Menace Persistante Avancée

Une des menaces les plus importantes pour les entreprises aujourd’hui est la menace persistante avancée (APT). Une APT est une attaque sophistiquée et ciblée conçue pour compromettre les données, les réseaux ou les systèmes d’une organisation. Les contenus sensibles et les canaux utilisés pour les partager avec des partenaires de confiance sont particulièrement vulnérables aux APT. Par conséquent, les protéger est essentiel pour assurer l’intégrité et le succès à long terme de l’entreprise. Cet article explore la nature des APT, les risques qu’ils posent pour les communications de contenus sensibles et les mesures que vous pouvez prendre pour protéger votre entreprise et les informations confidentielles que vous partagez avec des parties de confiance via e-mail, le partage de fichiers sécurisé, le transfert de fichiers géré (MFT) et le protocole de transfert de fichiers sécurisé (SFTP).

Qu’est-ce qu’une Menace Persistante Avancée (APT) ?

Une APT est une attaque ciblée conçue pour accéder au réseau, aux systèmes ou aux données d’une organisation. Les attaquants derrière les APT sont généralement bien financés et hautement qualifiés, utilisant diverses techniques pour échapper à la détection et rester indétectés pendant de longues périodes, pouvant durer des mois, voire des années. Ces attaques sont généralement très sophistiquées et impliquent souvent des tactiques d’ingénierie sociale telles que le spear phishing pour accéder au réseau d’une organisation. Une fois à l’intérieur, les attaquants se déplacent latéralement à travers l’écosystème de la victime, recherchant des données précieuses telles que la propriété intellectuelle et les informations d’identification personnelle et les informations de santé protégées (PII/PHI).

Pourquoi les Communications de Contenus Sensibles Sont-elles Vulnérables aux APT ?

Les APT sont conçues pour extraire des informations précieuses. Les canaux de communication sont une source principale de ces informations. Les e-mails, les documents et les fichiers, par exemple, sont particulièrement vulnérables aux APT. Ces attaques peuvent entraîner le vol de secrets commerciaux, de données financières, de contrats, de données clients et d’autres informations privées et confidentielles, qui peuvent être utilisées à des fins concurrentielles ou vendues sur le marché noir.

Comment Fonctionne une Attaque APT ?

Le processus d’une attaque APT comporte plusieurs étapes, qui sont expliquées en détail ci-dessous.

Phase de Reconnaissance (APT-1)

La première étape d’une attaque APT est la phase de reconnaissance, également connue sous le nom d’APT-1. À cette phase, l’attaquant recueille des informations sur l’organisation cible, notamment son architecture réseau, ses systèmes et ses protocoles de sécurité. L’attaquant peut utiliser diverses méthodes, notamment des techniques d’ingénierie sociale, des scans de réseau et de l’intelligence open source (OSINT), pour recueillir des informations essentielles sur une organisation, son écosystème, sa chaîne d’approvisionnement et ses collaborateurs.

Compromission Initiale (APT-2)

La deuxième étape d’une attaque APT est la compromission initiale, également connue sous le nom d’APT-2. À cette phase, l’attaquant accède au réseau ou au système de l’organisation cible. L’attaquant peut utiliser diverses méthodes, notamment le spear phishing, les téléchargements à la volée ou l’exploitation de vulnérabilités dans les logiciels ou les systèmes.

Établissement d’une Position (APT-3)

La troisième étape d’une attaque APT est l’établissement d’une position, également connue sous le nom d’APT-3. À cette phase, l’attaquant crée une présence persistante sur le réseau ou le système de l’organisation cible. L’attaquant peut utiliser diverses méthodes pour maintenir une position, notamment l’installation de portes dérobées ou la création de nouveaux comptes utilisateurs, tout en évitant d’être détecté.

Élévation des Privilèges (APT-4)

La quatrième étape d’une attaque APT est l’élévation des privilèges, en bref APT-4. À cette phase, l’attaquant obtient des privilèges élevés sur le réseau ou le système de l’organisation cible, lui permettant d’accéder à des données ou à des systèmes sensibles. L’attaquant peut utiliser diverses méthodes pour élever ses privilèges, notamment l’exploitation de vulnérabilités dans les logiciels ou les systèmes ou l’utilisation de données d’identification volées.

Reconnaissance Interne (APT-5)

La cinquième étape d’une attaque APT est la reconnaissance interne, également connue sous le nom d’APT-5. À cette phase, l’attaquant recueille davantage d’informations sur le réseau ou les systèmes de l’organisation cible. L’attaquant peut utiliser diverses méthodes pour effectuer une reconnaissance interne, notamment la recherche de vulnérabilités ou l’identification de cibles potentielles pour de futures attaques.

Mouvement Latéral (APT-6)

La sixième étape d’une attaque APT est le mouvement latéral, également connu sous le nom d’APT-6. À cette phase, l’attaquant se déplace latéralement à travers le réseau ou les systèmes de l’organisation cible, à la recherche de données sensibles ou de conceptions à accéder. L’attaquant peut utiliser diverses méthodes pour se déplacer latéralement, en exploitant des vulnérabilités ou en utilisant des données d’identification volées, tout en essayant de ne pas être détecté.

Maintenir une Présence (APT-7)

La septième étape d’une attaque APT est le maintien d’une présence, également connue sous le nom d’APT-7. À cette phase, l’attaquant maintient une présence persistante sur le réseau ou le système de l’organisation cible tout en cherchant à accéder aux données sensibles qui entrent, circulent et sortent de l’organisation. L’attaquant peut utiliser diverses méthodes pour maintenir sa présence, notamment l’installation de rootkits, de portes dérobées ou d’autres logiciels malveillants.

Finaliser la Mission (APT-8)

La dernière étape d’une attaque APT est la finalisation de la mission, également connue sous le nom d’APT-8. À cette phase, l’attaquant atteint son objectif principal, à savoir le vol de données sensibles. Les attaquants peuvent également tenter de couvrir leurs traces et d’effacer toutes les traces de l’attaque APT.

Différents Exemples d’Advanced Persistent Threats (APTs)

Les menaces persistantes avancées (APTs) varient en taille et en portée, chacune ayant des caractéristiques uniques et ciblant des industries spécifiques ou des objectifs particuliers. Voici quelques exemples concrets d’attaques APT :

Opération Aurora

Opération Aurora est attribuée à un groupe parrainé par l’État chinois connu sous le nom d’APT10. Cette APT a été découverte en 2009 et a ciblé Google et d’autres grandes entreprises technologiques. Les attaquants ont accédé aux réseaux des entreprises en exploitant une vulnérabilité dans le navigateur web de Microsoft, Internet Explorer.

Carbanak

Cette APT a ciblé des banques et des institutions financières du monde entier, volant des millions de dollars au fil des ans. Carbanak opérait en envoyant des courriels de spear-phishing aux employés des banques, permettant ainsi aux attaquants d’accéder au réseau de la cible. L’APT a été découverte en 2014, et les attaquants sont présumés être basés en Russie.

Groupe Lazarus

Cette APT est connue pour son implication dans le piratage de Sony Pictures en 2014 et dans l’attaque de ransomware WannaCry en 2017. Le Groupe Lazarus est un groupe parrainé par l’État nord-coréen qui cible diverses industries, notamment les institutions financières et les entrepreneurs de la défense.

Naikon

Cette APT est attribuée à un groupe parrainé par l’État chinois et cible principalement les gouvernements et les organisations militaires des pays d’Asie du Sud-Est. Naikon utilise des courriels de spear-phishing et des logiciels malveillants pour accéder aux réseaux des cibles.

FIN7

Cette APT est un syndicat criminel à motivation financière qui cible l’industrie de l’hospitalité, y compris les restaurants. FIN7 est connue pour ses campagnes de phishing sophistiquées et l’utilisation du logiciel malveillant Carbanak pour voler des données de cartes de crédit.

Turla

Cette APT est attribuée à un groupe parrainé par l’État russe et cible diverses industries, ainsi que des agences gouvernementales et des ambassades gouvernementales. Turla utilise des courriels de spear-phishing et des attaques de type “watering hole” pour accéder aux réseaux cibles.

 

Détection et Atténuation des Attaques d’Advanced Persistent Threats (APT)

Détecter les menaces persistantes avancées (APT) peut être un défi car elles sont conçues pour échapper à la détection et rester indétectées pendant une période prolongée. Cependant, il existe plusieurs stratégies que les organisations peuvent utiliser pour identifier les APT. Voici un aperçu de certaines stratégies que les entreprises peuvent utiliser pour détecter et atténuer les dommages causés par les APT :

Surveillance du Réseau

Les APT comptent souvent sur des serveurs de commande et de contrôle (C&C) pour communiquer avec leurs opérateurs et télécharger des logiciels malveillants supplémentaires. Les outils de surveillance du réseau peuvent identifier le trafic vers et depuis les domaines suspects, les adresses IP ou les ports associés aux serveurs C&C.

Détection des Anomalies

Les APT présentent souvent un comportement inhabituel qui diffère du trafic réseau régulier. Les outils de détection des anomalies peuvent surveiller les modèles de transfert de données uniques ou les connexions inhabituelles et alerter les équipes de sécurité des menaces potentielles.

Détection et Réponse au Niveau des Points d’Extrémité (EDR)

Les outils EDR sont conçus pour détecter et répondre aux activités malveillantes au niveau des points d’extrémité. Ils surveillent le comportement du système, identifient les fichiers suspects et bloquent les logiciels malveillants connus.

Intelligence des Menaces

Les équipes de sécurité peuvent utiliser l’intelligence des menaces pour identifier les APT connues, leurs tactiques, techniques et procédures (TTP), ainsi que les indicateurs de compromission (IoC) qui leur sont associés. En surveillant continuellement les flux d’intelligence des menaces, les équipes de sécurité peuvent identifier et répondre rapidement aux menaces potentielles.

Analyse du Comportement des Utilisateurs (UBA)

Les outils UBA surveillent le comportement des utilisateurs et peuvent identifier des activités suspectes telles que des tentatives de connexion échouées, des connexions à partir d’adresses IP inhabituelles ou l’accès à des données sensibles par un employé qui n’a pas besoin de ces données dans le cadre de ses fonctions.

Test de Pénétration

Les tests de pénétration réguliers peuvent aider les organisations à identifier les faiblesses de leurs défenses et les vulnérabilités potentielles que les APT pourraient exploiter.

Il est important de noter qu’aucune méthode de détection unique n’est infaillible, et les équipes de sécurité doivent utiliser une combinaison d’outils et de techniques pour identifier les APT. La détection précoce et la réponse rapide sont cruciales pour atténuer les dommages causés par les attaques APT, il est donc essentiel que les organisations disposent d’un plan robuste de réponse aux incidents pour contenir et remédier rapidement aux menaces.

Comment Kiteworks Protège Votre Entreprise Contre les Attaques APT

Le Réseau de Contenu Privé de Kiteworks offre aux organisations des outils essentiels pour atténuer le risque des APT et protéger leurs contenus les plus sensibles, en particulier lorsqu’ils sont partagés avec des partenaires de confiance. Ces capacités comprennent:

1. Scanning, Mise en Quarantaine et Visibilité APT: L’analyse avancée des menaces (APT), la mise en quarantaine et la visibilité sont des composants essentiels d’une stratégie de protection contre les menaces du jour zéro. La plateforme Kiteworks fait passer les fichiers entrants par votre système APT pour détecter les menaces du jour zéro et les menaces connues. Elle met en quarantaine les fichiers défaillants et notifie le personnel de sécurité approprié. Toute l’activité est entièrement journalisée et visible via les rapports et le tableau de bord du CISO, et est exportable vers votre journal d’audit et votre SIEM.
2. Prise en Charge Native de Check Point SandBlast ATP: La plateforme Kiteworks prend en charge nativement Check Point SandBlast ATP, permettant aux entreprises de tirer parti de leurs investissements existants dans l’APT et de fournir une couche supplémentaire de protection contre les menaces du jour zéro.
3. Intégration de l’Analyse des Malwares FireEye (AX) ATP: La plateforme prend également en charge l’Analyse des Malwares FireEye (AX) ATP et exporte les entrées de journal vers le SIEM FireEye Helix pour ajouter un contexte complet à l’événement, permettant aux entreprises de détecter et de répondre de manière plus efficace aux menaces du jour zéro.
4. Systèmes ATP Compatibles avec ICAP: En plus de la prise en charge native de l’APT, la plateforme prend en charge les systèmes ATP compatibles avec ICAP, garantissant aux entreprises une gamme d’options à choisir pour se protéger contre les menaces du jour zéro.

Des capacités supplémentaires, comme un appliance virtuel sécurisé, une protection antivirus intégrée et un système de détection d’intrusion (IDS), le chiffrement TLS 1.2 en transit et le chiffrement AES-256 au repos, des options de déploiement sur site, dans le cloud privé, hybride ou FedRAMP, et bien plus encore, servent toutes à protéger les informations sensibles que vous partagez contre les APT et autres menaces cybernétiques.

Pour en savoir plus, planifiez une démonstration personnalisée.

 

Retour au Glossaire des Risques et de la Conformité