{"id":1146877,"date":"2024-02-13T10:45:27","date_gmt":"2024-02-13T12:45:27","guid":{"rendered":"https:\/\/teknomers.com\/fr\/incidents-de-cybersecurite-a-minuit-blizzard-et-cloudflare-atlassian-ce-quil-faut-savoir\/"},"modified":"2024-02-13T10:45:32","modified_gmt":"2024-02-13T12:45:32","slug":"incidents-de-cybersecurite-a-minuit-blizzard-et-cloudflare-atlassian-ce-quil-faut-savoir","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/incidents-de-cybersecurite-a-minuit-blizzard-et-cloudflare-atlassian-ce-quil-faut-savoir\/","title":{"rendered":"Incidents de cybers\u00e9curit\u00e9 \u00e0 minuit Blizzard et Cloudflare-Atlassian\u00a0: ce qu’il faut savoir"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>13 f\u00e9vrier 2024<\/span>\ue804<\/i>L’actualit\u00e9 des hackers<\/span><\/span>S\u00e9curit\u00e9 SaaS \/ Violation de donn\u00e9es<\/span><\/p>\n<\/div>\n

\n
<\/a><\/div>\n

Les incidents de cybers\u00e9curit\u00e9 de Midnight Blizzard et Cloudflare-Atlassian ont sonn\u00e9 l’alarme sur les vuln\u00e9rabilit\u00e9s inh\u00e9rentes aux principales plateformes SaaS. Ces incidents illustrent les enjeux li\u00e9s aux violations SaaS : prot\u00e9ger l\u2019int\u00e9grit\u00e9 des applications SaaS et de leurs donn\u00e9es sensibles est essentiel mais n\u2019est pas facile. Les vecteurs de menaces courants tels que le spear phishing sophistiqu\u00e9, les erreurs de configuration et les vuln\u00e9rabilit\u00e9s dans les int\u00e9grations d’applications tierces d\u00e9montrent les d\u00e9fis de s\u00e9curit\u00e9 complexes auxquels sont confront\u00e9s les syst\u00e8mes informatiques.<\/p>\n

Dans le cas de Midnight Blizzard, la pulv\u00e9risation de mots de passe sur un environnement de test \u00e9tait le vecteur d’attaque initial. Pour Cloudflare-Atlassian, les auteurs de la menace ont lanc\u00e9 l’attaque via des Jetons OAuth<\/a> suite \u00e0 une violation ant\u00e9rieure chez Okta, un fournisseur de s\u00e9curit\u00e9 d’identit\u00e9 SaaS. <\/p>\n

Qu’est-il exactement arriv\u00e9?<\/h2>\n

Violation de Microsoft Midnight Blizzard<\/h3>\n

Microsoft a \u00e9t\u00e9 la cible des hackers russes \u00ab Midnight Blizzard \u00bb (\u00e9galement connus sous les noms de Nobelium, APT29 ou Cozy Bear) li\u00e9s au SVR, l’unit\u00e9 des services de renseignement ext\u00e9rieurs du Kremlin.<\/p>\n

Dans la faille Microsoft, les acteurs de la menace\u00a0:<\/p>\n

    \n
  1. Utilisation d’une strat\u00e9gie de pulv\u00e9risation de mot de passe sur un compte existant et des comptes de test historiques pour lesquels l’authentification multifacteur (MFA) n’\u00e9tait pas activ\u00e9e. Selon Microsoft<\/a>les acteurs de la menace”[used] un faible nombre de tentatives pour \u00e9chapper \u00e0 la d\u00e9tection et \u00e9viter les blocages de compte en fonction du volume d’\u00e9checs. <\/li>\n
  2. Exploitation de l’ancien compte compromis comme point d’entr\u00e9e initial pour ensuite d\u00e9tourner une ancienne application de test OAuth. Cette ancienne application OAuth disposait d’autorisations de haut niveau pour acc\u00e9der \u00e0 l’environnement d’entreprise de Microsoft. <\/li>\n
  3. Cr\u00e9ation d’applications OAuth malveillantes en exploitant les autorisations de l’ancienne application OAuth. \u00c9tant donn\u00e9 que les auteurs de la menace contr\u00f4laient l’ancienne application OAuth, ils pouvaient conserver l’acc\u00e8s aux applications m\u00eame s’ils perdaient l’acc\u00e8s au compte initialement compromis.<\/li>\n
  4. Accord\u00e9 des autorisations Exchange et des informations d’identification d’administrateur \u00e0 eux-m\u00eames.<\/li>\n
  5. Augmentation des privil\u00e8ges d’OAuth vers un nouvel utilisateur, qu’ils contr\u00f4laient. <\/li>\n
  6. Consentement aux applications OAuth malveillantes en utilisant leur compte utilisateur nouvellement cr\u00e9\u00e9.<\/li>\n
  7. Augmentation de l’acc\u00e8s \u00e0 l’application existante en lui accordant un acc\u00e8s complet aux bo\u00eetes aux lettres M365 Exchange Online. Gr\u00e2ce \u00e0 cet acc\u00e8s, Midnight Blizzard pourrait consulter les comptes de messagerie M365 appartenant aux cadres sup\u00e9rieurs et exfiltrer les e-mails et pi\u00e8ces jointes de l’entreprise. <\/li>\n<\/ol>\n\n\n\n\n
    \"Incidents<\/a><\/td>\n<\/tr>\n
    Recr\u00e9ation de l’illustration par Amitai Cohen<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

    Br\u00e8che Cloudflare-Atlassian<\/h3>\n

    Le jour de Thanksgiving, le 23 novembre 2023, Les syst\u00e8mes Atlassian de Cloudflare<\/a> ont \u00e9galement \u00e9t\u00e9 compromises par une attaque de l\u2019\u00c9tat-nation.<\/p>\n

      \n
    1. Cette violation, qui a d\u00e9but\u00e9 le 15 novembre 2023, a \u00e9t\u00e9 rendue possible gr\u00e2ce \u00e0 l’utilisation d’identifiants compromis qui n’avaient pas \u00e9t\u00e9 modifi\u00e9s suite \u00e0 une pr\u00e9c\u00e9dente violation chez Okta en octobre 2023. <\/li>\n
    2. Les attaquants ont acc\u00e9d\u00e9 au wiki interne et \u00e0 la base de donn\u00e9es de bogues de Cloudflare, ce qui leur a permis d’afficher 120 r\u00e9f\u00e9rentiels de code dans l’instance Atlassian de Cloudflare.<\/li>\n
    3. 76 r\u00e9f\u00e9rentiels de codes sources li\u00e9s \u00e0 des technologies op\u00e9rationnelles cl\u00e9s ont \u00e9t\u00e9 potentiellement exfiltr\u00e9s.<\/li>\n
    4. Cloudflare a d\u00e9tect\u00e9 l’auteur de la menace le 23 novembre, car celui-ci a connect\u00e9 un compte de service Smartsheet \u00e0 un groupe d’administrateurs dans Atlassian.<\/li>\n<\/ol>\n
      Guide de s\u00e9curit\u00e9 SaaS<\/span><\/p>\n

      Votre \u00e9quipe de s\u00e9curit\u00e9 peut-elle surveiller les applications tierces\u00a0? 60\u00a0% des \u00e9quipes ne peuvent pas<\/p>\n

      <\/a><\/p>\n

      Vous pensez que votre s\u00e9curit\u00e9 SaaS est de premier ordre\u00a0? Appomni a interrog\u00e9 plus de 600 praticiens de la s\u00e9curit\u00e9 mondiale, et 79 % des professionnels ont le m\u00eame sentiment \u2013 \u200b\u200bet pourtant, ils ont \u00e9t\u00e9 confront\u00e9s \u00e0 des incidents de cybers\u00e9curit\u00e9 ! Plongez dans les informations du rapport AppOmni 2023.<\/p>\n

      Apprenez comment vous pouvez<\/a><\/section>\n

      Les acteurs de la menace ciblent de plus en plus le SaaS <\/h2>\n

      Ces violations font partie d’un sch\u00e9ma plus large d’acteurs \u00e9tatiques ciblant les fournisseurs de services SaaS, y compris, mais sans s’y limiter, l’espionnage et la collecte de renseignements. Midnight Blizzard s’est d\u00e9j\u00e0 engag\u00e9 dans d’importantes cyberop\u00e9rations, notamment l’attaque SolarWinds de 2021. <\/p>\n

      Ces incidents soulignent l’importance d’une surveillance continue de vos environnements SaaS et le risque continu pos\u00e9 par des cyber-adversaires sophistiqu\u00e9s ciblant les infrastructures critiques et la pile technologique op\u00e9rationnelle. Ils mettent \u00e9galement en \u00e9vidence des vuln\u00e9rabilit\u00e9s importantes li\u00e9es \u00e0 la gestion des identit\u00e9s SaaS et la n\u00e9cessit\u00e9 de pratiques strictes de gestion des risques li\u00e9s aux applications tierces.<\/p>\n

      Les attaquants utilisent des tactiques, techniques et proc\u00e9dures (TTP) courantes pour pirater les fournisseurs SaaS via la kill chain suivante\u00a0:<\/p>\n

        \n
      1. Acc\u00e8s initial<\/strong>:\u00a0Spray de mot de passe, d\u00e9tournement d’OAuth<\/li>\n
      2. Persistance<\/strong>:\u00a0usurpe l’identit\u00e9 de l’administrateur, cr\u00e9e un OAuth suppl\u00e9mentaire<\/li>\n
      3. \u00c9vasion de la d\u00e9fense<\/strong>: OAuth hautement privil\u00e9gi\u00e9, pas de MFA<\/li>\n
      4. Mouvement lat\u00e9ral<\/strong>: Compromis plus large des applications connect\u00e9es<\/li>\n
      5. Exfiltration de donn\u00e9es<\/strong>: R\u00e9cup\u00e9rez les donn\u00e9es privil\u00e9gi\u00e9es et sensibles des applications<\/li>\n<\/ol>\n

        Briser la cha\u00eene de destruction SaaS<\/h2>\n

        Un moyen efficace de rompre rapidement la cha\u00eene de destruction consiste \u00e0 effectuer une surveillance continue, une application granulaire des politiques et une gestion proactive du cycle de vie sur vos environnements SaaS. UN Plateforme SaaS de gestion de la posture de s\u00e9curit\u00e9 (SSPM)<\/a> comme AppOmni peut aider \u00e0 d\u00e9tecter et \u00e0 alerter sur\u00a0:<\/p>\n