Le secteur des services financiers a toujours \u00e9t\u00e9 \u00e0 la pointe de l’adoption de la technologie, mais la pand\u00e9mie de 2020 a acc\u00e9l\u00e9r\u00e9 la g\u00e9n\u00e9ralisation des applications bancaires mobiles, du service client bas\u00e9 sur le chat et d’autres outils num\u00e9riques. Rapport sur les tendances FIS 2022 d’Adobe<\/em><\/a>, <\/em>par exemple, ont constat\u00e9 que plus de la moiti\u00e9 des entreprises de services financiers et d’assurances interrog\u00e9es ont connu une augmentation notable du nombre de visiteurs num\u00e9riques\/mobiles au premier semestre 2020. Le m\u00eame rapport a r\u00e9v\u00e9l\u00e9 que quatre dirigeants financiers sur dix d\u00e9clarent que les canaux num\u00e9riques et mobiles comptent pour plus de la moiti\u00e9 de leurs ventes – une tendance qui ne devrait se poursuivre que dans les prochaines ann\u00e9es.<\/p>\n \u00c0 mesure que les institutions financi\u00e8res \u00e9tendent leur empreinte num\u00e9rique, elles ont plus de possibilit\u00e9s de mieux servir leurs clients, mais elles sont \u00e9galement plus expos\u00e9es aux menaces de s\u00e9curit\u00e9. Chaque nouvel outil augmente la surface d’attaque. Un nombre plus \u00e9lev\u00e9 de failles de s\u00e9curit\u00e9 potentielles peut potentiellement conduire \u00e0 un nombre plus \u00e9lev\u00e9 de failles de s\u00e9curit\u00e9.<\/p>\n Selon le Enqu\u00eate Cisco CISO Benchmark<\/a>, 17 % des organisations ont eu 100 000 alertes de s\u00e9curit\u00e9 quotidiennes ou plus en 2020. Apr\u00e8s la pand\u00e9mie, cette trajectoire s’est poursuivie. 2021 a eu une nombre record de vuln\u00e9rabilit\u00e9s et d’expositions communes<\/a>: 20 141, ce qui a d\u00e9pass\u00e9 le record de 2020 de 18 325.<\/p>\n La principale conclusion est que la croissance num\u00e9rique dans le secteur financier est ne pas <\/strong>arr\u00eat; par cons\u00e9quent, les \u00e9quipes de cybers\u00e9curit\u00e9 auront besoin de moyens pour obtenir une visibilit\u00e9 pr\u00e9cise et en temps r\u00e9el sur leur surface d’attaque. \u00c0 partir de l\u00e0, identifiez les vuln\u00e9rabilit\u00e9s les plus exploitables et hi\u00e9rarchisez-les pour les corriger.<\/p>\n Traditionnellement, les institutions financi\u00e8res ont utilis\u00e9 plusieurs techniques diff\u00e9rentes pour \u00e9valuer leur posture de s\u00e9curit\u00e9.<\/p>\n La simulation de violation et d’attaque, ou BAS, aide \u00e0 identifier les vuln\u00e9rabilit\u00e9s en simulant les chemins d’attaque potentiels qu’un acteur malveillant pourrait utiliser. Cela permet une validation de contr\u00f4le dynamique, mais est bas\u00e9 sur un agent et difficile \u00e0 d\u00e9ployer. Cela limite \u00e9galement les simulations \u00e0 un playbook pr\u00e9d\u00e9fini, ce qui signifie que la port\u00e9e ne sera jamais compl\u00e8te.<\/p>\n Les tests d’intrusion manuels permettent aux organisations de voir comment les contr\u00f4les d’une banque, par exemple, r\u00e9sistent \u00e0 une attaque r\u00e9elle, tout en fournissant une contribution suppl\u00e9mentaire du point de vue de l’attaquant. Cependant, ce processus peut \u00eatre co\u00fbteux et n’est effectu\u00e9 qu’une poign\u00e9e de fois par an au mieux. Cela signifie qu’il ne peut pas fournir d’informations en temps r\u00e9el. De plus, les r\u00e9sultats d\u00e9pendent toujours des comp\u00e9tences et de la port\u00e9e du testeur d’intrusion tiers. Si un humain manquait une vuln\u00e9rabilit\u00e9 exploitable lors d’un test d’intrusion, elle pourrait rester non d\u00e9tect\u00e9e jusqu’\u00e0 ce qu’elle soit exploit\u00e9e par un attaquant.<\/p>\n Les analyses de vuln\u00e9rabilit\u00e9 sont des tests automatis\u00e9s du r\u00e9seau d’une entreprise. Ceux-ci peuvent \u00eatre programm\u00e9s et ex\u00e9cut\u00e9s \u00e0 tout moment \u2013 \u200b\u200baussi souvent que souhait\u00e9. Cependant, ils sont limit\u00e9s dans le contexte qu’ils peuvent fournir. Dans la plupart des cas, une \u00e9quipe de cybers\u00e9curit\u00e9 ne recevra qu’une cote de gravit\u00e9 CVSS (aucune, faible, moyenne, \u00e9lev\u00e9e ou critique) pour chaque probl\u00e8me d\u00e9tect\u00e9 par l’analyse. Leur \u00e9quipe portera le fardeau de la recherche et de la r\u00e9solution du probl\u00e8me.<\/p>\n Les scans de vuln\u00e9rabilit\u00e9 posent \u00e9galement le probl\u00e8me de la fatigue des alertes. Avec tant de r\u00e9el <\/em>menaces \u00e0 g\u00e9rer, les \u00e9quipes de s\u00e9curit\u00e9 du secteur financier doivent pouvoir se concentrer sur les vuln\u00e9rabilit\u00e9s exploitables susceptibles d’avoir le plus d’impact sur l’entreprise. <\/p>\n Validation de s\u00e9curit\u00e9 automatis\u00e9e<\/a>, ou ASV, offre une approche nouvelle et pr\u00e9cise. Il combine les analyses de vuln\u00e9rabilit\u00e9, la validation des contr\u00f4les, l’exploitation r\u00e9elle et les recommandations de correction bas\u00e9es sur les risques pour une gestion compl\u00e8te de la surface d’attaque.<\/p>\n L’ASV offre une couverture continue, qui donne aux institutions financi\u00e8res un aper\u00e7u en temps r\u00e9el de leur posture de s\u00e9curit\u00e9. Combinant \u00e0 la fois une couverture interne et externe, il fournit une image la plus compl\u00e8te possible de l’ensemble de leur environnement de risque. Et, parce qu’il mod\u00e9lise le comportement d’un attaquant r\u00e9el, il va beaucoup plus loin qu’une simulation bas\u00e9e sur des sc\u00e9narios.<\/p>\n Il va (presque) de soi que les banques, les coop\u00e9ratives de cr\u00e9dit et les compagnies d’assurance ont besoin d’un haut niveau de s\u00e9curit\u00e9 pour prot\u00e9ger les donn\u00e9es de leurs clients. Ils doivent \u00e9galement respecter certaines normes de conformit\u00e9, telles que FINRA et PCI-DSS.<\/p>\n Alors : comment font-ils ? Beaucoup investissent dans des outils de validation de s\u00e9curit\u00e9 automatis\u00e9s qui leur montrent leur v\u00e9ritable risque de s\u00e9curit\u00e9 \u00e0 tout moment, puis utilisent ces informations pour cr\u00e9er une feuille de route pour la correction. Voici la feuille de route que suivent les institutions financi\u00e8res comme Sander Capital Management\u00a0:<\/p>\n En utilisant Pentera pour cartographier leur surface d’attaque Web, ils acqui\u00e8rent une compr\u00e9hension compl\u00e8te de leurs domaines, adresses IP, r\u00e9seaux, services et sites Web.<\/p>\n Exploitant en toute s\u00e9curit\u00e9 les actifs cartographi\u00e9s avec les derni\u00e8res techniques d’attaque, ils d\u00e9couvrent des vecteurs d’attaque complets – \u00e0 la fois internes et externes. Cela leur donne les connaissances dont ils ont besoin pour comprendre ce qui est vraiment exploitable \u2013 et vaut les ressources pour y rem\u00e9dier.<\/p>\n En tirant parti de l’\u00e9mulation du chemin d’attaque, ils peuvent identifier l’impact commercial de chaque faille de s\u00e9curit\u00e9 et attribuer une importance \u00e0 la cause premi\u00e8re de chaque vecteur d’attaque v\u00e9rifi\u00e9. Cela donne \u00e0 leur \u00e9quipe une feuille de route beaucoup plus facile \u00e0 suivre pour prot\u00e9ger leur organisation.<\/p>\n Suite \u00e0 une liste de mesures correctives rentables, ces organisations financi\u00e8res donnent \u00e0 leurs \u00e9quipes de s\u00e9curit\u00e9 les moyens de r\u00e9soudre les lacunes et de mesurer l’impact de leurs efforts sur leur posture informatique globale. <\/p>\n Quand cela vient \u00e0 ton <\/em>organisation\u00a0: savez-vous o\u00f9 se trouvent vos maillons les plus faibles afin de pouvoir les r\u00e9soudre avant qu’un attaquant ne les utilise contre vous\u00a0?<\/p>\n Si vous \u00eates pr\u00eat \u00e0 valider votre organisation contre les derni\u00e8res menaces, demander un bilan de sant\u00e9 gratuit<\/a>.<\/p>\n <\/p>\n<\/div>\nApproches traditionnelles de la validation de la s\u00e9curit\u00e9<\/strong><\/h2>\n
Simulation d’infraction et d’attaque<\/strong><\/h4>\n
Test de p\u00e9n\u00e9tration manuel<\/strong><\/h4>\n
Analyses de vuln\u00e9rabilit\u00e9<\/strong><\/h4>\n
Une doublure argent\u00e9e <\/strong><\/h4>\n
Comment le secteur financier utilise ASV<\/strong><\/h2>\n
\u00c9tape 1 <\/strong>\u2014 <\/b>Conna\u00eetre leur surface d’attaque<\/strong><\/h4>\n
\u00c9tape 2 <\/strong>\u2014<\/b> D\u00e9fier leur surface d’attaque<\/strong><\/h4>\n
\u00c9tape 3 <\/strong>\u2014<\/b> Prioriser les efforts de rem\u00e9diation par impact<\/strong><\/h4>\n
\u00c9tape 4 <\/strong>\u2014<\/b> Ex\u00e9cution de leur feuille de route de rem\u00e9diation<\/strong><\/h4>\n