Rejoignez la communaut\u00e9 CrowdSec<\/a><\/div>\n<\/div>\nCela peut \u00eatre int\u00e9ressant dans une certaine mesure mais cela se limite aux fruits \u00e0 port\u00e9e de main. De plus, votre diversit\u00e9 est limit\u00e9e par votre capacit\u00e9 \u00e0 vous r\u00e9pandre dans de nombreux endroits diff\u00e9rents. Si toutes vos sondes (pots de miel) sont assises sur dix ou pire, juste 3 ou 4 nuages \u200b\u200b\u200b\u200bdiff\u00e9rents, vous ne pouvez pas tout voir, et vous pouvez \u00eatre “esquiv\u00e9”, ce qui signifie que les criminels peuvent volontairement ignorer vos plages IP pour \u00e9viter la d\u00e9tection. Vous devez \u00e9galement organiser votre syst\u00e8me de d\u00e9ploiement pour chaque plate-forme, et pourtant vous ne verrez que l’IP qui n’\u00e9vite pas GCP, AWS ou tout autre cloud avec lequel vous travaillez. Et comme ces fournisseurs ne sont pas des ONG, la taille de votre r\u00e9seau est \u00e9galement limit\u00e9e par\u2026 l’argent. Si un HP enti\u00e8rement automatis\u00e9 fonctionnant sur le cloud XYZ vous co\u00fbte 20 $ par mois, votre poche doit \u00eatre profonde pour en ex\u00e9cuter des milliers.<\/p>\n
Mise en place d’une contre-offensive<\/h2>\n
Pour freiner la trajectoire de la cybercriminalit\u00e9 de masse, il faut agir sur une ressource par essence limit\u00e9e, sinon on ne peut pas organiser une v\u00e9ritable \u00ab p\u00e9nurie \u00bb. Les c\u00e9l\u00e8bres Conti-Leaks jettent un \u00e9clairage int\u00e9ressant sur les points douloureux r\u00e9els d’un grand groupe de cybercriminalit\u00e9. \u00c9videmment (crypto) blanchiment d’argent, recrutement, paie, les classiques auxquels vous vous attendez. Mais assez int\u00e9ressant, lorsque vous lisez les \u00e9changes sur leur syst\u00e8me de chat interne, vous pouvez voir les IP, les changer, les emprunter, les louer, les nettoyer, installer les outils, migrer les ops et C2, etc. est\u2026 co\u00fbteux. En termes de temps et d’argent. <\/p>\n
Il existe des variations presque infinies de hachages et SHA1 offre un espace de 2^160 possibilit\u00e9s. Donc, les collecter est une chose, mais vous \u00eates presque s\u00fbr que toute nouvelle variante de malware aura une signature diff\u00e9rente. Au moment o\u00f9 nous parlons, la plupart des proc\u00e9dures CI\/CD de tout groupe cybercriminel d\u00e9cent incluent d\u00e9j\u00e0 la modification d’un octet avant d’envoyer la charge utile \u00e0 une cible.<\/p>\n
Viser les noms de domaine, c’est aussi se battre contre un espace infini en taille. Vous pouvez r\u00e9server domaine1, domaine2, domaine3, etc. Il n’y a techniquement aucune limite au nombre de variantes. Il existe des syst\u00e8mes intelligents qui prot\u00e8gent votre marque et v\u00e9rifient si des noms de domaine similaires au v\u00f4tre ont \u00e9t\u00e9 r\u00e9serv\u00e9s r\u00e9cemment. Ces syst\u00e8mes de style pr\u00e9-crime sont tr\u00e8s utiles pour faire face \u00e0 une prochaine tentative de phishing. Vous commencez \u00e0 \u00eatre proactif avec ce genre de position et d’outils.<\/p>\n
Il est de toute fa\u00e7on utile de suivre et d’indexer les binaires malveillants en fonction de leurs hachages ou du C2 qu’ils essaient de contacter ou m\u00eame d’indexer l’IP en essayant d’exploiter automatiquement le CVE connu, mais cela est une position plut\u00f4t r\u00e9active. Vous ne ripostez pas en connaissant la position ou la tactique de l’ennemi, vous le faites en paralysant ses capacit\u00e9s offensives, et c’est l\u00e0 que les adresses IP sont tr\u00e8s int\u00e9ressantes. Le syst\u00e8me est vieux de plusieurs d\u00e9cennies et sera toujours l\u00e0 apr\u00e8s nous. C’est <\/p>\n
Maintenant, il y a une ressource qui est en fait rare : IPV4. L’espace IP historique est limit\u00e9 \u00e0 environ 4 milliards d’entre eux. Amenez le combat sur ce terrain est efficace car si la ressource est rare, vous pouvez en fait \u00eatre proactif et br\u00fbler des adresses IP aussi vite que vous savez qu’une est utilis\u00e9e par l’ennemi. Maintenant, ce paysage est en constante \u00e9volution. Les fournisseurs de VPN, Tor et les applications proxy r\u00e9sidentielles offrent aux cybercriminels un moyen d’emprunter une adresse IP, sans parler du fait qu’ils peuvent en exploiter certaines \u00e0 partir de serveurs d\u00e9j\u00e0 compromis sur le dark web.<\/p>\n
Donc si une adresse IP est utilis\u00e9e \u00e0 un moment donn\u00e9, il est possible qu’elle ne le soit plus l’heure suivante et vous g\u00e9n\u00e9rez alors un faux positif si vous la bloquez. La solution est de cr\u00e9er un outil de crowdsourcing prot\u00e9geant toutes les tailles d’entreprises, sur tous les types de lieux, g\u00e9ographies, clouds, domiciles, corps priv\u00e9s DMZ, etc., et sur tous les types de protocoles. Si le r\u00e9seau est assez grand, cette rotation d’IP n’est pas un probl\u00e8me car si le r\u00e9seau arr\u00eate de rapporter une IP, vous pouvez la lib\u00e9rer, alors que la nouvelle qui monte dans un certain nombre de rapports doit \u00eatre int\u00e9gr\u00e9e dans une liste de blocage. Plus le r\u00e9seau est grand, plus il devient r\u00e9aliste.<\/p>\n
Vous pouvez surveiller presque tous les protocoles, \u00e0 l’exception de ceux bas\u00e9s sur UDP, qui doivent \u00eatre exclus car il est facile d’usurper des paquets via UDP. Ainsi, en examinant les rapports sur un protocole bas\u00e9 sur UDP pour interdire une adresse IP, vous pourriez facilement \u00eatre tromp\u00e9. En dehors de cela, chaque protocole est bon \u00e0 surveiller. De plus, vous pouvez certainement rechercher CVE mais, mieux encore, pour le comportement. Ce faisant, vous pouvez d\u00e9tecter les agressions commerciales qui peuvent ne pas \u00eatre uniquement bas\u00e9es sur CVE. Un exemple simple, au-del\u00e0 du DDoS L7 classique, des analyses, de la force brute des informations d’identification ou du bourrage est le scalping. Le scalping est l’action d’acheter automatiquement un produit avec un bot sur un site web et de le revendre contre un avantage sur eBay par exemple. C’est un probl\u00e8me de couche m\u00e9tier, pas vraiment li\u00e9 \u00e0 la s\u00e9curit\u00e9. Le syst\u00e8me open source CrowdSec a \u00e9t\u00e9 con\u00e7u exactement pour permettre cette strat\u00e9gie. <\/p>\n
Enfin, depuis deux d\u00e9cennies, on nous disait : “l’IPV6 arrive, soyez pr\u00eats”. Eh bien\u2026 disons que nous avons eu le temps de nous pr\u00e9parer. Mais c’est vraiment l\u00e0 maintenant et le d\u00e9ploiement de la 5G ne fera qu’acc\u00e9l\u00e9rer son utilisation de mani\u00e8re exponentielle. IPV6 change la donne avec un nouveau pool adressable IP aussi grand que 2 ^ 128. Ceci est encore limit\u00e9 \u00e0 bien des \u00e9gards, notamment parce que toutes les plages IP V6 ne sont pas encore pleinement utilis\u00e9es, mais aussi parce que tout le monde obtient plusieurs adresses IPV6 \u00e0 la fois, pas une seule. Pourtant, nous parlons d’une grande quantit\u00e9 d’entre eux maintenant. <\/p>\n
Couplons IA & Crowdsourcing <\/h2>\n
Lorsque les donn\u00e9es commencent \u00e0 circuler massivement \u00e0 partir d’un grand r\u00e9seau participatif et que la ressource que vous essayez de r\u00e9duire s’agrandit, l’IA semble \u00eatre une voie logique \u00e0 explorer. <\/p>\n
L’effet r\u00e9seau est d\u00e9j\u00e0 un bon d\u00e9but en soi. Un exemple ici pourrait \u00eatre le credential stuffing. Si une adresse IP utilise plusieurs couples login\/pass chez vous, vous l’appelleriez une force brute d’identification. Maintenant, \u00e0 l’\u00e9chelle du r\u00e9seau, si vous avez la m\u00eame adresse IP \u00e0 diff\u00e9rents endroits en utilisant diff\u00e9rents login\/pass, c’est du bourrage d’informations d’identification, quelqu’un essayant de r\u00e9utiliser des informations d’identification vol\u00e9es \u00e0 de nombreux endroits pour voir si elles sont valides. Le fait que vous voyez la m\u00eame action, tirant parti des m\u00eames informations d’identification sous de nombreux angles diff\u00e9rents, vous donne une indication suppl\u00e9mentaire du but du comportement lui-m\u00eame.<\/p>\n
Maintenant, pour \u00eatre honn\u00eate, vous n’avez pas besoin de l’IA pour trier Credential bruteforce de Credential Reuse ou Credential stuffing, mais il y a des endroits o\u00f9 elle peut exceller, en particulier lorsqu’elle est associ\u00e9e \u00e0 un grand r\u00e9seau pour obtenir des tas de donn\u00e9es.<\/p>\n
Un autre exemple pourrait \u00eatre une analyse Internet massive, r\u00e9alis\u00e9e \u00e0 l’aide de 1024 h\u00f4tes. Chaque h\u00f4te ne pourrait analyser qu’un seul port et cela passerait probablement inaper\u00e7u. Sauf si vous voyez, dans de nombreux endroits diff\u00e9rents, la m\u00eame adresse IP scanner le m\u00eame port dans un d\u00e9lai similaire. Encore une fois, \u00e0 peine visible \u00e0 l’\u00e9chelle individuelle, \u00e9vidente \u00e0 grande \u00e9chelle.<\/p>\n
D’un autre c\u00f4t\u00e9, les algorithmes d’IA sont bons pour identifier des mod\u00e8les qui ne seraient pas visibles si vous ne regardiez qu’un seul endroit \u00e0 la fois, mais flagrants \u00e0 l’\u00e9chelle d’un grand r\u00e9seau. <\/p>\n
La repr\u00e9sentation des donn\u00e9es dans des structures appropri\u00e9es \u00e0 l’aide de graphiques et d’incorporations peut r\u00e9v\u00e9ler des degr\u00e9s complexes d’interaction entre les adresses IP, les plages ou m\u00eame les AS (syst\u00e8mes autonomes). Cela a conduit \u00e0 identifier des cohortes de machines travaillant \u00e0 l’unisson vers le m\u00eame objectif. Si plusieurs adresses IP s\u00e9quencent une attaque en plusieurs \u00e9tapes comme l’analyse, l’exploitation, l’installation d’une porte d\u00e9rob\u00e9e, puis l’utilisation du serveur cible pour rejoindre un effort DDoS, ces mod\u00e8les peuvent se r\u00e9p\u00e9ter dans les journaux. Donc, si la 1\u00e8re IP de la cohorte est visible \u00e0 un horodatage donn\u00e9 et la 2e 10 minutes plus tard et ainsi de suite, et que ce sch\u00e9ma se r\u00e9p\u00e8te avec les m\u00eames IP \u00e0 de nombreux endroits, vous pouvez en toute s\u00e9curit\u00e9 dire \u00e0 tout le monde de bannir les 4 adresses IP \u00e0 la fois.<\/p>\n
La synergie entre l’IA et les signaux provenant de la foule nous permet de r\u00e9pondre efficacement aux limites de chacun. Bien que les signaux provenant de la foule fournissent une multitude de donn\u00e9es en temps r\u00e9el sur les cybermenaces, ils peuvent manquer de pr\u00e9cision et de contexte, ce qui finit par conduire \u00e0 des faux positifs. Les algorithmes d’IA, en revanche, ne deviennent g\u00e9n\u00e9ralement pertinents qu’apr\u00e8s avoir absorb\u00e9 une \u00e9norme quantit\u00e9 de donn\u00e9es. En retour, ces mod\u00e8les peuvent aider \u00e0 affiner et \u00e0 analyser ces signaux, en \u00e9liminant le bruit et en d\u00e9voilant des mod\u00e8les cach\u00e9s.<\/p>\n
Il y a un couple puissant \u00e0 marier ici.<\/p>\n
<\/p>\n