7 autres mythes sur la cybersécurité qui nuisent à votre entreprise

Dan Woods

Il y a deux ans, j’ai écrit un article sur sept mythes liés à la cybersécurité qui engendrent des risques pour les entreprises et poussent des équipes de sécurité pourtant bien intentionnées à se concentrer sur les mauvaises priorités.

À l’époque, nous étions au début d’une pandémie mondiale, et nos vies, tant réelles que numériques, évoluaient rapidement, parfois de manière irréversible. Depuis, le monde a été bouleversé sur les plans économique, politique et technologique. Le progrès technologique, dont le rythme était déjà vertigineux, s’est encore accéléré. Les États qui se livrent à la cyberguerre ont directement touché les citoyens ordinaires au portefeuille. Deux ans plus tard, ces mythes devraient donc être totalement différents, n’est-ce pas ?

Faux. Comme nous le rappelle l’adage « plus ça change », plus les choses changent, plus elles restent les mêmes. Les sept mythes d’origine restent tous très pertinents, mais je vous propose sept mythes supplémentaires sur la cybersécurité, qui découlent de l’immuabilité de la condition humaine.

Mythe n° 1 : Seul un petit nombre de comptes sur les réseaux sociaux sont faux.

De nombreuses entreprises savent qu’elles ont des bots, mais en réalité, les plateformes de réseaux sociaux ignorent souvent combien elles en ont vraiment et ne veulent pas le savoir.

Il y a quelques années, nous avons réalisé une démonstration de faisabilité avec un site de réseau social, qui a révélé que 98 % des connexions provenaient de bots automatisés. Cette entreprise était très fière de sa croissance rapide et envisageait l’avenir avec enthousiasme, mais il s’est avéré qu’elle ne comptait en réalité qu’un dixième du nombre d’abonnés qu’elle pensait avoir.

L’acquisition de Twitter a illustré de manière très publique toute l’importance de disposer de ces informations. La valeur de l’entreprise repose en grande partie sur son nombre d’utilisateurs. La demande d’Elon Musk, qui a mis l’entreprise au défi de démontrer que les robots spammeurs et les faux comptes représentent moins de 5 %, constitue une attente légitime pour tout investisseur, annonceur, partenaire commercial potentiel, et même pour ses utilisateurs.

Je pense que la proportion de bots sur Twitter est plutôt de l’ordre de 50 %, voire plus. (Remarque : à la suite de recherches ultérieures, j’ai revu cette estimation dans un article de blog plus récent.) Les entreprises devraient être tenues de vérifier que leurs utilisateurs sont bien des êtres humains, ainsi que de gérer et de réduire efficacement le trafic généré par les bots.

En termes simples, le succès des bots malveillants révèle une faille de sécurité. La prévention des bots est essentielle pour garantir l’intégrité des informations qui circulent sur ces sites, mais aussi pour disposer de données fiables permettant aux entreprises de prendre des décisions commerciales importantes, ainsi qu’à leurs partenaires de faire de même.

Mythe n° 2 : la prévention contre les bots est un projet à réaliser soi-même en interne.

Nous avons vu des entreprises solides, dotées de budgets conséquents et d’équipes techniques brillantes, lutter contre les bots pendant des années. Pourtant, lorsque nous analysons le trafic généré par les bots au sein de ces organisations, nous nous attendons à trouver des bots sophistiqués qui auraient évolué pour contourner leurs défenses, mais ce n’est tout simplement pas le cas.

Les entreprises luttent contre les bots en bloquant des adresses IP, des régions et des systèmes autonomes, et c’est précisément là que l’on constate l’évolution du trafic des bots malveillants : les attaques proviennent désormais de centaines de milliers, voire de millions d’adresses IP. Ces défenses au niveau de la couche réseau ont donc leurs limites.

Mon mantra, c’est que les signaux côté client sont rois. Il faut disposer de données biométriques comportementales. Il faut analyser le navigateur et l’appareil. C’est en agrégeant tous ces signaux que l’on peut identifier non seulement les bots, mais aussi les personnes malveillantes.

Les entreprises pensent également qu’elles peuvent se sortir de cette situation en recrutant, mais il est impossible d’embaucher suffisamment de professionnels de l’informatique pour résoudre un problème d’une telle ampleur. La seule façon de lutter véritablement contre l’automatisation est de recourir à l’automatisation.

Mythe n° 3 : il faut toujours se concentrer sur une nouvelle menace mystérieuse qui se profile à l’horizon.

Nous qui travaillons dans la sécurité, la presse spécialisée et les relations publiques des entreprises partageons tous la même crainte face à ces acteurs malveillants qui innovent sans cesse et gardent toujours une longueur d’avance sur nous. Pourtant, à bien des égards, les attaques restent les mêmes, à quelques ajustements près au fil du temps.

La plupart des bots que nous observons aujourd’hui présentent le même niveau de sophistication qu’il y a cinq ans. Ils proviennent simplement d’endroits différents. Le bourrage d’identifiants fonctionne toujours malgré l’authentification à deux facteurs et/ou les CAPTCHA. Les attaquants ne chercheront pas de nouveaux vecteurs d’attaque tant que le vecteur initial restera efficace. Il leur suffit de trouver un moyen de contourner les nouvelles défenses.

Les entreprises doivent certes prendre en compte les menaces émergentes et tenter de s’y préparer, mais le secteur doit également continuer à atténuer les menaces de l’année précédente.

Mythe n° 4 : La gestion de plusieurs clouds est un défi complexe qui nécessite des talents introuvables.

Le monde multicloud est aujourd’hui une réalité pour de nombreuses entreprises, si ce n’est la plupart. Qu’il résulte d’une acquisition, d’une intégration avec un partenaire ou simplement de la volonté de bénéficier des meilleures fonctionnalités disponibles, le multicloud est là pour durer.

Pourtant, lorsque je demande aux entreprises si elles utilisent plusieurs clouds, j’entends souvent une réponse qui revient sous une forme ou une autre : « oui, malheureusement ». Les entreprises qui opèrent sur plusieurs clouds le font parfois à contrecœur et ne saisissent pas l’occasion de tirer le meilleur parti de chacun d’eux.

Aujourd’hui, la gestion et la sécurisation de votre parc informatique dans plusieurs clouds n’ont plus aucune raison d’être laborieuses. Les fournisseurs de services cloud ont intégré l’interopérabilité à leurs stratégies, et de nombreux autres prestataires proposent des solutions conçues pour éliminer les contraintes liées à l’intégration, rendre leurs fonctionnalités indépendantes des différents clouds et les fournir au moyen d’une interface simple et unifiée.

Mythe n° 5 : Il suffit de sécuriser l’architecture et les appareils de l’entreprise.

Les équipes de sécurité se concentrent sur l’infrastructure de l’entreprise, ses serveurs, ses ordinateurs, ses postes de travail — tout ce qui se trouve au sein de l’organisation. En revanche, elles négligent largement les réseaux domestiques de l’ensemble des employés de l’organisation.

Un attaquant pourrait vouloir cibler le PDG afin d’accéder à des informations sur les fusions-acquisitions ou à d’autres données stratégiques, mais il n’est pas aussi facile de les monétiser qu’en ciblant un employé du service des comptes fournisseurs ou un administrateur informatique. À l’heure où le télétravail est plus répandu que jamais, les réseaux domestiques constituent une nouvelle faille exploitable par les acteurs malveillants.

Mythe n° 6 : Vous pouvez faire confiance à vos employés.

Les menaces internes bénéficient d’un avantage considérable, tout simplement parce qu’il est dans la nature humaine de voir le meilleur chez ceux qui nous entourent. Mais le fait est qu’on ne peut pas embaucher 50 ou 100 personnes sans courir le risque bien réel d’introduire un ou deux éléments nuisibles dans l’entreprise.

Les employés mécontents ne se contentent pas de laisser des avis négatifs sur Glassdoor. Ils peuvent copier des fichiers sensibles sur une clé USB et quitter les locaux avec. On craint même de plus en plus qu’ils ne laissent des logiciels malveillants dans le système.

Je pense depuis longtemps que des personnes en interne sont probablement aussi à l’origine de nombreuses attaques par rançongiciel. Un administrateur informatique peut facilement se créer une fausse identité sur le dark web, lui donner accès au système afin d’y installer un logiciel malveillant, puis formuler une demande de rançon — et ensuite préconiser que l’entreprise la paie tout simplement. Il est important de préciser que je n’en ai encore jamais vu la preuve, mais l’incitation existe bel et bien.

Mythe n° 7 : nos principales cybermenaces proviennent d’acteurs étatiques qui ciblent les infrastructures.

Lorsque le Colonial Pipeline a été attaqué il y a un an, provoquant de longues files d’attente dans les stations-service et perturbant ainsi les consommateurs de la côte Est, l’événement a fait la une de l’actualité internationale.

Pourtant, on ne parle que très peu, voire pas du tout, des millions d’Américains victimes chaque année d’escroqueries en ligne, dont beaucoup sont des personnes âgées qui vivent de leur épargne-retraite. Il s’agit d’une menace considérable pour notre système de protection sociale, qui peut avoir des conséquences dévastatrices pour les personnes concernées et leurs familles — bien plus que de devoir faire la queue et payer l’essence plus cher.

J’ai passé des années au sein des forces de l’ordre à enquêter sur la cybercriminalité, avec des résultats le plus souvent frustrants, et ce sujet me tient particulièrement à cœur. Les attaques contre nos infrastructures sont graves et bien réelles, mais lorsqu’on écoute les témoignages de ces victimes, il apparaît clairement que la cyberfraude à grande échelle devrait recevoir davantage d’attention.

Si vous souhaitez en savoir plus sur la gestion des bots et les moyens de s’en protéger, sur l’identification et l’atténuation des menaces, ou sur la mise en œuvre d’une approche Zero Trust au sein de votre organisation, voici quelques suggestions de lectures complémentaires :

• Gestion des bots : solutions de sécurité et de protection des applications
• Distributed Cloud Bot Defense
• Livre blanc : Identifier et atténuer les menaces automatisées
• Services F5 Distributed Cloud
• Sécuriser votre entreprise grâce au modèle Zero Trust lors du passage au télétravail
• Comment mettre en œuvre un modèle de sécurité Zero Trust

_____

Par Dan Woods, responsable mondial du renseignement chez F5

À propos de l’auteur

Dan Woods

Autres articles de Dan Woods