Intrusion dans le système : définition, conséquences et moyens de défense

Aujourd'hui, la plupart des cyberattaques commencent par une intrusion dans le système. Cela se produit lorsqu'un pirate utilise des identifiants volés, des attaques de phishing ou d'autres moyens pour accéder à votre système.

Une fois à l’intérieur, les pirates, ou les logiciels malveillants qu’ils ont déployés, peuvent passer inaperçus pendant de longues périodes de temps – souvent des mois – au cours desquelles ils effectuent une reconnaissance minutieuse. Ils ont tout le loisir de comprendre votre architecture réseau, de rechercher des ports non protégés, de découvrir où sont stockées les données critiques à forte valeur, d’exfiltrer ces données, d’identifier les utilisateurs qui disposent de privilèges d’accès élevés et bien plus encore.

Tous ces renseignements peuvent ensuite être utilisés pour planifier un vol de données d’envergure, un sabotage du système ou toute autre forme d’attaque potentiellement paralysante.

Durée d'exposition

La durée de présence fait référence au temps que les intrus peuvent passer dans votre système sans être détectés. Comme mentionné ci-dessus, il peut s’agir d’une période assez longue, en particulier lorsque les systèmes ne recherchent pas les anomalies dans le trafic interne ou n’utilisent pas d’analyse sophistiquée du trafic sortant pour éviter la perte de données.

Plus vite vous êtes en mesure de détecter et d’atténuer une intrusion dans le système, plus vous pouvez limiter les dégâts causés par les criminels. Les systèmes de détection des intrusions (IDS), qui utilisent le machine learning pour surveiller le trafic interne et sortant et identifier les anomalies, peuvent réduire de manière significative la durée d’intrusion des pirates dans votre système.

Intrusion RDP et VPN

Les connexions RDP (Remote Desktop Protocol) et VPN (Virtual Private Network) non sécurisées comptent parmi les points d’intrusion système les plus courants. Cela pour la simple raison qu’ils sont très courants aujourd’hui, surtout après la pandémie de COVID-19. Le grand nombre de connexions VPN et RDP utilisées par les entreprises constitue une surface d’attaque étendue que les bandes organisées de cybercriminels ont tout le loisir de tester.

Que recherchent-ils ? Nombre de ces connexions ont des mécanismes d’authentification utilisateur faibles voire inexistants, ce qui crée de nombreuses opportunités pour les attaques par force brute, qui peuvent, à leur tour, permettre de trouver et d’exploiter des identifiants d’accès.

Sans parler du fait qu’un grand nombre d’identifiants RDP et VPN ont déjà été volés et sont disponibles à la vente sur le Dark Web à des prix très raisonnables.

Il y a quelque temps, j’ai écrit un article dont le postulat est que nous vivons aujourd’hui dans une « ère post-fraude ». Les violations en masse d’identifiants ont été si nombreuses que les stratégies de sécurité doivent acter le fait que les contrôles d’accès basés sur le nom d’utilisateur et le mot de passe ne sont plus suffisants.

Les contrôles d’accès Zero Trust sont un moyen de répondre à ce problème. En surveillant en permanence les anomalies de géolocalisation, l’adresse IP, l’heure et la date des tentatives de connexion, les ressources consultées (etc.), les systèmes Zero Trust offrent un moyen beaucoup plus efficace de prévenir les intrusions que les identifiants traditionnels et même les systèmes d’authentification multifacteur. Découvrez Barracuda Zero Trust Access pour en savoir plus sur la façon dont cette technologie peut vous aider à protéger votre entreprise.

Phishing et menaces internes

Cela va sans dire, exploiter des connexions RDP et VPN mal protégées n’est pas le seul moyen pour les criminels de lancer des intrusions système.

Le phishing, qui consiste à manipuler des utilisateurs pour les amener à divulguer des données, reste un moyen très populaire de voler des identifiants authentiques. Le phishing est considéré comme un exemple par excellence de menace interne, c’est-à-dire une menace provenant d’utilisateurs insuffisamment formés à l’identification des e-mails malveillants ou suspects.

Les menaces internes se manifestent sous un grand nombre de formes. Pour plus d’informations sur ce problème, consultez cet article de blog publié l’année dernière.

Les systèmes modernes de sensibilisation à la sécurité comme la formation de sensibilisation à la sécurité de Barracuda simulent fréquemment des attaques par hameçonnage et sont très efficaces pour réduire le risque d’intrusion dans le système par ce vecteur. Autrefois véritable menace interne, l’utilisateur, maintenant bien formé, agit comme une couche de sécurité supplémentaire pour votre entreprise.

Systèmes et logiciels non corrigés

Est-ce surprenant ou non ? L’une des choses que les cybercriminels recherchent toujours et trouvent fréquemment, ce sont les logiciels ou d’autres composants du système qui n’ont pas les correctifs ou les mises à jour requis.

Ces correctifs et ces mises à jour provenant des fournisseurs de logiciels sont très souvent créés pour réparer une vulnérabilité de sécurité récemment découverte. Si vous ne mettez pas vos logiciels à jour, il y a de fortes chances que les criminels trouvent cette vulnérabilité, l’exploitent pour infiltrer votre système et effectuer leur reconnaissance, qui peut en dernier lieu conduire à une violation de données ou d’autres attaques tant dévastatrices que coûteuses.

Comprendre et protéger toute votre surface d'attaque

En bref, vous devez faire tout ce qui est en votre pouvoir pour prévenir et détecter les intrusions système, à savoir appliquer un protocole complet de sécurité sur l’ensemble de votre surface d’attaque. La plateforme de cybersécurité de Barracuda combine la protection des e-mails, la protection des applications et la protection du réseau dans le but d’optimiser la défense de l’ensemble de votre système contre les vulnérabilités susceptibles de mener à une intrusion.

Vous pouvez en outre envisager d’externaliser la gestion de la cybersécurité avec Barracuda Managed XDR, une plateforme innovante de cybersécurité en tant que service qui réduit considérablement vos frais informatiques tout en offrant une surveillance continue et une réponse rapide aux incidents.