Les développeurs à la conquête de la sécurité : Série Partage & Apprentissage - Journalisation et surveillance insuffisantes

Au fil de nos articles, nous avons exploré de nombreuses vulnérabilités dangereuses et exploits malveillants utilisés par les pirates pour attaquer les réseaux et contourner les défenses. Ces menaces sont très variées, allant de l'exploitation de faiblesses dans les langages de programmation à l'injection de code via divers formats, en passant par le détournement de données en transit. Bien que la gamme de menaces soit vaste, un élément commun est souvent présent dans les applications des victimes lorsque ces attaques réussissent.

L'insuffisance de journalisation et de surveillance est l'une des conditions les plus dangereuses pouvant exister au sein de la structure défensive d'une application. Si cette vulnérabilité ou cette condition est présente, presque toutes les attaques avancées menées contre elle finiront par réussir. Une journalisation et une surveillance insuffisantes signifient que les attaques ou tentatives d'attaques ne sont découvertes qu'après un très long délai, voire jamais. Cela donne essentiellement aux attaquants le temps nécessaire pour trouver une vulnérabilité utile et l'exploiter.

Dans cet épisode, nous apprendrons :

• Comment les attaquants utilisent l'insuffisance de journalisation et de surveillance
• Pourquoi l'insuffisance de journalisation et de surveillance est dangereuse
• Techniques pour corriger cette vulnérabilité.

Comment les attaquants exploitent-ils une journalisation et une surveillance insuffisantes ?

Au début, les attaquants ne savent pas si un système est correctement surveillé ou si les fichiers journaux sont examinés à la recherche d'activités suspectes. Mais il leur est assez facile de le découvrir. Ils lancent parfois une attaque par force brute assez grossière, en interrogeant par exemple une base de données d'utilisateurs avec des mots de passe courants. Ils attendent ensuite quelques jours et tentent à nouveau le même type d'attaque. S'ils ne sont pas bloqués lors de la deuxième tentative, c'est une bonne indication que personne ne surveille attentivement les fichiers journaux pour détecter toute activité suspecte.

Bien qu'il soit relativement simple de tester les défenses d'une application et d'évaluer le niveau de surveillance active, ce n'est pas une condition nécessaire au succès des attaques. Ils peuvent simplement lancer leurs attaques de manière à faire le moins de bruit possible. Le plus souvent, la combinaison d'un trop grand nombre d'alertes, de la fatigue liée aux alertes, de mauvaises configurations de sécurité ou simplement d'une pléthore de vulnérabilités exploitables signifie qu'ils auront tout le temps nécessaire pour atteindre leurs objectifs avant même que les défenseurs ne se rendent compte de leur présence.

Pourquoi l'insuffisance de journalisation et de surveillance est-elle dangereuse ?

L'insuffisance de journalisation et de surveillance est dangereuse car elle donne aux attaquants le temps non seulement de lancer leurs attaques, mais aussi d'atteindre leurs objectifs bien avant que les défenseurs ne puissent réagir. Le délai dépend du réseau attaqué, mais différents groupes comme l'Open Web Application Security Project (OWASP) estiment le temps de réponse moyen pour les réseaux compromis à 191 jours ou plus.

Réfléchissez-y un instant. Que se passerait-il si des braqueurs attaquaient une banque, que les gens appelaient la police, et qu'il leur fallait six mois pour intervenir ?

Les braqueurs seraient partis depuis longtemps à l'arrivée de la police. En fait, cette même banque pourrait être braquée bien d'autres fois avant que la police ne réagisse au premier incident.

Il en va de même en cybersécurité. La plupart des violations très médiatisées dont vous entendez parler aux informations ne sont pas des opérations de type « smash and grab ». Souvent, l'organisation ciblée n'apprend l'existence d'une violation qu'après que les attaquants ont eu plus ou moins le contrôle total des données pendant des mois, voire des années. Cela fait de l'insuffisance de journalisation et de surveillance l'une des situations les plus dangereuses pour quiconque cherche à pratiquer une bonne cybersécurité.

Éliminer l'insuffisance de journalisation et de surveillance

La prévention de l'insuffisance de journalisation et de surveillance nécessite deux éléments principaux. Premièrement, toutes les applications doivent être créées avec la capacité de surveiller et de journaliser les échecs de validation des entrées côté serveur, avec suffisamment de contexte utilisateur pour permettre aux équipes de sécurité d'identifier les outils et techniques, voire les comptes utilisateurs, utilisés par les attaquants. Sinon, ces entrées doivent être formatées dans un langage comme STIX (Structured Threat Information eXpression), qui peut être rapidement traité par les outils de sécurité pour générer des alertes appropriées.

Deuxièmement, il ne suffit pas de générer de bonnes alertes, même si c'est un début. Les organisations doivent également définir des rôles et des responsabilités afin que ces alertes fassent l'objet d'une enquête en temps opportun. De nombreuses violations réussies ont en fait déclenché des alertes sur les réseaux attaqués, mais ces avertissements n'ont pas été pris en compte en raison de problèmes de responsabilité. Personne ne savait à qui incombait la tâche de réagir, ou chacun supposait que quelqu'un d'autre s'occupait du problème.

Un bon point de départ pour attribuer les responsabilités consiste à adopter un plan de réponse et de récupération aux incidents, comme celui recommandé par le National Institute of Standards and Technology (NIST) dans la publication spéciale 800-61. Il existe d'autres documents de référence, y compris certains spécifiques à divers secteurs, et ils n'ont pas besoin d'être suivis à la lettre. Mais il est essentiel d'élaborer un plan définissant qui, au sein d'une organisation, répond aux alertes et comment cette personne s'y prend pour le faire en temps opportun.

Plus d'informations sur l'insuffisance de journalisation et de surveillance

Pour aller plus loin, vous pouvez consulter ce que l'OWASP dit sur l'insuffisance de journalisation et de surveillance. Vous pouvez également mettre vos nouvelles connaissances en matière de défense à l'épreuve avec la démo gratuite de la plateforme Secure Code Warrior, qui forme les équipes de cybersécurité à devenir les meilleurs cyber-guerriers. Pour en savoir plus sur la façon de vaincre cette vulnérabilité et une galerie d'autres menaces, visitez le blog de Secure Code Warrior.

Prêt à détecter, corriger et éliminer les lacunes en matière de journalisation et de surveillance dès maintenant ? Rendez-vous dans notre espace de formation : [Commencer ici]