L'idée derrière les flux de menaces est valable. Mais, nous dirions qu'elle a fait son temps. Et avec les technologies d'aujourd'hui, il existe de meilleures options.
Les flux de menaces sont (souvent) une liste d'informations de sécurité issues de la communauté. Lorsqu'une personne détecte une vulnérabilité, elle publie manuellement une notice dans le flux. Celle-ci est ensuite reprise et mise en avant dans le flux, où les professionnels de la sécurité au sein de leurs entreprises respectives la lisent et vérifient leurs propres systèmes pour voir s'ils sont exposés à un danger potentiel. Ces flux présentent quelques avantages, car la communauté est souvent très large, ce qui les rend riches en informations précieuses. Et il est toujours préférable d'adopter une approche préventive en matière de cybersécurité.
Cependant, ce système présente des failles majeures.
Tout ce système nécessite beaucoup de travail manuel. Or, le travail manuel est souvent lent et sujet aux erreurs. C'est un inconvénient considérable pour les flux de menaces. Autre point faible important : ces flux sont souvent publics. Pratique pour que tout le monde puisse accéder à l'information, mais problématique aussi, car… n'importe qui peut y accéder, y compris les acteurs malveillants. De plus, les rapports ne contiennent souvent que des noms de domaine, que les hackers remplacent en quelques minutes sans avoir à réécrire leur code malveillant. C'est une course poursuite sans fin où les cibles ne sont jamais vraiment attrapées, juste légèrement perturbées. Loin d'être idéal.
Cela dit, examinons plus en détail le fonctionnement exact des flux de menaces.
Comment les Flux de Menaces Collectent-ils leurs Informations ?
- Analyse du trafic réseau : La surveillance du trafic réseau permet d'identifier des schémas suspects, des signatures de logiciels malveillants et des communications avec des adresses IP malveillantes connues.
- Honeypots et leurres : Certains systèmes sont délibérément configurés pour être attaqués ; les organisations peuvent ainsi collecter des informations sur les nouvelles menaces et les méthodes d'attaque.
- Rapports et analyses de violations de données : Les incidents de sécurité et violations divulgués publiquement fournissent des renseignements précieux sur les tactiques, techniques et procédures (TTPs) utilisées par les attaquants.
- Collaboration et partage : Les entités partagent souvent leurs renseignements entre elles, mettant en commun leurs ressources pour mieux comprendre le paysage des cybermenaces.
- Surveillance du dark web et des forums : Certains fournisseurs de renseignements sur les menaces surveillent les forums et marchés du dark web où les attaquants peuvent échanger des outils, des services et des données volées, afin de détecter les menaces émergentes.
- Threat Hunting : Les chercheurs utilisent des données externes de tiers (parfois aussi internes) pour identifier de nouveaux indicateurs de compromission (IOCs). Les portails tiers populaires incluent Virustotal, Shodan et Censys.
Que Faire de Ces Informations ?
Mesures préventives : En vous abonnant à des flux de menaces, vous pouvez ajouter des adresses IP, domaines et signatures de fichiers malveillants connus à la liste noire, afin de prévenir les attaques avant qu'elles ne surviennent.
Réponse aux incidents et forensique : Lorsqu'un incident de sécurité se produit, il est signalé et intégré au flux de menaces.
Tout cela est positif !
Les Limites des Flux de Menaces
- Vulnérabilités zero-day : Si vous êtes ciblé et compromis, les flux de menaces ne vous seront d'aucun secours. Pire encore, vous ne vous en rendrez probablement compte que plusieurs jours après. Relever le pont-levis une fois que les attaquants l'ont déjà franchi ne sert pas à grand-chose.
- Vulnérabilités liées aux processus et aux humains : Nous l'avons déjà évoqué, mais le travail manuel et la saisie humaine sont sujets aux erreurs. Par ailleurs, les attaques par ingénierie sociale, par exemple, exploitent les failles humaines pour inciter des individus à divulguer des informations sensibles ou à accorder des accès à des systèmes sécurisés.
- Correctifs et atténuation : L'application de correctifs aux vulnérabilités n'est pas toujours simple. Les délais de déploiement, les problèmes de compatibilité et la disponibilité des correctifs peuvent laisser les systèmes exposés pendant de longues périodes.
- Gestion des risques : Les organisations doivent prioriser les vulnérabilités en fonction du risque, en se concentrant sur celles qui représentent la menace la plus significative pour leurs actifs critiques.
- Informations erronées : Le caractère open source des flux de menaces les rend susceptibles de générer des faux positifs. N'importe qui peut être amené à prendre pour argent comptant des informations erronées, placées intentionnellement ou par accident. Il est important de valider régulièrement les informations, car un domaine autrefois malveillant peut désormais être utilisé de manière légitime, et vice versa.
La Solution Plus Complète
Nous avons développé cside pour être l'antidote le plus puissant contre les attaques JavaScript. Nous intégrons les données des flux de menaces dans notre solution complète, qui se présente sous la forme d'un petit script qui effectue les opérations suivantes :
- Réécrire les sources des scripts pour les proxifier via le proxy cside et effectuer certaines détections côté navigateur. Cela place cside dans le flux de la requête entre l'utilisateur et le script tiers, offrant une visibilité totale sur les scripts servis, pour 100 % des sessions. De nombreux autres fournisseurs échantillonnent les sessions navigateur, ce qui signifie que des attaques conçues pour ne cibler qu'un faible pourcentage d'utilisateurs pourraient passer sous les radars pendant longtemps.
- Détecter les scripts inline et les comportements suspects qui peuvent n'apparaître que dans le navigateur spécifique depuis lequel le script a été chargé. C'est là notre ingrédient secret.
Nous surveillons également plus de 60 attributs et utilisons l'IA pour signaler en temps réel tout indicateur d'intention malveillante. Notre solution prend en compte le contexte historique, ce qui signifie que les changements dans le temps sont examinés, facilitant la détection de prises de contrôle soudaines. En outre, cside utilise l'IA pour analyser le code des scripts tiers. La combinaison de nos mécanismes de détection en constante évolution nous permet de repérer une tentative en quelques millisecondes et de la bloquer avant toute opération malveillante, ou d'alerter en cas de comportement dangereux.
Lisez ici comment notre solution complète fonctionne par rapport aux autres.
D'ici le 31 mars 2025, l'exigence 6.4.3 de la norme PCI DSS 4.0 impose à tous les sites web acceptant des paiements en ligne d'autoriser chaque script sur les pages de paiement, de maintenir un inventaire de tous les scripts et d'en garantir l'intégrité. L'utilisation du niveau gratuit de cside vous permet de satisfaire à ces exigences.
En savoir plus sur les exigences de la norme PCI DSS 4.0.
