Détecter les cyberattaques les plus furtives

Comment détecter les cyberattaques furtives ?

Alors que les cybercriminels – individus, groupements ou Etatiques – utilisent une combinaison de techniques complexes pour échapper à la détection, les cyberattaques deviennent plus intelligentes et furtives. Les techniques traditionnelles de protection reposant sur des signatures statiques – tels que les anti-virus (AV) – ou l’ignorance des vecteurs d’attaques comme les fichiers compromis, ne sont plus adaptés pour faire face au paysage de menaces d’aujourd’hui. Alors comment les entreprises peuvent tenter de se protéger contre les variantes de logiciels malveillants ou des nouveaux exploits, en constante évolution ?

Le poste de travail – incluant une série d’équipements : ordinateurs portables, tablettes, smartphones, serveurs ou même imprimantes – demeure l’une des cibles de choix dans toute attaque.

Le poste de travail agit comme une passerelle pour les hackers dans leur intrusion au sein du réseau et une fois qu’un logiciel malveillant a été exécuté sur un poste de travail, les attaquants peuvent se déplacer librement. Ainsi, la détection et la protection doivent se produire sur les terminaux eux-mêmes. Ceci est d’autant plus important à l’ère du BYOD, car les utilisateurs peuvent facilement connecter leurs propres appareils au réseau de l’entreprise. Or, si les utilisateurs se connectent à un dispositif non autorisé ou infecté, le malware peut se déplacer librement au sein du réseau.

Evolution de la menace

Les techniques utilisées par les cybercriminels sont toujours en évolution pour garder une longueur d’avance sur les systèmes de protection et, comme la sophistication des logiciels malveillants se développe également, cela représente de nouveaux challenges pour les entreprises. Dans sa définition, un malware n’a pas changé. Ce qui est en train de changer, ce sont les techniques d’évasion utilisées par de nouvelles formes de logiciels malveillants dans le but de voler des données précieuses présentent sur les postes de travail. Les “binders” sont un excellent exemple : ce sont de petits outils logiciels qui fusionnent deux fichiers .exe différents dans un seul fichier. L’exécution d’un .exe démarre simultanément le second de manière invisible. Ces outils piègent leurs victimes avec l’ouverture d’un fichier connu et qui semble légitime à l’extérieur ; mais qui est en fait malveillant à l’intérieur.

Aujourd’hui, les logiciels malveillants peuvent être conçus pour être « sensibles au contexte » et ont la capacité de détecter s’ils évoluent dans un environnement sandbox physique ou virtualisé. Une fois que ce type de malware détecte un environnement anormal, il échappe activement à la détection en agissant de façon bénigne ou en “dormant” pendant une période de temps définie. À partir de là, le malware tente d’interpréter les mouvements et de déchiffrer, si les actions proviennent d’un être humain ou d’un scanner de code automatisé. Cela permet au malware de contourner facilement les défenses traditionnelles telles que les sandboxes réseau, jusqu’à son exécution.

Reprendre le contrôle

Les attaques étant devenues plus sophistiquées, la protection des postes de travail annonce probablement la fin des anti-virus. Ces derniers reposant effectivement sur une analyse statique qui repère l’empreinte d’un fichier, les attaquants peuvent rapidement adapter des fichiers pour créer quelque chose de complètement nouveau et inconnu ; et ces nouvelles variantes peuvent facilement contourner la solution AV. Il a ainsi été estimé que les anti-virus ne peuvent repérer qu’environ 45 % des cyberattaques – ce qui en fait une solution obsolète face aux défis de la cybersécurité d’aujourd’hui.

Dans ce contexte, une nouvelle génération de solutions de sécurité du poste de travail est en train d’émerger, telles que les techniques d’analyse comportementale, afin que les entreprises puissent profiter des avantages des approches innovantes. Cette nouvelle ère de la protection se concentre, en temps réel, sur une approche proactive de la sécurité du poste de travail, réalisée par l’apprentissage automatique (machine learning) et l’automatisation intelligente afin de détecter et de protéger efficacement tous les terminaux contre les attaques les plus perfectionnées. Cette nouvelle génération de protection des postes de travail part du principe qu’elle ne connait rien sur les logiciels malveillants, mais qu’elle observe leur comportement dans le but de repérer les activités considérées comme des anomalies, et mettre en place les étapes de défense pour les dévier complètement.

De plus, cette nouvelle génération de solutions a des capacités de remédiation pour inverser toutes les modifications apportées par les logiciels malveillants. Cela signifie que lorsque les fichiers sont modifiés ou supprimés, ou lorsque des modifications sont apportées aux paramètres de configuration ou aux fichiers systèmes, le logiciel a la capacité de restaurer un poste de travail, comme il était, avant l’exécution du malware.

Dans la lutte contre la nouvelle génération de cyberattaques, cette approche plus dynamique et robuste des postes de travail permet aux entreprises de prendre l’avantage face aux cybercriminels.