Sécurité IT : un danger multiforme

Atouts pour la compétitivité des entreprises, le cloud et la mobilité soulèvent d’autant plus de problématiques sécuritaires qu’ils sont souvent mal intégrés au système d’information.

C’est l’un des principaux constats établis par Cisco dans l’édition 2014 de son Annual Security Report (document PDF, 81 pages). L’équipementier réseau s’est intéressé à l’évolution du paysage des logiciels informatiques, aux vulnérabilités les plus exploitées, aux attaques ciblées ou encore au retour en force du déni de service (DDoS).

D’année en année, les cybercriminels se « professionnalisent ». Leurs objectifs sont désormais clairement définis : au prix d’un long travail de recherche en amont, ils visent des données bien particulières (identités, propriété intellectuelle) et multiplient les tests avant de passer à l’action. Leurs offensives deviennent de plus en plus difficiles à détecter et pour cause : elles s’appuient sur de multiples points d’entrée – dont des structures partenaires de l’entreprise visée – et sont souvent déguisées en trafic légitime.

L’erreur humaine reste le principal point faible exploité par les pirates, que ce soit via des sites Web détournés, des e-mails frauduleux ou des applications mobiles malicieuses. Mais au-delà des postes de travail, la cible réside souvent dans le data center, où la prise de contrôle de serveurs assure des conditions optimales de bande passante et de disponibilité pour lancer des attaques. Illustration avec la campagne Darkleech, qui a permis de contaminer rapidement plus de 20 000 sites Web reposant sur Apache HTTP avec une backdoor permettant d’injecter du code tiers en temps réel.

L’une des méthodes les plus utilisées pour attaquer ces serveurs reste la force brute, caractérisée par des tentatives d’authentification répétées jusqu’à trouver la bonne paire identifiant / mot de passe. Les sites propulsés par des CMS sont les premiers ciblés, généralement via des vulnérabilités dans des plugins.

Le rançongiciel est également en vogue. Ce type de malware empêche un système de fonctionner jusqu’à ce que la victime verse une rançon. Il tend à supplanter les botnets, plus complexes à mettre en place. Cryptolocker en fut l’exemple le plus probant en 2013 avec ses techniques de chiffrement de fichiers pour les rendre inaccessibles.

Failles à l’horizon

Dans les entreprises, le nombre d’alertes liées à des événements de sécurité a atteint, en octobre 2013, son plus-haut depuis le début des relevés de Cisco en l’an 2000. Il s’agit de plus en plus souvent de nouvelles vulnérabilités, signe des efforts déployés par l’ensemble des acteurs de la protection des systèmes d’information.

Les failles les plus exploitées restent celles associées aux corruptions de mémoire. Suivent les erreurs de validation de données, le contournement des permissions et contrôles d’accès, le XSS (« Cross-Site Scripting ») et l’injection de code.

Le spam reste un vecteur privilégié des pirates : quand bien même son volume global a progressivement diminué en 2013 (de plus de 100 milliards de mails par mois au printemps à moins de 50 milliards à l’automne), la proportion de messages malveillants est restée stable. Cisco a relevé un pic après les attentats du 15 avril au marathon de Boston. Mais au-delà de l’actualité, les scams peuvent aussi s’appuyer sur de fausses notifications bancaires, de prétendues confirmations d’achats de produits, des alertes carte de fidélité ou encore des notifications Facebook/PayPal.

Concernant les menaces qui viennent du Web, 91 % exploitent la fragilité de l’environnement Java – utilisé, selon son éditeur Oracle, sur au moins un poste de travail dans 97 % des entreprises. Les miettes sont à mettre à l’actif de la visionneuse PDF Adobe Reader (3 %) et des logiciels Microsoft (3 % pour Excel ; 2 % pour Word ; 1 % pour PowerPoint).

Autre enjeu de taille : le BYOD, c’est-à-dire l’utilisation, par les employés, de leurs appareils personnels (tablettes, smartphones…) dans le cadre de leur exercice professionnel. D’après Cisco, les entreprises devraient imposer a minima un code PIN pour l’identification et la possibilité de prendre le contrôle du terminal à distance pour pouvoir le verrouiller ou l’effacer en cas d’urgence.

Les logiciels malveillants sur mobile (dont 99 % sévissent sur Android, essentiellement pour envoyer des SMS surtaxés) ne représentent encore que 1,3 % du volume total de malware. Au global, les chevaux de Troie (scripts malicieux, portes dérobées, enregistreurs de frappe…) devancent les menaces de type adware (affichage de publicité).

—— A voir aussi ——
Quiz ITespresso.fr : connaissez-vous les meilleures applications Android pour les professionnels ?

Crédit photo : dencg – Shutterstock.com