En 2017, Equifax, l'une des plus grandes agences d'évaluation du crédit au monde, a subi une cyber-violation d'un impact et d'une ampleur sans précédent. Plus de 145 millions d'enregistrements d'informations personnelles identifiables ont été volés par des cybercriminels. En raison de la nature de cette violation, le PDG d'Equifax a démissionné, une enquête du Congrès a été ouverte, l'action d'Equifax a été touchée et un recours collectif de 50 États a été déposé.
La Brèche
Le 2 mars 2017 , une vulnérabilité de l' application web Apache Tomcat Struts 2 a été découverte par un chercheur en sécurité et identifiée sous la référence CVE-2017-5638. Cette application était utilisée par Equifax pour permettre aux consommateurs de signaler des anomalies dans leurs rapports de solvabilité. Quelques jours après la découverte de la vulnérabilité, un correctif logiciel a été mis à disposition le 7 mars 2017 et rendu public. Moins de 24 heures après sa publication, un article de blog expliquait comment exploiter cette vulnérabilité pour obtenir un accès à distance aux ordinateurs exécutant le logiciel non corrigé. Le 10 mars 2017 , l'exploit a été diffusé sous forme d'extension pour Metasploit, un outil d'exploitation open source très répandu. Des pirates informatiques ont alors commencé à utiliser cet outil pour rechercher sur Internet les serveurs vulnérables. Vers la mi-mai 2017, ils ont réussi à exploiter une faille et le serveur en question appartenait à Equifax. Un accès non autorisé a été obtenu et les pirates sont restés à l'intérieur du réseau d'Equifax, exfiltrant des données jusqu'à leur découverte le 29 juillet 2017.
Pourquoi la violation s'est-elle produite?
On pourrait penser qu'une organisation de la taille d'Equifax et chargée de protéger les données de 145 millions d'Américains, aurait pu détecter cette faille avant le vol de données, et encore moins être ignorante pendant 2.5 mois. Alors, qu'est-ce-qu'il s'est passé? Selon les rapports, Equifax a été mis au courant de la vulnérabilité, mais n'a pris aucune mesure pour corriger le serveur. Une fois que le serveur n'a pas été corrigé et que les pirates ont commencé à exploiter la vulnérabilité, des «alertes suspectes» se sont déclenchées, mais Equifax n'a pris aucune mesure. Pour paraphraser l'ancien PDG d'Equifax, ils reçoivent des milliers d'alertes chaque année et il est difficile de quantifier les plus importantes des moins importantes. Cela met clairement en évidence un problème d'outils de sécurité et un problème de personnes. Les outils que les organisations déploient aujourd'hui ont du mal à identifier les événements critiques des événements moins critiques et il y aura toujours une erreur humaine et pas assez de personnes pour répondre aux menaces.
Qu'est-ce qui aurait pu être fait?
Tout d'abord, l'erreur humaine aurait pu être évitée si Equifax avait pris en compte le bulletin de vulnérabilité CVE-2017-5638 et avait rapidement corrigé ses serveurs. Ensuite, les organisations doivent commencer à abandonner les outils obsolètes qui leur donnent un faux sentiment de sécurité au profit de solutions plus modernes, adaptées aux problèmes actuels. Des outils tels que les systèmes de détection d'intrusion (IDS) et les gestionnaires d'informations et d'événements de sécurité (SIEM)SIEMLes environnements sandbox pour logiciels malveillants fonctionnant indépendamment les uns des autres et déployés de manière non généralisée au sein de l'infrastructure ne feront qu'engendrer des alertes superflues, des angles morts et une capacité de détection limitée. Les systèmes de détection d'intrusion (IDS) sont principalement conçus pour la détection par signature, ce qui signifie qu'ils peuvent détecter les attaques connues. Ils sont cependant inadaptés à la détection des vulnérabilités zero-day, pour lesquelles aucune signature n'est disponible pour une nouvelle méthode d'attaque. SIEM Les outils sont devenus des dépotoirs pour les bûches, les bûches et encore des bûches. SIEM Les outils, bien qu'utiles, doivent être programmés pour exécuter des requêtes afin de trouver ce que l'on souhaite. Mais qu'en est-il des éléments malveillants inconnus que l'on cherche à identifier ?
Une méthode qui aurait pu être adoptée consiste à disposer d'un cadre de visibilité déployé de manière omniprésente dans toute l'infrastructure d'Equifax pour éliminer les angles morts, collecter plusieurs types de données d'infrastructure, puis exécuter des algorithmes d'apprentissage automatique en plus de l'ensemble de données pour repérer les anomalies. Ces nouveaux frameworks s'appellent Breach Detection Systems et sont construits autour de la technologie du Big Data et de l'intelligence artificielle.
MOT DE CLÔTURE
Ce que nous avons tous appris dans le secteur de la cybersécurité, c'est que les violations de données sont inévitables, que les réseaux sont en constante évolution, qu'il n'existera jamais de protection à 100 % et que chaque année, nous constatons une augmentation des cyberattaques. De ce fait, les organisations doivent constamment rechercher de nouvelles façons de protéger leurs données sensibles. Chez Stellar Cyber, nous pensons que les outils de détection de violations actuellement utilisés, tels que les IDS, les APT et… SIEM, se transformera et aura une apparence radicalement différente dans un avenir proche.
