Renforcer la sécurité de vos instances de Cloud public Plus d'informations sur
Renforcer la sécurité de vos instances de Cloud public Plus d'informations sur kaspersky.fr/hybrid Kaspersky Hybrid Cloud Security 1 Renforcer la sécurité de vos instances de Cloud public Introduction L 'utilisation du Cloud public est en plein essor car il offre de nombreux avantages, tels que la scalabilité instantanée, l'automatisation, la configurabilité et la flexibilité. Tous ceux qui gèrent le déploiement du Cloud public, qu'il s'agisse des équipes de cybersécurité ou bien de personnes extérieures à ce domaine (comme celles impliquées dans DevOps ou WebDev) doivent s'assurer que la sécurité des actifs soit considérée comme l’un des piliers de la stratégie de l’entreprise. Ce livre blanc est conçu pour apporter aux spécialistes de la cybersécurité les informations et les indications nécessaires pour s'assurer que la sécurité des charges de travail dans le Cloud, à savoir la sécurité du système d'exploitation utilisé par ce dernier, soit effectivement traitée comme une priorité au niveau des divers scénarios de déploiement. En réalité, vous êtes sans aucun doute concerné par ce problème car si votre sécurité devait être compromise dans le Cloud, peu importe d’ailleurs la personne véritablement responsable techniquement, vous devrez de toutes les façons en assumer les conséquences. Notre objectif est de combattre cette fausse idée qui laisse croire que l'exploitation de vulnérabilités logicielles (le contournement d’identifiant, l’exécution de code à distance, etc.), l'infection des dépôts de mises à jour, l'exploitation des connexions réseau (par exemple, le piratage du DNS) ainsi que la compromission des informations de compte ne se produisent que dans des environnements physiques ou virtualisés, et non au niveau du Cloud public; ou que les dommages causés à vos données ou à votre entreprise, dans le cas d’un incident de sécurité par exemple, ne sont plus votre problème. Ce document attire également l'attention sur certains risques spécifiques au Cloud public, comme notamment le vol de ressources Cloud. En effet, la scalabilité instantanée dans le Cloud signifie que les cybercriminels qui s'emparent de vos outils de contrôle peuvent ainsi s’approprier et utiliser des volumes quasi infinis en matière de puissance de calcul, et ce en votre nom, et à vos frais. Ainsi, d'une manière ou d'une autre, la protection complète de votre infrastructure Cloud public représentera toujours un investissement des plus judicieux. Vulnérabilités dans le Cloud public En plus des problèmes de sécurité les plus redoutés (et à juste titre d’ailleurs) rencontrés dans le Cloud public (à savoir la compromission et la mauvaise configuration de comptes) il existe des vecteurs de menaces ciblant les instances qui utilisent les vulnérabilités au niveau de services exposés à Internet, tels que le RDP et SSH. Le RDP est activé par défaut sur les instances Amazon, alors que l'authentification à 2 facteurs n'est quant à elle pas prise en charge, et ce au niveau de la conception. Le RDP est devenu la cible privilégiée de nombreux types d'attaques. Certaines d’entre elles utilisent uniquement les identifiants les plus répandus en attaquant par force brute les mots de passe, tandis que d'autres attaquent par force brute les identifiants en utilisant les mots de passe les plus courants. Certains attaquants limitent et randomisent le nombre de tentatives de connexion, avec un délai d'attente entre chaque tentative, afin d’éviter une détection automatisée. Une autre méthode d'attaque consiste à attaquer par force brute le mot de passe associé à l'identifiant du service SSM-Utilisateur souvent préinstallé sur les instances AWS. Des attaques par force brute similaires ciblent en permanence les services SSH, et bien que ces derniers offrent une protection plus efficace que celle mise en œuvre par le RDP (par exemple l'authentification à 2 facteurs), un service mal configuré peut facilement donner accès à un acteur malveillant persistant. L’ensemble des attaques par force brute visant les services SSH et RDP ont représenté 12% de toutes les attaques lancées contre les honeypots IoT de Kaspersky au cours du premier semestre 2019.1 Le Cloud public peut vous exposer, et vous expose d’ailleurs véritablement, à des vulnérabilités; voici quelques exemples qui illustrent comment une vulnérabilité dans un logiciel tiers peut offrir à un attaquant la possibilité d'exécuter du code sur l'instance elle-même. Le 3 juin 2019, une vulnérabilité a été découverte dans Exim, un serveur de messagerie électronique populaire souvent déployé dans le Cloud public. Cette dernière a permis l'exécution de code à distance. Si le serveur fonctionnait en mode root, comme c'est le plus souvent le cas, le code malveillant introduit au niveau de celui-ci aurait alors été exécuté avec les privilèges root. Une autre vulnérabilité Exim a été découverte en juillet 2019, permettant également l'exécution de code à distance avec ce même mode2. Un autre exemple est le piratage du site officiel de Linux Mint en 2016. Il en a résulté une altération de la distribution afin d'inclure une porte dérobée (backdoor) IRC avec une fonctionnalité de type DDoS (déni de service). Le cheval de Troie (Trojan) pouvait également être utilisé pour distribuer des charges virales malveillantes sur des machines infectées. Nous avons également observé des cas de modules node.js malveillants, de conteneurs infectés dans Docker Hub3 et bien plus encore. Les cybercriminels sont souvent très créatifs lorsqu'il s'agit de trouver des points d'entrée dans des infrastructures, surtout lorsque ces dernières sont nombreuses, très similaires, confrontées aux mêmes problèmes, et qu’elles ont toutes cette fausse impression d’être tout naturellement fortement sécurisées et de n’avoir donc besoin d’aucune protection supplémentaire. 1 https:/ /securelist.com/it-threat-evolution-q1- 2019-statistics/90916/ 2 https:/ /www.bleepingcomputer.com/news/ security/critical-exim-tls-flaw-lets-attackers- remotely-execute-commands-as-root/ 3 https:/ /www.helpnetsecurity.com/2019/04/29/ docker-hub-breach/ Plus de la moitié de toutes les charges de travail dans le Cloud public fonctionnent sous Linux, et une fausse rumeur prétend que ces dernières seraient immunisées et impossibles à attaquer. Mais les vulnérabilités, les modules compromis et les scripts malveillants existent sans aucun doute dans les environnements Linux. Voici les statistiques concernant les menaces Linux émanant de notre laboratoire anti-malware : Menaces en % d'utilisateurs concernés : • Exploit : 41 % • Backdoor : 24 % • Cheval de Troie : 14 % • Autres : 21 % 2 Des failles de sécurité et des cyberattaques dans le Cloud public Que pourrait bien faire un acteur malveillant une fois à l'intérieur de votre infrastructure Cloud ? En plus d'obtenir l'accès aux ressources de votre entreprise, comme les données de vos clients, il pourrait, en principe, profiter des mêmes avantages qui vous sont offerts par le Cloud public : à savoir la scalabilité instantanée, l’automatisation et la configurabilité. Et le tout à vos frais.. Cas 0 : Nous avons un problème Même si un cybercriminel ne fait rien de particulièrement malveillant après avoir obtenu l'accès à l'un de vos systèmes, votre problème n’a pas pour autant disparu : en effet, vous avez été victime d’une intrusion. Dans de nombreux pays de par le monde, si un système renfermant des données sensibles, protégées ou confidentielles subit une violation, vous êtes tenu par la loi d’en informer les autorités, et de remédier aux dégâts causés. Les coûts indirects de la remédiation d’une violation de données peuvent souvent être plus élevés que les coûts directs, avec de plus des effets qui s’étaleront dans le temps. De plus, si la machine compromise a été utilisée comme un point d’entrée privilégié, c'est-à-dire comme une base pour se déplacer latéralement, surveiller, extraire et localiser des informations concernant des comptes privilégiés, ou encore collecter et extraire des données, les conséquences pour vous pourraient alors être très graves.. Cas 1 : Une attaque basée sur les services SSH/RDP Si les attaquants ont un accès SSH à un appareil infecté, les possibilités de monétiser l'infection en question sont bien plus nombreuses. Dans la grande majorité des cas impliquant une interception de session et sur lesquels Kaspersky a enquêté, nous avons identifié les éléments suivants : l’envoi de courriers indésirables, des tentatives d'utilisation de notre honeytrap comme serveur proxy, et enfin le minage de cryptomonnaie4, à ne surtout pas sous-estimer d’ailleurs. Nous avons, en effet, enregistré plus de 50 000 tentatives d'infection d'environnements Windows Server avec des mineurs durant la première moitié de 2019. Alors comment pouvez-vous empêcher ces attaques ? Solution Une sécurité efficace au niveau du Cloud public doit être en mesure de traiter ce genre de cas, et ce à plusieurs niveaux :: • Le contrôle des applications en mode Default-Deny devrait refuser automatiquement la possibilité pour le logiciel de l'attaquant de se déployer ou de s'activer. • La protection à l'exécution (runtime protection) devrait empêcher tout logiciel de piratage de ressources d’être lancé • L’analyse comportementale devrait permettre de repérer les logiciels de minage, les logiciels générateurs de courriers indésirables ou tout autre logiciel malveillant, en fonction justement du comportement observé. Cas 2 : D’importantes pertes financières en très peu de temps La scalabilité instantanée et l'automatisation permettent aux cybercriminels, très peu préoccupés par le fait de passer inaperçus, d'agir en toute impunité, et ce à vos frais. Une heure d’instance AWS coûte entre 5 cents et 5 dollars, un montant qui peut atteindre jusqu'à 125 $ par jour et par instance. De plus, le nombre d'instances que votre attaquant peut uploads/Management/ livre-blanc-renforcer-la-securite-instances-de-cloud-public.pdf
Documents similaires
-
21
-
0
-
0
Licence et utilisation
Gratuit pour un usage personnel Attribution requise- Détails
- Publié le Sep 11, 2022
- Catégorie Management
- Langue French
- Taille du fichier 0.6636MB