L’identité est le nouveau champ de bataille

Les cyberattaques menées par des acteurs des États-nations sont de plus en plus nombreuses. Malgré leurs vastes ressources, ces adversaires s'appuient souvent sur des tactiques simples pour voler des mots de passe faciles à deviner. Ils peuvent ainsi accéder rapidement et facilement aux comptes des clients. Dans le cas des attaques d'entreprises, l’infiltration du réseau d'une organisation permet aux acteurs étatiques de prendre pied et de se déplacer soit verticalement, en passant par des utilisateurs et des ressources similaires, soit horizontalement, en accédant à des informations d'identification et à des ressources plus précieuses.

Le harponnage (spear-phishing), les attaques de piratage psychologique et les pulvérisations de mots de passe à grande échelle sont des tactiques de base utilisées par les acteurs étatiques pour voler ou deviner les mots de passe. Microsoft comprends mieux les techniques utilisées par les attaquants et leurs succès en observant les tactiques et les techniques dans lesquelles ils investissent et qu'ils utilisent avec succès. Si les informations d'identification des utilisateurs sont mal gérées ou laissées vulnérables sans mesures de protection essentielles telles que l'authentification multifacteur (MFA) et les fonctions sans mot de passe, les États-nations continueront d'utiliser les mêmes tactiques simples.

On ne saurait trop insister sur la nécessité d'imposer l'adoption de la MFA ou de se passer de mot de passe, car la simplicité et le faible coût des attaques axées sur l'identité les rendent pratiques et efficaces pour les acteurs. Bien que la MFA ne soit pas le seul outil de gestion des identités et des accès que les organisations devraient utiliser, elle peut constituer un puissant moyen de dissuasion contre les attaques.

L'abus des informations d'identification est une pratique courante de NOBELIUM, un État-nation adversaire lié à la Russie. Cependant, d'autres adversaires, tels queDEV 0343, lié à l’Iran, utilisent également des pulvérisateurs de mots de passe. L'activité de DEV-0343 a été observée dans des entreprises de défense produisant des radars militaires, des technologies de drones, des systèmes satellitaires et des systèmes de communication d'urgence. D'autres activités ont ciblé les ports d'entrée régionaux du golfe Persique et plusieurs sociétés de transport maritime et de fret dont les activités se concentrent sur le Moyen-Orient.

Activer l’authentification multifacteur : Ce faisant, elles réduisent le risque que les mots de passe tombent entre de mauvaises mains. Mieux encore, éliminez complètement les mots de passe en utilisant la MFA sans mot de passe.

Auditer les privilèges des comptes : Les comptes à accès privilégié, s'ils sont détournés, deviennent une arme puissante que les attaquants peuvent utiliser pour obtenir un accès plus large aux réseaux et aux ressources. Les équipes de sécurité doivent vérifier fréquemment les privilèges d'accès, en appliquant le principe du privilège minimum accordé pour permettre aux employés de faire leur travail.

Examiner, renforcer et surveiller tous les comptes d'administrateurs locataires : Les équipes de sécurité doivent examiner minutieusement tous les utilisateurs administrateurs clients ou les comptes liés à des privilèges administratifs délégués afin de vérifier l'authenticité des utilisateurs et des activités. Elles doivent ensuite désactiver ou supprimer tous les privilèges administratifs délégués non utilisés.

Établir et appliquer une base de référence de sécurité pour réduire les risques : Les États-nations jouent sur le long terme et disposent des fonds, de la volonté et de l'envergure nécessaires pour développer de nouvelles stratégies et techniques d'attaque. Chaque initiative de renforcement du réseau retardée en raison de la bande passante ou de la bureaucratie joue en leur faveur. Les équipes de sécurité devraient donner la priorité à la mise en œuvre de pratiques de confiance zéro telles que la MFA et des mises à niveau sans mot de passe . Ils peuvent commencer par les comptes privilégiés afin d'obtenir rapidement une protection, puis s'étendre de manière progressive et continue.

L'idée dominante semble être qu'il existe un nombre massif de nouvelles menaces de rançongiciels qui dépassent les capacités des défenseurs. Cependant, l'analyse de Microsoft montre que cette affirmation est erronée. On a également l'impression que certains groupes de rançongiciels constituent une entité monolithique unique, ce qui est également faux. Ce qui existe, c'est une économie cybercriminelle dans laquelle les différents acteurs des chaînes d'attaque banalisées font des choix délibérés. Ils sont guidés par un modèle économique visant à maximiser les profits en fonction de la manière dont chacun exploite les informations auxquelles il a accès. Le graphique ci-dessous montre comment différents groupes profitent de diverses stratégies de cyberattaque et d'informations provenant de violations de données.

Comprendre que les rançongiciels se nourrissent d'informations d'identification par défaut ou compromises : Par conséquent, les équipes de sécurité devraient accélérer les mesures de protection telles que la mise en œuvre de la MFA sans mot de passe pour tous les comptes d'utilisateur et la priorisation des rôles de direction, d'administrateur et autres rôles privilégiés.

Identifier comment repérer les anomalies révélatrices à temps pour agir : Les connexions précoces, les mouvements de fichiers et autres comportements qui introduisent les rançongiciels peuvent sembler anodins. Néanmoins, les équipes doivent surveiller les anomalies et agir rapidement.

Disposer d'un plan de réponse aux rançongiciels et effectuer des exercices de récupération : Nous vivons à l'ère de la synchronisation et du partage dans le nuage, mais les copies de données sont différentes des systèmes informatiques et des bases de données entières. Les équipes doivent visualiser et pratiquer ce à quoi ressemblent les restaurations complètes.

Gérer les alertes et prendre rapidement des mesures d'atténuation : Bien que tout le monde craigne les attaques de rançongiciel, les équipes de sécurité devraient avant tout s'attacher à renforcer les configurations de sécurité faibles qui permettent à l'attaque de réussir. Elles doivent gérer les configurations de sécurité de manière à ce que les alertes et les détections fassent l'objet d'une réponse appropriée.

Menaces sur les points de terminaison :
Microsoft Defender pour point de terminaison a bloqué plus de 9,6 milliards de menaces de logiciels malveillants ciblant les appareils des entreprises et des particuliers, entre janvier et décembre 2021.

Menaces par courriel :
Microsoft Defender pour Office 365 a bloqué plus de 35,7 milliards de courriels de hameçonnage et autres courriels malveillants ciblant les entreprises et les particuliers, entre janvier et décembre 2021.

Menaces liées à l’identité :
Microsoft (Azure Active Directory) a détecté et bloqué plus de 25,6 milliards de tentatives de détournement de comptes clients d'entreprises par forçage brutal de mots de passe volés, entre janvier et décembre 2021.