Le Championnat d’Europe 2020, reporté, a enfin débuté, marquant le coup d’envoi de l’un des plus grands événements sportifs organisés depuis plus d’un an.
Et, comme pour tout événement de cette ampleur, nous pouvons nous attendre à ce que les cybercriminels soient fin prêts à passer à l’action. Les services de jeux en ligne, de jeux d’argent et de commerce électronique, en particulier, risquent d’être pris pour cible à mesure que l’engouement autour de l’événement s’intensifie et que l’activité en ligne associée augmente fortement.
Voici quelques-unes des menaces auxquelles les entreprises proposant des services axés sur l’Euro 2020 doivent rester attentives pendant le tournoi (et au-delà) :
Se protéger contre les attaques DDoS
Si une attaque DDoS peut avoir des conséquences considérables pour n’importe quelle entreprise, les sites de jeux d’argent en ligne sont particulièrement vulnérables. À l’approche des matchs, le nombre de personnes pariant sur le résultat augmente généralement et, grâce à la variété presque infinie d’options à leur disposition, elles continuent de miser tout au long de la rencontre. Les attaquants le savent et adaptent souvent le moment de leurs attaques en conséquence.
L’activité DDoS est déjà en hausse. Les données recueillies par le centre des opérations de sécurité (SOC) F5 Silverline et l’équipe d’intervention en cas d’incident de sécurité (SIRT) de F5 ont récemment révélé que les attaques DDoS avaient augmenté de 55 % entre janvier 2020 et mars 2021. La majorité de ces incidents (54 %) ont fait appel à plusieurs vecteurs d’attaque, ce qui témoigne de la sophistication croissante d’attaquants toujours plus déterminés.
Il convient de noter que la plus importante attaque observée par le SOC visait une entreprise fournissant des services de sécurité de l’information à des organisations du secteur des jeux vidéo et des jeux d’argent. Dans ce cas, l’entreprise a été menacée d’une attaque si elle ne payait pas. Face à son refus, une attaque multivecteur qui a duré plus d’un mois a été lancée.
Les cybercriminels choisissent de cibler ce type d’entreprises pour plusieurs raisons. La plus évidente est l’appât du gain : ils les rançonnent en les menaçant de lancer une attaque DDoS. Ils peuvent également agir pour le compte de concurrents, chercher à utiliser une attaque DDoS comme diversion ou simplement vouloir se faire un nom.
La bonne nouvelle, c’est qu’il existe plusieurs moyens de renforcer vos défenses. De plus en plus, cela consiste à empêcher les attaques d’atteindre le réseau de l’entreprise en s’appuyant sur des services managés dans le cloud.
Une solution telle que F5 Silverline DDoS Protection en est un bon exemple. Fournie via une plateforme cloud, elle peut détecter et atténuer les attaques en temps réel, empêchant même les attaques DDoS volumétriques les plus importantes d’atteindre le réseau. Le service inclut un accès 24 h/24 et 7 j/7 à une équipe d’experts du SOC, qui veille à ce que les entreprises restent en ligne pendant les attaques DDoS grâce à une protection complète et multicouche des couches L3 à L7.
Les mesures de sécurité techniques/préventives suivantes mesures de sécurité sont également recommandées pour se protéger contre les attaques DDoS :
- Utilisez à la fois des pare-feu réseau et des pare-feu d’applications web.
- Utilisez un système de détection d’intrusion réseau.
- Appliquez rapidement les correctifs afin d’éviter que vos systèmes ne soient utilisés pour lancer des attaques.
- Bloquez le trafic provenant d’adresses IP sources usurpées.
- Utilisez la limitation de débit pour restreindre le volume du trafic entrant.
Donner un carton rouge au formjacking
Parmi les autres tactiques opportunistes des cybercriminels à surveiller figure le formjacking. Il s’agit actuellement de l’une des techniques d’attaque web les plus courantes, qui consiste à détourner les données du navigateur web d’une organisation vers un emplacement contrôlé par un attaquant.
À mesure que les applications web se connectent à des composants critiques tels que les paniers d’achat, les systèmes de paiement par carte, les services publicitaires et les outils d’analyse, les fournisseurs deviennent des cibles particulièrement importantes. Le code peut provenir d’un large éventail de sources, dont la quasi-totalité échappe aux contrôles de sécurité habituels des entreprises, tels que les proxys et les pare-feu applicatifs web. Comme de nombreux sites web utilisent les mêmes ressources tierces, les attaquants savent qu’il leur suffit de compromettre un seul composant pour dérober les données d’un très grand nombre de victimes potentielles.
Les mesures de sécurité courantes qui peuvent aider les organisations à se protéger comprennent :
- Créer un inventaire des applications web. Celui-ci doit inclure un audit approfondi des contenus tiers. Le processus est compliqué par le fait que les tiers renvoient généralement vers d’autres sites web et ont tendance à appliquer des contrôles de sécurité insuffisants.
- Appliquer les correctifs à votre environnement. Même si l’application de correctifs ne résout pas nécessairement les failles présentes dans les contenus tiers, elle complique le passage d’un premier point d’accès à une compromission majeure. L’injection web étant une technique particulièrement polyvalente, il reste essentiel d’appliquer des correctifs aux applications exécutées dans votre propre environnement afin d’éviter les dommages causés par un actif tiers compromis.
- Analyse des vulnérabilités. Depuis des années, les RSSI reconnaissent l’importance d’effectuer des analyses externes afin d’avoir une vision de la situation du point de vue d’un pirate informatique. Cela devient encore plus important lorsque d’énormes quantités de contenu sont assemblées au dernier moment côté client.
- Surveillance des modifications du code. Quel que soit l’endroit où le code est hébergé, il est important de bénéficier d’une visibilité accrue, indépendamment de l’apparition éventuelle de nouvelles vulnérabilités. Cela implique de surveiller GitHub et les compartiments AWS S3, ainsi que les dépôts de code natifs.
- Authentification multifacteur. Étant donné que l’injection est souvent utilisée pour contourner l’authentification afin d’accéder au code du serveur web, l’authentification multifacteur doit être mise en œuvre sur tout système se connectant à des ressources critiques. Idéalement, le chiffrement au niveau de la couche applicative peut également compléter TLS/SSL en chiffrant les identifiants et les données de carte de paiement à mesure que l’utilisateur les saisit dans le navigateur. Certains produits de pare-feu d’applications web (WAF) bien connus disposent de cette fonctionnalité. Toutefois, un WAF avancé peut offrir des niveaux accrus de visibilité et de contrôle au niveau de la couche applicative afin de contribuer à atténuer les risques d’injection distribuée et polymorphe.
- Explorez le potentiel des en-têtes de sécurité des applications web. Par exemple, il est possible de mettre en place une politique de sécurité du contenu (CSP) afin de bloquer les injections de code non autorisées dans un site web ou une application. De plus, les méthodes web d’intégrité des sous-ressources (SRI) permettent de vérifier que les applications tierces n’ont pas été modifiées. Ces deux outils nécessitent un travail d’adaptation pour être correctement intégrés à une application web. C’est là qu’intervient un WAF robuste et flexible.
- Surveillez les domaines et certificats nouvellement enregistrés. Ceux-ci sont souvent utilisés pour héberger des scripts malveillants tout en paraissant légitimes aux yeux des utilisateurs finaux.
Lutter contre le fléau de l’hameçonnage
Le phishing est un autre grand classique. Les attaquants n’ont pas à se soucier de franchir un pare-feu, de trouver une faille zero-day, de déchiffrer un chiffrement ou de descendre en rappel dans une cage d’ascenseur avec un jeu de crochets entre les dents. Il est bien plus facile de tromper quelqu’un pour l’amener à communiquer ses identifiants. Le plus difficile consiste à rédiger un e-mail suffisamment convaincant pour inciter les destinataires à cliquer sur un lien, puis à créer un faux site vers lequel les rediriger. Attendez-vous à en voir déferler tout au long du tournoi.
Selon le dernier rapport de F5 Labs sur le phishing et la fraude, 52 % des sites de phishing utilisaient des noms et des identités de marques courantes dans leurs adresses web. Les auteurs de phishing ont également redoublé d’efforts pour donner à leurs sites frauduleux une apparence aussi authentique que possible : les données du SOC de F5 citées dans le rapport ont révélé que la plupart des sites de phishing utilisaient le chiffrement, et que pas moins de 72 % d’entre eux recouraient à des certificats HTTPS valides pour tromper leurs victimes. Cela signifie qu’il ne suffit plus de rechercher le cadenas (ou une adresse commençant par https://). En fait, il est même dangereux de donner ce conseil, car il laisse entendre que les sites sont intrinsèquement dignes de confiance dès lors qu’ils disposent d’un certificat numérique.
Toute organisation sera tôt ou tard la cible d’attaques par hameçonnage, qu’elles soient ciblées ou menées sans discernement. Malheureusement, toutes les organisations ne mettent pas en œuvre des cadres robustes de gestion de la sécurité de l’information.
Les cinq fonctions du NIST offrent un cadre utile pour appréhender toute cybermenace. Toutefois, quels que soient les efforts déployés par les entreprises pour protéger leur marque et leurs clients, les attaques par hameçonnage continueront de porter leurs fruits tant qu'il sera possible de manipuler psychologiquement une personne d'une manière ou d'une autre. C'est pourquoi les contrôles de sécurité comme les navigateurs web doivent mieux signaler les sites frauduleux aux utilisateurs. Les particuliers et les organisations doivent également être formés en permanence aux dernières techniques employées par les fraudeurs, des URL trompeuses à l'utilisation abusive des certificats HTTPS.
Rester vigilant
Les menaces décrites ci-dessus ne constituent pas une liste exhaustive. Il en existe d’autres. N’oubliez pas que les cybercriminels sont extrêmement habiles à tirer parti des rebondissements liés à des événements tels que l’Euro 2020. Restez vigilant, recherchez les solutions de sécurité adaptées et efforcez-vous toujours de suivre l’évolution des modes opératoires et des capacités des attaquants.
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.