Des acteurs étatiques peuvent cibler votre infrastructure : Vos correctifs sont-ils à la hauteur ?

Le 8 mars 2023 - L'équipe de relations publiques de TuxCare

L'infrastructure est au cœur de toute entreprise, qu'il s'agisse d'un pipeline de liquides, d'un centre de données ou du processus de développement que vous avez mis des années à mettre en place. Une organisation dont l'infrastructure est gravement endommagée peut mettre beaucoup de temps à s'en remettre - et, dans certains cas, ne jamais retrouver son état antérieur.

Pour les acteurs de la menace, cela fait de l'infrastructure l'une des cibles les plus importantes. En s'attaquant à l'infrastructure d'une entreprise, un acteur de la menace peut lui infliger des dommages importants (ou lui soutirer une énorme rançon). Les enjeux deviennent vraiment élevés lorsque l'acteur de la menace est un État-nation étranger.

Pourtant, les attaques contre les infrastructures s'appuient sur les mêmes vecteurs d'attaque que n'importe quelle autre atteinte à la cybersécurité, quel qu'en soit l'instigateur. Dans cet article, nous expliquons comment les acteurs étatiques s'en prennent fréquemment aux infrastructures des gouvernements et des entreprises, et pourquoi le maintien des correctifs sur les systèmes reste l'une de vos meilleures lignes de défense.

Qu'est-ce qu'une infrastructure et quels sont les risques ?

L'infrastructure est l'élément fondamental d'une organisation. L'infrastructure soutient les opérations et leur permet de fonctionner efficacement. Il peut s'agir de ressources physiques, telles que des équipements et des installations, ou de composantes organisationnelles, telles que des processus, des systèmes et des politiques.

Les organisations qui mettent en place une infrastructure solide rationalisent leurs opérations, augmentent leur efficacité et, en fin de compte, améliorent leurs résultats.

En revanche, si l'infrastructure d'une organisation est endommagée, cela peut entraîner toute une série de risques et de conséquences - notamment des temps d'arrêt, la perte ou le vol de données, des pertes financières, la non-conformité aux réglementations, une atteinte à la réputation, des perturbations opérationnelles et une détérioration du moral des employés.

Les acteurs de la menace savent qu'une attaque réussie peut avoir un impact significatif sur les opérations, la réputation et la situation financière de leur cible. Il est donc important que les organisations prennent des mesures pour prévenir le risque de dommages à l'infrastructure dus à une attaque de cybersécurité et qu'elles disposent d'un plan solide pour réagir rapidement et efficacement en cas de dommages.

Qui sont les acteurs étatiques et comment ciblent-ils les infrastructures ?

Dans le domaine de la cybersécurité, les acteurs de la menace étatique désignent des individus ou des groupes parrainés ou dirigés par un gouvernement ou une entité étatique pour mener des cyber-attaques contre d'autres nations, organisations ou individus.

Les acteurs étatiques de la menace peuvent être très compétents et disposer de ressources importantes, et leurs motivations peuvent être très diverses : espionnage, gains politiques ou économiques, perturbation d'infrastructures critiques ou sabotage. Les tactiques et techniques utilisées comprennent le phishing, les logiciels malveillants, les ransomwares, les attaques par déni de service (DoS) et les menaces persistantes avancées (APT).

Certains analystes considèrent les acteurs de la menace étatique comme le type de cybermenace le plus sophistiqué et le plus dangereux, car ils bénéficient du soutien d'un État-nation et peuvent avoir accès à des ressources, des renseignements et des compétences considérables.

Exemples d'attaques par des acteurs de la menace

Se défendre contre des cyberattaques commanditées par des États peut s'avérer difficile et nécessite un haut niveau de préparation en matière de cybersécurité, notamment des défenses robustes, des politiques de sécurité solides et des plans d'intervention efficaces en cas d'incident. Malheureusement, les choses ne se passent pas toujours bien.

Voici quelques exemples d'attaques réussies :

Attaque de SolarWinds: Fin 2020, on a découvert que des pirates parrainés par l'État russe avaient compromis la chaîne d'approvisionnement en logiciels de SolarWinds, une société informatique basée au Texas qui fournit des services au gouvernement américain et à d'autres organisations. Les pirates ont inséré une porte dérobée dans l'infrastructure de développement de logiciels de SolarWinds - qui a ensuite été distribuée à de nombreux clients de SolarWinds.
Attaque de Colonial Pipeline: En mai 2021, un groupe criminel russe connu sous le nom de DarkSide a piraté les systèmes informatiques de Colonial Pipeline, l'un des plus grands exploitants d'oléoducs aux États-Unis. Les pirates ont utilisé un ransomware pour crypter les données de l'entreprise. L'attaque a fortement perturbé les activités de l'entreprise et a entraîné des pénuries de carburant et des hausses de prix dans plusieurs États américains.
Attaque de la station d'épuration d'Oldsmar: En février 2021, un pirate informatique a accédé à distance aux systèmes informatiques d'une station d'épuration d'Oldsmar, en Floride. Le pirate a tenté d'augmenter les niveaux d'hydroxyde de sodium (soude) dans l'approvisionnement en eau jusqu'à des niveaux dangereux. L'attaque a été découverte et empêchée avant qu'il n'y ait des dégâts.
Violation des données de l'OPM: En 2015, des pirates informatiques chinois ont pénétré dans les systèmes informatiques de l'Office of Personnel Management (OPM), qui gère les habilitations de sécurité et les dossiers personnels des fonctionnaires fédéraux. La violation a exposé les informations personnelles sensibles de millions d'employés actuels et anciens du gouvernement, y compris les données relatives aux habilitations de sécurité.

Cela se produit également dans le monde entier, comme l'a montré l'attaque contre le réseau électrique ukrainien en 2015.. Un groupe de pirates informatiques liés au gouvernement russe a lancé une cyberattaque sur les systèmes informatiques du réseau électrique ukrainien, provoquant une panne d'électricité qui a touché plus de 200 000 personnes. Cette attaque est considérée comme le premier cas connu de cyberattaque provoquant une panne d'électricité.

Dans tous les cas, les attaquants ont réussi à infiltrer des infrastructures clés, tant physiques qu'électroniques.

Les vulnérabilités non corrigées restent une porte d'entrée essentielle

Les vulnérabilités connues restent l'un des moyens les plus courants par lesquels un acteur étatique peut s'introduire dans le réseau d'une victime, puis poursuivre et exécuter une attaque. On pourrait penser que la plupart des organisations appliquent correctement les correctifs, en sécurisant les systèmes par des correctifs cohérents, mais la réalité est différente.

Cette situation est due à un ensemble de facteurs. Certaines organisations n'accordent tout simplement pas la priorité aux correctifs par manque de sensibilisation. Cependant, dans la plupart des cas, le manque de cohérence dans l'application des correctifs est dû à la difficulté de gérer la charge de travail que cela implique.

Des milliers de nouvelles vulnérabilités apparaissent chaque année. Dans les grandes organisations, cela signifie un nombre incalculable de correctifs, qui doivent être effectués par une équipe restreinte. L'automatisation des correctifs peut aider, mais il reste le problème de la planification des temps d'arrêt. Souvent, la perturbation est tout simplement trop importante pour être gérée, et l'application des correctifs est souvent retardée pendant une longue période.

Résultat : il existe quelque part un système présentant une vulnérabilité béante qui n'a pas été corrigée, simplement parce que personne ne s'y est attelé, ce qui constitue l'occasion idéale pour un acteur étatique déterminé de trouver un moyen d'organiser une attaque contre une infrastructure.

Le live patching, une solution d'avenir

Les correctifs en direct apportent une solution simple à ce problème. Les équipes qui utilisent le live patching n'ont pas besoin de redémarrer les systèmes pour appliquer un correctif. Au lieu de cela, le live patching intègre le code sécurisé dans un service en cours d'exécution, sans interruption.

Ajoutez à cela l'automatisation intégrée qu'offre le live patching, et vous obtenez une solution qui fonctionne de manière transparente pour garantir une correction cohérente des vulnérabilités de sécurité connues. En retour, les acteurs de la menace étatique ont moins d'occasions d'organiser une attaque, ce qui signifie que votre infrastructure est plus sûre.

Avec TuxCare, vous pouvez appliquer des correctifs en direct à toute une série de services, y compris votre système d'exploitation Linux, vos bases de données et bien d'autres choses encore. Pour en savoir plus sur le fonctionnement du live patching de TuxCare cliquez simplement ici.