Du phishing à l'architecture zéro confiance, ce sont les idées principales qui aident tout le monde à protéger leurs données, à reconnaître les menaces et à prendre des décisions plus intelligentes en ligne.
Credit: Clint Patterson / Unsplash
Internet n'a pas été conçu avec la sécurité à l'esprit. Les protocoles qui transportent le courrier électronique, le trafic web et les appareils connectés ont été conçus à une époque où le réseau global était petit, académique et largement coopératif. La sécurité est venue plus tard — greffée, corrigée, superposée — et cette réalité architecturale est en partie la raison pour laquelle les violations, les escroqueries et les compromissions de systèmes restent si courantes des décennies après le début de l'ère numérique.
Les conséquences ont grandi avec l'infrastructure. Les fuites de données personnelles provenant des systèmes de santé, des institutions financières et des plateformes sociales affectent désormais des centaines de millions de personnes. Les attaques par ransomware ont fermé des hôpitaux et perturbé des pipelines de carburant. Les gouvernements mènent des opérations cyber offensives contre les infrastructures critiques d'autres États. Pendant ce temps, la personne moyenne navigue dans cet environnement avec des outils qui n'ont pas toujours été conçus pour rendre la sécurité visible ou intuitive.
La cybersécurité est souvent présentée comme le domaine des spécialistes — ingénieurs réseau, testeurs de pénétration, intervenants en cas d'incident. Cette présentation rend un mauvais service aux connaissances pratiques dont quiconque possède un smartphone, un compte bancaire ou un ordinateur professionnel a réellement besoin. Vous n'avez pas besoin de savoir coder ou comprendre le réseau au niveau des paquets pour prendre des décisions sensiblement meilleures sur votre vie numérique. Ce dont vous avez besoin, c'est d'une compréhension fonctionnelle des concepts qui régissent comment les attaques se produisent, comment les défenses fonctionnent et quels sont les compromis.
Les 20 concepts de cette liste ne sont pas un programme technique. Ce sont les idées fondamentales qui déverrouillent tout le reste. Comprendre le phishing vous rend moins susceptible d'en être victime. Comprendre le chiffrement vous aide à évaluer les produits qui prétendent protéger vos données. Comprendre comment les mots de passe sont stockés explique pourquoi réutiliser le même sur plusieurs sites web est vraiment dangereux, et pas seulement gênant à éviter. Chaque concept se connecte aux décisions que les gens prennent chaque jour — à propos des applications qu'ils utilisent, des liens qu'ils cliquent, des réseaux auxquels ils se connectent et des comptes qu'ils sécurisent.
La littératie en cybersécurité ne concerne pas le fait de devenir paranoïaque. Il s'agit d'avoir un modèle mental précis de la façon dont les systèmes numériques fonctionnent et où ils peuvent échouer. Les menaces sont réelles, bien documentées, et la plupart ne sont pas aussi techniquement exotiques que la couverture médiatique populaire le suggère parfois. Les fondamentaux n'ont pas changé autant que les gros titres le suggèrent. Ces 20 concepts sont une carte.
Credit: RDNE Stock project / Pexels
Le hameçonnage est la pratique consistant à tromper les gens pour qu'ils révèlent des informations sensibles — mots de passe, numéros de carte de crédit, identifiants de compte — ou pour qu'ils effectuent une action qu'ils n'auraient pas autrement faite, comme transférer de l'argent ou installer un logiciel malveillant. Le mot est une faute d'orthographe délibérée de "fishing", reflétant l'idée que les attaquants jettent de larges filets en espérant que certaines cibles mordent à l'hameçon.
La technique de base existe depuis le milieu des années 1990, lorsque des attaquants ont commencé à se faire passer pour des représentants du service client d'America Online dans les premières applications de chat pour voler des mots de passe de compte. La mécanique de base n'a pas beaucoup changé : créer une fausse identité convaincante, générer une raison plausible d'urgence et demander à la cible de faire quelque chose.
Ce qui a changé, c'est la sophistication et l'échelle. Les premiers e-mails de phishing étaient souvent faciles à repérer : grammaticalement pauvres, visuellement grossiers, génériques dans leur ciblage. Les messages de phishing modernes peuvent être presque indiscernables des communications légitimes. Ils copient le design visuel des vraies institutions, falsifient des adresses e-mail qui semblent authentiques au premier coup d'œil, et arrivent avec des mécanismes de suivi pour confirmer quand un message a été ouvert.
Le spear phishing se réfère à des attaques ciblées visant des individus spécifiques plutôt que des destinataires de masse. Un attaquant qui utilise le spear phishing contre un dirigeant d'entreprise recherchera le rôle de cette personne, ses collègues et ses communications récentes avant de rédiger un message. Ce type d'attaque est bien plus efficace qu'un phishing de masse générique car il exploite le contexte que la cible reconnaît.
Le phishing vocal, appelé vishing, implique des appels téléphoniques. Le smishing utilise des messages SMS. Les deux sont devenus plus courants à mesure que les filtres de messagerie se sont améliorés pour détecter les tentatives de phishing traditionnelles.
La défense la plus fiable contre le phishing est la vérification par un canal séparé. Si un e-mail de votre banque vous demande de cliquer sur un lien et d'entrer vos informations d'identification, n'utilisez pas ce lien - ouvrez une nouvelle fenêtre de navigateur, allez directement sur le site de la banque et vérifiez votre compte à partir de là. Si un collègue envoie une demande inattendue de transfert de fonds ou de partage de détails de connexion, appelez-le sur un numéro de téléphone connu pour confirmer. Aucune institution légitime ne s'opposera à ce type de vérification hors bande.
Les attaquants comptent sur l'urgence et la peur. Les messages qui prétendent que votre compte sera suspendu, qu'un colis n'a pas pu être livré, ou qu'une activité inhabituelle a été détectée sont conçus pour vous faire agir rapidement et ignorer les vérifications. Ralentir est l'une des contre-mesures les plus efficaces à la disposition de toute cible.
Les contrôles techniques aident mais n'éliminent pas le risque. Les protocoles d'authentification des e-mails peuvent réduire la falsification des noms de domaine exacts, mais ils ne peuvent empêcher les attaquants de s'enregistrer avec des domaines à l'apparence similaire. Les filtres anti-spam attrapent de nombreux messages de phishing mais en laissent passer d'autres. La couche humaine reste critique.
Credit: Jake Walker / Pexels
Le logiciel malveillant est une contraction de "logiciel malicieux" - tout programme conçu pour endommager, perturber ou obtenir un accès non autorisé à un système sans la connaissance ou le consentement de la personne l'utilisant. La catégorie est suffisamment large pour inclure tout, des virus qui se propagent entre les fichiers aux outils d'espionnage sophistiqués utilisés par les États-nations.
Les virus sont l'une des plus anciennes formes de logiciels malveillants. Ils attachent leur code à des fichiers légitimes et s'exécutent lorsque ces fichiers sont ouverts, puis tentent de se reproduire davantage à travers le système ou vers d'autres systèmes. Le terme est souvent utilisé de manière lâche pour désigner tout type de logiciel malveillant, bien que techniquement il se réfère uniquement aux programmes ayant un comportement d'autoréplication.
Les vers se propagent sans nécessiter d'action de l'utilisateur en exploitant des vulnérabilités dans les systèmes en réseau. Le ver Slammer de 2003 a infecté des centaines de milliers de serveurs en environ 10 minutes en exploitant une vulnérabilité connue dans Microsoft $MSFT SQL Server. Cette vitesse a été possible parce que le ver ne nécessitait aucune interaction humaine — il sondait simplement les adresses IP et se propageait automatiquement.
Les chevaux de Troie se présentent comme des logiciels légitimes ou utiles tout en dissimulant une charge utile malveillante. Un utilisateur télécharge ce qui semble être un jeu gratuit ou un outil utilitaire ; le logiciel s'installe, effectue sa fonction apparente, et installe simultanément une porte dérobée ou collecte des frappes clavier.
Les logiciels espions collectent des informations sur un utilisateur — habitudes de navigation, frappes clavier, identifiants, contenu de l'écran — et les transmettent à une partie extérieure. Les stalkerwares sont une forme de logiciels espions souvent installés sur les appareils mobiles par des partenaires abusifs pour surveiller la localisation et les communications.
Les ransomwares chiffrent les fichiers d'une victime et exigent un paiement — généralement en cryptomonnaie — en échange de la clé de déchiffrement. Ce type de logiciel malveillant a été l'une des catégories économiquement les plus dommageables ces dernières années, ciblant les hôpitaux, les gouvernements locaux, les écoles et les grandes entreprises.
Les mécanismes de livraison varient. Les logiciels malveillants arrivent par le biais de pièces jointes à des emails malveillants, de liens de téléchargement infectés, de sites web compromis exploitant des vulnérabilités du navigateur, et de médias physiques. Les téléchargements instantanés peuvent installer des logiciels malveillants simplement en visitant une page dans un navigateur non corrigé. Des clés USB trouvées dans des parkings — une technique de manipulation sociale documentée — ont été utilisées pour infecter des systèmes lorsque des employés les branchent dans des ordinateurs de travail.
Les couches de défense incluent généralement des logiciels antivirus, des outils de détection et de réponse des points de terminaison, le maintien des systèmes d'exploitation et des applications à jour, et la limitation des permissions des utilisateurs pour que les logiciels malveillants exécutés sous un compte standard ne puissent pas installer de logiciels ou modifier des fichiers système.
Credit: Markus Spiske / Pexels
Le chiffrement convertit les informations lisibles — appelées texte en clair — en une forme brouillée illisible appelée texte chiffré, en utilisant un algorithme mathématique et une clé. Seule une personne avec la clé correcte peut inverser le processus et récupérer les données d'origine. Sans cela, la communication et le stockage numériques seraient fondamentalement peu sûrs.
Le concept précède les ordinateurs de plusieurs millénaires. Jules César utilisait un simple chiffrement par substitution dans lequel chaque lettre de l'alphabet était déplacée d'un nombre fixe de positions. Le chiffrement moderne utilise des opérations mathématiques d'un autre ordre de complexité — non pas des décalages de 13 positions, mais des algorithmes qui nécessiteraient plus d'étapes de calcul pour être brisés par force brute qu'il n'y a d'atomes dans l'univers observable.
Le chiffrement symétrique utilise la même clé pour chiffrer et déchiffrer les données. Il est rapide et efficace, ce qui le rend pratique pour chiffrer de grands volumes de données. Le problème est la distribution des clés : si deux parties souhaitent communiquer en toute sécurité en utilisant le chiffrement symétrique, elles doivent trouver un moyen de partager la clé sans qu'elle ne soit interceptée — ce qui est un véritable défi lorsqu'elles ne se sont jamais rencontrées en personne.
Le chiffrement asymétrique, également appelé cryptographie à clé publique, résout ce problème. Chaque partie génère une paire de clés liées mathématiquement : une clé publique, qui peut être partagée ouvertement, et une clé privée, qui est gardée secrète. Les données chiffrées avec une clé de la paire ne peuvent être déchiffrées qu'avec l'autre. Cela permet à quiconque d'envoyer un message chiffré à un destinataire en utilisant uniquement la clé publique du destinataire, sachant que seule la clé privée du destinataire peut le décoder.
HTTPS — le cadenas que vous voyez dans la barre d'adresse d'un navigateur — repose sur le chiffrement asymétrique pour établir un canal sécurisé, puis passe au chiffrement symétrique pour le gros du transfert de données car il est plus rapide.
Le chiffrement de bout en bout signifie que les messages sont chiffrés sur l'appareil de l'expéditeur et ne peuvent être déchiffrés que sur l'appareil du destinataire. Le fournisseur de services au milieu — la plateforme de messagerie, le service de messagerie électronique — ne peut pas lire le contenu même s'il le voulait ou y était contraint par un processus légal.
Le chiffrement protège les données en transit, voyageant à travers les réseaux, et les données au repos, stockées sur des appareils ou des serveurs. Les deux comptent. Un système qui chiffre le trafic réseau mais stocke les données en texte clair sur le disque reste vulnérable à quiconque accède à ce stockage.
Credit: Zulfugar Karimov / Unsplash
Un mot de passe est la forme d'authentification la plus courante — le processus par lequel un système vérifie que vous êtes bien celui que vous prétendez être. Bien qu'ils soient omniprésents, les mots de passe sont l'un des maillons les plus faibles de la sécurité numérique, principalement en raison de la manière dont les gens les choisissent et les gèrent.
Le problème fondamental est la mémoire humaine. Les gens ont tendance à créer des mots de passe courts, faciles à retenir et réutilisés sur plusieurs comptes. Les mots de passe courts sont vulnérables aux attaques par force brute, dans lesquelles des outils automatisés essaient systématiquement des combinaisons jusqu'à trouver une correspondance. Les mots de passe réutilisés signifient qu'une brèche dans un service — un site de vente au détail, un forum, un ancien abonnement — donne aux attaquants des identifiants qui fonctionnent sur des cibles plus précieuses comme des comptes de messagerie ou bancaires.
Le bourrage d'identifiants est la technique automatisée qui exploite la réutilisation à grande échelle. Les attaquants obtiennent des listes de combinaisons de noms d'utilisateur et de mots de passe divulguées lors de précédentes brèches et les testent automatiquement contre d'autres services. Parce que beaucoup de gens utilisent la même combinaison d'adresse électronique et de mot de passe partout, le taux de succès est significatif.
Un gestionnaire de mots de passe résout le problème de la réutilisation en générant des mots de passe longs, aléatoires et uniques pour chaque compte et en les stockant cryptés dans un coffre protégé par un mot de passe maître unique. L'utilisateur a seulement besoin de se souvenir de ce mot de passe-là. Les mots de passe que le gestionnaire génère — généralement 16 caractères aléatoires ou plus — ne sont pas des mots significatifs et ne sont pas réutilisés, rendant le bourrage d'identifiants inutile contre les comptes protégés de cette manière.
La robustesse d'un mot de passe est mieux comprise en termes de longueur et de caractère aléatoire qu'en termes de complexité. Une chaîne aléatoire de 16 caractères composée de lettres et de chiffres est plus sécurisée qu'un mot de passe plus court contenant un caractère spécial.
L'authentification multi-facteurs (MFA) ajoute une seconde couche de vérification au-delà du mot de passe — un code à usage unique envoyé par SMS, généré par une application d'authentification, ou produit par une clé matérielle. Même si un attaquant obtient un mot de passe correct par hameçonnage, fuite de données ou devinette, il ne peut pas se connecter sans le second facteur. Les applications d'authentification et les clés matérielles sont plus sécurisées que les codes SMS, qui peuvent être interceptés par des attaques de substitution de carte SIM.
Credit: RDNE Stock project / Pexels
Une fuite de données est un incident où des parties non autorisées accèdent à des données qui ne leur sont pas destinées. Les brèches affectent des individus, des entreprises, des gouvernements et des prestataires de soins de santé. Elles vont d'une échelle de milliers d'enregistrements à des milliards, et en termes de sensibilité, des adresses électroniques aux numéros de sécurité sociale, aux antécédents médicaux et aux détails des comptes financiers.
Les violations se produisent par divers mécanismes. Les attaquants peuvent exploiter des vulnérabilités logicielles pour accéder à une base de données. Ils peuvent hameçonner un employé avec des identifiants d'administrateur. Un initié — un employé actuel ou ancien — peut délibérément exfiltrer des données pour des raisons financières ou idéologiques. Un seau de stockage cloud mal configuré peut laisser les données accessibles au public sans aucune intrusion active.
La violation d'Adobe $ADBE en 2013 a affecté environ 153 millions d'enregistrements, y compris des mots de passe qui avaient été chiffrés avec une méthode obsolète et inadéquate, les rendant relativement faciles à craquer. La violation d'Equifax en 2017 a exposé les informations personnelles et financières d'environ 147 millions d'Américains — près de la moitié de la population adulte des États-Unis — incluant les numéros de sécurité sociale, les dates de naissance, les adresses et, dans certains cas, les numéros de permis de conduire et les données de carte de crédit.
Ce qui rend les violations constamment dommageables, c'est que les données exposées n'expirent pas. Un numéro de sécurité sociale divulgué en 2017 est tout aussi utile à un voleur d'identité en 2024 qu'il l'était le jour où il a été volé. Les identifiants violés circulent sur les marchés du dark web et sont utilisés dans des attaques par bourrage d'identifiants pendant des années après l'incident initial.
Have I Been Pwned, un site web géré par le chercheur en sécurité Troy Hunt, permet aux gens de vérifier si leur adresse email apparaît dans des ensembles de données de violation connus. Il indexe des milliards d'enregistrements provenant de violations publiques documentées et constitue une première étape pratique pour quiconque veut comprendre son exposition.
Les conséquences d'une violation dépendent fortement des données qui ont été exposées et de la manière dont elles ont été stockées. Les mots de passe stockés sous forme de valeurs hachées correctement — en utilisant des algorithmes puissants comme bcrypt ou Argon2 — sont beaucoup plus difficiles à craquer que ceux stockés en texte brut ou en utilisant des algorithmes plus faibles. C'est une des raisons pour lesquelles la manière dont un service stocke vos données est aussi importante que le fait qu'il soit violé ou non.
Credit: Zulfugar Karimov / Unsplash
Un pare-feu est un contrôle de sécurité qui surveille et filtre le trafic entrant ou sortant d'un réseau en fonction d'un ensemble de règles définies. Le terme provient du pare-feu physique — la barrière intégrée à un bâtiment ou à un véhicule pour empêcher la propagation du feu. En réseau, un pare-feu crée une limite contrôlée entre un réseau interne de confiance et des réseaux externes moins fiables.
Les pare-feux traditionnels fonctionnaient au niveau du réseau, examinant les paquets — les petites unités dans lesquelles les données sont divisées pour transmission — et les autorisant ou les bloquant en fonction des adresses IP et des ports source et destination. Une règle pourrait permettre le trafic web de n'importe quelle source vers un serveur web sur le port 443 tout en bloquant tout autre trafic vers ce serveur. Ce type de filtrage est rapide et efficace pour les modèles connus de trafic légitime et malveillant.
Les pare-feux avec état suivent l'état des connexions actives, leur permettant de comprendre le contexte. Un paquet qui arrive en se prétendant partie d'une connexion établie peut être vérifié par rapport à la table des états du pare-feu. Si une telle connexion n'existe pas, le paquet peut être rejeté. Cela ferme certains types d'attaques de spoofing et de flooding que des pare-feux de filtrage de paquets plus simples laisseraient passer.
Les pare-feux de nouvelle génération examinent le trafic à un niveau plus profond, y compris l'inspection de la couche application. Ils peuvent identifier le trafic par l'application qui le génère — pas seulement par numéro de port — et appliquer des règles en conséquence. Ils intègrent également des flux de renseignement sur les menaces, des systèmes de détection et de prévention des intrusions, et une inspection SSL pour examiner le trafic chiffré.
Les pare-feux personnels fonctionnent sur des appareils individuels plutôt que sur des périmètres de réseau. Les systèmes d'exploitation, y compris Windows et macOS, sont livrés avec des pare-feux personnels intégrés qui bloquent les connexions entrantes vers des applications auxquelles l'accès n'a pas été explicitement accordé.
Un pare-feu n'est pas une défense complète. Il ne peut pas arrêter les logiciels malveillants livrés par un trafic autorisé — une pièce jointe malveillante à un e-mail qui passe par un serveur de messagerie sur un port autorisé, par exemple. Il ne traite pas les vulnérabilités dans les applications qu'il protège. C'est une couche dans une stratégie de défense plus large, efficace lorsqu'elle est correctement configurée et combinée avec d'autres contrôles.
Credit: Stefan Coders / Pexels
Un VPN, ou réseau privé virtuel, crée un tunnel chiffré entre un appareil et un serveur distant exploité par le fournisseur de VPN. Le trafic de l'appareil passe par ce tunnel, puis sort sur Internet à partir de l'adresse IP du serveur VPN plutôt que celle de l'utilisateur. Du point de vue des observateurs externes — sites web, publicitaires, un fournisseur de services internet — le trafic semble provenir de l'emplacement du serveur VPN.
Les VPN ont été initialement développés pour permettre aux employés de se connecter en toute sécurité aux réseaux d'entreprise depuis des emplacements distants, étendant le périmètre réseau de confiance sur une connexion non fiable. Lorsqu'un membre de l'équipe commerciale se connecte au siège via un VPN lors de ses déplacements, son ordinateur portable se comporte comme s'il était sur le réseau de bureau, avec accès aux ressources internes qui seraient autrement indisponibles sur Internet.
Les VPN grand public sont principalement commercialisés pour des raisons de confidentialité. L'argument est qu'en acheminant le trafic par les serveurs du fournisseur de VPN, l'utilisateur empêche son fournisseur d'accès à Internet de voir quels sites il visite. Sur un réseau Wi-Fi public non chiffré — dans un café ou un hôtel — un VPN empêche d'autres utilisateurs sur le même réseau d'intercepter le trafic.
La limitation est que la confiance se déplace plutôt qu'elle ne disparaît. Lors de l'utilisation d'un VPN, le fournisseur de services Internet ne peut plus voir le trafic, mais le fournisseur de VPN le peut. La politique de confidentialité et les pratiques de journalisation d'un fournisseur de VPN sont très importantes, et ces pratiques sont difficiles à vérifier de manière indépendante. Certains fournisseurs ont été surpris en train de journaliser l'activité des utilisateurs malgré leurs affirmations contraires.
Les VPN ne rendent pas un utilisateur anonyme. Ils masquent une adresse IP des services externes, mais ils n'empêchent pas le suivi via les cookies, les empreintes digitales du navigateur ou les connexions de compte. Quelqu'un qui utilise un VPN puis se connecte à un compte personnel s'est identifié à ce service de toute façon.
Pour contourner les restrictions géographiques de contenu et ajouter une couche de protection sur les réseaux publics réellement non fiables, les VPN ont un véritable but. La protection de la vie privée qu'ils offrent contre des adversaires déterminés et bien équipés est plus limitée que ce que suggère le marketing.
Credit: Canva Images
L'authentification à deux facteurs — souvent abrégée en 2FA ou utilisée de manière interchangeable avec le terme plus large d'authentification multi-facteurs (MFA) — est un processus de connexion qui nécessite qu'un utilisateur fournisse deux formes distinctes de preuves avant d'accéder à un compte. Les deux facteurs proviennent généralement de différentes catégories : quelque chose que vous savez (un mot de passe), quelque chose que vous avez (un appareil ou un jeton), ou quelque chose que vous êtes (une donnée biométrique comme une empreinte digitale ou une reconnaissance faciale).
La logique sous-jacente est que voler ou deviner une seule information d'identification est plus difficile que de voler deux informations indépendantes. Une violation de base de données peut exposer des mots de passe, mais elle ne donne pas aux attaquants accès à l'appareil physique dans la poche d'une cible. Un téléphone volé n'aide pas si l'attaquant ne connaît pas le mot de passe du compte.
Le 2FA basé sur SMS envoie un code à usage unique par message texte. C'est mieux que pas de deuxième facteur, mais il a une faiblesse documentée : le SIM-swapping. Dans cette attaque, un adversaire convainc un opérateur mobile — généralement par ingénierie sociale ou usurpation d'identité — de transférer le numéro de téléphone de la victime vers une carte SIM contrôlée par l'attaquant. Tous les appels et textes, y compris les codes 2FA, vont alors à l'attaquant. Les cibles de haut niveau avec des actifs importants en cryptomonnaie ou des comptes de réseaux sociaux ont été ciblées de cette manière.
Les applications d'authentification comme Google $GOOGL Authenticator, Authy et Microsoft $MSFT Authenticator génèrent des mots de passe à usage unique basés sur le temps (TOTP) qui changent toutes les 30 secondes. Comme ces codes sont générés localement sur l'appareil plutôt que transmis par SMS, ils ne sont pas vulnérables au SIM-swapping. Ils ne dépendent pas non plus de la disponibilité du réseau cellulaire.
Les clés de sécurité matérielles, telles que celles conformes à la norme FIDO2/WebAuthn, offrent la protection la plus forte. Ces dispositifs physiques se branchent sur un port USB ou se connectent via NFC et effectuent un défi-réponse cryptographique lors de l'authentification. Elles sont résistantes au phishing car l'authentification est liée au domaine spécifique du site web — un faux site ne peut pas déclencher une réponse valide de la clé.
Activer la 2FA sur les comptes de messagerie est une étape prioritaire car les comptes de messagerie sont généralement le mécanisme de récupération pour tous les autres comptes. Un attaquant qui accède à une boîte de réception peut réinitialiser les mots de passe de pratiquement tous les services liés.
Credit: cottonbro studio / Pexels
L'ingénierie sociale désigne l'utilisation de la manipulation psychologique pour tromper les gens afin qu'ils divulguent des informations confidentielles ou prennent des mesures qui compromettent la sécurité. Là où les attaques techniques exploitent les vulnérabilités logicielles, l'ingénierie sociale exploite celles humaines — confiance, autorité, peur, curiosité, serviabilité et désir de résoudre rapidement les problèmes.
Le terme englobe un large éventail de tactiques. Le phishing est une ingénierie sociale menée numériquement. Le vishing le fait par téléphone. Le pretexting implique la construction d'un faux scénario — une histoire fictive — pour rendre une demande légitime. Un attaquant peut appeler le service d'assistance informatique d'une entreprise en prétendant être un employé à distance bloqué hors de son compte, en utilisant des détails rassemblés sur LinkedIn et les sites web de l'entreprise pour paraître crédible.
Le baiting exploite la curiosité ou l'avidité. Un attaquant laisse des clés USB dans un parking ou un hall d'une organisation cible. Certains employés, trouvant les clés, les brancheront sur des ordinateurs de travail par curiosité ou dans l'espoir de les retourner à un propriétaire. Les clés sont chargées de logiciels malveillants.
L'autorité est l'un des leviers psychologiques les plus fréquemment exploités. Les gens sont conditionnés à se conformer aux demandes de ceux en position d'autorité sans les remettre pleinement en question. Un appelant prétendant être de l'IRS, ou un email semblant provenir d'un PDG, génère une conformité à des taux plus élevés qu'une demande d'un pair. Les attaques par compromission de courrier électronique d'entreprise imitent généralement des cadres pour instruire les employés des finances à effectuer des virements non autorisés.
L'urgence est un autre levier. Les demandes exigeant une action immédiate — "votre compte sera suspendu dans 24 heures", "vous devez répondre maintenant ou faire face à une action en justice" — contournent la délibération et encouragent la conformité. Les institutions légitimes ne fonctionnent généralement pas de cette manière, et l'urgence réelle est rarement aussi absolue qu'un attaquant le laisse entendre.
La défense la plus efficace est une culture dans laquelle le questionnement des demandes inattendues est normalisé et des procédures existent pour une vérification hors bande. Aucun employé ne devrait se sentir gêné de rappeler un demandeur à un numéro connu avant de se conformer à une instruction inhabituelle, quelle que soit l'autorité apparente de la demande originale.
Credit: Canva Images
Le rançongiciel est une catégorie de logiciels malveillants qui chiffre les fichiers d'une victime et exige un paiement — généralement en cryptomonnaie — en échange de la clé de déchiffrement nécessaire pour restaurer l'accès. Il est devenu l'une des formes de cybercriminalité les plus destructrices sur le plan économique, affectant les organisations dans les secteurs de la santé, du gouvernement, de l'éducation, de la finance et des infrastructures critiques.
Le mécanisme de chiffrement lui-même est solide. Les rançongiciels modernes utilisent des algorithmes cryptographiques légitimes et puissants. Sans la clé de déchiffrement détenue par l'attaquant, les fichiers chiffrés par un rançongiciel sont, en pratique, irrécupérables. C'est ce qui rend le rançongiciel particulièrement efficace comme outil de chantage : le dommage est réel et technique, pas seulement une menace.
Le premier rançongiciel largement reconnu, appelé AIDS Trojan ou PC Cyborg, est apparu en 1989 et a été distribué sur des disquettes. Son chiffrement était faible et symétrique, ce qui permettait de le retourner sans payer. Les rançongiciels modernes utilisent un chiffrement asymétrique qui rend cette approche irréalisable.
Le modèle de rançongiciel en tant que service a abaissé la barrière à l'entrée pour les attaquants. Les gangs de rançongiciels développent et maintiennent les logiciels malveillants et l'infrastructure, puis les louent à des affiliés qui mènent les attaques réelles. L'affilié reçoit une partie de chaque paiement de rançon ; le développeur prend le reste. Ce modèle commercial a permis une prolifération rapide.
Le double chantage est devenu une pratique standard. Les attaquants non seulement chiffrent les fichiers mais les exfiltrent d'abord. Si la victime refuse de payer la rançon, les attaquants menacent de publier les données volées publiquement. Certaines victimes qui refusent de payer la rançon pour restaurer les fichiers paient encore une demande distincte pour empêcher la publication de dossiers sensibles.
Les sauvegardes sont la défense technique la plus fiable, mais seulement si elles sont maintenues correctement. Une sauvegarde connectée au réseau pendant une attaque peut elle-même être chiffrée. Les sauvegardes hors ligne — stockées sur des supports qui sont physiquement déconnectés lorsqu'ils ne sont pas utilisés — ou les sauvegardes en cloud immuables qui ne peuvent être altérées ou supprimées après la création sont bien plus résilientes. Les organisations qui maintiennent de bonnes sauvegardes hors ligne peuvent souvent restaurer leurs opérations sans payer de rançon.
Credit: panumas nikhomkhai / Pexels
La sécurité réseau fait référence aux pratiques, technologies et politiques utilisées pour protéger l'intégrité, la confidentialité et la disponibilité des réseaux informatiques et des données qui y transitent. C'est un domaine vaste qui inclut des contrôles matériels, des configurations logicielles, des pratiques de surveillance et la gestion des accès.
Chaque appareil connecté dispose d'une adresse IP — un identifiant numérique utilisé pour router le trafic à travers les réseaux. Les appareils communiquent en envoyant des paquets, chacun contenant une adresse source et de destination, les données transmises, et des informations de protocole décrivant comment le paquet doit être traité. Contrôler quels paquets peuvent circuler et où, et surveiller les anomalies dans ce flux, est une tâche essentielle de la sécurité réseau.
La segmentation de réseau divise un réseau plus grand en zones plus petites avec un accès contrôlé entre elles. Un hôpital peut segmenter son réseau administratif de ses systèmes cliniques, qui sont à leur tour séparés des appareils médicaux. Si un attaquant accède à un segment — en compromettant un poste de travail administratif, par exemple — la segmentation limite la propagation de l'intrusion. Le mouvement latéral, le processus par lequel les attaquants se déplacent d'un point d'accès initial à d'autres systèmes sur un réseau, est nettement plus difficile dans un environnement correctement segmenté.
Les systèmes de détection d'intrusion (IDS) surveillent le trafic réseau et l'activité système pour détecter des schémas correspondant à des signatures d'attaque connues ou à des anomalies statistiques. Un IDS qui détecte ce qui semble être un balayage de port — une technique utilisée pour identifier quels services fonctionnent sur un réseau — peut alerter le personnel de sécurité. Les systèmes de prévention d'intrusion (IPS) vont plus loin, bloquant automatiquement le trafic suspect plutôt que de simplement alerter.
Les journaux de surveillance réseau sont inestimables après un incident. Comprendre le calendrier et l'ampleur d'une violation — quels systèmes ont été accédés, dans quel ordre, et quelles données ont été exfiltrées — dépend généralement de la disponibilité de données de journaux détaillés et préservés. De nombreuses violations sont découvertes des semaines ou des mois après l'intrusion initiale, et les journaux permettent aux enquêteurs de reconstituer ce qui s'est passé.
Les réseaux sans fil introduisent des considérations supplémentaires. Le protocole de cryptage utilisé sur un réseau Wi-Fi est très important. WEP, un ancien protocole, présente des faiblesses connues qui le rendent facile à compromettre. WPA2 et WPA3 sont les normes actuelles, WPA3 offrant une protection plus forte contre les attaques par dictionnaire sur le mot de passe.
Credit: Canva Images
Le Zero trust est un modèle de sécurité basé sur le principe de ne pas accorder de confiance automatique à un utilisateur, un appareil ou un système, qu'ils soient à l'intérieur ou à l'extérieur du périmètre réseau traditionnel. La phrase « ne jamais faire confiance, toujours vérifier » est le raccourci le plus courant pour cette philosophie.
La sécurité réseau traditionnelle reposait sur l'idée d'un périmètre — un réseau intérieur protégé entouré de défenses. Les appareils et utilisateurs à l'intérieur du périmètre étaient généralement de confiance ; ceux à l'extérieur ne l'étaient pas. Cela avait du sens lorsque la plupart des employés travaillaient dans un bureau, se connectant aux systèmes internes via un réseau d'entreprise. Cela avait beaucoup moins de sens une fois que les organisations ont commencé à utiliser des services cloud, à soutenir le travail à distance et à faire face à la réalité selon laquelle les attaquants qui compromettent un appareil à l'intérieur du périmètre pouvaient se déplacer librement une fois à l'intérieur.
Le Zero trust remet en question le concept de confiance périmétrique en traitant chaque demande d'accès comme si elle provenait d'un réseau non fiable, même si la demande vient de l'intérieur du réseau d'entreprise. Un utilisateur qui se connecte à partir d'un poste de travail de bureau est soumis aux mêmes exigences de vérification qu'un utilisateur se connectant depuis chez lui ou depuis un lieu inconnu. Un appareil qui a passé un contrôle de sécurité la semaine dernière doit en passer un aujourd'hui.
La vérification sous Zero trust inclut généralement la confirmation de l'identité de l'utilisateur par une authentification forte, la vérification que l'appareil répond aux normes de sécurité définies — correctifs actuels, configuration correcte, aucune compromission détectée — et la limitation de l'accès uniquement aux ressources spécifiques dont l'utilisateur a besoin pour sa tâche actuelle. Ce principe de moindre privilège garantit qu'un compte ou un appareil compromis ne peut pas accéder à tout, uniquement à la tranche étroite de ressources pour laquelle il avait l'autorisation.
La microsegmentation est une technique de mise en œuvre du Zero trust qui divise les applications et services en petits segments isolés avec des chemins d'accès contrôlés de manière stricte. Même à l'intérieur d'une zone réseau, les charges de travail individuelles ne communiquent qu'avec les autres charges de travail spécifiques qu'elles sont autorisées à atteindre.
Le Zero trust n'est pas un produit ou une technologie unique. C'est une architecture et une philosophie qui nécessite une application cohérente à travers la gestion des identités, la gestion des appareils, les contrôles réseau et les politiques d'accès aux données. La mise en œuvre est complexe et progressive ; la plupart des organisations qui prétendent adopter le Zero trust sont en cours d'un processus pluriannuel de changement de la manière dont l'accès est géré à travers leurs systèmes.
Credit: Canva Images
L'infrastructure à clé publique (PKI) est le système de technologies, de politiques et de processus qui supporte l'utilisation de la cryptographie à clé publique à grande échelle. Elle permet la distribution et la vérification des clés publiques de manière à ce que deux parties qui n'ont jamais communiqué auparavant puissent établir une confiance et échanger des données chiffrées en toute sécurité.
Le problème central que la PKI résout est l'authentification des clés publiques. Le chiffrement asymétrique nécessite d'avoir la bonne clé publique pour la personne ou le système avec lequel vous souhaitez communiquer. Mais comment savez-vous que la clé publique que vous avez reçue est réellement associée à celui qu'elle prétend être ? Sans mécanisme pour le vérifier, un attaquant pourrait intercepter votre demande d'une clé publique et substituer la sienne — puis lire et ré-encrypter vos messages sans que l'une ou l'autre des parties le sache. Ceci est appelé une attaque de type homme du milieu.
La PKI résout cela grâce aux certificats numériques. Un certificat numérique est un fichier qui lie une clé publique à une identité — une personne, une organisation ou un nom de domaine — et est signé numériquement par un tiers de confiance appelé une autorité de certification (CA). Lorsque votre navigateur se connecte à un site web via HTTPS, il reçoit le certificat du site, vérifie qu'il est signé par une CA que le navigateur approuve, et vérifie que le nom de domaine sur le certificat correspond à celui de la barre d'adresse.
Les autorités de certification sont une hiérarchie à plusieurs niveaux. Les CA racines — dont les certificats sont intégrés dans les systèmes d'exploitation et les navigateurs lors de l'installation — signent les CA intermédiaires, qui à leur tour signent des certificats de bout en bout pour les sites Web, les serveurs de messagerie et d'autres services. Une chaîne de confiance relie chaque certificat à une racine de confiance.
Le système dépend de la fiabilité des CA dans cette boutique de confiance. Lorsqu'une CA est compromise ou se comporte mal, les conséquences peuvent être larges. En 2011, la CA néerlandaise DigiNotar a été compromise et des certificats frauduleux ont été émis pour des domaines incluant google.com, qui ont été utilisés dans des attaques contre des utilisateurs iraniens d'Internet. Après la découverte du compromis, les certificats de DigiNotar ont été révoqués par les navigateurs, rendant effectivement l'entreprise incapable de fonctionner.
Les journaux de transparence des certificats, introduits en réponse à des incidents comme DigiNotar, créent des enregistrements publics et immuables de chaque certificat émis. Cela permet aux propriétaires de domaines et aux chercheurs en sécurité de surveiller l'émission non autorisée de certificats pour leurs domaines.
Credit: Zulfugar Karimov / Unsplash
Une vulnérabilité est une faiblesse dans un logiciel, un matériel ou une configuration qui pourrait être exploitée par un attaquant pour obtenir un accès non autorisé, accroître des privilèges ou provoquer une perturbation. Les vulnérabilités sont un produit inévitable de la complexité des logiciels modernes — même un code bien écrit, fonctionnant dans un environnement complexe avec d'autres logiciels, peut contenir des failles qui deviennent apparentes seulement après le déploiement.
Le cycle de découverte à correction fonctionne approximativement comme suit : un chercheur ou un attaquant découvre une vulnérabilité, soit en analysant le code du logiciel, soit par des tests. Si le chercheur suit les pratiques de divulgation responsable, il signale la vulnérabilité au fournisseur avant de la rendre publique, donnant ainsi au fournisseur le temps de développer et de publier un correctif. Après la publication du correctif, ou parfois avant, les détails de la vulnérabilité deviennent connus, et les systèmes non corrigés deviennent alors des cibles.
La gestion des correctifs — la pratique consistant à appliquer systématiquement des mises à jour de sécurité aux logiciels et systèmes — est l'une des mesures les plus efficaces qu'une organisation puisse prendre pour réduire sa surface d'attaque. L'attaque par ransomware WannaCry de 2017, qui a affecté des centaines de milliers de systèmes dans 150 pays, a exploité une vulnérabilité des systèmes Windows pour laquelle Microsoft $MSFT avait publié un correctif deux mois plus tôt. Les organisations qui n'avaient pas appliqué le correctif sont restées vulnérables.
Les vulnérabilités de type zero-day sont celles qui sont inconnues du vendeur et pour lesquelles aucun correctif n'existe encore. Le nom fait référence au fait que le vendeur a eu zéro jour pour résoudre le problème. Les vulnérabilités zero-day sont des marchandises précieuses sur certains marchés — utilisées par les gouvernements pour des opérations de renseignement et vendues à des courtiers pour des sommes substantielles — car les défenseurs ne peuvent pas appliquer de correctif contre quelque chose qu'ils ne connaissent pas.
Le système Common Vulnerabilities and Exposures (CVE) attribue des identifiants standardisés aux vulnérabilités connues publiquement, facilitant ainsi le suivi et la communication sur des problèmes spécifiques dans les outils et bases de données. Chaque entrée CVE comprend une description de la vulnérabilité, les versions logicielles affectées et un score de gravité.
La gestion des correctifs semble simple mais implique une réelle complexité opérationnelle dans de grands environnements. Les mises à jour doivent être testées avant un déploiement large pour s'assurer qu'elles ne cassent pas des applications critiques. Certains systèmes hérités exécutent des logiciels qui ne sont plus pris en charge et ne reçoivent aucun correctif du tout, ce qui représente un défi persistant pour les organisations qui ne peuvent pas les remplacer facilement.
Credit: Zulfugar Karimov / Unsplash
La gestion des identités et des accès (IAM) est la discipline consistant à s'assurer que les bonnes personnes — et seulement les bonnes personnes — ont accès aux bonnes ressources, aux bons moments, pour les bonnes raisons. Elle couvre les systèmes et processus utilisés pour créer, maintenir et supprimer les comptes utilisateurs, attribuer des autorisations et surveiller la manière dont l'accès est exercé.
L'authentification est la vérification qu'un utilisateur est bien celui qu'il prétend être. L'autorisation est la détermination de ce que cet utilisateur est autorisé à faire une fois son identité établie. Les deux sont des processus distincts, bien qu'ils soient étroitement liés. Un utilisateur peut s'authentifier avec succès — prouver son identité — mais être toujours restreint dans l'accès à certaines données ou l'exécution de certaines actions, car son rôle ne lui accorde pas cette autorisation.
Le principe du moindre privilège stipule que tout utilisateur, compte ou processus ne devrait avoir que les permissions minimales nécessaires pour accomplir sa fonction légitime. En pratique, cela signifie qu'un analyste marketing n'a pas besoin d'accéder à la base de données des salaires, un agent de service client n'a pas besoin de modifier les configurations système, et un processus qui lit des données à partir d'une base de données ne devrait pas avoir des permissions d'écriture. Des permissions étendues augmentent le potentiel de dommage de toute compromission.
Le contrôle d'accès basé sur les rôles (RBAC) attribue des permissions à des rôles plutôt qu'à des utilisateurs individuels. Un utilisateur hérite des permissions en étant assigné à un rôle. Lorsqu'un employé change de fonction, son ancien rôle est retiré et un nouveau est attribué, plutôt que d'ajuster manuellement les permissions individuelles à travers des dizaines de systèmes.
La gestion des accès privilégiés (PAM) se concentre spécifiquement sur les comptes avec des permissions élevées — administrateurs système, administrateurs de base de données, et d'autres qui peuvent effectuer des changements significatifs à l'infrastructure. Ces comptes sont des cibles de grande valeur pour les attaquants et sont généralement gérés avec des contrôles supplémentaires : des identifiants séparés et stockés, des exigences d'authentification supplémentaires, et l'enregistrement de sessions qui capturent tout ce qui est fait pendant une session privilégiée.
Les revues d'accès sont des processus périodiques au cours desquels une organisation vérifie qui a accès à quoi, confirme que l'accès est toujours approprié, et révoque les permissions qui ne sont plus nécessaires. Les comptes appartenant à d'anciens employés qui n'ont pas été correctement désactivés ont été utilisés comme points d'entrée pour des attaques longtemps après que la personne a quitté l'organisation.
Credit: FlyD / Unsplash
HTTPS est la version sécurisée de HTTP, le protocole grâce auquel les navigateurs web demandent et reçoivent du contenu des serveurs web. Le "S" signifie sécurisé, et la sécurité est fournie par TLS — Transport Layer Security — un protocole cryptographique qui chiffre les données en transit entre le navigateur et le serveur.
Lorsqu'un navigateur se connecte à un site web via HTTPS, la connexion commence par une poignée de main TLS : une courte négociation durant laquelle le navigateur et le serveur s'accordent sur la version de TLS et les algorithmes cryptographiques à utiliser, le serveur présente son certificat pour prouver son identité, et les deux parties échangent des informations pour dériver une clé de chiffrement partagée pour la session. Une fois la poignée de main terminée, toutes les données passent via le tunnel chiffré.
L'icône de cadenas qui apparaît dans la barre d'adresse du navigateur indique que la connexion est chiffrée et que le certificat du serveur a été validé par une autorité de certification de confiance. Elle ne garantit pas que le site web lui-même est légitime ou que les opérateurs sont ceux qu'ils prétendent être. Un site de phishing peut obtenir un certificat TLS valide — et beaucoup le font — parce que les autorités de certification délivrent des certificats à toute personne qui prouve le contrôle d'un domaine, pas seulement aux organisations qui ont été vérifiées comme dignes de confiance.
C'est un point souvent mal compris. Le cadenas signifie que la connexion est chiffrée, pas que vous pouvez faire confiance au site web. Un site frauduleux à paypaI.com — avec un I majuscule au lieu d'un L minuscule dans "Pal" — peut avoir un certificat TLS parfaitement valide pour son domaine, parce que l'autorité de certification a vérifié que le propriétaire du site contrôle ce domaine, pas que le site est PayPal $PYPL.
Le protocole SSL plus ancien, que le TLS a remplacé, est à l'origine du terme couramment utilisé « certificat SSL ». Techniquement, les certificats TLS actuels ne sont pas des certificats SSL — le protocole SSL est obsolète et non sécurisé — mais le terme a persisté comme raccourci informel.
HTTP Strict Transport Security (HSTS) est un mécanisme qui ordonne aux navigateurs de toujours se connecter à un domaine via HTTPS, même si un utilisateur tape l'adresse sans le schéma ou suit un lien HTTP. Il empêche certaines attaques de rétrogradation qui pourraient supprimer le cryptage d'une connexion.
Credit: Markus Winkler / Pexels
Le système de noms de domaine (DNS) est le carnet d'adresses d'Internet. Lorsque vous tapez une URL dans un navigateur, le DNS traduit le nom de domaine lisible par l'homme — comme quartz.com — en une adresse IP que les routeurs peuvent utiliser pour diriger le trafic vers le serveur correct. Le DNS est une infrastructure fondamentale pour pratiquement toutes les communications Internet, et sa sécurité a de larges implications.
Les requêtes et réponses DNS sont traditionnellement envoyées en clair. Un observateur sur le réseau — votre fournisseur d'accès Internet, un opérateur de réseau, ou toute personne positionnée pour intercepter votre trafic — peut voir quels noms de domaine vous résolvez, ce qui révèle les sites que vous visitez même si le contenu de vos connexions est crypté. Le DNS sur HTTPS (DoH) et le DNS sur TLS (DoT) sont des protocoles plus récents qui cryptent les requêtes DNS, répondant à cette visibilité.
L'empoisonnement du cache DNS, également appelé usurpation DNS, est une attaque dans laquelle de fausses informations sont injectées dans le cache d'un résolveur DNS. Si elle réussit, les utilisateurs dont les requêtes sont servies par ce résolveur peuvent être dirigés vers une adresse IP malveillante lors de la recherche d'un domaine légitime — arrivant sur un site contrôlé par un attaquant tandis que la barre d'adresse affiche l'URL attendue. Le DNSSEC, un ensemble d'extensions au protocole DNS, utilise des signatures numériques pour vérifier l'authenticité des enregistrements DNS et empêcher ce type d'empoisonnement.
La sécurité de l'enregistrement de domaine est une préoccupation distincte. Le détournement de domaine se produit lorsqu'un attaquant prend le contrôle de l'enregistrement d'un domaine, souvent en compromettant le compte du registraire par hameçonnage ou bourrage d'identifiants. Une fois qu'ils contrôlent l'enregistrement de domaine, ils peuvent rediriger le trafic, obtenir des certificats TLS et intercepter les e-mails pour ce domaine. Les comptes de registraire doivent être protégés avec une authentification forte, tout comme tout autre compte de grande valeur.
La prise de contrôle de sous-domaine est une classe de vulnérabilité qui survient lorsqu'un enregistrement DNS pointe vers un service externe — un conteneur de stockage cloud, une plateforme d'application tierce — que l'organisation d'origine n'utilise plus. Si la ressource externe est supprimée mais que l'enregistrement DNS reste, un attaquant peut souvent revendiquer la ressource sur la plateforme externe et prendre le contrôle du sous-domaine.
Le cybersquattage et le typosquattage impliquent l'enregistrement de domaines qui ressemblent étroitement à des domaines légitimes — avec des fautes d'orthographe courantes, des caractères transposés ou des domaines de premier niveau différents — pour capturer le trafic des utilisateurs qui font des erreurs de saisie ou cliquent sur des liens imprécis.
Credit: Compagnons / Unsplash
La réponse aux incidents est le processus organisé par lequel une organisation détecte, contient, enquête et récupère d'un incident de cybersécurité. C'est autant une activité de planification et de gouvernance qu'une activité technique : le travail effectué avant un incident détermine l'efficacité de la réponse de l'organisation lorsque celui-ci se produit.
L'Institut national des normes et de la technologie (NIST) décrit le cycle de vie de la réponse aux incidents en quatre phases : préparation, détection et analyse, confinement, éradication et récupération, et activité post-incident. D'autres cadres utilisent des structures légèrement différentes, mais la séquence sous-jacente est cohérente.
La préparation implique l'établissement d'un plan de réponse aux incidents, la définition des rôles et responsabilités, la construction de canaux de communication et l'assurance que la journalisation et la surveillance sont en place pour que les incidents puissent être détectés et enquêtés. Une organisation qui n'a pas fait ce travail avant un incident passera les premières heures d'une crise à prendre des décisions qui auraient dû être prises des mois plus tôt.
La détection est souvent la phase la plus difficile. Le temps moyen entre l'intrusion initiale et la détection dans une attaque sophistiquée a historiquement été mesuré en semaines ou en mois — bien que cet intervalle se soit raccourci à mesure que les outils de détection se sont améliorés. De nombreuses violations sont découvertes non pas par une surveillance interne mais par des tiers : une banque qui voit des transactions suspectes, un chercheur en sécurité qui trouve des données volées en ligne, ou les forces de l'ordre agissant sur des renseignements.
Le confinement se concentre sur la limitation des dégâts d'un incident actif sans détruire les preuves nécessaires à l'enquête. La bonne stratégie de confinement dépend de la nature de l'incident. Déconnecter un système compromis du réseau empêche un attaquant de l'utiliser, mais peut aussi l'alerter de sa découverte, le poussant à accélérer ou à détruire des artefacts. La préservation judiciaire des données volatiles — contenu de la mémoire, connexions réseau actives — doit souvent se faire avant que les actions de confinement soient prises.
Le bilan post-incident, parfois appelé bilan après action ou processus de leçons tirées, est l'endroit où les organisations extraient des améliorations durables d'expériences difficiles. Ce qui a fonctionné dans la réponse, ce qui n'a pas fonctionné, et quels changements dans les contrôles, processus ou outils auraient pu prévenir ou limiter l'incident sont les questions centrales. Les organisations qui sautent cette étape répètent les mêmes incidents.
Credit: Tima Miroshnichenko / Pexels
Le web sombre se réfère aux parties d'Internet qui ne sont pas indexées par les moteurs de recherche standard et sont accessibles uniquement via des logiciels spécialisés, le plus souvent le navigateur Tor. Le terme est souvent utilisé de manière vague pour englober à la fois le web sombre proprement dit et le web profond au sens large, qui inclut tout contenu non accessible aux robots d'indexation — pages protégées par mot de passe, bases de données privées, intranets d'entreprise internes.
Tor, initialement développé pour la marine américaine, achemine le trafic Internet à travers une série de serveurs exploités par des bénévoles, en cryptant les données à chaque étape et en masquant l'origine et la destination de la communication. Le design fournit l'anonymat aux utilisateurs ainsi qu'aux opérateurs de sites (appelés services cachés ou services oignons, du nom du domaine de premier niveau .onion utilisé pour les adresser).
Le web sombre héberge à la fois du contenu légitime et nuisible. Il est utilisé par les journalistes communiquant avec des sources dans des environnements répressifs, par des dissidents politiques, par des personnes dans des pays où l'accès à Internet est fortement censuré, et par les forces de l'ordre menant des enquêtes. Il abrite également des marchés échangeant des identifiants volés, des données de cartes de paiement, des documents d'identité, des logiciels malveillants et d'autres biens illicites.
Le renseignement sur les menaces est la pratique de collecter, analyser et distribuer des informations sur les menaces — qui attaque, comment ils opèrent, quelle infrastructure ils utilisent, et quelles cibles ils poursuivent. Il est distinct des alertes de sécurité génériques ; c'est une information exploitable et contextualisée liée à des adversaires et campagnes spécifiques.
Les équipes de sécurité utilisent les renseignements sur les menaces pour prioriser les vulnérabilités à corriger en urgence, configurer des règles de détection pour les outils et comportements d'attaquants connus, et comprendre si leur organisation est activement ciblée par des groupes spécifiques. Les flux de renseignements provenant de fournisseurs commerciaux, d'agences gouvernementales et de groupes de partage d'informations de l'industrie contribuent tous à cette image.
Les indicateurs de compromission (IoC) sont des artefacts spécifiques et observables — adresses IP, noms de domaine, hachages de fichiers, sujets d'email, signatures réseau — qui indiquent qu'un système a pu être impliqué dans une activité malveillante. Les IoC sont partagés entre organisations afin que la détection d'une attaque contre l'une puisse aider d'autres à identifier si elles font face à la même menace.
Credit: AI25.Studio Studio / Pexels
Un point d'accès est un appareil qui se connecte à un réseau et sert de point d'entrée ou de sortie pour les données — ordinateurs portables, ordinateurs de bureau, smartphones, tablettes, et de plus en plus de dispositifs industriels, équipements médicaux et matériel de maison intelligente classés sous l'Internet des objets (IoT). La sécurité des points d'accès fait référence aux contrôles et pratiques utilisés pour protéger ces appareils contre les compromissions.
Les logiciels antivirus traditionnels fonctionnent en comparant les fichiers et processus avec une base de données de signatures de logiciels malveillants connus. Lorsqu'un fichier correspond à une signature connue, le logiciel le bloque ou le met en quarantaine. Cette approche est efficace contre les menaces connues mais limitée contre les nouvelles — un logiciel malveillant jamais vu auparavant ne correspond à aucune signature et ne sera pas détecté.
Les outils de détection et de réponse aux points d'accès (EDR) représentent une approche plus sophistiquée. Plutôt que de s'appuyer uniquement sur les signatures, l'EDR surveille en continu l'activité des appareils — quels processus sont exécutés, quels fichiers sont modifiés, quelles connexions réseau sont établies — et utilise l'analyse comportementale pour identifier les schémas suspects. Si un processus normalement associé à un éditeur de texte commence à se connecter à des serveurs externes ou à lire des fichiers d'identification, l'EDR peut signaler ce comportement même si le logiciel malveillant sous-jacent n'a pas de signature connue.
Le chiffrement des appareils protège les données stockées sur un appareil s'il est perdu ou volé physiquement. Le chiffrement intégral du disque signifie que le contenu du disque de stockage est chiffré ; sans les identifiants corrects pour déverrouiller l'appareil, les données brutes sur le disque sont illisibles. Les deux principaux systèmes d'exploitation grand public — Windows et macOS — incluent des outils de chiffrement de disque (BitLocker et FileVault, respectivement) qui peuvent être activés dans les paramètres.
Les logiciels de gestion des appareils mobiles (MDM) permettent aux organisations de gérer et d'appliquer des politiques de sécurité aux appareils de travail des employés — en imposant des exigences de verrouillage d'écran, en exigeant le chiffrement des disques, en effaçant à distance un appareil s'il est perdu et en contrôlant quelles applications peuvent être installées. Cela est particulièrement pertinent dans les environnements où les employés utilisent des appareils personnels pour le travail.
La sécurité de l'IoT est un défi important et non résolu. De nombreux appareils IoT — routeurs domestiques, caméras intelligentes, thermostats, capteurs industriels — fonctionnent avec des logiciels embarqués difficiles ou impossibles à mettre à jour, sont livrés avec des mots de passe par défaut que les utilisateurs ne changent jamais et manquent des ressources matérielles pour exécuter des logiciels de sécurité conventionnels. Ils représentent une surface d'attaque importante et souvent non sécurisée.
