Protection des postes de travail : le cloud introduit sa part de risque

L’analyse en mode cloud en temps réel

L’utilisation d’un service de renseignement sur les menaces commence lorsqu’un pare-feu, une solution de protection des points de terminaison, ou un système de détection d’intrusion détecte une tentative de connexion à une adresse IP ou à un domaine spécifique. Le système interroge une base de données en mode cloud pour collecter des informations de réputation sur la cible correspondante. Et si elle est connue comme utilisée dans le cadre d’activités malicieuses, ou en est au moins suspectée, la connexion peut être immédiatement interrompue.

L’étape suivante consiste à partager des informations sur des activités suspectes découvertes en interne avec l’éditeur, pour en faire profiter les clients de la même plateforme.

La dernière fonctionnalité appliquée dans le domaine est l’analyse d’échantillons suspects en bac à sable, en mode cloud. Un tel échantillon peut être "détoné" dans un système isolé, loin de l’environnement de production, voire analysé, si nécessaire, manuellement, par des spécialistes. Des décisions peuvent alors être prises sur la base du comportement du fichier étudié, et non pas seulement sur ses caractéristiques.

De tels services affichent un potentiel exceptionnel. Mais il convient d’être prudent, car ils peuvent introduire de nouveaux risques.

Des risques liés aux fournisseurs

N’importe qui suivant l’actualité de la sécurité informatique devrait être au courant des tensions entre Kaspersky et le gouvernement américain. Le risque de perméabilité entre l’éditeur et le renseignement russe pourrait exister techniquement, malgré les mesures de protection mises en place. Et cela vaut pour n’importe quel éditeur.

Les produits de protection du poste de travail disposent d’un accès à la portée importante sur les systèmes dont ils assurent la surveillance. Pour assurer une protection efficace, les agents locaux profitent d’un accès complet à l’ensemble du système de fichiers. Ils utilisent en outre des signatures régulièrement mises à jour, contrôlées par leurs éditeurs.

Cela ne va pas sans poser la question du risque d’exfiltration de données, en particulier compte tenu des fonctionnalités cloud. Suivant la configuration du produit, il est souvent possible que des fichiers répondant à des règles de filtrage soient transférés aux services cloud de l’éditeur. Cela répond à des besoins d’analyse, mais qui contrôle l’accès à ces échantillons et de quelle juridiction dépendent-ils ?

Le risque n’est peut-être là qu’hypothétique, mais il mérite d’être pris en compte.

La question des tiers

Certaines applications s’appuient sur les capacités de mise en bac à sable, ou sur les renseignements en rapport avec les menaces de tiers, tels que Virus Total. Ce dernier, actuellement opéré par Google, constitue une énorme base de données d’échantillons.

La quantité de données ici gérée n’a pas de véritable concurrence et constitue une mine d’or d’information sur les maliciels. Mais là encore, ce n’est pas sans comporter de risque.

L’un d’entre eux, bien documenté, est que les auteurs de maliciels utilisent ces platesformes d'analyse pour mesurer l'efficacité de leurs outils, savoir quelles cibles sont tombées dans leurs pièges, et évaluer la nécessité de modifier leurs fichiers et infrastructures.

Mais il faut aussi prendre en compte le risque que des fichiers anodins soient transférés à de telles plateformes et puissent inclure des données confidentielles jusqu’à des identifiants de connexion. Le téléversement manuel ou automatique de tels fichiers sur un forum public, et leur partage avec les nombreux partenaires de VirusTotal, pourrait représenter un risque important.

Lors du déploiement, de la mise à jour et de l'audit de produits de sécurité des terminaux adossés au cloud, il est essentiel de vérifier les fonctionnalités connectées et de vérifier qu’elles sont conformes à la stratégie de sécurité globale de l'entreprise.

Les fonctionnalités cloud peuvent considérablement améliorer les capacités de l'ensemble des produits de sécurité informatique. La cybersécurité est un environnement si dynamique et en évolution tellement rapide - et les logiciels malveillants ne manquent pas d’évoluer - qu'il faut de l'intelligence en temps réel. Cependant, il est essentiel de contrôler les risques associés afin que ces nouvelles fonctionnalités de sécurité ne soient pas, elles-mêmes, à l’origine de brèches.