permet d’empêcher les hackers d’utiliser à
distance une clé SSH compromise.
Cette étude a été réalisée par Dimensional Research et a été achevée en
juillet 2017. Elle a analysé les réponses de quatre cent-onze
spécialistes de la sécurité informatique, qui ont une
connaissance approfondie de SSH et sont implantés aux États-Unis, au
Royaume-Uni et en Allemagne.
Ressources complémentaires :
Livre
électronique : Évaluation de la sécurité de vos clés SSH
Synthèse
: Gestion et sécurité des clés SSH
Blog :
Bonnes pratiques de gestion des clés SSH : quels sont les risques
encourus par vos clés SSH ?
À propos de Venafi
Venafi est un acteur majeur du marché de la sécurité dans le domaine de
la protection de l’identité des machines, des connexions et des
communications sécurisées entre machines. Venafi protège l’identité des
machines en orchestrant la gestion des clés cryptographiques et des
certificats numériques pour les usages SSL/TLS, IoT, mobiles et SSH.
Venafi fournit une visibilité complète des identités des machines et des
risques associés dans l’entreprise au sens large – sur site, mobile,
cloud et IoT – à l’échelle et la vitesse d’une machine. Venafi met en
œuvre des processus avancés d’automatisation permettant de réduire les
menaces pour la sécurité et les indisponibilités de services, liées aux
identités faibles, obsolètes ou compromises des machines tout en
préservant le flux d’informations à destination de machines fiables et
en interdisant la communication avec des machines non fiables.
Titulaire de plus de 30 brevets, Venafi fournit des solutions innovantes
aux entreprises du classement Global 5000 les plus exigeantes et
sensibilisées à la sécurité, notamment les cinq premières compagnies
d’assurance américaines, les cinq premières compagnies aériennes
américaines, quatre des plus grandes banques des États-Unis, du
Royaume-Uni et d’Afrique du Sud et quatre des cinq acteurs majeurs de la
distribution aux États-Unis. Pour plus d’informations, veuillez
consulter le site : http://www.hidglobal.com.
Contacts
Venafi
Shelley Boose, 408-398-6987
shelley.boose@venafi.com