Barracuda XDR Insight : la gravité des menaces augmente pendant les mois de vacances

1 cybermenace détectée sur 5 entre juin et fin septembre 2022 présentait un risque plus élevé, contre seulement 1 sur 80 en janvier.

Les données XDR montrent qu'entre juin et septembre, les principales menaces provenaient de connexions Microsoft 365 réussies depuis un pays suspect (40 % des attaques), suivies de communications du réseau vers une adresse IP dangereuse connue (15 % des attaques) et enfin, des tentatives d'authentification par force brute (10 %).

Introduction

Le volume, la nature et l'intensité des cybermenaces visant les entreprises varient dans le temps et reflètent l'évolution des comportements des pirates ainsi que l'amélioration des méthodologies de sécurité et le perfectionnement du renseignement - et plus encore. La compréhension de ces tendances peut aider les entreprises à mieux anticiper les attaques et à préparer leurs défenses.

Les dernières informations sur les menaces issues de la plateforme XDR avancée de Barracuda et du centre SOC 24h/24 et 7j/7 analysent le volume et la gravité des menaces de 2022, particulièrement pendant l'été.

Les données proviennent des clients et des partenaires MSP qui s'appuient sur la plateforme Barracuda XDR pour détecter, analyser et répondre aux menaces suspectes ou malveillantes.

Menaces détectées à ce jour en 2022

En janvier 2022, le nombre de signalements de menaces détectés par la plateforme XDR a atteint 1,4 million, avant de chuter fortement de quasiment 75 % (71,4 %). Un deuxième pic similaire de 1,4 million d'alertes a été observé en juin, suivi également d'une baisse, quoique plus progressive, entre juillet et août.

Des alertes aux avertissements clients

La situation est très différente quand on étudie les alertes qui ont réellement déclenché l'envoi d'une alerte de sécurité aux clients, une fois que les experts de Barracuda avaient étudié la menace en question.

En janvier, seules 1,25 % des alertes, ou 1 sur 80 (17 500 au total) étaient suffisamment graves pour justifier une alerte de sécurité envoyée au client. Mais entre juin et septembre, ce taux augmente nettement pour atteindre 1 sur 5 (96 428 au total).

Zoom sur les alertes de menace pendant l'été

Sur les 476 994 alertes de menaces analysées par les experts de Barracuda entre juin et septembre, 96 428 ou 20 % étaient suffisamment graves pour que le client soit averti du danger potentiel et incité à prendre des mesures correctives.

Les trois menaces les plus fréquemment détectées entre juin et septembre sont les suivantes :

1. Connexions réussies à Microsoft 365 à partir d'un pays suspect, classées comme « à haut risque »

Ce type d'attaque représentait 40 % de toutes les attaques pendant la période de 90 jours entre juin et fin septembre. Les pays qui déclenchent une alerte de sécurité automatique comprennent la Russie, la Chine, l'Iran et le Nigeria. Une violation réussie d'un compte Microsoft 365 est particulièrement dangereuse car elle offre à l'attaquant un accès potentiel à tous les actifs connectés et intégrés que la cible a stockés sur la plateforme. Les analystes recherchent notamment des preuves de connexions au même compte provenant de plusieurs pays, par exemple une connexion depuis le Royaume-Uni suivie une heure plus tard par une autre depuis la Russie ou la Chine. Seules 5 % de ces alertes étaient des connexions légitimes (faux positifs).

Les menaces « à haut risque » sont des événements concrets qui peuvent causer des dommages graves à l'environnement client et qui exigent une action immédiate.

2. Communication vers une adresse IP connue des renseignements sur les menaces : « Risque moyen »

Ce type d'attaque, représentant 15 % de toutes les attaques au cours de cette période, inclut toute tentative de communication malveillante depuis un appareil du réseau vers un site Web ou un serveur de commande et de contrôle connu, etc.

Les « risques moyens » nécessitent une action de correction, mais n'entraîneraient généralement pas d'impact significatif en tant qu'événement seul.

3. Tentative d'authentification par force brute de l'utilisateur : « Risque moyen »

Représentant 10 % de toutes les attaques, il s'agit d'attaques automatisées qui tentent de pénétrer les défenses d'une entreprise en exécutant autant de combinaisons de noms d'utilisateur/mots de passe que possible.

Que signifient ces données ?

Les cyberattaquants ciblent les entreprises et les équipes de sécurité informatique lorsque celles-ci semblent être en manque de personnel. Cela peut être le week-end, la nuit ou pendant les vacances, comme cet été.

Cela se reflète dans les données XDR, qui montrent clairement qu'en dépit d'une réduction globale du volume des menaces, une proportion nettement plus importante des menaces détectées pendant l'été se situait en haut sur l'échelle des risques.

Cela vaut la peine d'en tenir compte alors que la saison des fêtes de fin d'année approche.

Barracuda recommande aux équipes de sécurité informatique de renforcer les mesures de sécurité essentielles, notamment :

1. Activation de l'authentification multifacteur (MFA) sur toutes les applications et tous les systèmes
2. S'assurer que tous les systèmes critiques sont sauvegardés
3. Mise en place d'une solution de sécurité robuste qui inclut la protection des e-mails et la détection et la réponse aux endpoints (EDR)
4. Visibilité sur l'ensemble de l'infrastructure informatique
5. Un centre SOC (Security Operations Center) 24h/24 et 7j/7 pour surveiller, détecter et répondre aux cybermenaces, soit en interne, soit via un prestataire de services fiable.

Les conclusions sont basées sur les données de détection de Barracuda XDR, une plateforme étendue de visibilité, de détection et de réponse (XDR), soutenue par un centre SOC disponible 24h/24 et 7j/7, qui fournit des services de détection des menaces, d'analyse, de réponse aux incidents et de correction, à la fois par une équipe et l'intelligence artificielle. Barracuda XDR est actuellement disponible pour les MSP.