Il y a aujourd’hui plus de puissance de calcul dans un seul smartphone que ce qui était disponible au contrôle de mission lors de l'alunissage d'Apollo 11. C'est le genre de puissance de feu qui permet une énorme productivité en déplacement. Mais c'est également un aimant pour les acteurs malveillants qui cherchent à écouter les conversations et à se tourner vers les réseaux d'entreprise et les magasins de données dans le cloud. De telles attaques sophistiquées ne constituent peut-être pas une menace pour toutes les organisations, mais cela ne rassure guère celles qui sont dans la ligne de mire.
Heureusement, le National Cyber Security Centre (NCSC) du Royaume-Uni a conçu un nouveau modèle qui pourrait aider les défenseurs des réseaux à repousser leurs cyber-adversaires. En préparation depuis de nombreuses années, les solutions mobiles avancées (AMS) pourraient aider les organisations à haut risque à atténuer la menace de compromission grave des données et des systèmes.
Pourquoi les menaces sont devenues mobiles
Les menaces mobiles existent depuis longtemps. Mais ces dernières années, créateurs de logiciels espions commerciaux ont changé le paysage des risques grâce à leur recherche et à leur exploitation des vulnérabilités du jour zéro, en particulier sur les appareils iOS. Ils vendent au plus offrant, permettant souvent des cyberattaques sans contact capables de compromettre les appareils cibles sans aucune interaction de l'utilisateur. Leur clientèle est constituée de gouvernements autocratiques, leurs cibles comprenant souvent des dissidents, des journalistes et d'autres « fauteurs de troubles ». Mais de tels outils pourraient tout aussi bien être utilisés pour compromettre les dirigeants et autres cibles de premier plan.
Le défi, comme expliqué par NCSC L'architecte de sécurité « Chris P » est que la plupart des organisations n'investissent pas dans des appareils sur mesure et hautement sécurisés. Au lieu de cela, le personnel utilise des appareils grand public du commerce, complexes et puissants, mais susceptibles également de contenir des vulnérabilités.
Ceux-ci pourraient être attaqués non seulement pour surveiller les messages transitant par l'appareil ou la localisation de l'individu, mais également pour surveiller les infrastructures de base de l'entreprise telles que les serveurs de messagerie, prévient le NCSC. C'est un problème mis en évidence dans le nouveau ISMS.online Rapport sur l’état de la sécurité de l’information 2024, qui considère le BYOD comme un défi majeur pour les personnes interrogées au Royaume-Uni. Quelque 30 % l’ont cité cette année, contre 25 % en 2023.
Présentation d'AMS
C'est là qu'intervient le nouveau modèle de l'agence. AMS précise que :
⦁ Des appareils individuels peuvent parfois être compromis et certaines données seront perdues – c'est le prix de la productivité
⦁ Des flottes entières d'appareils doivent être protégées contre toute compromission
⦁ Toute compromission ne doit pas menacer les données en masse ni la sécurité des systèmes sensibles
⦁ Le risque systémique (du personnel utilisant des systèmes et des solutions de contournement moins sécurisés) devrait être réduit
En supposant que les États-nations et les groupes de cybercriminalité disposant de ressources suffisantes auront accès aux exploits du jour zéro et aux techniques sophistiquées d’ingénierie sociale, AMS se propose de suivre trois principes :
1) Les appareils mobiles ne sont pas fiables et les réseaux doivent être conçus de manière à ce que les appareils et les données soient protégés si un ou deux de ces appareils sont compromis.
2) Les réseaux et services centraux doivent être protégés par une « frontière solide » entre l’infrastructure mobile et le réseau central.
3) Les données sensibles en texte brut ne doivent jamais être regroupées dans l’infrastructure mobile. Cela inclut les données transitant entre les serveurs et stockées sur les serveurs
Une architecture en six points
Le modèle de risque repose sur six éléments architecturaux clés conçus pour détecter rapidement les compromissions et se redéployer rapidement pour récupérer :
Utiliser la gestion des appareils mobiles (MDM) pour gérer en toute sécurité les appareils et ajouter toutes les applications à la liste blanche. Utilisez toujours des passerelles d’isolation de navigateur distant pour accéder aux applications connectées à Internet. Les configurations de déploiement MDM peuvent être conçues avec une technologie inter-domaines pour protéger l'ensemble de la flotte.
Utiliser la meilleure technologie commerciale pour protéger les données sur les réseaux mondiaux.
Utilisez des terminateurs VPN de haute qualité ou éphémères pour réduire le risque d’attaque directe depuis Internet. Et des règles de surveillance pour réduire les risques DDoS et identifier les activités malveillantes.
Protéger la zone d'accès à distance – l'infrastructure entre Internet et les passerelles inter-domaines protégeant les systèmes centraux de l'entreprise. Assurez-vous que seuls quelques services, ou éléments de données utilisateur, persistent au fil des sessions, ce qui rend plus difficile le maintien de la persistance pour les attaquants et réduit les risques de vol de données en masse. Les couches de cryptographie à ce niveau contribuent également à réduire le risque de divulgation de données.
Protéger les réseaux et systèmes centraux via des solutions inter-domaines construites sur des passerelles inter-domaines basées sur le matériel (FPGA) pour inspecter toutes les données entrant dans les réseaux centraux. L’identité utilisateur basée sur la cryptographie à clé publique permet de se prémunir contre l’exfiltration de données au niveau de cette couche.
Un travail en cours
Le NCSC comprend qu’il n’y a pas deux organisations identiques. C'est pourquoi l'entreprise rédige actuellement des conseils sur les risques, afin que les équipes de sécurité individuelles comprennent les compromis qu'elles peuvent devoir faire en s'écartant de l'architecture. Selon Chris P, un service géré basé sur AMS est déjà disponible dans l'ensemble du gouvernement, et l'agence cherche à étendre les « modèles et la technologie » du modèle à d'autres secteurs des infrastructures nationales critiques.
Mayur Upadhyaya, PDG d'APIContext, accueille l'AMS comme une « feuille de route bien structurée » pour aider les organisations à haut risque à améliorer l'accès mobile aux données sensibles.
« Ses principaux atouts résident dans son modèle de menace réaliste, son architecture de sécurité à plusieurs niveaux et l'accent mis sur la surveillance continue et la réponse rapide », a-t-il déclaré à ISMS.online. "Les experts en sécurité apprécieront probablement ces aspects, en particulier l'accent mis sur la compromission et la segmentation du réseau."
Cependant, certaines organisations peuvent avoir du mal à mettre en œuvre l’AMS tel quel, ajoute-t-il.
« Le modèle s'appuie fortement sur des technologies avancées telles que la cryptographie de haute qualité sur les appareils grand public, qui peuvent ne pas être facilement disponibles. De plus, l’architecture complexe en couches avec une sécurité matérielle et une gestion sophistiquée des appareils mobiles pourrait être gourmande en ressources pour certaines organisations », affirme Upadhyaya.
« De plus, il est crucial de parvenir à un équilibre entre sécurité et convivialité. Des contrôles stricts pourraient nuire à l’expérience utilisateur et à l’agilité du flux de travail mobile. Et empêcher l’agrégation des données sur les réseaux mobiles pourrait limiter les fonctionnalités des applications mobiles basées sur les données.
Greg Day, RSSI mondial de Cybereason, ajoute que l'introduction par Apple du chargement latéral dans iOS suite aux pressions de l'UE entraînera probablement une augmentation des menaces mobiles. Cela rendra la gestion des risques encore plus importante pour les entreprises qui dépendent d'appareils portables pour leur productivité, dit-il.
« Même si les directives AMS soulignent l'importance du MDM, il est surprenant que la défense contre les menaces mobiles (MTD) ne soit pas également soulignée comme une exigence cruciale. MDM est efficace pour établir des contrôles de base, mais il ne parvient pas à détecter les menaces avancées telles que les appareils jailbreakés ou rootés », explique Day à ISMS.online.
« Contrairement au MDM, qui se concentre principalement sur le contrôle de l'accès aux magasins d'applications et sur la mise sur liste noire des applications, MTD évalue le risque de chaque application en fonction de ses fonctionnalités. De plus, MTD peut détecter les attaques de réseau et de phishing, offrant ainsi des capacités de filtrage d'URL plus avancées.
En fin de compte, il n’existe pas de solution miracle au défi de la sécurité des appareils mobiles. Cependant, l’éducation des utilisateurs et les stratégies de segmentation constituent un bon point de départ, affirme-t-il.
« Les organisations doivent donner la priorité à la visibilité et établir des couloirs de risque, en faisant la distinction entre les données à risque faible, moyen et élevé », conclut Day. "Il est crucial d'empêcher que les données à haut risque ne glissent dans des catégories à moindre risque."
