Guide de la protection Web : une approche de la sécurité réseau centrée sur l utilisateur

Guide de la protection Web : une approche de la sécurité réseau centrée sur l utilisateur

Table des matières Introduction 3 Comment évolue la cyber-criminalité? 4 Dans quels domaines avons-nous réussi 6 jusqu à présent? Qu est-ce que la protection Web? 7 La nécessité d une protection Web 8 Quels sont les critères d une protection 9 Web efficace? Conclusion : mieux vaut prévenir que guérir 10 Guide de la protection Web 2

Introduction La cyber-criminalité figure parmi les secteurs d activité les plus innovants de notre époque. Elle ne doit pas être sous-estimée, il s agit réellement d une industrie. Les cyber-criminels travaillent constamment pour faire évoluer leurs techniques et leurs outils, et les experts de la sécurité informatique s investissent aussi au maximum pour bloquer leurs efforts. Par certains aspects, l innovation est une compétence essentielle de la cyber-criminalité, et peut-être même davantage que dans le secteur du développement logiciel légal. Depuis des années, les cyber-criminels utilisent les mêmes techniques pour infecter les systèmes qu ils prennent pour cibles. Ces techniques sont encore productives, mais elles évoluent de plus en plus vers des vecteurs d attaque basés sur le Web. Cette évolution est rendue nécessaire par les progrès de l industrie de la cyber-sécurité face aux attaques traditionnelles, mais aussi parce que les menaces basées sur le Web offrent de meilleures possibilités de contamination. Les systèmes de protection Web apportent aux administrateurs informatiques des méthodes de protection contre une gamme étendue d attaques qui utilisent le Web comme mécanisme de distribution. Guide de la protection Web 3

Comment évolue la cyber-criminalité? 1 Profils de cyber-criminalité Pendant des années, l e-mail est resté la principale voie de pénétration choisie par les cyber-criminels pour semer le chaos dans les entreprises. Les logiciels malveillants étaient diffusés par e-mail, sous forme de pièces jointes conçues pour inciter les destinataires à les ouvrir. Ces techniques représentent encore la majorité des cyberattaques contre les entreprises, mais le changement est en marche. D après le rapport d enquête sur les violations de données 2015 de Verizon, quatre attaques sur dix arrivent sous forme de pièce jointe à un e-mail. 1 Mais de plus en plus, les attaques utilisent les e-mails pour diffuser d autres exploitations de vulnérabilités que les logiciels antivirus traditionnels pourraient ne pas détecter. 37.4% des attaques sont déployées sous forme de liens malveillants insérés dans des e-mails D après le rapport Verizon, 37,4% des attaques sont déployées sous forme de liens malveillants insérés dans des e-mails. Habituellement, les criminels utilisent des kits d exploitations de vulnérabilités pour infecter les ordinateurs qui envoient ces e-mails. Ces kits d exploitations de vulnérabilités identifient des vulnérabilités dans l ordinateur ciblé, et les utilisent pour injecter un code malveillant. La machine ainsi infectée permet aux cyber-criminels de contrôler certaines fonctions. L ordinateur infecté est souvent enrôlé pour envoyer d importants volumes de spams, qui contiennent des liens vers un serveur Web hébergé, configuré ou infecté par les responsables de l attaque. Les «appâts» utilisés pour persuader les victimes de cliquer sur ces liens sont variés, mais peuvent inclure : E-mails de faux services clients Faux avis de suivi de livraison Contenus de Phishing Promesses de contenus salaces 16.6% des infections sont des téléchargements involontaires pendant des visites de sites Un autre type d infection est évalué à 16,6 %, ce que Verizon considère comme une statistique inhabituellement élevée. Il s agit des téléchargements involontaires pendant les visites de sites, aussi appelés «drive-by downloads». Ces infections sont possibles lorsque des sites Internet utilisent JavaScript pour exploiter des vulnérabilités dans le logiciel des navigateurs. Un code malveillant est alors téléchargé et installé sur la machine de l internaute. Cette technique indique que les vecteurs d attaques ont commencé à changer. Outre les progrès accomplis par les entreprises dans la détection et le blocage des pièces jointes malveillantes, l utilisation des liens, à la place de fichiers malveillants, offre aux cyber-criminels un autre avantage : le navigateur. Le niveau d interaction des navigateurs avec les ordinateurs est largement supérieur à celui des logiciels de messagerie. Les utilisateurs ajoutent fréquemment plusieurs extensions tierces pour bénéficier de fonctions supplémentaires. Le navigateur offre donc aux cyber-criminels une plus grande surface d attaque et devient une cible particulièrement attractive. 228% d augmentation des attaques sur l extension de navigateur Microsoft Silverlight entre décembre 2012 et septembre 2014 Prenons comme exemple Microsoft Silverlight, qui est fondamentalement un concurrent de Flash, et qui offre des fonctions multimédia dans le navigateur. D après le rapport de sécurité annuel 2015 de Cisco, les attaques ciblées sur cette extension ont augmenté de 228 % entre décembre 2012 et septembre 2014 2. Guide de la protection Web 4

Une marée montante de liens malveillants Comment les cyber-criminels déploient-ils des liens pour faciliter la connexion entre les navigateurs de leurs cibles et leur code malveillant? Avec l évolution du paysage numérique, les liens malveillants prolifèrent dans des emplacements de plus en plus variés. Sans le savoir, les utilisateurs peuvent rencontrer des liens vers des sites qui infecteront leurs machines, dans des environnements variés tels que : 650% d augmentation des spams sur les réseaux sociaux en 2014 Réseaux sociaux Les logiciels malveillants sont de plus en plus présents sur les réseaux sociaux. L entreprise de sécurité Proofpoint a constaté une augmentation de 650 % des spams sur les réseaux sociaux en 2014, et prévoit une nouvelle progression de 400 % en 2015 3. Comment ça marche? En janvier 2015, plus de 100 000 utilisateurs de Facebook ont téléchargé un logiciel malveillant grâce à un lien partagé sur les comptes de leurs amis. Ce lien proposait une vidéo pornographique, dont la lecture commençait automatiquement. Mais au milieu de la vidéo, les utilisateurs étaient invités à télécharger un lecteur vidéo pour visionner l autre moitié du film. Ce lecteur infectait l ordinateur de chaque victime et se postait comme un lien sur leur profil Facebook, avec une invitation lancée à leurs amis 4. Visites de sites Web Les sites Web peuvent eux-mêmes contenir des liens vers des domaines malveillants. Cela peut poser des problèmes particuliers dans le cas de contenus générés par les utilisateurs. Les sites Web qui autorisent les utilisateurs à publier leurs propres contenus en ligne prennent le risque d exposer d autres utilisateurs à des liens malveillants. Par exemple, sur les forums de discussion en ligne ou dans les sections Commentaires des blogs. Clients de messagerie instantanée En outre, des vers Skype peuvent forcer des machines infectées à diffuser par messages Skype des liens pointant vers des logiciels malveillants 5. Publicité malveillante La publicité est ligne est devenue une méthode courante de diffusion des logiciels malveillants. Des réseaux publicitaires en ligne mettent des annonceurs en relation avec des sites Web appropriés pour diffuser leurs annonces publicitaires. En collaboration avec le propriétaire de chaque site, ils créent un espace qui permettra de diffuser des publicités d annonceurs différents, en échange d une commission. Le réseau publicitaire est payé par ses propres clients pour diffuser leurs annonces sur ses sites Web partenaires. Les visiteurs de ces sites sont exposés au risque qu un client du réseau publicitaire a pu intégrer un code malveillant dans une annonce, transformant ainsi le site partenaire en vecteur d infection des visiteurs. D après les estimations de l industrie, la publicité malveillante, ou «malvertising», a causé 209 000 incidents générant plus de 12,4 milliards d impressions publicitaires malveillantes en 2013 6. Ce problème est suffisamment grave pour que le Sénat américain publie un rapport spécial en 2014 7. Diffusion des logiciels malveillants sur Internet Diverses techniques permettent de diffuser des logiciels malveillants sur Internet. D après Cisco, les techniques suivantes ont été utilisées en 2014 pour diffuser des logiciels malveillants sur Internet en Europe : web-based exploits scripts,,,, Pour les cyber-criminels, les clients de messagerie instantanée constituent un support efficace pour diffuser des liens malveillants. Ils se font passer pour des femmes attrayantes et invitent d autres utilisateurs à des sessions de chat, ou même à regarder une vidéo, pour les inciter à cliquer sur des liens. Guide de la protection Web 5

Dans quels domaines avons-nous réussi jusqu à présent? 2 Grâce à l analyse et à la mise en œuvre de contre-mesures efficaces, l industrie de la cyber-sécurité présente un long historique de victoires contre les criminels en ligne. Microsoft et d autres entreprises améliorent en continu leur approche pour analyser les e-mails et détecter les pièces jointes hostiles. Elles utilisent la technique du «sandbox» pour isoler les pièces jointes, analyser leur fonctionnement et déterminer leur niveau de risque. Les responsables de la cyber-sécurité dans les entreprises sont parvenus à réduire les probabilités d attaques réussies en déployant une panoplie de technologies : Filtrage des e-mails Les solutions anti-spam ont contribué à bloquer la montée des spams qui menacent la plupart des entreprises. En combinant les listes noires, la reconnaissance des signatures d e-mails et les techniques heuristiques, les fournisseurs basés dans le Cloud peuvent bloquer un grand nombre de sources d attaques potentielles. Antivirus La technologie antivirus a constamment évolué depuis la fin des années 1980. Elle a développé un grand nombre de techniques pour bloquer les fichiers malveillants capables d infecter des ordinateurs avec du code exécutable. 3 Surveillance réseau Si une attaque parvient à infecter des ordinateurs sur un réseau d entreprise, la surveillance du réseau peut détecter des comportements suspects. Les systèmes de détection d intrusion surveillent le trafic sur le réseau à la recherche d indices révélateurs d une infection, par exemple des périphériques qui tentent simultanément de communiquer avec un grand nombre de dispositifs. Quelle est la prochaine étape? Ces réussites ont permis de renforcer la protection des réseaux d entreprise, mais cela n est pas suffisant. En fait, on peut considérer que la protection n est jamais suffisante, puisque la sécurité n est pas un jeu à somme nulle. Dans la bataille pour la sécurité, personne ne pourra jamais prétendre à une victoire définitive. Les parties engagées gagnent seulement des avantages temporaires grâce à leurs innovations. Les victoires des professionnels de la sécurité sont louables, mais les réseaux d entreprise restent exposés à des attaques. Le filtrage des e-mails bloque la majeure partie des communications malveillantes. Un nouveau logiciel malveillant peut encore infecter une machine si les scanners antivirus n ont pas été mis à jour pour le détecter. La gestion des correctifs réduit les risques d infection, mais ne peut pas protéger les utilisateurs contre les exploitations de vulnérabilités «zero day» (jour zéro) qui ont été soigneusement développées par les pirates à l insu des fournisseurs d antivirus. Gestion des correctifs Des processus efficaces de gestion des correctifs ont permis de protéger les ordinateurs des entreprises pendant des années. Les entreprises qui appliquent correctement ces processus peuvent réduire les risques d infection. Comme les infections exploitent généralement des failles de sécurité inhérentes aux systèmes d exploitation et aux logiciels, la mise en œuvre des correctifs les plus récents réduit les possibilités de réussite des pirates. De plus, le problème des téléchargements involontaires n est pas résolu. Si un employé qui navigue sur Internet tombe malencontreusement sur un site malveillant, sans jamais avoir cliqué sur un lien dans un e-mail, comment l entreprise peut-elle se protéger, ainsi que le reste de son réseau, contre cette machine infectée? Bienvenue dans le monde de la protection Web. Guide de la protection Web 6

Qu est-ce que la protection Web? 4 La protection Web est la dernière ligne de défense pour les entreprises qui prennent au sérieux la sécurité et l intégrité de leur réseau et des ordinateurs connectés. Au lieu de surveiller les fichiers téléchargés et installés par les employés, la protection Web surveille le trafic Internet pour comprendre les destinations sélectionnées et les risques potentiels encourus. Les solutions de protection Web évitent activement aux utilisateurs de s exposer à des risques et protègent ainsi l infrastructure de l entreprise. Comment ça marche? Les solutions de protection Web surveillent le trafic HTTP qui transite via une passerelle centrale. Ce trafic inclut les adresses Web ou IP des destinations des navigateurs. La passerelle de protection Web compare les destinations en ligne à celles inscrites dans des listes blanches et noires par les fournisseurs de services administrés et leurs clients, pour déterminer si ces destinations sont dangereuses ou non. Des règles peuvent être définies pour autoriser ou non les visites sur certains sites Internet. Dans de nombreux cas, ces règles peuvent être appliquées à un niveau granulaire, selon des tranches horaires et des groupes d utilisateurs, par exemple. Guide de la protection Web 7

La nécessité d une protection Web 5 Pourquoi une entreprise pourrait décider d installer une protection Web? Une protection Web peut protéger l entreprise contre deux grandes catégories de menaces. Ils ont ciblé une vulnérabilité dans Adobe précédemment corrigée, parallèlement à une attaque de type «zero day» sur Internet Explorer, que Microsoft a ensuite corrigée. Forbes occupe le 61ème rang des sites Web les plus visités, ce qui Actions délibérées des employés implique qu un grand nombre d internautes ont été infectés 8. La première catégorie de menaces concerne les actions délibérées des employés. Les employés sont humains et ils ne se comportent donc pas toujours comme ils le devraient. En diverses occasions, des employés ont visité des sites inappropriés, y compris des sites pornographiques, qui peuvent présenter plusieurs risques. Ces risques sont liés à des questions d ordre juridique et de ressources humaines (d autres membres du personnel pouvant juger ces activités inacceptables et porter plainte pour harcèlement sexuel, par exemple), mais aussi en termes de cyber-sécurité. Plus les contenus d un site sont sujets à caution, plus la probabilité d infection par logiciel malveillant est élevée. Même si la visite de sites inappropriés n expose pas les employés à des risques ou à des problèmes juridiques, elle a néanmoins un impact négatif sur la productivité puisqu elle les distrait de leur travail. De tels sites incluent par exemple les réseaux sociaux, les sites sportifs ou de divertissement, tels que YouTube. Prise de risque involontaire Pendant leurs activités légitimes, des employés peuvent visiter des sites qui les exposent individuellement et leur entreprise à des risques. Même une visite sur un site d actualités pour trouver des informations pertinentes concernant l entreprise et ses activités peut créer des problèmes pour les employés. De plus en plus, grâce à des combinaisons d injection SQL, d exploitations de vulnérabilités flash et de publicités malveillantes, même des sites Internet ayant une solide réputation peuvent être infectés. En février 2015, des pirates ont lancé sur le site professionnel très réputé Forbes. com une «attaque de point d eau», conçue pour infecter tous ses visiteurs. Avantages de la protection Web La mise en œuvre d une protection Web peut apporter aux entreprises des avantages essentiels dans plusieurs domaines clés. Mises à jour continues Internet est un environnement qui évolue rapidement, où de nouvelles menaces apparaissent à chaque minute. Se contenter de suivre une poignée de sites pornographiques, de réseaux sociaux, de sites de sports/divertissement, et de les bloquer au niveau du pare-feu ne suffit pas à protéger les utilisateurs contre les risques posés par des visites de sites Web inappropriés. La protection Web fournit une liste constamment actualisée d environnements en ligne à risques, et qui peut être consultée automatiquement par la passerelle de l entreprise. La passerelle peut ainsi bloquer toute tentative de visite des sites représentant une menace pour l infrastructure de l entreprise. Définition des règles Les administrateurs informatiques ont besoin de contrôles granulaires fins pour, de façon équilibrée, assurer la protection de l entreprise et faciliter le travail des employés. Les systèmes de protection Web dotés d interfaces sophistiquées de gestion et de définition des règles permettent de trouver et de conserver plus facilement cet équilibre. Guide de la protection Web 8

Quels sont les critères d une protection Web efficace? 6 Gestion de la bande passante Même si des destinations en ligne ne présentent pas de risques pour la sécurité, les administrateurs informatiques peuvent avoir besoin de connaître la charge potentielle qu elles représentent pour les ressources de l entreprise. Par exemple, des sites de streaming peuvent accaparer une part excessive de la bande passante du réseau et risquent d affecter la productivité des autres utilisateurs. François, du service comptabilité, aime sans doute regarder les actualités en direct sur son site d informations préféré. Mais cela ne veut pas dire qu il devrait être autorisé à le faire toute la journée. Alertes Les meilleurs systèmes de protection Web sont dynamiques et avertissent les administrateurs et fournisseurs de services administratifs dès qu ils détectent certaines activités spécifiques en ligne. Ces alertes peuvent indiquer des comportements non acceptables de certains employés (par exemple, des visites délibérées de sites inappropriés), mais elles peuvent aussi signaler une attaque en cours aux responsables de la sécurité. Par exemple, si un poste de travail tente d accéder à une adresse IP russe inconnue tous les jours à 4 heures du matin, c est un indice évident d une activité illicite. Sans un système de protection Web pour vous avertir, comment pourriez-vous le savoir? Protection des serveurs Bien que les postes de travail soient d importants vecteurs d infection pour les téléchargements involontaires et autres techniques malveillantes, la protection des serveurs ne doit pas être négligée. Aucun serveur ne doit être utilisé pour naviguer sur Internet. Si cela arrive, une activité illicite est probablement en cours. Installez une protection Web sur vos serveurs afin de détecter les signes d infection. Responsabilisez les employés aux enjeux de la sécurité Les employés qui vivent mal ces quelques restrictions peuvent perdre leur motivation ou en vouloir à la direction. Ils peuvent même utiliser certains dispositifs mobiles pour visiter librement les sites Internet de leur choix. Évitez une approche totalitaire ou punitive. Utilisez plutôt la protection Web de manière habile. Négociez avec les utilisateurs pour leur accorder une certaine autonomie en ligne. Par exemple, des sites de réseaux sociaux pourraient-ils être autorisés pendant les pauses déjeuner? Combinez ces négociations avec une session de sensibilisation à la sécurité, pour qu ils comprennent la nécessité de la protection Web. Alignez vos valeurs de sécurité sur les leurs. Facilitez leur participation aux efforts de sécurité. Intégrez la protection Web dans une stratégie de défense multi-couche Aucune solution de sécurité ne fonctionne seule. Mettez en œuvre une protection Web au sein d un mécanisme de défense multi-couche intégrant plusieurs niveaux de protection. Ceux-ci incluront : Gestion des correctifs Antivirus Surveillance réseau Filtrage des e-mails Contrôle des postes de travail à distance Ces mesures contribueront à mettre en place une stratégie de défense en profondeur qui minimisera vos risques d infection. Guide de la protection Web 9

Conclusion : mieux vaut prévenir que guérir 7 Compte tenu de l augmentation des risques d infection par Internet, une protection uniquement basée sur le filtrage des e-mails et les correctifs logiciels laisse l entreprise exposée à des risques. La cyber-sécurité est un exercice de gestion du risque, où la probabilité et les conséquences d une infection doivent être évaluées par rapport aux coûts de leur prévention. La protection Web n est pas forcément coûteuse. 56% des professionnels de la sécurité interrogés ont répondu qu ils utilisaient cette technologie en 2014 Pourtant, bien des signes indiquent qu un plus grand nombre d entreprises pourraient ajouter une protection Web à leur panoplie d outils de sécurité. Dans son rapport sur la sécurité 2015, Cisco indique que seulement 56 % des professionnels de la sécurité interrogés utilisaient cette technologie en 2014. Le niveau d adoption peut donc encore largement progresser. Les services de protection Web basés dans le Cloud offrent une plate-forme de sécurité centrale qui ne nécessite aucun investissement dans des équipements ou des logiciels. Pour quelques dizaines de dollars par dispositif client, une entreprise peut considérer qu elle acquiert une forme d assurance à bas coût pour prévenir des incidents susceptibles de fournir à des pirates une voie d accès sur son réseau. Comparez cela aux coûts liés à la perte d un ordinateur, mais aussi des services de réparation, des pertes de productivité pendant que l employé n a pas de machine. Les données volées à votre entreprise peuvent coûter beaucoup plus. Il est sûrement préférable d investir un peu maintenant, et de s épargner des problèmes graves plus tard. Guide de la protection Web 10

Source 1 2 3 4 5 6 7 8 http://www.verizonenterprise.com/dbir/2015/ http://www.cisco.com/web/offers/pdfs/cisco-asr-2015.pdf https://www.proofpoint.com/us/threat-insight/post/cybersecurity-predictions-2015 http://www.itpro.co.uk/malware/23963/porn-video-malware-infects-110000-facebook-users http://www.cyberoam.com/blog/skype-delivers-a-new-variant-ofmalware-yet-again-a-new-sample-of-dorkbot-worm-detected/ https://otalliance.org/news-events/newsletters/may-15-2014-online-trust-alliance-us-senate-testimony-malvertising-jumped http://www.hsgac.senate.gov/download/?id=2a2d6ad9-77a6-43d3-b47d-c6797ea421de http://www.darkreading.com/attacks-breaches/chinese-hacking-group-codoso- Guide de la protection Web 11

MAXfocus vous permet de fournir à vos clients un service de sécurité robuste. Pour en savoir plus, appelez-nous ou visitez www.maxfocus.com. États-Unis, Canada, Amérique centrale et Amérique du Sud 4309 Emperor Blvd, Suite 400, Durham, NC 27703, États-Unis. USA Europe et Royaume-Uni Vision Building, Greenmarket, Dundee, DD1 4QB, Royaume-Uni Australie et Nouvelle-Zélande 2/148 Greenhill Road, Parkside, SA 5063 www.maxfocus.com/contact CLAUSE DE NON RESPONSABILITÉ 2015 LogicNow Ltd. Tous droits réservés. Tous les noms de produits et d entreprises cités dans le présent document peuvent être des marques commerciales appartenant à leurs propriétaires respectifs. Les informations et le contenu de ce document sont seulement publiés à titre informatif et «en l état» sans garantie d aucune sorte, expresse ou implicite, incluant, sans limitation, les garanties de conformité, d aptitude à un usage particulier et de non-violation d autres droits. LogicNow ne peut pas être tenu responsable de dommages, même indirects, de quelque sorte que ce soit, résultant de l utilisation de ce document. Ces informations proviennent de sources disponibles au grand public. Malgré tous les efforts investis pour garantir l exactitude des données fournies, LogicNow ne peut affirmer, promettre ou garantir que les informations sont complètes, correctes, précises ou mises à jour. LogicNow n est pas responsable des erreurs d impression, des informations obsolètes ou des erreurs. LogicNow ne fournit aucune garantie, expresse ou implicite, et n assume aucune responsabilité légale quant à l exactitude ou l exhaustivité des informations contenues dans ce document. Si vous pensez que ce document contient des erreurs de fait, veuillez prendre contact avec nous et nous les corrigerons aussi vite que possible.