Conséquences imprévues de la COVID-19 : exposition opérationnelle

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

À situation exceptionnelle, mesures exceptionnelles.

Nombreux sont ceux qui ont prononcé cette phrase face à la COVID-19. L’une de ces mesures extraordinaires a consisté, pour beaucoup d’entre nous, à passer au télétravail. Dans ce contexte, l’accès aux applications essentielles est souvent évoqué. Mais il est rare que l’on nous explique en détail comment cet accès a été rendu possible.

L’un des moyens utilisés pour permettre cet accès a été d’ouvrir le protocole RDP. Il n’est donc pas surprenant que le SANS Institute ait constaté que Shodan avait observé une nette augmentation du nombre de ports RDP ouverts sur Internet à la fin du mois de mars. De nombreuses personnes s’appuient sur cette solution des plus élémentaires pour permettre un accès à distance directement aux postes de travail.

Bien que RDP soit probablement le protocole le plus souvent cité actuellement en matière d’accès à distance, il semble que les consoles d’administration des systèmes informatiques bénéficient elles aussi d’un accès sans entrave à travers le périmètre de l’entreprise. Le même blog de SANS contient un graphique très intéressant qui, outre l’augmentation du nombre de ports RDP ouverts, montre une hausse significative du nombre de ports ouverts sur lesquels s’exécutent des services utilisant le port 8080.

Le port 8080 est l’« alternative à HTTP ». Quiconque a déjà déployé des applications web sait qu’il s’agit pratiquement du port par défaut pour les frameworks et les consoles d’administration.

En règle générale, les consoles d’exploitation disposent de leurs propres méthodes de contrôle des accès. Des identifiants sont requis, ce qui permet de limiter les personnes autorisées à démarrer soudainement un cluster, à arrêter une application ou à modifier une configuration en cours d’exécution. Le problème, bien sûr, est qu’au vu du nombre d’incidents survenus en raison d’une absence de contrôle des accès —c’est-à-dire lorsque les consoles d’exploitation n’exigent aucun identifiant —, il ne fait aucun doute que certaines de ces applications d’exploitation sont totalement ouvertes, sans aucune protection entre elles et le vaste et dangereux Internet.

Il est important de garder à l’esprit que les consoles d’exploitation sont, fondamentalement, des applications. Elles sont constituées de composants provenant de sources externes, comme n’importe quelle autre application. Elles sont développées à l’aide des mêmes bibliothèques et frameworks que n’importe quelle autre application. Elles sont déployées sur la même plateforme que n’importe quelle autre application.

Ce qui signifie qu’elles doivent être protégées, comme n’importe quelle autre application, car elles sont vulnérables aux mêmes attaques que toutes les autres applications.

Nous ne pouvons pas nous contenter de déplacer les applications opérationnelles vers un autre port. À l’ère de l’automatisation, où les acteurs malveillants ont accès à de vastes réseaux de bots capables de rechercher les ports ouverts, ces applications finiront par être découvertes. Grâce à la possibilité d’identifier la signature d’une réponse sur n’importe quel port, elles seront repérées même sur des ports non standard. Aujourd’hui, la sécurité par l’obscurité n’est pas une stratégie viable, car le temps et l’investissement financier nécessaires pour trouver des cibles sont minimes.

Nos recherches montrent qu’un pourcentage important d’applications sont protégées par un pare-feu applicatif web. En revanche, nous ignorons quelle proportion de ces applications est destinée aux opérations ou aux activités métier.

Il est peut-être temps de commencer à le découvrir.

À mesure que les organisations avancent dans leur parcours de transformation numérique, elles s’appuieront davantage sur des applications opérationnelles pour créer, déployer et exploiter les applications et services applicatifs qui soutiennent leur activité. Ces applications opérationnelles doivent être considérées comme tout aussi critiques que n’importe quelle autre application assurant une fonction métier. Elles doivent être protégées contre toute utilisation malveillante, car leur détournement peut avoir, et aura, un impact direct sur l’activité.

Beaucoup affirment qu’il s’agit de la nouvelle normalité et qu’une fois cette pandémie passée, le télétravail sera mieux accepté, voire privilégié par de nombreuses organisations. Le télétravail concerne notamment les personnes chargées de l’exploitation des applications et des infrastructures, qui doivent accéder aux consoles leur permettant d’en garder le contrôle. Mais ces consoles — ces applications opérationnelles — doivent être protégées contre les abus et les utilisations malveillantes pour que cela devienne une réalité. Un ensemble de protections de base devrait permettre de :

• Exiger une authentification
• Utiliser SSL/TLS pour sécuriser les communications
• Tenez compte de l’accès à l’API et sécurisez-le également
• Protégez-vous contre l’exploitation des vulnérabilités et les abus commis par des bots grâce à des services applicatifs adaptés

Il est (plus que) temps de vous assurer que votre stratégie de sécurité couvre aussi bien les applications opérationnelles que les applications critiques pour l’entreprise. Car à long terme, les applications opérationnelles deviendront des applications critiques pour l’entreprise.

Restez en sécurité, aussi bien sur le plan personnel qu’opérationnel.

À propos de l’auteur

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.

Autres articles de Lori Mac Vittie