"Nous avons pris de bonnes précautions et je pense que nous sommes bien protégés." Cette phrase souvent prononcée crée un faux sentiment de sécurité. Bien que de nombreuses entreprises aient investi dans la cybersécurité, elles ne découvrent qu’en cas d’urgence si la résilience en matière de sécurité tient réellement ses promesses dans tous les domaines. Les évaluations des vulnérabilités de la sécurité informatique et les tests d’intrusion sont plus importants que jamais.
Des études comme celle actuelle Rapport Sophos sur les menaces montrent que malgré tous les efforts, il existe encore trop de failles pour les cybercriminels. Près de 50 % de tous les cas de logiciels malveillants analysés ciblaient les petites et moyennes entreprises et 90 % de toutes les cyberattaques impliquent un vol de données ou d'identité. Les cybercriminels utilisent ensuite ces informations volées pour d'autres actions telles qu'un accès à distance non autorisé, l'extorsion ou l'installation de ransomwares. De plus, les appareils IoT non sécurisés constituent souvent une passerelle pour les cybercriminels.
Vulnérabilités non détectées dans l'infrastructure informatique
Le problème réside rarement dans les solutions de sécurité, mais plutôt dans les vulnérabilités non identifiées de l'infrastructure informatique qui ne peuvent être sécurisées sans une identification claire. Par conséquent, des évaluations régulières de vulnérabilité et des tests d’intrusion sont importants. Eux seuls fournissent des informations fiables sur l’état réel de la sécurité et de la cyber-résilience dans l’entreprise.
Les évaluations de vulnérabilité et les tests d’intrusion ont des objectifs différents. Selon le NIST, les évaluations de vulnérabilité fournissent une « description et une évaluation formelles des vulnérabilités d’un système d’information », tandis que les tests d’intrusion utilisent une méthodologie « dans laquelle les auditeurs, travaillant généralement sous certaines contraintes, tentent de contourner ou de surmonter les fonctionnalités de sécurité d’un système ». Seuls les résultats des deux mesures fournissent aux entreprises des informations sur les risques existants et permettent de tirer des conclusions sur les priorités à fixer lors de l'élimination de ces risques.
La fréquence des deux mesures dépend du comportement informatique de l'entreprise et des réglementations légales (par exemple, secteur des cartes de paiement). Les entreprises connaissant de faibles fluctuations technologiques (par exemple, changements de code, mises à niveau matérielles, changements de personnel, changements de topologie, etc.) ne peuvent pas se passer de tests, mais à une fréquence plus faible. Les organisations confrontées à des changements technologiques importants augmentent leur cyber-résilience grâce à des tests plus fréquents.
Étapes des évaluations de vulnérabilité et des tests d’intrusion
🔎 Commentaire de John Shier, Field CTO Commercial chez Sophos (Image : Sophos).
La réalisation d'évaluations de vulnérabilité et de tests d'intrusion implique 12 étapes clés : de la découverte à l'évaluation en passant par la correction et le rapport final :
- Définition du périmètre : Définissez clairement la portée, y compris les systèmes, réseaux et applications à tester ainsi que tout but ou objectif spécifique.
- Description : Collecte d'informations sur les systèmes, réseaux et applications cibles à l'aide de moyens passifs, tels que des informations accessibles au public et des techniques d'ingénierie sociale.
- Analyse des vulnérabilités : Utilisation d'outils automatisés pour vérifier les systèmes cibles pour les vulnérabilités connues, les mauvaises configurations et les vulnérabilités. Cela peut inclure des analyses internes et externes.
- Évaluation de la vulnérabilité : Analysez les résultats de l’analyse des vulnérabilités pour identifier et hiérarchiser les vulnérabilités en fonction de leur gravité, de leur impact et de leur probabilité d’exploitation.
- Tests manuels : Effectuer des tests manuels pour valider et vérifier les résultats des analyses automatisées et identifier les vulnérabilités supplémentaires non détectées par les outils automatisés.
- Tests de pénétration: Exploiter activement les vulnérabilités pour évaluer la situation de sécurité des systèmes, réseaux et applications cibles. Diverses techniques peuvent être utilisées, par ex. B. exploitation des réseaux, attaques contre les applications Web et ingénierie sociale.
- Post-exploitation : Une fois qu'un pied est établi dans l'environnement cible, une exploration plus approfondie est effectuée et les privilèges sont augmentés pour déterminer l'étendue des dommages potentiels qu'un véritable attaquant pourrait causer.
- Documentation: Collectez et compilez tous les résultats, y compris les vulnérabilités découvertes, les techniques d'exploitation utilisées et toutes les recommandations de correction ou d'atténuation.
- Rapport : Produire un rapport complet à l'intention des agents de sécurité et de la direction avec les résultats de l'évaluation, y compris un résumé, des détails techniques sur les vulnérabilités, des évaluations des risques et des recommandations de mesures correctives ou d'atténuation.
- Planification des mesures correctives : Établir des priorités et planifier des mesures correctives en fonction des résultats de l'évaluation ainsi que de la tolérance au risque et des priorités commerciales de l'organisation.
- Réévaluation : Effectuer des évaluations de suivi pour vérifier que les vulnérabilités ont été corrigées efficacement et pour garantir que la situation de sécurité des systèmes, des réseaux et des applications de l'entreprise s'est améliorée.
- Contrôle continu: Mettez en œuvre des processus de surveillance et de test réguliers pour identifier et corriger les nouvelles vulnérabilités de sécurité à mesure qu'elles surviennent.
À propos de Sophos Plus de 100 millions d'utilisateurs dans 150 pays font confiance à Sophos. Nous offrons la meilleure protection contre les menaces informatiques complexes et la perte de données. Nos solutions de sécurité complètes sont faciles à déployer, à utiliser et à gérer. Ils offrent le coût total de possession le plus bas du secteur. Sophos propose des solutions de chiffrement primées, des solutions de sécurité pour les terminaux, les réseaux, les appareils mobiles, la messagerie et le Web. Vous bénéficiez également de l'assistance des SophosLabs, notre réseau mondial de centres d'analyse propriétaires. Le siège social de Sophos se trouve à Boston, aux États-Unis, et à Oxford, au Royaume-Uni.