La réponse au casse-tête des CISOs

Plus de 24 Milliards d’identifiants volés sont disponibles sur Internet et le Darkweb.Leur exploitation par les groupes de cybercriminels représente le premier vecteur d’attaque, loin devant le phishing et l’exploitation de vulnérabilités. En utilisant ces identifiants, les attaquants prennent le contrôle des comptes utilisateurs et exposent les organisations à des violations, à des ransomwares et au vol de données.

Bien que les CISOs soient conscients de cette menace et disposent souvent d’outils pour réduire ce risque, l’actualité démontre que leur application s’avère largement insuffisante.Une démarche structurée et continue permet de réduire l’exposition au risque mais elle représente une charge trop importante pour des équipes sécurité souvent limitées. L’automatisation de la détection et de l’identification des risques réels pour l’organisation constitue la seule réponse adaptée à la dynamique des cybermenaces.

Nature du risque

80% des violations d’applications Web impliquent des identités compromises. Les attaquants utilisent des techniques comme l’ingénierie sociale, la force brute et l’achat d’identifiants sur le Darkweb pour compromettre les identités et obtenir un accès aux ressources des organisations.

Ils tirent souvent parti des faiblesses suivantes :

• Mot de passe unique entre plusieurs applications
• Mot de passe commun entre applications personnelles et professionnelles
• Mots de passe stockées dans les navigateurs
• Réutilisation de mots de passe ou durée de vie importante
• Identifiants non utilisés (collaborateurs ayant quitté l’entreprise, prestataires, comptes de service, etc.)
• Mots de passe partagés entre différents utilisateurs

Le principal défi pour l’organisation est que les attaquants n’ont besoin que d’un seul identifiant valide pour s’introduire.

Mitigation du risque

Pour réduire leur exposition au risque, les organisations doivent se concentrer sur ce qui est exploitable du point de vue des attaquants.

Une méthodologie efficace repose sur les étapes suivantes :

1. Collecter les identifiants dérobés

Pour commencer à résoudre le problème, les équipes sécurité doivent collecter des données sur les identifiants qui ont été dérobés à divers endroits du Web et sur le Darkweb. Des outils comme HaveIBeenPwned ou celui de l’Institut Hass-Platner sont utiles. Cette étape permet d’obtenir un premier état de la situation et d’identifier les comptes individuels qui doivent être mis à jour.

1. Identifier le risque d’exposition réel

Une fois les données collectées, les équipes sécurité doivent déterminer quels identifiants peuvent être réellement exploités.

Pour ce faire, elles doivent utiliser des techniques similaires à celles des attaquants :

• Vérifier si les identifiants permettent l’accès aux ressources externes, tels que les services Web et les bases de données
• Tenter de déchiffrer les hachages de mots de passe capturés
• Valider les correspondances entre les identifiants dérobés et les outils de gestion des identités de l’organisation, tels que l’Active Directory
• Tester des variantes pour identifier de nouvelles identités qui pourraient être compromises : les utilisateurs utilisant généralement les mêmes modèles de mot de passe

1. Réduire le risque d’exposition

Après avoir validé les identifiants dérobés qui exposent réellement l’organisation, les équipes sécurité doivent prendre des mesures ciblées pour atténuer le risque.

Par exemple :

• Supprimer les comptes inactifs divulgués de l’Active Directory
• Initier des changements de mot de passe pour les utilisateurs actifs
• Revoir les processus et la politique de gestion des mots de passe (durcissement, cycle de vie)

1. Mettre en place une démarche de validation continue

Les techniques des attaquants tout comme la surface d’attaque des organisations évoluent en permanence, en particulier en termes de comptes utilisateurs. Par conséquent, un effort ponctuel pour identifier, vérifier et réduire le risque d’exposition des identifiants est insuffisant.  Pour combattre durablement ce risque, les organisations doivent adopter une démarche de traitement continu. Cependant, la charge que représente ces actions manuelles est trop importante pour des équipes de sécurité aux ressources limitées.

La seule façon de gérer efficacement la menace est d’automatiser le processus de validation.

Automatisation

Depuis 2021, le cabinet Gartner a introduit cette automatisation au travers des concepts « Automated Penetration Test and Red Team Tool » et « External Attack Surface Management ». Ces concepts rassemblent des techniques visant à identifier de façon continue les risques exposant la surface d’attaque des organisations afin de concentrer le travail de remédiation sur les risques avérés.

Parmi les acteurs, la société Pentera constitue aujourd’hui le leader de la cybervalidation automatisée.

Utilisant les dernières techniques d’attaques les plus avancées, leur solution permet de réaliser de façon automatique et continue des attaques éthiques afin de mettre en évidence les vulnérabilités statiques et dynamiques.  Ces tests sont exécutés aussi bien depuis l’extérieur que depuis l’intérieur de l’organisation, permettant de couvrir toute la surface d’attaque.

Parmi les fonctionnalités, le module « Leaked Credentials » automatise les étapes de découverte des identifiants dérobés et la vérification de l’exposition qu’ils représentent pour l’organisation :

• Sur les services externes (SaaS, sites Web, messagerie)
• Sur les services internes (applications, postes de travail, serveurs, éléments d’infrastructure).

Le résultat de ces investigations présente les vecteurs d’attaques complets ainsi que la description des actions de remédiation à réaliser par les équipes sécurité. La communication avec des outils de type SIEM ou ITSM permet d’intégrer ce processus dans le processus global de gestion du risque de cybersécurité. Ces solutions correspondent à l’avenir de la surveillance, de la détection et de la prévention des menaces.

Jérôme BEAUFILS, dirigeant de la société SASETY

Bertrand Pourcelot, Directeur Général d’Enreach for Service Providers, fait le point sur les changements intervenus dans le secteur des communications ces 20 dernières années, sur les enseignements qu’il en a tirés et sur les évolutions à venir. Il partage également certains de ses points de vue et de ses expériences personnelles acquis tout au long de sa carrière, notamment au cours des nombreuses années à la tête de Centile Telecom Applications, qui fait désormais partie du groupe Enreach sous la dénomination Enreach for Service Providers.

Avant de rejoindre le secteur des technologies de communication, j’ai travaillé dans l’industrie spatiale, un environnement hautement critique et exigeant qui m’a appris quelques leçons utiles. Parmi elles : s’efforcer en permanence de se perfectionner en mettant en place des boucles de rétroaction, innover et penser différemment, collaborer avec ses coéquipiers afin d’obtenir les meilleurs résultats possibles, et être prêt à réagir au changement et à l’imprévu. 

Tous ces points sont également importants sur le marché des communications. Par exemple, il est impossible de prédire qui seront les gagnants à long terme : certaines grandes marques qui tenaient le haut du pavé il y a 20 à 25 ans de cela, comme Nokia chez les fabricants d’équipements de téléphonie mobile, ont laissé la place à d’autres. De la même manière, le satellite était considéré il y a de nombreuses années de cela comme un sérieux concurrent pour les communications à à haut débit (constellations). Puis la technologie DSL a fait son apparition, suivie de la fibre, et le satellite n’a pas eu le rôle qu’on lui prédisait initialement (cela peut changer). 

Le changement ne s’est pas fait non plus à un rythme régulier. Par exemple, lorsque nous avons lancé notre PBX cloud alors que nous nous appelions encore Centile Telecom Applications, nous n’avons même pas utilisé le mot « cloud » car ce terme n’existait pas. Pendant longtemps, l’adoption du cloud ne s’est pas faite aussi rapidement que nous l’aurions espéré ou imaginé, même si finalement, cela est en train de changer rapidement (la récente pandémie ayant encore accéléré le phénomène). L’histoire nous a donc appris à être prêts à nous adapter, mais également à être patients. Le timing est essentiel.

« Mobile-first »

Certains d’entre nous pensaient également que l’adoption rapide des services mobiles B2B aujourd’hui largement répandus se produirait plus tôt : les avantages étaient clairs et la technologie facilitatrice était là (même si elle a continué à s’améliorer considérablement). Forts de l’héritage de Centile, nous sommes depuis longtemps des adeptes du « mobile-first » et soutenons notamment Elisa, le principal opérateur mobile finlandais, par le biais de notre plateforme de communications unifiées axée sur la mobilité depuis de nombreuses années. Pourtant, pendant un certain temps, on a eu l’impression que le reste du secteur, à l’exception des pays nordiques, ne partageait pas la même vision. 

Les services mobiles se développent aujourd’hui rapidement et stimulent l’innovation. Résultat : d’autres entreprises frappent à notre porte et nous demandent si elles peuvent collaborer avec nous afin de profiter de notre expérience des services mobiles. Je dois à cet égard mentionner que d’autres équipes au sein d’Enreach, comme Enreach Netherlands (anciennement Voiceworks), le tout premier MVNO B2B des Pays-Bas, apportent également un solide savoir-faire en matière de téléphonie mobile. La technologie « mobile-first » voire « mobile-only » va continuer à se répandre dans un avenir proche. 

Bien sûr, aucun de nous ne peut deviner ce qui va se passer dans le futur. Il y a vingt ans de cela, combien d’entre nous auraient imaginé la façon dont nous utilisons aujourd’hui la technologie numérique dans notre vie quotidienne ? Donc, je le répète, la propension à être ouvert au changement et à explorer les nouvelles possibilités est l’enseignement qui ressort clairement de ces 20 dernières années.

Aider les fournisseurs de services à être agiles

Et notre rôle est le suivant : aider les fournisseurs de services à être agiles, à saisir les opportunités, à fournir des services modernes et à ne pas être court-circuités par d’autres acteurs. Nous devons également les aider à avoir en permanence une approche axée sur le client. L’accès aux communications cloud et des prix compétitifs ne suffisent pas : l’ajout de valeur est plus important que jamais. Nous pouvons les aider dans cette démarche via notre plateforme Enreach UP basée sur ISTRA, le moteur de communications unifiées éprouvé et « mobile-first » de Centile qui accompagne à grande échelle les fournisseurs de services depuis de nombreuses années. 

Enreach UP est une plateforme Cloud-Native qui favorise la communication, la collaboration et la productivité et qui réunit les meilleures technologies des entreprises du groupe. Elle offre un large panel d’options et de services, notamment le PBX cloud, la convergence fixe-mobile, la collaboration vidéo, la messagerie, les fonctionnalités de centre de contact entrant/sortant, les agents conversationnels (ou chatbots) et une intégration transparente avec les services mobiles, Microsoft Teams et les systèmes CRM et ERP.

Enreach UP est commercialisée sous la forme d’une plateforme multi-tenant et en marque blanche, avec plusieurs options de déploiement pour les différents partenaires, notamment un cluster de serveurs/machines virtuelles, un cloud natif hébergé par un opérateur, la propre infrastructure cloud d’Enreach et un cloud public (prochainement). Le groupe utilise lui-même Enreach UP pour offrir son produit phare en mode SaaS, Enreach Contact, qui offre des solutions de contact aux PME dans plusieurs pays européens. Enreach propose également Enreach Contact hébergé dans son propre cloud aux partenaires de distribution, tels que les revendeurs informatiques, qui cherchent à accéder rapidement au marché des communications unifiées.

Outre le fait d’avoir pu partager notre technologie et notre expérience internationale, les autres membres de l’équipe Centile d’origine et moi-même avons bénéficié de notre intégration au sein groupe Enreach, et pas uniquement de l’ampleur des ressources mais également des multiples domaines d’expertise. Enreach Netherlands a, par exemple, apporté sa vaste expertise en matière d’opérations de services, de plateformes BSS de type guichet unique et d’accompagnement des revendeurs; tandis qu’Enreach Germany (anciennement Swyx) a à son actif des années de collaboration fructueuse avec des revendeurs à forte valeur ajoutée. D’autres acquisitions ont fourni à Enreach toute une variété de compétences expertes sur lesquelles le groupe peut s’appuyer. Nous avons tous quelque chose à apprendre les uns des autres et le fait d’être présents dans de nombreux pays nous permet également d’avoir une véritable approche locale combinée à un mélange culturel enrichissant.

De plus, l’esprit d’entreprise d’Enreach permet de faire avancer les choses tout en se préoccupant toujours des besoins des clients (selon la devise « suffisamment grands pour faire la différence, suffisamment petits pour fournir une prise en charge adéquate… »). Par exemple, bien que notre plateforme ISTRA était à la pointe de l’innovation au début du siècle, nous avons dû repenser et moderniser à plusieurs reprises de nombreuses briques technologiques et fonctionnalités clés afin de les adapter au marché actuel. De même, nous continuerons à repenser et à modifier notre plateforme Enreach UP afin qu’elle soit toujours à la pointe de la technologie dans 20 ans : l’immobilisme n’est tout simplement pas une option. C’est d’ailleurs la raison pour laquelle nous sommes passés à une architecture de type microservices et à l’intégration continue, celles-ci permettant une innovation et une mise à disposition des clients plus rapides.  

Les évolutions à venir

Quelle sera la prochaine étape ? L’une des évolutions les plus significatives que nous observons est l’association des fonctionnalités de communications unifiées, de collaboration et de productivité, que nous appelons le contact convergent. Par ailleurs, l’intégration des fonctionnalités de centre de contact dans cet environnement convergent se développe considérablement, ce qui permet aux PME de proposer à leurs employés en contact avec la clientèle une fonctionnalité de « centre de contact occasionnel », sans la complexité et les coûts élevés qui caractérisent une solution de centre de contact traditionnelle. Grâce aux fonctionnalités de centre de contact existantes d’Enreach UP et à la technologie considérable apportée à Enreach par Enreach Spain (anciennement masvoz) et Enreach Campaigns (anciennement Herobase) en matière d’expérience client, nous serons ensemble en mesure de favoriser l’innovation dans ce domaine, et d’intégrer par exemple davantage de canaux tels que WhatsApp ainsi que des agents conversationnels au sein de l’expérience client. 

Aider les gens à mieux gérer et contrôler leurs vies professionnelles et privées fait partie des autres domaines à forte croissance auxquels nous travaillons. Le développement de la voix dans les chats et des commandes à activation vocale est un autre domaine intéressant. La technologie vocale ne disparaît pas : elle est là pour durer et sous différentes formes. Pour établir un parallèle, les gens pensaient que la télévision remplacerait la radio ; au lieu de cela, la consommation de divertissements strictement audio s’est développée et inclut désormais les podcasts et les livres. La technologie est un élément facilitateur, mais ce sont les utilisateurs et les consommateurs qui décident de la façon dont ils vont l’utiliser et les résultats peuvent quelquefois être surprenants.

Il est évident que nous devons être ouverts, prêts à nous adapter et à nous améliorer, et être conscients que, quoi qu’il advienne, le changement est inévitable et doit être adopté. Personnellement, j’ai hâte de voir comment l’expérience et la technologie que nous avons développées vont continuer à jouer un rôle majeur au sein d’Enreach et nous aider à hisser à un nouveau niveau les services et solutions que nous fournissons à nos partenaires et aux utilisateurs finaux.