Ce n’est pas une surprise, l’année écoulée a encore été riche en actualité concernant la cybercriminalité. Cette criminalité est d’ailleurs devenue un enjeu stratégique pour les états qui ne sont pas non plus à l’abri de cette menace. On se souvient notamment du piratage très médiatisé de l’Élysée [1]. 75% c’est le nombre d’entreprises piratées au cours des deux dernières années selon une étude du Cenzic[2]. Ce chiffre atteint même les 90% sur les statistiques des tests d’intrusion menés par ITrust chez nos clients.

Durant ces cinq dernières années, les consultants du pole «pentest» (audit intrusif) d’ITrust sont intervenus une centaine de fois pour réaliser des tests d’intrusions chez nos clients. Ces tests sont aussi bien réalisés en interne, en externe pour tester les services du client en DMZ ou encore sur de simples sites web. Voici la répartition des ces différents tests.

Cet article dresse le panorama des 10 vulnérabilités les plus rencontrées lors de nos audits accompagnés d’études de cas. C’est donc un retour d’expérience concret sur les 5 dernières années d’expérience des équipes techniques d’ITrust. Lors de nos audits ou des interventions sur incidents réalisées par ITrust, 99% des systèmes ont été compromis par au moins une de ces 10 failles.

10. Systèmes trop verbeux : le salon de thé du réseau
Cette vulnérabilité n’en est pas vraiment une en soi, mais elle est souvent l’étape initiale lors d’un test d’intrusion. Même si cette faille ne permet pas de compromettre directement un système, elle permet de récolter un tas d’informations utiles – notamment dans le cadre de la découverte de cibles intéressantes.

Dans la catégorie des grands bavards, on retrouve les deux principaux serveurs :

  • Serveurs DNS “Système de nom de domaine”
    Le DNS est un service utilitaire primordial pour le bon fonctionnement des services applicatifs comme la navigation ou la messagerie. Les portes sont souvent laissées grandes ouvertes sur l’ensemble du réseau.

Les attaquants font alors appel au transfert de zone pour lister l’ensemble des machines du domaine. Cette démarche permet de découvrir rapidement les cibles intéressantes – par responsabilité ou département (R&D, comptabilité)

  • Contrôleur de domaine trop verbeux
    Les domaines trop verbeux fournissent aux attaquants des informations cruciales pour organiser leurs attaques. Que ce soit au travers de connexions LDAP ou Samba, il est souvent possible d’obtenir des informations intéressantes comme le nom de domaine, la version du système d’exploitation (fingerprint) et encore plus intéressant la liste des utilisateurs du domaine.

De la même façon, il est possible d’obtenir au niveau de chaque machine, l’utilisateur connecté

9. Relations de confiance : propagation de la compromission
En environnement UNIX, les programmes de terminaux à distance (rlogin et rsh) utilisent un système d’authentification faible et permettent en plus de mettre en place des relations de confiance entre machines (par l’intermédiaire de fichier .rhosts ou hosts.equiv). Ainsi si l’une des machines est compromise, l’attaquant peut se connecter librement à l’ensemble des machines de confiance. Ces applications sont dans la plupart des cas interdites dans la politique de sécurité au profit d’outil plus sécurisée comme SSH. Mais là encore, l’expérience montre que des rebonds sont possibles à cause du manque de protection des clés privées. La clé publique associée est souvent utilisée sur un grand nombre de serveurs permettant à l’attaquant de s’y connecter.

En environnement Windows, il est possible de définir des relations de confiance entre domaines Active Directory. Dans ce cas, l’annuaire des utilisateurs est répliqué entre domaines de confiance. Un attaquant s’il arrive à obtenir un compte sur un domaine «plus faible» aura accès à tous les domaines avec compte.

8. Gestion des droits : besoin d’en connaitre
Le besoin d’en connaitre est une notion primordiale en sécurité pour s’assurer de la confidentialité des données. Bien souvent la gestion des droits sur les partages de fichiers présente des faiblesses : des restrictions d’accès trop laxistes, voire inexistants, permettent d’obtenir de nombreuses informations stratégiques et confidentielles.
Les employés sont le maillon faible dans la chaine de sécurité informatique. Ils représentent 50% des menaces en sécurité.

Étude de cas : le test du stagiaire.
Dans la plupart des structures Active Directory, les utilisateurs appartiennent à des groupes et les partages sont ouverts à certains groupes. Un stagiaire est ajouté au groupe de son (voire ses) maitre de stage.
Le test consiste à laisser le stagiaire voir ce qu’il peut obtenir comme information. L’expérience montre qu’à la suite de ce test, la personne aura au moins obtenu des informations confidentielles et dans la plupart des cas des informations sur les comptes utilisateur lui permettant de devenir administrateur d’un serveur.

7. Protocoles d’administration : le diable est dans les détails
Même dans les entreprises où la sécurité est prise en compte sur les postes utilisateurs et les serveurs, certaines catégories d’équipements passent quasiment tout le temps à la trappe. Que ce soit les éléments actifs du réseau comme les switchs ou les routeurs ou les imprimantes, la sécurité est souvent négligée. Ainsi les mots de passe d’administration par défaut sont rarement changés et s’ils le sont, il reste les protocoles d’administration activés par défaut sur ce genre d’équipement.

La présence de protocoles non sécurisés qui font transiter les mots de passe en clair constitue aussi une source très importante de vecteurs d’attaques : prenons par exemple : FTP, Telnet…

Étude de cas : SNMP sur un routeur d’agence
Le cas s’est présenté lors d’un de nos audits. Un routeur VPN d’une agence du client dispose du service SNMP activé et en écoute sur internet. La configuration par défaut permet de lire et surtout d’écrire les informations de la MIB. Le scénario mis en place a consisté à rediriger les requêtes DNS sur un de nos serveurs et étudier les statistiques des requêtes. Cette première étape concluante, le trafic intéressant est redirigé vers notre serveur et très rapidement l’accès au compte de messagerie ainsi que l’intégralité des messages transitant est recueillie par nos soins.

Étude de cas : Arrêt de la production
Le SNMP n’est pas le seul protocole d’administration ouvert. Prenons le cas d’un onduleur sur les chaines de production d’un client. Cet onduleur est en configuration «usine», il suffit donc de se connecter sur le serveur web d’administration avec les comptes par défaut pour avoir la possibilité d’éteindre tous les serveurs de production.

6. Base de données
Les bases de données sont une cible de choix, car elles renferment beaucoup d’informations utilisables. Lorsque les mots de passe par défaut sont changés, les administrateurs des bases de données administrant un grand nombre de serveurs utilisent souvent des mots de passe faibles qui sont fonction du nom du serveur.

Au-delà des informations confidentielles contenues, ces bases contiennent des listes d’utilisateurs dont il est facile d’obtenir les mots de passe par cassage. Ces comptes peuvent alors être réutilisés pour continuer l’attaque sur le réseau.

Étude de cas : L’ERP une cible parfaite.
Dans ce cas, la société autorisait les commerciaux à avoir une instance de l’ERP sur leur poste pour pouvoir l’utiliser en clientèle. Le service de base de données écoutant sur le réseau, il ne fallut que peu de temps pour trouver le mot de passe évident et obtenir la liste des clients de la société et les propositions associées – un vrai trésor très profitable à la revente pour un attaquant.

5. Partage de fichiers
De nombreux systèmes peuvent avoir des partages de fichiers. Ces partages peuvent être gérés via différents protocoles (FTP, NFS, SMB,…). Les restrictions sur ces partages sont en général trop faibles, voire inexistantes. Que ce soient les accès anonymes autorisés sur un FTP ou la restriction d’accès au réseau d’entreprise pour les partages SMB ou NFS, un attaquant a la possibilité d’obtenir énormément d’informations confidentielles. Le pouvoir de nuisance est extrêmement important lorsqu’un attaquant décide d’utiliser la technique de la terre brulée et de supprimer tous les fichiers présents (sauvegarde, données financières…).

Étude de cas : L’imprimante de la direction
Sur les toutes les imprimantes récentes, des partages sont activés par défaut pour pouvoir récupérer les scans ou les fax reçus. Dans le cas présent, l’imprimante stockait tous les documents – ainsi il a été possible de retrouver l’ensemble de photocopies, scans et fax de la direction.
Des chercheurs de l’Université Columbia affirment qu’ils ont découvert une nouvelle classe de failles de sécurité informatique qui pourrait avoir un impact sur des millions d’entreprises, les consommateurs, et même des organismes gouvernementaux. Les imprimantes peuvent être contrôlées à distance par des criminels informatiques sur Internet.

4. Serveurs à l’abandon
Un constat qui est fait lors de nos audits est qu’il n’y a presque jamais d’inventaire matériel ou logiciel réalisé au sein des systèmes d’informations. Lors d’un audit, la découverte de serveurs de tests ou de serveurs à l’abandon, non maintenus et largement vulnérables surprend les administrateurs qui n’avaient même pas connaissance de ces éléments sur le réseau. Ces serveurs sont facilement exploitables et peuvent toujours contenir des informations valides. De plus ils servent de rebond pour attaquer des cibles plus intéressantes.

3. Vulnérabilités Web
Cette catégorie pourrait faire l’objet d’un article à part entière tant le sujet est vaste. Les vulnérabilités web ne représentant pas – dans notre cas – la majorité des vulnérabilités rencontrées de par le profil de notre échantillon. Cependant, très souvent lors d’audit de site web, il est possible d’exploiter des vulnérabilités applicatives.

Si on confronte le top 10 des vulnérabilités web fourni par l’OWASP [3] à notre retour d’expérience terrain, voici ce que l’on peut en dire : Les vulnérabilités que nous rencontrons sont réparties en deux catégories :

Phase 1 : les points d’entrées
Ces vulnérabilités permettent d’avoir un premier accès au système et obtenir des informations. Par ordre de fréquence, on retrouve :

• Les systèmes pas à jour
Cette catégorie de vulnérabilité fait l’objet d’un paragraphe entier du top 10
• Les injections SQL
• Les attaques XSS
• La gestion des sessions

Étude de cas : Vol de session / vidéosurveillance
Une société de sécurité propose à ses clients un système de vidéo surveillance de leurs locaux accessible par internet. Les cookies de sessions ne sont pas protégés et le rejeu est possible. Ainsi, tout utilisateur peut deviner le format des cookies et accéder aléatoirement à la vidéosurveillance d’un autre client. Le problème aurait pu se limiter à la divulgation entre clients si les mots de passe pour se connecter n’avaient pas été aussi faibles. Le système de sécurité se transforme avec peu de ressources en un moyen efficace pour organiser un cambriolage.

Phase 2 : exploitation
Cette catégorie de vulnérabilités permet dans un deuxième temps d’exploiter les informations recueillies dans la première phase. Dans cette catégorie, on retrouve :

• L’exposition de données sensibles
• L’absence de configuration sécurisée
• Le manque de restriction de privilèges.

Une fois que l’on a identifié une vulnérabilité exploitable sur le site, si les privilèges ne sont pas gérés correctement, il est souvent possible de prendre la main sur le serveur et d’obtenir tous les droits. Suivant le potentiel de nuisance de l’attaquant, l’exploitation peut aller du défacage de site, à la perte d’informations (potentiellement sensibles comme des données bancaires), à la constitution d’un zombie voire à la suppression de l’ensemble des données.

Étude de cas : Fonctions PHP non protégées
Les sites web offrant la possibilité d’uploader du contenu (comme des images par exemple) utilisent les fonctionnalités d’upload de PHP. Si des contrôles stricts de ces fonctionnalités ne sont pas mis en place, il est possible d’uploader un web shell et d’obtenir des informations comme les condensés des mots de passe. Ainsi par rebond, il est possible de prendre la main sur le serveur en backoffice.

2. Mot de passe
Chez 96% des clients audités, un mot de passe par défaut ou trivial permet d’accéder à des ressources confidentielles. Un simple stagiaire y arriverait. C’est un sujet pour lequel les utilisateurs sont le plus sensibilisés en entreprise, il reste pourtant l’un des vecteurs d’attaques les plus utilisés et surtout le plus simple à exploiter.

Retour d’expérience : le top 3 des mots de passe les plus faibles rencontrés
– Le compte n’a pas de mot de passe
– Le mot de passe est le même que le login
– Le mot de passe est le mot de passe générique de création de comptes
Et n’oublions pas le mot de passe et le prénom de l’utilisateur, de ses enfants, un simple mot du dictionnaire….

Ce qui devrait être le problème le plus anecdotique et paradoxalement le plus facile et le plus automatisé à exploiter. Les vulnérabilités historiques sont connues et des correctifs sont fournis par les éditeurs dès qu’elles sont publiées. Il suffit de mettre à jour les systèmes pour s’en prémunir. Cependant, ces vulnérabilités sont le plus grand vecteur d’attaques et d’infections des systèmes d’informations. Les dernières grandes actualités concernant des compromissions d’entreprises concernent des systèmes qui ne sont pas mis à jour depuis des années.

On se souvient du piratage du PlayStation network de Sony. Ce piratage a été permis grâce à une vulnérabilité sur les serveurs web connue et corrigée plusieurs mois avant.

Étude de cas : Le serveur BlackBerry
Pour illustrer ce problème, nous revenons sur le cas d’un serveur Windows avec le mot de passe de l’administrateur de la base de données laissé par défaut. Cet accès nous permet de créer un utilisateur sur le système et de voir que le serveur BlackBerry ne supprime pas les fichiers temporaires. Des informations très confidentielles sont obtenues par ce biais.

Conclusion
Plus de 9 fois sur 10 nous pénétrons sur un système d’information au cours d’un audit. Et ce à partir d’une faille de sécurité triviale (issue du Top10); depuis une simple connexion internet la plupart du temps. Si nous y arrivons, des pirates, personnes malveillantes ou virus y arrivent aussi.

Alors on fait quoi ?

Souvent nous rencontrons des clients qui empilent des outils de sécurité comme les couches d’un millefeuille alors qu’en supprimant ces 10 failles essentielles, le niveau de sécurité augmenterait exponentiellement. C’est pourquoi il est nécessaire de mettre en place des contrôles permanents pour vérifier ces points. Un rapport de Verizon montrait cette année que 97% des violations de données auraient pu être évités par de simples contrôles [4].

Notre métier est complexe. On y trouve beaucoup de normes et méthodes. Un peu comme en médecine, il y existe un nombre incalculable d’outils, de virus, de méthodes, d’écoles utilisant chacune leur propre protocole/procédure. C’est un métier jeune, une vingtaine d’années ;

Les nouvelles menaces, notamment les APT et le cloud laissent beaucoup de nos clients dans l’expectative. Peu d’entre eux comprennent pourquoi nous devons toujours 20 ans après continuer à améliorer les systèmes par de nouvelles méthodes et nouveaux outils. Ils constatent avec effarement et incrédulité que les antivirus et firewalls ne sont plus assez efficaces pour les protéger. Ils s’aperçoivent que nombre d’entre nous leur ont menti à leur promettant la fin de leurs problèmes avec de nouveaux outils.

Nous sommes à un tournant de notre métier. Les technologies d’attaque prennent le pas sur les technologies de protection. Le différentiel entre les hackers et ingénieurs se fait plus grand. Les systèmes sont extraordinairement vulnérables et rares sont les technologies efficaces.

Un peu, comme en médecine lors de l’apparition d’un virus. Les antibiotiques actuels se révèlent inefficaces. Alors en attendant le comblement de ce vide entre l’épée et le bouclier (avec une technologie d’Analyse comportementale par exemple), cycle immuable de la sécurité, nous avons souhaité expliquer depuis des années avec ITrust à nos clients, nos RSSI et nos RSSI, qu’il existe une autre voie complémentaire à la voie de la médecine classique. Une médecine alternative, mais complémentaire, fondée sur les meilleures pratiques et une bonne hygiène. Une sorte de “médecine chinoise” (attention sans routeur chinois « inside » 😉 qui prévient plutôt que guérir.

Alors même que la quasi-totalité des problèmes pourraient être évités simplement avec des contrôles très simples, davantage d’entreprises subissent des incidents graves liés à la cybersécurité tous les ans.
Savez-vous par exemple (mais vous devez le savoir) que la présence de mots de passe par défauts est de 98% dans les entreprises que nous auditons?

Vous n’êtes pas confrontés à des problèmes de sécurité ? C’est normal : 8 entreprises sur 10 qui subissent une intrusion ou attaque ne le savent pas

 

=========
Jean-Nicolas Piotrowski est fondateur et Président Directeur Général d’Itrust

 

 

 

___________________

[1] http://lexpansion.lexpress.fr/high-tech/cyberguerre-comment-les-americains-ontpirate-l-elysee_361225.html
[2] https://www.owasp.org/index.php/Top_10_2013-T10
[3] http://www.wired.com/images_blogs/threatlevel/2012/03/Verizon-Data-Breach-Report-2012.pdf