Hébergement et services TI gérés en Logiciels Libres
Articles Trucs et astuces

Attaques informatiques : êtes-vous une cible potentielle ?

Ransomwares, DDoS, malwares… Leur noms sont aussi sexy que leur malveillance est réelle. Dans un monde acquis à la virtualisation

des données et à la numérisation globale, la sécurité informatique semble être le rabat-joie qui ne cesse de gangrener l’enthousiasme général.

Face aux multiples épisodes venus rappeler l’enjeu de la protection des infrastructures Web, deux questions s’imposent : êtes-vous une cible potentielle ? Êtes-vous paré(e)s à contre-attaquer ?

Voici notre plan en 4 points.

Étape n°1 : détecter si vous êtes une cible potentielle

On peut distinguer deux types d’attaque : celles ciblées et celles lancées à l’aveugle. Si les attaques ciblées concernent évidemment davantage les entités opérant dans certains secteurs ou d’une taille importante, la difficulté réside dans la multiplication des attaques à l’aveugle.

Vous n’êtes pas forcément une cible privilégiée mais vous pouvez être victime d’une attaque sans cible précise. Par exemple, par l’intermédiaire d’automates qui tentent d’exploiter au hasard des vulnérabilités sur les centaines de millions d’ordinateurs connectés à Internet.

Vous pouvez aussi être victime d’un dommage collatéral : pour préparer une attaque de grande ampleur, les attaquants piratent de nombreux équipements à l’aveugle (serveurs non mis à jour, ordinateurs vulnérables, et plus récemment des objets connectés souvent mal protégés), afin d’avoir une armée de zombies informatiques prête à être lancée à tout moment.

C’est une course contre-la-montre permanente et la facilité d’accès aux outils de sécurité informatique évolue plus rapidement que le déploiement des protections appropriées. En bref, n’importe quelle entité, petite ou grande, peut ainsi être une cible potentielle.

Étape n°2 : choisir les Logiciels Libres pour se sécuriser

Dans ce contexte, les Logiciels Libres se retrouvent particulièrement sous les feux des projecteurs. L’année 2016 a vu en effet nombre de sociétés, villes et États se lancer dans des projets Open Source. Quelle mouche a-t-elle piqué tous ces Microsoft, Google, Facebook, Goldman Sachs, la ville de Boston, le gouvernement américain, l’UE, ou encore la Russie, qui font le choix de partager des parts entières de leur code source ?

Il peut sembler logique de faire rimer sécurité avec secret, néanmoins l’utilisation de Logiciels Libres propose une nouvelle vision : un code source pouvant être lu, testé et corrigé par tous est un plus grand gage de fiabilité qu’un code source fermé connu uniquement d’un éditeur.

Folie, pensez-vous ?

Les failles et bugs font partie intégrante du développement des programmes informatiques, qu’il s’agisse de technologies libres ou propriétaires. Des failles sont ainsi trouvées régulièrement dans les logiciels propriétaires, comme la faille de sécurité Miscrosoft dévoilée il y a quelques semaines.

En rendant le code auditable par toute une communauté de bénévoles, de passionnés mais aussi d’experts en sécurité et de développeurs professionnels du monde entier, les Logiciels Libres sont souvent plus efficaces que les équipes de sécurité d’un éditeur propriétaire, même de taille conséquente !

Évidemment, tous les Logiciels Libres ne jouissent pas du même nombre de contributeurs, et il est essentiel de les sélectionner avec soin. Le recours à ces technologies demeure toutefois le choix qu’ont fait de grandes entreprises, comme Facebook, Twitter, Google, Airbnb, etc.

Étape n°3 : comprendre le fonctionnement de vos technologies critiques

Parce qu’une grande partie du Web et de ses services est basée sur des solutions libres, certains choix, comme Apache en tant que serveur web ou MySQL, le serveur de bases de données, semblent naturels. Il reste néanmoins essentiel de comprendre comment sont gérés les développements de ces logiciels.

La plupart des Logiciels Libres répandus sont intégrés dans des distributions Linux, la sécurité repose donc sur la bonne intégration des corrections de sécurité par les responsables sécurité de la distribution.

Les distributions Linux les plus répandues, comme Red Hat ou Debian, ont des équipes dédiées en charge de ces sujets, et intègrent en permanence des corrections venant des éditeurs. Parfois les corrections sont même préparées quelques jours avant leur sortie grâce au principe d’embargo, ce qui laisse du temps à tous les acteurs majeurs pour se préparer avant la sortie de faille de sécurité.

Certains Logiciels Libres assez récents sortent des nouvelles versions à des fréquences élevées (jusqu’à plusieurs fois par semaine pour le logiciel Gitlab), il est donc difficile pour les distributions Linux de les intégrer. Vous devrez donc directement les installer via l’éditeur, et les maintenir indépendamment de votre distribution Linux… si vous ne faites pas cela, vous pouvez vous retrouver rapidement avec une version vulnérable !

Étape n°4 : bâtir sa stratégie en cas d’attaque

La cybersécurité est avant tout une prise de conscience de la nécessité de se préparer aux risques. Dîtes-le vous : le risque zéro n’existe pas. C’est pourquoi vous devez non seulement faire les bons choix technologiques, mais également vous préparer à réagir en cas de problème.

Votre attention doit être portée sur les moyens pouvant être mobilisés en cas d’attaque ou de panne, et sur l’organisation de votre infrastructure, pour limiter les conséquences d’une attaque (cloisonnement applicatif, sauvegardes, plan de reprise, etc.)

Voici notre explication en image des mesures de base
pour protéger votre système d’information bâti autour des Logiciels Libres :

Infographie : 6 étapes vers la cybersécurité

 

Bonne préparation !

Partager sur Facebook
Partager sur Twitter
Partager sur Linkedin
Partager sur Pinterest