Les correctifs et les applications web, principales menaces ICT

Les correctifs (‘patches’) et les applications web sont les principaux dangers ICT dans les entreprises. Voilà ce qu’indique l’organisation de sécurité renommée SANS Institute dans son premier rapport ‘Top cyber security risks’.

Les correctifs (‘patches’) et les applications web sont les principaux dangers ICT dans les entreprises. Voilà ce qu’indique l’organisation de sécurité renommée SANS Institute dans son premier rapport ‘Top cyber security risks’.

Sur la base du matériel de recherche en provenance des experts en sécurité Tipping Point et Qualys, le SANS Institute a publié la première édition de son rapport semestriel sur les attaques et les points vulnérables dans les entreprises. Il en ressort que si ces dernières consacrent suffisamment d’attention aux correctifs pour les systèmes d’exploitation, elles ne fournissent pas assez d’efforts pour mettre à jour les applications sur les systèmes clients (‘unpatched client-side software’).

Concrètement, il s’agit ici de logiciels tels Adobe PDF Reader, QuickTime, Adobe Flash, Microsoft Office et divers produits Java qui sont souvent diffusés de manière nettement plus large (et dans différentes versions) que ce dont les entreprises ont conscience ou savent. Ou bien celles-ci reculent devant la charge de travail que représente la mise à jour répétée de ces logiciels sur tous les clients. Néanmoins, les pirates semblent avoir depuis tout un temps déjà déplacé leurs efforts des systèmes d’exploitation vers les points faibles du ‘client side software’. Et le SANS Institute de mentionner la croissance des attaques dites de ‘spearphishing’, à savoir des attaque d’hameçonnage visant spécifiquement le personnel des moyennes et grandes entreprises ayant accès à des banques et/ou à des informations cruciales.

Une seconde grande catégorie de cyber-risques, ce sont les applications web vulnérables. Aujourd’hui encore, celles-ci sont trop sensibles à des attaques de type ‘sql injection’ et ‘cross-site scripting’. Qui plus est, certains développeurs utilisent des fonctionnalités, dont on sait qu’elles ont été abusées par des personnes mal intentionnées. Ce serait entre autres la raison pour laquelle le site web du New York Times a récemment propagé du malware (maliciel) via un système publicitaire.

Des résultats des recherches, il apparaît que les Etats-Unis sont encore et toujours la cible de la plupart des attaques, notamment parce qu’on peut y trouver la plupart des informations les plus lucratives. Le SANS Institute prévient du reste qu’on ne recherche pas que des informations financières (mots de passe bancaires, données de cartes de crédit, …), des renseignements personnels ou des données sur la propriété intellectuelle, mais aussi des informations sur des négociations, offres, projets d’entreprise,… en cours.

Le rapport peut être téléchargé sur http://www.sans.org/toprisks