\u00c0 l’\u00e8re de la num\u00e9risation et des besoins commerciaux en constante \u00e9volution, l’environnement de production est devenu un organisme vivant. Plusieurs fonctions et \u00e9quipes au sein d’une organisation peuvent finalement avoir un impact sur la fa\u00e7on dont un attaquant voit les actifs de l’organisation, ou en d’autres termes, la surface d’attaque externe. Cela augmente consid\u00e9rablement la n\u00e9cessit\u00e9 de d\u00e9finir une strat\u00e9gie de gestion de l’exposition.<\/p>\n
Pour r\u00e9pondre aux besoins de l’entreprise tout en \u00e9valuant et en g\u00e9rant efficacement les risques de cybers\u00e9curit\u00e9, les entreprises doivent prendre en compte deux \u00e9l\u00e9ments principaux concernant leur surface d’attaque externe\u00a0: Taille<\/em> et son attrait pour les attaquants<\/em>. Alors que les organisations se concentrent g\u00e9n\u00e9ralement sur la prise en compte de la taille de leur surface d’attaque, son attrait n’est g\u00e9n\u00e9ralement pas une priorit\u00e9, bien qu’il puisse avoir un impact significatif sur le risque.<\/p>\n Combien d’actifs sont accessibles depuis le monde ext\u00e9rieur\u00a0? <\/p>\n Il existe un \u00e9quilibre d\u00e9licat entre les besoins de l’entreprise et la s\u00e9curit\u00e9. Bien qu’il existe de bonnes raisons d’exposer davantage d’actifs \u00e0 Internet (c’est-\u00e0-dire pour l’exp\u00e9rience utilisateur, les int\u00e9grations tierces et les exigences d’architecture logicielle), le prix est une surface d’attaque accrue. Une connectivit\u00e9 accrue signifie finalement plus de points de br\u00e8che potentiels pour un adversaire. <\/p>\n Plus la surface d’attaque est grande et plus il y a d’actifs disponibles pour le “terrain de jeu” de l’adversaire, plus une organisation devra att\u00e9nuer le risque d’exposition. Cela n\u00e9cessite des politiques et des proc\u00e9dures soigneusement \u00e9labor\u00e9es pour surveiller la surface d’attaque et prot\u00e9ger en permanence les actifs expos\u00e9s. Bien s\u00fbr, il existe des mesures de base, telles que la recherche syst\u00e9matique de vuln\u00e9rabilit\u00e9s logicielles et l’application de correctifs. Cependant, il faut \u00e9galement prendre en compte les probl\u00e8mes de configuration, le shadow IT, les fuites d’informations d’identification et les aspects de gestion des acc\u00e8s. <\/p>\n Remarque importante : la fr\u00e9quence des tests et des validations doit au moins s’aligner sur le rythme de changement de la surface d’attaque de l’organisation. Plus une organisation modifie son environnement, plus elle a besoin d’\u00e9valuer la surface d’attaque. Cependant, des tests de routine sont toujours n\u00e9cessaires m\u00eame pendant les p\u00e9riodes de changement minime. <\/p>\n Alors que la taille de la surface d’attaque externe est un indicateur bien compris du risque de cybers\u00e9curit\u00e9, un autre aspect tout aussi critique – bien que plus insaisissable pour les organisations aujourd’hui – est la fa\u00e7on dont attrayant<\/em> une surface d’attaque est aux attaquants potentiels.<\/p>\n Lorsque les adversaires recherchent des victimes potentielles, ils recherchent le fruit le plus bas. Qu’il s’agisse du moyen le plus simple de compromettre une organisation cibl\u00e9e particuli\u00e8re ou des cibles les plus faciles \u00e0 attaquer pour atteindre leurs objectifs, ils seront attir\u00e9s par les indicateurs de points faibles de s\u00e9curit\u00e9 potentiels dans les actifs externes et hi\u00e9rarchiseront leurs activit\u00e9s en cons\u00e9quence.<\/p>\n Quand on parle d’actifs \u00ab attractifs \u00bb, on ne parle pas forc\u00e9ment de cibles attirantes, comme les donn\u00e9es personnelles, qui peuvent \u00eatre revendues sur le march\u00e9 noir. Les attractions sont les attributs d’un atout qui ont le potentiel d’\u00eatre abus\u00e9s par des adversaires. Ceux-ci sont ensuite marqu\u00e9s comme un point de d\u00e9part potentiel pour propager une attaque. <\/p>\n Les actifs d’une organisation peuvent tous \u00eatre corrig\u00e9s avec les logiciels les plus r\u00e9cents et les plus performants. Cependant, ces actifs pourraient encore avoir des propri\u00e9t\u00e9s int\u00e9ressantes. Par exemple, un grand nombre de ports ouverts augmente le nombre de protocoles pouvant \u00eatre exploit\u00e9s pour propager une attaque. Il est important de souligner que les attaques ne sont pas n\u00e9cessairement li\u00e9es \u00e0 une vuln\u00e9rabilit\u00e9 mais peuvent \u00eatre un abus d’un service bien connu. Un bon exemple de cela peut \u00eatre trouv\u00e9 dans ce article de blog<\/a> de Pentera Labs d\u00e9crivant comment abuser de l’utilitaire PsExec. De plus, certains ports sp\u00e9cifiques peuvent \u00eatre plus attractifs, par exemple le port 22, qui permet un acc\u00e8s SSH depuis le monde ext\u00e9rieur. <\/p>\n Un autre exemple est un site Web qui permet le t\u00e9l\u00e9chargement de fichiers. Pour certaines organisations, il s’agit d’un service essentiel qui permet \u00e0 l’entreprise, mais pour les attaquants, c’est un moyen pratique de mettre le pied dans la porte. Les organisations sont bien conscientes du risque et peuvent y faire face de diff\u00e9rentes mani\u00e8res, mais cela ne change rien \u00e0 l’attractivit\u00e9 de cet actif et \u00e0 son potentiel de risque correspondant. <\/p>\n Le principal d\u00e9fi li\u00e9 \u00e0 la gestion des attractions est qu’elles sont des cibles mobiles. Les attractions changent \u00e0 la fois dans leur nombre d’instances et dans leur s\u00e9v\u00e9rit\u00e9 par changement de configuration. <\/p>\n Pour \u00e9valuer efficacement la s\u00e9v\u00e9rit\u00e9 d’une attraction, il est essentiel de comprendre \u00e0 quel point il est facile pour un adversaire de la d\u00e9tecter lors de la phase d’\u00e9num\u00e9ration et, plus important encore, \u00e0 quel point il est facile de l’exploiter. Par exemple, avoir une connexion VPN est facile \u00e0 d\u00e9tecter mais difficile \u00e0 exploiter, et par cons\u00e9quent, cela peut \u00eatre une priorit\u00e9 moindre dans le plan de gestion des risques d’une organisation. D’autre part, avoir un formulaire de contact en ligne est facile \u00e0 d\u00e9tecter et pr\u00e9sente des niveaux d’exposition \u00e9lev\u00e9s pour les injections SQL et exploite des vuln\u00e9rabilit\u00e9s comme Log4Shell. <\/p>\n Diminuer le nombre d’attractions r\u00e9duit le risque d’une organisation, mais ce n’est pas toujours possible. Par cons\u00e9quent, comprendre le risque sous-jacent et d\u00e9finir un plan pour y faire face devrait \u00eatre la priorit\u00e9 num\u00e9ro un de l’organisation pour contr\u00f4ler les expositions dans la surface d’attaque externe tout en r\u00e9pondant aux besoins de l’entreprise.<\/p>\n Noter:<\/b> Cet article est r\u00e9dig\u00e9 et contribu\u00e9 par un Product Marketing Manager chez Pentera, la soci\u00e9t\u00e9 de validation automatis\u00e9e de la s\u00e9curit\u00e9. Pour en savoir plus, rendez-vous sur pentera.io<\/a>.<\/i><\/p>\n <\/p>\nTaille de la surface d’attaque<\/strong><\/h2>\n
Attractivit\u00e9 de la surface d’attaque<\/strong><\/h2>\n