Pendant la majeure partie des ann\u00e9es 90 et au d\u00e9but des ann\u00e9es 90, le manuel de l’administrateur syst\u00e8me disait : “Filtrez votre trafic entrant, tout le monde n’est pas gentil<\/em>” (plus tard invent\u00e9 par Gandalf comme”Vous ne pouvez pas passer<\/em>“). Les DSI ont donc commenc\u00e9 \u00e0 suralimenter leurs cl\u00f4tures r\u00e9seau avec chaque appareil qu’ils pouvaient obtenir pour se prot\u00e9ger contre le trafic entrant (alias INGRESS).<\/p>\n Dans le sillage des premi\u00e8res campagnes de phishing de masse au d\u00e9but des ann\u00e9es 2010, il est devenu de plus en plus \u00e9vident que quelqu’un devait s’occuper des employ\u00e9s et, plus pr\u00e9cis\u00e9ment, de leur \u00e9tonnante capacit\u00e9 \u00e0 cliquer sur chaque lien qu’ils recevaient. Le filtrage du trafic sortant (alias EGRESS) est devenu une obsession. La s\u00e9curit\u00e9 du navigateur, les proxies et autres antivirus glorifi\u00e9s sont devenus les incontournables que chaque cabinet de conseil conseillerait \u00e0 ses clients de mettre la main sur le plus t\u00f4t possible.<\/p>\n Le risque \u00e9tait r\u00e9el, et la r\u00e9ponse a \u00e9t\u00e9 assez adapt\u00e9e, mais elle a aussi contribu\u00e9 au fameux “super soldat<\/em>Je suis seul contre une arm\u00e9e ? Tant pis, je vais creuser une tranch\u00e9e, enterrer mes atouts \u00e0 l’int\u00e9rieur, derri\u00e8re des tas de logiciels et devenir un super soldat pour tenir bon.<\/p>\n Mais le “sol” \u00e9tait une cible mouvante. Le SaaS, le shadow IT, le cloud public, les charges de travail temporaires et le travail \u00e0 domicile ont bris\u00e9 ces murs. Le p\u00e9rim\u00e8tre autrefois tr\u00e8s clair est devenu de plus en plus flou. Les notions de “dedans” et de “dehors” sont devenues floues. Le super soldat ne pouvait pas d\u00e9fendre toutes les zones simultan\u00e9ment. Il faisait \u00e9galement face \u00e0 une arm\u00e9e croissante de cybercriminels bien entra\u00een\u00e9s et fortement financ\u00e9s. Superman ne pouvait plus \u00eatre partout en m\u00eame temps.<\/p>\n Et puis, \u00e0 la fin des ann\u00e9es 2010 et au d\u00e9but des ann\u00e9es 2020, est arriv\u00e9 le ransomware. Une fa\u00e7on terriblement astucieuse de mon\u00e9tiser la dette technique au prix le plus \u00e9lev\u00e9 possible. Les m\u00eames vieilles techniques de piratage, gr\u00e2ce \u00e0 l’essor de la crypto-monnaie, valaient d\u00e9sormais du platine. Notre super soldat \u00e9tait, tout d’un coup, tr\u00e8s seul et\u2026 tout \u00e0 fait inutile. <\/p>\n La gestion du trafic d’entr\u00e9e \u00e9tait alors moins \u00e0 la mode, c’\u00e9tait cens\u00e9 \u00eatre une affaire conclue. Avec un pare-feu et une surveillance d\u00e9cente, nous devrions \u00eatre pr\u00eats \u00e0 partir. Mais compromettre une entreprise ou une institution gouvernementale pourrait \u00eatre fait principalement en utilisant l’une des trois strat\u00e9gies principales\u00a0:<\/p>\n Selon Rapports IBM X-force<\/a>, environ 47\u00a0% des compromis initiaux sont li\u00e9s \u00e0 l’exploitation de vuln\u00e9rabilit\u00e9s, tandis que le phishing repr\u00e9sente 40\u00a0%. Ajoutez 3\u00a0% d’informations d’identification vol\u00e9es et 3\u00a0% de force brute, et vos agressions Ingress p\u00e8sent 53\u00a0% en termes de probabilit\u00e9 d’\u00eatre viol\u00e9es de l’ext\u00e9rieur vers l’int\u00e9rieur. (Je ne compte pas les 7\u00a0% de supports amovibles car, honn\u00eatement, si vos utilisateurs sont assez stupides pour brancher une cl\u00e9 USB inconnue et votre politique le permet, alors c’est une autre affaire que j’appellerais le darwinisme num\u00e9rique.)<\/p>\n Une fois qu’un utilisateur est infect\u00e9 par un logiciel malveillant, le jeu consiste \u00e0 \u00e9viter que son poste de travail ne devienne une base d’op\u00e9rations pour les cybercriminels. C’est maintenant que le filtrage de sortie entre en jeu. Ok, il est trop tard, vous avez \u00e9t\u00e9 compromis, mais att\u00e9nuons les retomb\u00e9es et emp\u00eachons la station 1\/ d’\u00eatre davantage exploit\u00e9e \u00e0 l’int\u00e9rieur des murs, mais aussi 2\/ de se reconnecter au commandement et contr\u00f4le centre des criminels.<\/p>\n D\u00e9sormais, la protection du trafic d’entr\u00e9e est n\u00e9cessaire car non seulement elle repr\u00e9sente plus de compromis initiaux, mais aussi parce que le p\u00e9rim\u00e8tre est plus grand et plus h\u00e9t\u00e9rog\u00e8ne que jamais. Un \u00ab\u00a0p\u00e9rim\u00e8tre\u00a0\u00bb d’entreprise comprend d\u00e9sormais souvent le LAN et la DMZ du QG, certaines machines h\u00e9berg\u00e9es dans des centres de donn\u00e9es, et \u00e9ventuellement plusieurs bureaux avec des VPN, des travailleurs \u00e0 distance, des charges de travail Cloud, des fournisseurs de cha\u00eene d’approvisionnement et des outils SaaS. Tout surveiller est un exploit, surtout lorsque les fournisseurs SIEM veulent mon\u00e9tiser pour chaque journal que vous stockez. Penser que seul le CTI ou l’outil Egress vous prot\u00e9gera n’est pas r\u00e9aliste.<\/p>\n De nos jours, la gestion du trafic Ingress est moins \u00e0 la mode car elle devait \u00eatre trait\u00e9e dans les ann\u00e9es 90. Mais si vous externalisez vos informations sur les attaques d’entr\u00e9e et les organisez suffisamment pour exploiter ces donn\u00e9es CTI dans vos appliances, alors c’est une victoire nette pour votre posture de s\u00e9curit\u00e9 globale. Et devinez qui s’occupe de la s\u00e9curit\u00e9 participative bas\u00e9e sur un outil DevSecops open source\u00a0?<\/p>\n C’est exact! FouleSec<\/a>! D\u00e9couvrez comment vous pouvez prot\u00e9ger votre trafic Ingress ici<\/a>. <\/p>\n Note: <\/b>Cet article a \u00e9t\u00e9 \u00e9crit par Philippe Humeau, PDG de CrowdSec, avec expertise et soin.<\/i><\/p>\n <\/p>\nFiltres de sortie post-compromis, l\u00e0 o\u00f9 les filtres d’entr\u00e9e pr\u00e9-compromis<\/h2>\n
\n
De r\u00e9actif \u00e0 proactif<\/h2>\n