Gestion de l’exposition – AVANTEC

À propos de cette offre

…Ou comment les exhibitionnistes numériques peuvent gérer leur exposition. En matière d’exposition, il est probable que pour la plupart, ce ne soit pas aussi extrême que ce qui semble être le cas sur l’île de Werd à Zurich. (Note de la rédaction : aucune expérience personnelle pertinente disponible). Et pourtant, certains seraient sans doute surpris de découvrir quels systèmes sont exposés, d’une manière ou d’une autre, à des regards ou accès non désirés. J’avoue que le titre a été intentionnellement un peu accrocheur. Après tout, aucun administrateur responsable ou responsable de la sécurité ne souhaite présenter délibérément ses joyaux de la couronne au grand public. Contrairement à ce qui semble être le cas sur l’île de Werd. Mais si vous êtes encore en train de lire jusqu’ici, le clickbait a probablement fonctionné. Qu’entend-on par gestion de l’exposition ? La plupart connaissent le terme « gestion des vulnérabilités ». Il y a déjà quelques articles à ce sujet sur notre blog. La gestion de l’exposition est similaire dans son approche, mais va bien plus loin. Contrairement à la simple « gestion des vulnérabilités », la gestion de l’exposition ne se contente pas de montrer les failles de sécurité ouvertes sur les différents actifs, elle nous aide aussi à comprendre comment les attaquants peuvent trouver les systèmes et éventuellement se déplacer entre eux. L’objectif est de détecter de manière proactive les systèmes exposés et d’agir rapidement. Voici quelques-unes des fonctions clés les plus importantes. Gestion de la surface d’attaque externe – le complément aux scans internes de vulnérabilités Le nom parle de lui-même. La gestion de la surface d’attaque externe (EASM) consiste à scanner en continu, depuis l’extérieur, les domaines et/ou plages d’adresses IP publiques. Cela permet d’obtenir la même vue extérieure qu’un attaquant potentiel. Pour trouver les actifs de l’entreprise concernée, on utilise des méthodes éprouvées de collecte passive de données basées sur l’OSINT : enregistrement de domaine, enregistrements DNS, journaux de transparence SSL ou informations sur le cloud public. Une fois les actifs découverts, ils sont scannés pour détecter des vulnérabilités. Mais ce ne sont pas seulement les logiciels obsolètes qui sont ciblés, par exemple on vérifie aussi si des identifiants par défaut sont encore utilisés sur les systèmes trouvés ou s’il y a des services ou ports exposés. Les résultats sont ensuite enrichis, selon le fournisseur, avec des renseignements sur les menaces et évalués via une matrice de risque. Les critères incluent par exemple si une faille est déjà exploitée activement dans des attaques connues, ou la facilité avec laquelle elle peut être exploitée. Un cas d’utilisation possible pour un EASM serait le sujet de l’IT fantôme : peut-être existe-t-il des services web ou des instances cloud exploités sans la connaissance du service informatique ? Cela arrive malheureusement plus souvent qu’on ne le pense. Analyse des chemins d’attaque Grâce aux scans internes et externes de vulnérabilités, on voit quels systèmes sont vulnérables. L’analyse des chemins d’attaque va un pas plus loin et répond aussi à la question de savoir comment ces failles pourraient être exploitées. En combinant les données de télémétrie collectées à partir d’autres sources, par exemple des capteurs EDR, les connexions entre les actifs internes et externes sont mises en évidence. Quelles connexions réseau existent et quels utilisateurs utilisent les systèmes ? Ces informations sont ensuite présentées dans de jolis diagrammes qui illustrent les chemins que les attaquants pourraient emprunter. Peut-être qu’un serveur interne, soi-disant bien isolé, est en réalité accessible depuis Internet par des détours ? Évaluation de la configuration de sécurité Mieux que de trouver et de colmater des failles, ce serait évidemment que ces failles n’existent pas du tout. Malheureusement, cela n’est généralement pas sous notre contrôle en raison de l’utilisation de divers composants logiciels. Une façon d’y remédier partiellement est d’utiliser des benchmarks de sécurité tels que CIS, NIST ou HIPAA. Car même si un serveur est à jour avec les derniers correctifs, il peut rester vulnérable à cause de ports ouverts. Un bon exemple est le service Print Spooler sur un contrôleur de domaine. Ce service est activé par défaut sur tous les systèmes Windows, mais est rarement nécessaire et reste une cible attrayante. Par exemple, le ver Stuxnet a exploité une faille dans le Print Spooler en 2010. Plus récemment, le bug « PrintNightmare » de 2021. De telles configurations peuvent être définies dans des benchmarks. Les écarts sont ensuite présentés de manière claire dans des tableaux de bord. Valeur ajoutée effective – ou simplement un autre tableau de bord rouge vif ? Il est clair que sans effort de la part des utilisateurs, le meilleur outil ne sert pas à grand-chose. Comme pour la gestion des vulnérabilités, il faut du travail pour traiter les résultats trouvés. Un des points sensibles des solutions classiques de gestion des vulnérabilités est la priorisation. Voir un grand nombre de failles critiques dans un tableau de bord n’est pas réjouissant. La responsabilité de prioriser les correctifs à déployer sur quels systèmes revient souvent à l’administrateur. C’est précisément là que je vois la valeur ajoutée de l’approche plus globale « outside-in » de la gestion de l’exposition : le système prend en charge une partie de la priorisation et montre exactement quels systèmes sont réellement vulnérables et doivent donc être au centre de l’attention. Liens complémentaires Centre de défense cybernétique – AVANTEC Service de détection et de réponse gérés – AVANTEC Service de détection et de réponse gérés – Gestion des vulnérabilités – AVANTEC Gestion de crise cybernétique – AVANTEC Webinaire L’article Gestion de l’exposition est initialement paru sur Tec-Bite.