Se préparer à une attaque de la chaîne d’approvisionnement technologique

Il y a un an, l’attaque de SolarWinds a propulsé les attaques de la chaîne d’approvisionnement logicielle au premier plan de l’actualité. Désormais, de nouveaux incidents apparaissent chaque semaine. Pour aggraver les choses, les entreprises et les institutions gouvernementales repoussent les attaques des cybercriminels traditionnels et des États-nations qui disposent de budgets importants et de nombreuses ressources, ce qui rend leurs campagnes difficiles à arrêter.

Toute organisation peut être victime d’une attaque de la chaîne d’approvisionnement technologique, mais les fournisseurs de services gérés (MSP) en particulier offrent de grandes surfaces d’attaque qui en font des cibles de grande valeur pour les cybercriminels. En moyenne, un MSP peut gérer les opérations informatiques de 100 entreprises ; les criminels n’ont donc qu’à pirater un MSP pour avoir accès à ces 100 clients.

Les recherches suggèrent que 53 % des entreprises ressentent un faux sentiment de sécurité lorsqu’il s’agit d’attaques sur la chaîne d’approvisionnement, ce qui en fait une cible facile. Beaucoup ne comprennent pas vraiment la nature de ces menaces et considèrent l’utilisation de « logiciels connus et fiables » comme une forme de protection. Au premier semestre 2021, 292 organisations ont été victimes de telles attaques, touchant environ 5,5 millions de personnes.[1]

Acronis, la société de cyberprotection, a récemment organisé une table ronde lors de la conférence Microsoft Inspire au cours de laquelle quatre experts renommés en cybersécurité ont exploré les défis de la protection des environnements Microsoft 365. Un sujet portait sur les leçons que les utilisateurs de Microsoft – y compris les MSP et les petites et moyennes entreprises (PME) – devraient tirer de ces attaques avancées.

« Les attaques de la chaîne d’approvisionnement exploitent la relation de confiance qu’une entreprise entretient avec son fournisseur de logiciels », a déclaré Candid Wüest, vice-président de la recherche sur la cyberprotection chez Acronis, « si un cybercriminel investit suffisamment de temps et d’argent sur une cible donnée, n’importe quelle organisation peut être piratée. Heureusement, Microsoft utilise une approche de confiance zéro, qui a atténué les dommages causés par ces violations. Alors que Microsoft admet que des personnes non autorisées avaient un accès en lecture à leur code, personne n’avait un accès en écriture pour modifier leur code.

La confiance zéro signifie que vous ne faites jamais confiance à rien ni à personne à l’intérieur ou à l’extérieur du réseau par défaut. Il repose sur le principe du moindre privilège par seulement attribuer les droits nécessaires à un utilisateur pour faire son travail. Le logiciel vérifie chaque tentative d’accès.

« La première leçon à tirer de ces attaques est que chaque entreprise devrait mettre en œuvre une approche de confiance zéro », a déclaré Wüest. « Par exemple, les bibliothèques open source et les ensembles d’outils qu’une entreprise utilise peuvent être compromis. De plus, les criminels peuvent injecter du code dans les scripts Java de votre site Web. Une entreprise doit-elle surveiller ses sites Web pour s’assurer que ces scripts Java ne sont pas modifiés ? La réponse est oui, mais de nombreuses organisations ne le font pas.

« La deuxième leçon, » a-t-il poursuivi, « est d’être sûr que vous avez une visibilité sur l’attaque. Remarqueriez-vous même si vos données sont extraites ? Pour de nombreuses organisations, la réponse est non.

Keatron Evans, chercheur principal en sécurité, instructeur et auteur de l’Institut InfoSec, a ajouté : « Une autre leçon importante est que chaque entreprise doit s’assurer que son personnel informatique est formé sur la manière de réagir et de gérer correctement une violation. »

Evans a discuté d’un cas où un grand MSP a subi une violation de type chaîne d’approvisionnement. Leur code a été compromis, affectant des centaines de leurs clients. À la suite de la violation, le MSP conseillait ses clients sur la réponse aux incidents mais, malheureusement, ils donnaient de mauvaises instructions à leurs clients. Evans a déclaré: «Cela a exacerbé une situation déjà mauvaise. Les MSP doivent s’assurer qu’ils comprennent vraiment comment gérer un incident.

De nombreuses attaques de la chaîne d’approvisionnement ciblent des acteurs technologiques plus importants, mais les retombées de l’attaque peuvent compromettre à la fois les MSP et les PME. Souvent, l’entreprise ciblée dispose d’énormes budgets de sécurité et de processus avancés en place, mais les attaquants sont extrêmement sophistiqués.

« Avec de nombreuses attaques de la chaîne d’approvisionnement, le MSP et la PME moyens sont des spectateurs dans la rue dans un film de super-héros où Superman combat un méchant géant », a déclaré Scott Bekker, directeur éditorial de Redmond Channel Partner et Converge 360. « Tous les MSP/ SMB peut faire est d’essayer de ne pas se faire marcher dessus.

Pour s’assurer qu’ils ne se font pas marcher dessus lorsqu’une attaque de la chaîne d’approvisionnement se produit, les MSP et les PME doivent mettre en œuvre une approche de confiance zéro, mettre en place les bons systèmes et processus afin d’avoir une visibilité sur une attaque et former leur personnel informatique sur stratégies de réponse aux incidents.

Mettez-vous au courant de la confiance zéro. Pour plus d’informations, visitez acronis.com

[1] Idem.