L’année 2020 a connu une recrudescence importante des attaques informatiques contre les entreprises, les hôpitaux et les collectivités territoriales. Nous nous sommes rendu compte que les attaquants ciblent régulièrement l’annuaire Active Directory (AD) qui est présent dans plus de 95% des entreprises et des organisations disposant de plus de 50 postes de travail.

Nous allons tenter de comprendre l’intérêt porté par les attaquants pour cet annuaire AD. Pour cela, tâchons de nous intéresser aux fonctionnalités de cet annuaire. L’AD est un annuaire chargé de répertorier tous les objets du réseau d’une entreprise tels que des stations de travail, serveurs, utilisateurs, imprimantes, partages réseau, courriers électroniques, etc. Il permet aussi de centraliser l’authentification et l’identification des utilisateurs qui accèdent aux ressources de ce réseau.

Pourquoi les pirates ciblent prioritairement l’annuaire AD ?

La majorité des architectures basées sur une infrastructure AD sont implémentées depuis une vingtaine d’années (les années 2000). Par rapport aux normes de sécurité d’aujourd’hui, on peut dire qu’elles sont complètement dépassées. Les préoccupations de l’époque autour de la cybersécurité n’étaient pas aussi exigeantes que celles que nous connaissons aujourd’hui, en d’autres termes, les changements d’architectures ne prenaient pas en compte les menaces de cybersécurité.

L’AD est un élément central dans toutes les organisations, il connait chaque équipement réseau et à quel utilisateur il appartient. Vous devinez aisément l’importance que les attaquants accordent à la compromission de cet annuaire. Pour vous en convaincre, si des attaquants réussissent à compromettre votre AD, ils pourront accéder aisément au contenu des e-mails, aux bilans comptables, aux rapports financiers, à la liste de vos clients, aux tarifs de vos produits, à vos secrets industriels, et la liste est encore longue…

Comment les attaquants arrivent à compromettre l’annuaire AD ?

Les attaquants ont souvent recours à la technique de spear phishing (harponnage) : l’envoi d’un mail avec une pièce jointe malveillante ou un lien douteux. Grâce à la technique d’Ingénierie Sociale, ils incitent l’employé à télécharger une pièce jointe ou à cliquer sur un lien malveillant pour entrer des informations confidentielles ou pour télécharger un fichier vérolé. Suite à cette ouverture de pièce jointe, le fichier malveillant s’installe sur la machine de l’utilisateur. Le prochain objectif consiste à élever leurs privilèges sur la station compromise, le but étant alors de devenir administrateur local. A partir de la machine compromise, appelée patient zéro, ils vont procéder à une reconnaissance du réseau interne suivie de mouvements latéraux pour compromettre d’autres ordinateurs du réseau. Cette démarche se poursuivra jusqu’à l’obtention d’un compte administrateur du domaine qui leur donnera un accès total et sans restriction à tout le système d’information de l’entreprise.

Quels sont les mesures à prendre pour protéger votre annuaire AD?

Vous comprenez maintenant tout l’intérêt de protéger votre annuaire. Pour vous aider dans ce sens, nous allons nous intéresser à quelques mesures à prendre pour diminuer ou éradiquer cette menace.

Il est important de prendre conscience que la cause principale d’une attaque sur un AD provient souvent des mauvaises pratiques de sécurité (utilisation de mots de passe faibles donc facile à cracker, des mots de passe identiques pour la plupart des applications de l’entreprise, les mots de passe de constructeurs et d’éditeurs laissés par défaut…) et sans oublier les vulnérabilités non patchées.

Il est donc primordial de suivre quelques recommandations parmi lesquelles fera partie l’installation d’outils de supervision qui surveilleront régulièrement toutes les modifications suspectes qui sont apportées à votre AD. La surveillance reste une mesure fondamentale pour la détection de signes avant-coureurs d’une attaque (détection de signaux faibles).

Un audit régulier de votre AD permet de détecter de mauvaises configurations ainsi que des failles de sécurité qu’il faudra rapidement corriger.

Nous remarquons que la plupart des compromissions par des ransomwares pourraient être minimisées si une politique de mise à jour des serveurs, des stations de travail et des applications était implémentée régulièrement au sein de l’entreprise.

Nous recommandons également de réduire et de protéger les comptes à forts privilèges pour limiter la surface d’attaque et d’exposition en cas de compromission. Une des best practices consiste à séparer les comptes utilisés pour les tâches d’administration quotidiennes des comptes d’administration du domaine qui eux doivent servir uniquement à gérer l’AD et qui n’ont pas le droit de se connecter à Internet. Cette mesure renforce la sécurité en limitant au maximum le vol des identifiants/mots de passe des comptes à forts privilèges.

Pour des entreprises plus matures qui souhaitent renforcer leur niveau de sécurité, Microsoft recommande le Tiering Model :

Cette architecture repose sur 3 couches d’administration qui sont hermétiques entre elles. En cas de compromission d’une couche, l’attaquant n’est pas en mesure de compromettre les autres couches.

Les différentes couches sont organisées en silo :

Tier-0 (niveau 0) :  Cette couche est la plus importante, elle sert à administrer les ressources critiques d’une entreprise qui sont liées à l’AD (contrôleurs de domaine, serveurs de mise à jour, PKI interne, postes d’administrateurs, etc.)

Tier-1 (niveau 1) : Cette couche concerne les serveurs et applications de l’entreprise  (WSUS, serveurs de mails, serveurs métiers, etc.)

Tier-2 (niveau 2) : Cette couche regroupe les ressources moins critiques pour l’entreprise (imprimantes, stations de travails, terminaux mobiles, etc.). Mais c’est aussi une couche à risque car les utilisateurs peuvent être victimes du phishing et peuvent déclencher l’exécution d’un ransomware.

                                 Tiering Model,  Source Microsoft

Pour mieux appréhender cette architecture, si je suis un utilisateur et que je souhaite me connecter à un poste de travail, l’AD va vérifier si je dispose bien des droits requis pour me connecter. Supposons que je sois un administrateur du tier-0 et que je veuille me connecter sur un poste du tier-2, dans ce cas, la connexion va échouer.

Cette disposition en couche permet de mieux sécuriser l’AD en empêchant les déplacements latéraux d’un attaquant qui ne sera plus en mesure de passer d’une couche à une autre.

Si malgré toutes ces précautions, vous êtes quand même victime d’un rançongiciel, il vous reste une possibilité : sauver votre entreprise et éviter un chantage à la rançon pour espérer récupérer vos données. Il vous faut restaurer vos sauvegardes. Assurez-vous au préalable de restaurer une sauvegarde exsangue de toute infection par le malware. Vous pouvez dans ce cas auditer vos sauvegardes pour vous assurer de leur intégrité avant de les restaurer. S’il n’est pas possible de restaurer vos données, la dernière solution est d’envisager une reconstruction. Attention cependant, cette solution est longue et fastidieuse.

Pour en finir, l’AD étant l’élément incontournable de votre organisation, la détection en amont d’une attaque permet à l’équipe du SI de réagir rapidement pour la circonscrire avant qu’elle ne se propage à l’ensemble du réseau de l’entreprise.

Pour vous aider à y voir plus clair, avant que l’inévitable ne survienne, iDNA et AURA IT peuvent vous accompagner en vous proposant du conseil et des outils adaptés à ce type d’évènement.

Cet article Comment protéger votre Active Directory ? est apparu en premier sur iDNA.

Comment fonctionne le ransomware mespinoza ? Quel est le mode opératoire du groupe d’attaquants ? Quelles sont leurs revendications ?

Comment les attaquants récupèrent-ils les identifiants des serveurs RDP ? Comment la métropole aurait-elle pu empêcher cette intrusion ?

Que faire en cas d’attaque par ransomware ? Comment se protéger efficacement contre les ransomwares ? Que se passe t-il si vous payez la rançon ? L’ANSSI (l’Agence Nationale de la sécurité des systèmes d’information) a mis en garde les collectivités territoriales contre des attaques de pirates via des rançongiciels ou (ransomware (1) en anglais) comme celles qui ont visé plusieurs collectivités : les communes de Vincennes, Alfortville et Bondy, le conseil départemental d‘Eure-et-Loir, Charleville-Mézières, Mitry-Mory, la Région Grand Est, l’agglomération du Grand Cognac et les villes du sud de la France…

Dans cet article, nous allons nous intéresser à une cyberattaque massive qui s’est déroulée le samedi 14/03/2020 et qui a touché la Métropole Aix-Marseille-Provence et les Villes de Martigues, Marseille et Charleville-Mézières.

Il s’agissait d’une attaque d’un rançongiciel de type Mespinoza/Pysa. Ce rançongiciel produit des fichiers chiffrés avec une extension de type .pysa. C’est cette variante de Pysa qui a été utilisée lors de cette attaque par ransomware.

Le chiffrement a touché des serveurs à hauteur de 90%, il est accompagné d’un message de rançon. D’après ce que l’on sait, la Métropole n’a toujours pas rétabli la totalité de ses systèmes d’information.

Le fait de réaliser qu’il y avait une attaque a permis à l’équipe informatique de couper la connexion à Internet. Cette action a permis de préserver les sauvegardes et de faciliter la reprise en mode dégradé du SI. D’après un des RSSI de la métropole, tous les équipements qui ont été derrière les firewalls (cloisonnement réseau) n’ont pas été touchés par cette attaque, ce qui sous-entend que les attaquants se sont introduits dans le réseau de la métropole via des services exposés directement sur Internet.

Cet article Ransomware: Cyberattaque de grande ampleur à la Métropole Aix-Marseille-Provence est apparu en premier sur iDNA.

.

Les risques de réseau pas assez ou non sécurisés

Nous avons assisté l’année dernière en France à de nombreuses attaques de ransomwares ciblant différents organismes d’état ou privé : parmi eux, Go Sport et Courir, victimes d’un ransomware en octobre 2019 causant la fermeture de leurs magasins. D’autres entreprises ont aussi essuyé des attaques via des crypto-locker (ransomware) ; Altran, CHU de Rouen, Fleury Michon, Picoty SA, le Centre hospitalier d’Issoudun, l’agglomération du Grand Cognac qui elle aussi a fait les frais d’un ransomware, logé dans les serveurs de fichiers.  Ces serveurs ont été infectés et chiffrés, les rendant inutilisables.

D’autres organismes comme le groupe Riveira Beach n’ont pas eu le choix que de payer une rançon qui s’élevait à 600 000 dollars (65 bitcoins) pour récupérer l’utilisation de leur système d’information. (Attention tout de même, il n’existe aucune garantie de voir ses fichiers décryptés, malgré le paiement de la rançon exigée par les pirates)

Nous devons nous attendre à une recrudescence de ces ransomwares et surtout à un ciblage plus affiné des cibles potentielles qui touchera beaucoup moins le grand public mais qui visera des organismes beaucoup plus rémunérateurs tels que les aéroports, les Hôpitaux, les grandes entreprises et les organismes d’états – aussi, la sécurisation des accès devient critique, surtout avec de nouveaux challenges comme le « BYOD »

.

Bring Your Own Device

Nous assistons par ailleurs à un nouveau phénomène appelé BYOD (Bring Your Own Device) : des utilisateurs qui accèdent aux ressources de l’entreprise via leurs propres équipements (Tablettes, Smartphones…), venant ainsi complexifier la tâche des équipes informatiques. Elles doivent prendre en charge la multiplication de ces nouveaux appareils et la nécessité de les authentifier et de les sécuriser avant de leur donner un accès au réseau. Ceci afin de protéger le système d’information contre les menaces croissantes des virus et malwares qui peuvent compromettre la sécurité des accès aux données de l’entreprise.

Il est donc primordial que les entreprises intègrent dans leurs politiques de sécurité ces nouveaux terminaux pour qu’ils soient conformes aux règles préétablies. Les entreprises devront systématiquement vérifier les applications installées sur ces appareils, interdire celles potentiellement dangereuses, pouvoir aussi effacer les données à distance en cas de perte ou de vol d’un terminal.

Il s’agit-là de la première étape intervenant au niveau de la phase d’authentification, avant que d’éventuels programmes malveillants puissent endommager le système d’information de l’entreprise.

Dans une seconde étape : la sécurité du réseau requiert la vérification de la conformité des terminaux avec des politiques de sécurité. Ces politiques dépendent du type d’utilisateur, d’équipements utilisés ainsi que du système d’exploitation.

En cas de non-conformité, des actions peuvent être appliquées tel qu’un refus d’accès et une mise en quarantaine suivi d’une remédiation.

Dans un vlan de quarantaine, un utilisateur peut se voir accorder un accès très limité au réseau. Dans le cas où la base de données antivirale de l’utilisateur est obsolète, le vlan va lui permettre de procéder à sa mise à jour avant toute autorisation d’accès au réseau de votre entreprise.

Pour faire face à ces menaces, il devient plus que nécessaire de bien contrôler et sécuriser les accès aux réseaux en se dotant de solutions éprouvées sur le marché de la sécurité.

.

En conclusion

Comme nous l’avons vu tout au long de cet article, les solutions de NAC (Network Access Control) vous permettent de surveiller, d’identifier et de gérer les périphériques réseau de manière centralisée. Elles disposent d’un contrôle total sur l’ensemble des périphériques et utilisateurs d’un réseau en temps réel. Ces solutions contribuent à renforcer et à améliorer la sécurité réseau des entreprises grâce au déploiement de stratégies de sécurité. Elles empêchent les virus et les malwares d’infecter vos systèmes, évitent les fuites d’informations de votre entreprise et de vos clients et renforcent ainsi les directives de protection des données énoncées dans le cadre de la loi sur le RGPD (Règlement général sur la protection des données).

Le marché des outils de contrôle est riche, avec des solutions opensource (OpenNAC), des solutions de grands noms de la sécurité et du réseau (ARUBA Networks, Fortinet/FortiNac, Cisco ISE, Extreme Networks/ExtremeControl)) et des spécialistes du sujet (PortNox, Impulse Safeconnect…) – ces solutions peuvent être onpremise ou hébergées sur le cloud en mode Saas pour plus de flexibilité, mais nécessitent de l’expertise pour bien fonctionner. C’est pourquoi, iDNA peut vous accompagner dans votre choix de solutions correspondant au mieux à vos besoins.

Cet article Sécurisation des accès réseaux, un enjeu majeur pour les entreprises est apparu en premier sur iDNA.