Déjouez les attaques et rendez la pareille : F5 vous offre son service de réponse aux incidents de sécurité

La plupart des attaquants ne vous ciblent pas personnellement. Du moins, pas au début. Ils adoptent généralement une approche extrêmement large avant de cibler les organisations qui présentent la vulnérabilité précise qu’ils cherchent à exploiter. À moins que vous ne soyez une cible particulièrement stratégique (par exemple dans les secteurs de la finance, de la grande distribution ou de l’administration publique), ce n’est pas vous qu’ils visent. Il se trouve probablement simplement que vous présentez la faille recherchée — ce qui, il faut bien l’admettre, n’est guère rassurant lorsque vous subissez une attaque.

En prenant un peu de recul, les attaquants recherchent généralement les mêmes types de failles dans tous les secteurs, ce qui rend le partage des connaissances très utile en théorie. Cependant, cela fonctionne rarement dans la pratique, car la plupart des organisations ne disposent d’aucun mécanisme leur permettant soit a) de tirer parti des enseignements issus des précédents incidents de sécurité survenus dans leur secteur, soit b) de faire part anonymement de leur expérience afin que d’autres puissent éviter les mêmes erreurs. Par conséquent, les informations sur les campagnes d’attaque en cours qui exploitent activement des vulnérabilités nouvelles (ou connues) ne sont pas diffusées aussi largement qu’elles le devraient, et nous voyons régulièrement des gros titres consacrés à des compromissions découlant des mêmes vulnérabilités et techniques d’exploitation sous-jacentes. Par exemple, en 2017, combien de victimes de WannaCry utilisaient des logiciels en fin de vie ou non pris en charge, dont les risques étaient pourtant largement documentés ? Réponse : beaucoup.

Pour être juste, une grande partie de cette situation est compréhensible compte tenu du contexte. Lorsqu’un professionnel de la sécurité subit une attaque, fait potentiellement face à une compromission et doit gérer la pression d’une intervention d’urgence — tout en étant sous la surveillance étroite d’un service juridique qui s’efforce de limiter la diffusion des informations relatives à l’incident jusqu’à ce que les faits soient établis —, informer l’ensemble de la communauté n’est pas sa priorité. À supposer que vous ne soyez pas soumis à un stress écrasant et que vous vous sentiez encore suffisamment altruiste, que pourriez-vous concrètement faire pour aider le reste du secteur ? Partager les fichiers découverts avec VirusTotal pourrait être une possibilité, mais vous ne pourriez probablement guère faire plus que les y déposer avant de revenir à la tâche plus urgente consistant à protéger votre organisation (et, peut-être plus directement encore, votre emploi). Dans l’idéal, vous souhaiteriez pouvoir compter sur une équipe de renforts qualifiés, prête et apte à vous aider rapidement à faire face à la crise. Des professionnels spécialisés capables d’analyser les informations, de fournir immédiatement des recommandations d’atténuation, puis de vous aider, ainsi que les autres internautes, à mieux préparer le réseau pour repousser toute attaque future.

Retour aux affaires

C’est là que F5 intervient. Si vous êtes client, votre contrat de support inclut une assistance gratuite (oui, GRATUITE) pour la réponse aux incidents d’urgence. Vous êtes ainsi assuré d’obtenir l’aide dont vous avez besoin dans les moments les plus critiques, tout en permettant d’analyser, de regrouper et de synthétiser les expériences de plusieurs organisations au bénéfice de l’ensemble de la communauté. En cas de menace imminente, il vous suffit d’appeler le support technique de F5 et de signaler que vous êtes confronté à un incident de sécurité pour être directement mis en relation avec l’équipe F5 Security Incident Response Team (SIRT). Cette équipe internationale, composée d’ingénieurs en sécurité parlant plus d’une douzaine de langues et possédant une vaste expérience de la réponse aux incidents, est disponible 24 heures sur 24, 7 jours sur 7 et 365 jours par an. Bien qu’elle revienne ensuite sur les questions de sécurité plus générales afin de mieux vous préparer à de futurs incidents, la priorité de l’équipe F5 SIRT est de vous aider à limiter immédiatement les dégâts et de vous donner le temps d’élaborer une solution d’atténuation à plus long terme pour votre entreprise.

Le personnel mondial du SIRT de F5 peut également s’appuyer sur un vaste choix de mesures d’atténuation rendues possibles par les produits ou offres F5 déployés dans les environnements clients, tels que Advanced WAF (notamment Proactive Bot Defense, CAPTCHA, etc.), AFM, IP Intelligence (IPI), GeoIP, diverses options de protection contre les attaques par force brute et plusieurs autres solutions. Il peut également faire appel à l’équipe Silverline de F5 ou recommander, le cas échéant, une protection cloud supplémentaire contre les attaques DDoS ou une protection WAF. Selon les cas, ces solutions et d’autres sont disponibles auprès du service commercial de F5.

L’équipe SIRT maîtrise tout particulièrement les iRules programmables de F5, qui peuvent être développées et déployées rapidement afin de modifier les flux de trafic. À quelle vitesse ? Même si la complexité du problème entre toujours en ligne de compte, des iRules personnalisables peuvent être préparées en quelques minutes et déployées par le client en quelques heures (dans le respect des procédures appropriées de gestion des changements d’urgence, bien entendu).

Prenons un exemple rapide : un client de F5 subissait une attaque par force brute visant des serveurs RDP placés derrière un équipement F5. Ces serveurs étaient accessibles depuis Internet et devaient le rester pour assurer le bon fonctionnement de son activité, mais uniquement à partir d’un ensemble précis de plages réseau. Pour atténuer l’attaque, une iRule a été développée avec l’équipe SIRT de F5. Celle-ci utilisait un groupe de données afin de vérifier l’adresse IP du client par rapport à un ensemble de réseaux externes « connus et fiables », et de bloquer tout trafic ne provenant pas de l’un d’entre eux. Cette solution a permis de neutraliser efficacement l’attaque et de renforcer la posture de sécurité du client. En outre, cette approche permettait toujours d’ajouter ou de supprimer des réseaux de la liste des réseaux fiables — le client pouvant configurer des groupes de données spécifiques dans l’interface graphique — afin de se prémunir contre des attaques similaires à l’avenir.

Retour à la communauté

Si, au cours d’une enquête sur un incident, des informations pertinentes sont découvertes, telles qu’un nouvel exploit, une nouvelle campagne, un nouveau logiciel malveillant ou une nouvelle vulnérabilité qui n’a encore jamais été observée dans la nature ou qui reste mal comprise, le SIRT de F5 peut faire appel à un réseau d’équipes au sein de l’entreprise afin de bénéficier de points de vue complémentaires. Cette approche permet de mettre en commun les connaissances des chercheurs en menaces, des développeurs de produits de sécurité et d’autres experts de F5 afin d’analyser les résultats et de proposer des mesures correctives renforcées pour l’avenir. Si un élément particulier mérite d’être publié dans l’intérêt de l’ensemble du secteur, aucune information concernant des clients ou des incidents spécifiques n’est divulguée. Les informations se limitent à la découverte et au comportement d’une menace donnée, comme nous l’avons fait avec PyCryptoMiner, ainsi qu’à des recommandations générales, le cas échéant.

Vous pouvez mieux protéger et gérer votre infrastructure en sachant que des équipes d’experts F5 sont prêtes à vous aider et qu’en cas d’attaque, vous n’aurez pas à surmonter une montagne de formalités administratives pour obtenir l’assistance dont vous avez besoin. Cette approche présente également l’avantage d’éviter à d’autres clients de subir le même sort et, grâce au partage de connaissances inestimables, de renforcer au fil du temps la sécurité de votre propre organisation.

Alors, quel intérêt F5 y trouve-t-elle ? De toute évidence, nous voulons que les entreprises soient opérationnelles et exercent leurs activités avec succès et en toute sécurité ; la réussite de nos clients contribue à celle de F5. En outre, nous sommes conscients que les incidents de sécurité ne touchent pas uniquement l’entité ciblée : ils ont souvent des répercussions sur ses clients et partenaires, et parfois bien au-delà. (À titre d’exemple, les utilisateurs emploient souvent des mots de passe identiques ou similaires sur plusieurs sites, ce qui accroît considérablement l’ampleur d’un incident de sécurité. Ainsi, il a été constaté que les utilisateurs de Sony et de Yahoo employaient le même mot de passe pour leurs deux comptes dans 59 % des cas.) Sans verser dans l’exagération, ces répercussions peuvent toucher toutes les personnes et entreprises qui exercent une activité sur Internet. (Autre précision : des études indiquent qu’il existe aujourd’hui en moyenne trois enregistrements compromis pour chaque internaute.)

Nous — c’est-à-dire l’ensemble du secteur — pouvons mieux traiter les problèmes sous-jacents qui rendent les systèmes vulnérables en créant des occasions de partager des informations pertinentes sur les attaques et les principaux enseignements qui en sont tirés. Avec le SIRT de F5, cela commence par permettre aux clients de contribuer avantageusement à l’intérêt général tout en améliorant leur propre situation.

Pour plus d’informations et pour contacter l’équipe d’intervention en cas d’incident de sécurité de F5 (SIRT), veuillez consulter sa page web.