L’éditeur de sécurité réseau Stonesoft encourage aujourd’hui les entreprises à remettre en question leurs infrastructures de sécurité et de gestion des risques. Wikileaks, Stuxnet, Les Advanced Evasion Techniques et la faille RSA ont profondément transformé le paysage de la sécurité. Ils ont également agi comme un véritable avertissement sur le plan stratégique. Les entreprises doivent désormais repenser leurs architectures de sécurité et de gestion des risques. Il en va de la responsabilité des décideurs et des dirigeants.

Depuis 2010 et le début de l’année 2011, le paysage de la sécurité s’est profondément modifié.

Quatre différents évènements Wikileaks, Stuxnet, les Advanced Evasion Techniques et le piratage du code source de SecurID ont bouleversé la sécurité, notamment en termes stratégiques. Ces attaques mettent clairement en lumière la nécessité de mettre en place des actions. Plus les données d’une entreprise sont précieuses, plus cette dernière est susceptible d’être la cible d’une attaque.

Le site web Wikileaks a subi de violentes critiques car il a dévoilé des informations top secret, mettant en péril la sécurité des nations, la diplomatie internationale et le secret éditorial. Ce phénomène a amené les entreprises à s’interroger : pouvons-nous nous permettre d’héberger des informations qui, si elles sont dévoilées au public, risquent de fragiliser voire de détruire notre activité ? Si les données vitales d’une entreprise ne peuvent en aucun cas être rendues publiques, il est nécessaire de les protéger en conséquence.

Le ver Stuxnet a démontré que certaines organisations (ou certains individus) disposent des ressources et des compétences nécessaires pour lancer des attaques élaborées et ciblées contre les entreprises. Affirmer que certains réseaux sont trop difficiles à attaquer ou nécessitent trop de ressources ne se justifie donc plus, en particuliers si le gain pour les cybercriminels et les hackers est attractif.

Les Advanced Evasion Techniques (AET) sont une nouvelle forme de techniques d’évasions que l’on peut modifier ou combiner afin de contourner les systèmes de sécurité. Les AET sont une sorte de passe-partout qui permet d’accéder et de cibler les endroits les plus protégés et d’y déposer un malware (qu’il soit nouveau ou plus ancien). Les Advanced Evasion Techniques mettent en danger les données et les systèmes. Ce phénomène met également en lumière le fait que trop d’importance a été apportée aux performances des produits, compromettant le facteur le plus essentiel : la sécurité réelle. Avec les AET, les entreprises se trouvent dans l’obligation de repenser la sécurité des architectures afin que leurs données critiques et systèmes soient correctement protégés.

La faille RSA a permis aux cybercriminels de pénétrer un système de sécurité en créant des répliques des clés électroniques RSA, division sécurité de la société EMC. Les SecurIDs sont largement utilisées dans le monde. Elles sont censées empêcher les hackers d’utiliser des virus enregistrant les mots de passe : ces clés génèrent en effet constamment des nouveaux mots de passe. En mars 2011, EMC a avoué que des pirates avaient pénétré leur réseau et volé des informations SecurID, exploitables pour compromettre l’efficacité de ces dispositifs.

Aperçu des récentes failles de sécurité

En 2010-2011, nous avons assisté à plusieurs failles de sécurité critiques :

Nasdaq, 2010

• Tout au long de l’année 2010, les hackers ont pénétré à répétition le réseau de la société qui gère le Nasdaq. Pour les autorités, cela pose deux gros problèmes : préserver la stabilité et la fiabilité des échanges numériques et maintenir la confiance des investisseurs dans les systèmes. Les bourses du monde entier sont conscientes qu’elles sont fréquemment la cible des pirates.

Faille RSA, mars 2011

• Des pirates sont parvenus à accéder au réseau de RSA et à voler des informations relatives à ses produits d’authentification à deux facteurs.

Sony piraté à plusieurs reprises en 2011

• Cet incident est le tout dernier dans une longue semaine d’attaques et de failles. Les premiers problèmes ont commencé le 19 avril. A cette date, la société Sony commence ses recherches et finit par découvrir une faille de sécurité dans le réseau PlayStation Network. Plus de 100 millions d’utilisateurs ont été touchés par ce piratage.

Faille Comodo, mars 2011

• L’organe de certification électronique américain, Comodo, a reconnu que deux de ses nouvelles Registration Authorities (RA) avaient été piratées. Ces piratages n’ont semble-t-il rien à voir avec l’incident impliquant un pirate iranien isolé au cours duquel au moins cinq comptes ont été attaqués.

Barracuda, avril 2011

• Après avoir sondé le réseau pendant plusieurs heures, les pirates ont découvert et exploité une faille SQL sur le site de Barracuda afin de mettre la main sur plusieurs bases de données, s’emparer des coordonnées des partenaires, des clients et des employés de Barracuda.

Lockheed martin Corp, Mai 2011

• Des pirates inconnus ont accédé au réseau d’un des plus gros fabricant d’armes du monde, Lockheed Martin Corp.

L-3 Communications, tentative de piratage, 2011

• La société de défense L-3 Communications a été la cible de tentatives de pénétration visant à dérober des informations confidentielles. L-3 n’a dévoilé aucune information quant au succès ou non de l’attaque.

Citibank, pirate en mai 2011

• Les informations personnelles et coordonnées bancaires de plus de 200 000 porteurs de cartes américains, dont des données spécifiques comme le nom et les adresses emails, ont été dérobées.

FMI piraté en juin 2011

Le Fond Monétaire International, groupe intergouvernemental qui supervise le système financier mondial et regroupe 187 états membres est la dernière victime d’une cyber-attaque considérable.

Toutes ces sociétés ont un point commun : leurs systèmes de sécurité sont extrêmement bien protégés. Ces sociétés disposent d’équipes sécurité en interne, dotées de commandes et de centres de contrôles pour administrer et protéger leurs réseaux contre de multiples attaques. Et pourtant, elles ont été piratées. Les outils de piratage évoluent chaque jour et deviennent de plus en plus disponibles. Il est donc fort probable que des évènements de ce type et des failles de sécurité se multiplient et touchent également des entités moins bien protégées.

Pour Léonard Dahan, Country Manager Stonesoft France et Benelux, « le visage de la sécurité est désormais transformé. Il est maintenant nécessaire de repenser la protection des entreprises et de leurs données essentielles. Les stratégies de sécurité sont chaque jour plus fondamentales, dans la gestion des risques au quotidien. Les dirigeants se doivent de prendre cela en compte et de ne pas laisser uniquement la responsabilité aux équipes IT. Même les conseils d’administration devraient participer et superviser le profil de l’entreprise face aux risques. »