Dans le domaine de la cybersécurité, une « surface d'attaque » définit tout l'ensemble de vulnérabilités, de points d'accès et de vecteurs d'attaque qui peuvent être exploités pour obtenir un accès non autorisé aux systèmes et données d'une organisation.
Les acteurs malveillants ciblent la surface d'attaque lorsqu'ils veulent contourner les défenses d'une organisation afin de perturber les systèmes, de voler des données, de demander une rançon ou d'effectuer toute autre action malveillante. C'est pour cela que la surface d'attaque constitue un point d'inquiétude essentiel pour les professionnels de la cybersécurité.
La surface d'attaque comprend les vulnérabilités, les points d'entrée ou les méthodes pouvant permettre de s'infiltrer dans le réseau ou dans l'environnement IT, c'est-à-dire tout matériel ou logiciel, que ce soit sur site, sur Internet ou dans le cloud.
Pour la plupart des organisations, la surface d'attaque se compose de trois parties : numérique, physique, et sociale ou humaine. L'approche traditionnelle de la gestion de la surface d'attaque ne suffit plus. Toutes ces surfaces doivent être surveillées de manière continue et proactive, en utilisant la gestion de l'exposition aux cyber-risques afin que les menaces puissent être détectées et arrêtées dès que possible.
En plus de défendre la surface d'attaque, la plupart des équipes de cybersécurité essaient également de la réduire autant que possible, en limitant les possibilités pour les cybercriminels de s'introduire dans les systèmes et de se livrer à des activités malveillantes. Cela peut s'avérer difficile, car les systèmes et environnements IT de nombreuses organisations sont plus interconnectés et ouverts qu'ils ne l'avaient jamais été.
Découvrez plus d'informations sur la gestion de votre surface d'attaque.
Surface d'attaque et vecteur d'attaque
Les vecteurs d'attaques sont un aspect de l'ensemble de la surface d'attaque. Il s'agit des techniques que les acteurs malveillants utilisent pour accéder aux données et aux systèmes de manière illicite. De nombreux vecteurs peuvent être utilisés sur plusieurs parties de la surface d'attaque, par exemple :
Que devons-nous savoir sur notre surface d'attaque ?
Comme indiqué précédemment, la gestion traditionnelle de la surface d'attaque ne suffit pas. Les organisations et leurs équipes de cybersécurité ont besoin d'une solution de gestion de l'exposition aux cyber-risques afin d'obtenir une vue d'ensemble claire de la totalité de la surface d'attaque. Une analyse de la surface d'attaque doit inclure absolument tous les éléments : équipement réseau, serveurs cloud et appareils dotés de l'Internet des objets (IdO), mais aussi comptes d'utilisateurs, privilèges d'accès, et ainsi de suite.
Les organisations doivent également savoir où sont stockées toutes leurs données, en particulier les données stratégiques, privées, confidentielles, classifiées ou sensibles.
L'obtention de cette vue d'ensemble et sa mise à jour nécessitent une cartographie approfondie des parties numérique, physique et sociale (humaine) de la surface d'attaque, avec un suivi des modifications au fil du temps.
Quels sont les principaux risques liés à la surface d'attaque ?
Chacune des différentes parties de la surface d'attaque (numérique, physique et sociale) comporte ses propres risques, que les défenseurs doivent connaître et gérer. Ces risques, qui comprennent des vecteurs d'attaque spécifiques, évoluent constamment, en parallèle des technologies et des menaces. Voici quelques exemples ci-dessous.
Risques liés à la surface d'attaque numérique
Toute ressource du réseau ou de données accessible depuis l'extérieur, même si elle est protégée par le chiffrement, l'authentification, les pare-feu ou d'autres mesures, fait partie de la surface d'attaque numérique et est vulnérable face aux menaces suivantes :
- Cyberattaques : des ransomware, des virus et d'autres malware peuvent être injectés dans les systèmes de l'entreprise. Les attaquants peuvent ainsi accéder aux réseaux et aux ressources, exfiltrer des données, pirater des appareils et endommager les actifs et les données.
- Problèmes de codage et erreurs de configuration : les erreurs de configuration des technologies de réseau et cloud, comme les ports, les points d'accès et les protocoles, laissent des « portes » ouvertes pour les attaquants et sont une cause fréquente de violations.
- Technologies exposées : toute technologie connectée à l'Internet public est accessible pour les pirates et vulnérable face aux attaques. Cela peut inclure des applications Web, des serveurs Web, des serveurs et des applications cloud, et bien d'autres éléments.
- Technologies et applications obsolètes : les logiciels, le firmware et les systèmes d'exploitation des appareils doivent être correctement codés et doivent recevoir les correctifs nécessaires pour contrer les vulnérabilités et les menaces connues. Sans cela, ils peuvent permettre aux attaquants de pénétrer au sein d'une organisation. Les appareils anciens qui font toujours partie de l'environnement IT, mais qui ne bénéficient d'aucune maintenance ou qui ne sont pas utilisés activement, peuvent également constituer des points d'accès pratiques pour les attaques, car ils ne sont pas souvent surveillés.
- Shadow IT : les outils utilisés par les employés d'une organisation qui ne font pas partie de l'environnement IT connu ou sanctionné sont considérés comme de l'informatique fantôme, ou « shadow IT ». Ils peuvent créer des vulnérabilités, justement parce que l'équipe de cybersécurité ne les connaît pas. Il s'agit notamment d'applications, de dispositifs de stockage portables, de téléphones et tablettes personnel, et plus encore.
- Mots de passe et chiffrement peu sécurisés : les mots de passe faciles à deviner, que ce soit parce qu'ils sont évidents, trop simples ou réutilisés pour plusieurs comptes, peuvent permettre à des acteurs malveillants d'accéder aux ressources numériques d'une organisation. Les informations d'identification volées sont également très demandées parmi les cybercriminels, pour des raisons similaires. Le chiffrement a pour but de modifier les informations, afin que seules les personnes autorisées puissent les lires. S'il n'est pas assez sécurisé, les pirates peuvent extraire les données, puis les utiliser pour lancer des attaques à plus grande échelle.
Risques liés à la surface d'attaque physique
La surface d'attaque physique comprend des appareils technologiques que des individus possèdent physiquement (comme des ordinateurs portables) ou qui sont accessibles uniquement dans des sites et lieux spécifiques. Ces deux risques importants sont liés à la surface d'attaque physique :
- Cambriolage et vol d'appareil : des vols d'ordinateurs portables et autres ont souvent lieu dans des voitures, des lieux publics s'ils sont laissés sans surveillance, ou même lors de cambriolages de bureaux et d'autres bâtiments. Une fois que les acteurs malveillants se sont emparés de ces appareils, ils peuvent les utiliser, ainsi que les données d'identification stockées dessus, pour entrer dans le réseau de l'entreprise ou accéder à d'autres ressources.
- Appât : avec les attaques par appât, les criminels laissent dans des lieux publics des dispositifs de stockage portables, comme des clés USB, en espérant que quelqu'un branchera le dispositif à un ordinateur pour voir ce qu'il contient. Ces clés USB d'appât contiennent des malware qui se chargent ensuite sur le système de l'utilisateur et lancent une attaque.
Risques liés à la surface d'attaque sociale ou humaine
Les êtres humains sont souvent désignés comme la « première ligne de défense » dans la cybersécurité. En effet, leurs actions peuvent directement renforcer ou affaiblir la surface d'attaque. Les cyberattaques qui ciblent le comportement humain sont nommées attaques d'ingénierie sociale. La surface d'attaque sociale ou humaine correspond au nombre d'utilisateurs dont le cybercomportement pourrait, intentionnellement ou non, nuire à une organisation.
Les risques courants comprennent les suivants :
- Programmes de phishing : ils comprennent les emails d'arnaque, les SMS et les messages vocaux (et même, à présent, les deepfakes et appels vidéo générés par l'IA) qui trompent les utilisateurs et les invitent à se livrer à des actions qui compromettent la cybersécurité. Il peut s'agir de partager des informations sensibles, de cliquer sur des liens menant à des malware, de verser des fonds qui ne devraient pas être payés, et plus encore. L'IA a rendu le phishing plus difficile à détecter et plus ciblé.
- Personnel interne malveillant : Les employés qui éprouvent de la rancune à l'encontre de leur organisation, qui subissent du chantage ou qui sont soudoyés par des acteurs malveillants peuvent utiliser leurs autorisations et leur accès légitimes pour exfiltrer des données de l'entreprise, partager des informations d'identification, installer des malware, endommager les systèmes de l'entreprise ou effectuer d'autres actions malveillantes.
Comment pouvons-nous réduire notre surface d'attaque ?
Aucune organisation ne peut éliminer entièrement la surface d'attaque, mais elle peut la contenir et la minimiser. Une fois la surface d'attaque mappée, les équipes de cybersécurité peuvent mettre en place la gestion des cyber-risques pour surveiller en continu les modifications et prédire de manière proactive les risques émergents potentiels. Cela peut révéler des possibilités de réduire les domaines de vulnérabilité et l'exposition, notamment :
- la simplification de l'environnement, la mise hors service de tout logiciel et appareil obsolète ou inutilisé, et la limitation du nombre d'endpoints ;
- le partitionnement du réseau et l'ajout de pare-feu et d'autres barrières pour que les attaquants aient plus de difficultés à s'y déplacer une fois l'accès obtenu ;
- l'utilisation des résultats de l'analyse de la surface d'attaque pour détecter et corriger les failles et les points faibles, par exemple en imposant des mots de passe plus solides, en éliminant les logiciels et applications obsolètes, en réduisant le shadow IT, en mettant en place des politiques et des contrôles de sécurité ciblés, et plus encore ;
- le renforcement des mesures de sécurité en adoptant les bonnes pratiques, notamment l'authentification à deux facteurs ou multifacteur, et les approches Zero Trust. Avec le Zero Trust, seules les personnes appropriées bénéficient d'un accès limité à des données, applications et ressources spécifiques, selon le besoin. Le Zero Trust limite radicalement le nombre de personnes pouvant utiliser certaines ressources technologiques, le moment où elles peuvent les utiliser et pour combien de temps. Cela protège les actifs de manière inhérente et permet de mieux détecter les violations ;
- le soutien de la cyber-sensibilisation des employés grâce à la formation, aux tests et aux rappels périodiques. Les sujets de formation peuvent inclure une bonne hygiène de mots de passe, la manière de respecter les politiques de l'entreprise, la manière de rester vigilant face au risque que constituent les programmes de phishing et les autres attaques d'ingénierie sociale, et les actions à mettre en place si l'équipe craint que la sécurité ne soit compromise.
Qu'est-ce que la gestion de la surface d'attaque ?
La gestion de la surface d'attaque (ASM, attack surface management) est une approche traditionnelle de la cybersécurité qui vise à aider les organisations à mieux défendre leurs données et leurs systèmes. Il s'agit de savoir où sont présents les risques, de comprendre leur gravité relative et d'agir pour combler les failles de sécurité liées aux personnes, aux processus et aux technologies. L'ASM permet aux équipes de sécurité de réduire le nombre d'accès à l'écosystème IT d'une entreprise, et d'acquérir une visibilité sur les vulnérabilités émergentes et les vecteurs d'attaque.
L'ASM est devenue extrêmement importante, car les environnements IT d'entreprise sont plus dynamiques et interconnectés que jamais auparavant. La surface d'attaque est donc plus étendue et variée. L'ASM traditionnelle, qui offre des approches de détection et de surveillance des actifs, et les solutions ponctuelles de cybersécurité à objectif unique, ne peuvent pas fournir la visibilité complète, la veille ni la protection requises. Le paysage actuel des menaces requiert une surveillance continue des points d'entrée et la hiérarchisation des actions d'atténuation en fonction de l'impact. Cette approche aide à traduire les risques pour l'entreprise et à prédire les menaces, ce qui permet de neutraliser les risques de manière proactive avant qu'ils ne se concrétisent.
Le gouvernement joue-t-il un rôle dans la gestion de la surface d'attaque ?
Les autorités de nombreuses juridictions ont créé des législations, des réglementations et des politiques publiques pour définir les attentes quant à la manière dont les organisations doivent assurer la sécurité de leur environnement numérique. Elles comprennent des cadres tels que le Cyber Risk Scoring Framework du National Institute of Standards and Technology aux États-Unis, qui lui permet d'évaluer et de gérer sa propre surface d'attaque.
Une bonne collaboration entre l'industrie et le gouvernement concernant la cybersécurité contribue à offrir de meilleures cyberprotections globalement et promeut le partage de bonnes pratiques, pour une gestion efficace de la surface d'attaque.
Qui peut nous aider à gérer notre surface d'attaque ?
La simple gestion de la surface d'attaque ne suffit pas. Le paysage actuel des risques exige des fonctionnalités de gestion de l'exposition aux cyber-risques pour pouvoir prédire, découvrir, évaluer et atténuer les risques de manière proactive, afin de réduire fortement l'étendue de vos cyber-risques.
Trend Vision One™ offre une solution Cyber Risk Exposure Management (CREM) qui adopte une approche révolutionnaire en associant des fonctionnalités clés, comme External Attack Surface Management (EASM), Cyber Asset Attack Surface Management (CAASM), Vulnerability Management et Security Posture Management, dans le cloud, les données, l'identité, les API, l'IA, la conformité et les applications SaaS, en une solution unique, puissante et simple d'utilisation.
Découvrez comment Cyber Risk Exposure Management peut vous aider à dépasser la simple gestion de la surface d'attaque.