Cybersécurité : 7 idées fausses qui nuisent aux entreprises

Le monde a subi un choc économique, politique et technologique ces deux dernières années. La technologie progresse à un rythme toujours plus vertigineux, d'ailleurs les citoyens ordinaires font désormais les frais de la cyberguerre que se livrent les États-nations.

Dans ce contexte, c'est toute une série d'idées fausses sur la cybersécurité qui ont gagné du terrain, poussant les équipes de sécurité à se focaliser sur les mauvais aspects malgré leurs bonnes intentions.

En voici sept à surveiller de près :

Bon nombre d'entreprises sont bien conscientes de la présence de bots, mais la réalité, est que les réseaux sociaux ne savent pas et ne tiennent pas à connaître la proportions exacte de ces bots actifs sur leur plateforme.

Il y a quelques années, nous avons réalisé une démonstration avec un réseau social qui a révélé que 98 % des connexions à ce réseau étaient le fait de bots automatisés. Très fière de sa croissance rapide, cette entreprise qui regardait l'avenir avec optimisme a dû admettre qu'elle n'avait qu'un dixième des abonnés qu'elle pensait avoir.

Cette conclusion a révélé toute son importance au grand public avec l'acquisition de Twitter. La valeur de cette entreprise repose très largement sur son nombre d'utilisateurs. Il y a peu, Elon Musk a mis Twitter au défi de démontrer que les bots et les faux profils représentent moins de 5 % des comptes. Cette attente est légitime de la part de tout investisseur, annonceur, partenaire commercial potentiel, voire des utilisateurs. Le nombre de bots sur Twitter avoisine plutôt les 50%, si ce n'est plus.

Les entreprises devraient être tenues de s'assurer que leurs utilisateurs sont bien des êtres humains, en plus de gérer et d'atténuer efficacement leur trafic de bots.

Pour faire simple, la prolifération des bots malveillants est le signe d'une défaillance de sécurité. La prévention des bots est essentielle non seulement pour garantir l'intégrité des informations qui circulent sur ces sites, mais aussi pour pouvoir fournir des données exactes aux entreprises amenées à prendre des décisions commerciales importantes ainsi qu'aux autres parties traitant avec elles.

Depuis des années, des entreprises, dotées de budgets colossaux et d'équipes techniques brillantes, se battent contre les bots. Lorsque le trafic de ces organisations est analysé, on s'attend à voir des bots sophistiqués, qui auraient évolué pour surmonter les défenses, mais ce n'est tout simplement pas le cas.

Les entreprises combattent les bots en bloquant les IP, les régions et les systèmes autonomes, et c'est là qu'une l'évolution du trafic de bots malveillants est constatée : les attaques proviennent désormais de centaines de milliers, voire de millions d'adresses IP. Les défenses de la couche réseau ont leurs limites.

Il est primordial d'avoir des données biométriques comportementales. D'interroger le navigateur et de questionner l'appareil. Ce sont tous ces signaux, pris dans leur ensemble, qui permettent d'identifier non seulement les bots, mais aussi les individus malveillants qui les contrôlent.

Les entreprises imaginent également pouvoir se sortir de cette situation en embauchant, mais il est tout simplement impossible de recruter suffisamment d'experts pour résoudre un problème aussi vaste. Le seul moyen de lutter réellement contre l'automatisation passe par l'automatisation.

Les professionnels de la sécurité sont inquiets de voir des cybercriminels qui innovent constamment pour garder une longueur d'avance. Or, à bien des égards, les attaques évoluent peu en dehors de légers ajustements çà et là.

La plupart des bots d'aujourd'hui présentent le même niveau de sophistication qu'il y a cinq ans. C'est seulement leur provenance qui a changé.

Le credential stuffing fonctionne toujours malgré l'authentification à deux facteurs ou les tests CAPTCHA. Les cybercriminels n'ont aucune utilité à imaginer de nouveaux vecteurs d'attaque tant que le vecteur d'origine reste efficace. Il leur suffit simplement de trouver un moyen d'esquiver les nouvelles défenses.

Les entreprises doivent bien sûr tenir compte des menaces émergentes et tenter de s'y préparer, mais le secteur doit également continuer à atténuer les menaces de l'année passée.

Le monde du multi-Cloud est aujourd'hui une réalité pour beaucoup d'entreprises, si ce n'est pour la plupart. Quelle qu'en soit la motivation (une acquisition, l'intégration avec un partenaire ou simplement la volonté de bénéficier des meilleures fonctionnalités), le multi-Cloud n'est pas près de disparaître.

Pourtant, les entreprises utilisent plusieurs Clouds, parfois à contrecoeur et ne saisissent pas l'occasion d'en tirer tous les avantages.

Aujourd'hui, rien ne justifie que la gestion et la sécurisation d'un parc informatique sur plusieurs Clouds soient difficiles. Les fournisseurs de services Cloud ont intégré l'interopérabilité dans leurs stratégies, et un grand nombre d'autres fournisseurs proposent des solutions conçues pour éliminer le fardeau de l'intégration, extraire l'essentiel de leurs fonctionnalités sur les différents Clouds et les mettre à disposition par le biais d'une interface simple et unifiée.

Les équipes de sécurité se concentrent sur l'infrastructure de l'entreprise, ses serveurs, ses ordinateurs, ses postes de travail. tout ce qui se trouve à l'intérieur de l'organisation. Mais ce faisant, elles négligent bien souvent les réseaux domestiques de tous les employés.

Si un cybercriminel cherche à cibler le PDG d'une entreprise, pour accéder à des informations sur les fusions et acquisitions ou à d'autres renseignements stratégiques, il pourra monétiser les informations récoltées, mais il reste bien plus simple de cibler la personne en charge des comptes fournisseurs ou un administrateur informatique.

À l'heure où le télétravail est plus répandu que jamais, les réseaux domestiques constituent une nouvelle faille pour les personnes mal intentionnées.

Les menaces internes ont un avantage énorme du simple fait qu'il est dans la nature humaine de présumer de bonnes intentions de son entourage. Mais le fait est que personne ne peut embaucher 50 ou 100 employés sans courir le risque bien réel de tomber sur une ou deux collaborateurs malveillants.

Or, un employé mécontent, qui veut nuire à son entreprise, peut enregistrer des fichiers sensibles sur une clé USB avant de claquer la porte. On craint même de plus en plus qu'il introduise des logiciels corrompus dans le système.

Aujourd'hui, un grand nombre d'attaques par ransomware pourraient en fait émaner de l'intérieur de l'organisation. Il est très facile pour un administrateur informatique de se créer un profil sur le Dark Web, de lui donner accès au système pour y installer un logiciel malveillant, puis de demander une rançon et, en tant qu'administrateur, de conseiller à l'entreprise de la payer.

Lorsque Colonial Pipeline a été attaqué il y a un an, provoquant de longues files d'attente dans les stations-service et incommodant de ce fait les consommateurs de la côte Est des États-Unis, cela a fait la une de l'actualité internationale.

Pourtant, on ne parle guère des millions de citoyens qui sont escroqués chaque année en ligne, dont beaucoup sont âgés et vivent de leur épargne-retraite. Il s'agit d'une menace énorme qui peut avoir des effets dévastateurs sur les individus et leurs familles, bien plus que le fait de devoir faire la queue et de payer son essence plus chère.

Les attaques contre les infrastructures sont un problème majeur et bien réel, mais lorsqu'on écoute les récits de victimes, il apparaît évident que la cyberfraude généralisée mérite davantage d'attention que celle qu'on lui accorde actuellement.

Dan Woods, - F5.