Archives pour la catégorie Sécurité

Dans cette catégorie, l’équipe Pass Revelator vous décrypte toutes les dernières actualités et nouveautés sur le piratage et le hacking de comptes, de bases de données et même d’appareils électroniques. Que vous soyez novice ou expert, nous essayons au mieux de vous expliquer, parfois en schématisant, les dernières techniques des experts en sécurité.

Pourquoi tant de personnes ont comme mot de passe « Dragon »

Chaque année depuis 2011, la société de sécurité SplashData a publié une liste des mots de passe les plus couramment utilisés, basée sur des caches d’informations d’identification de compte piratés. La liste annuelle, destinée à rappeler les mauvaises pratiques de mot de passe d’utilisateurs, inclut toujours des entrées prévisibles comme « abc123 », « 123456 » et « letmein ». Mais une entrée, se classant dans le top 20 chaque année, se démarque depuis le début, il s’agit de « dragon ».

Mais pourquoi ? Est-ce dû à la popularité de l’adaptation télévisuelle de Game of Thrones, qui a été créée la même année que la populaire liste de mots de passe ? Est-ce parce que tant de fans de Dungeons & Dragons ont eu leurs comptes pwned ? Eh bien, peut-être, en partie. Mais l’explication la plus convaincante est plus simple que vous ne le pensez.

Le phénomène « dragon » ne semble pas être une bizarrerie de la méthodologie d’analyse de mot de passe de SplashData. La créature a pris la 10ème place l’an dernier sur une autre liste de mots de passe, cette fois créée par la plateforme WordPress WP Engine, en utilisant les données compilées par le consultant en sécurité Mark Burnett. Dragon n’apparaît pas sur une liste créée par Keeper Security en 2016, mais celle-ci prend en compte les comptes probablement créés par des bots. Et les 100 meilleurs mots de passe sont restés relativement stables au cours des années, excluant largement un pic de Game of Thrones.

« J’ai énuméré dans mon livre des centaines de mots de passe qui contiennent le mot dragon », dit Burnett, dont les mots de passe parfaits sont sortis en 2005. « Les gens basent souvent leurs mots de passe sur quelque chose qui est important pour eux. Et entre D & D, Skyrim et Game of Thrones, les dragons ont joué un grand rôle dans notre culture. »

« Une des choses que nous avons vues est que les gens ont tendance à créer des mots de passe sur les choses qu’ils aiment. « 
Lorrie Cranor, Université Carnegie Mellon

La façon dont les chercheurs examinent les données de mot de passe peut également contribuer à la popularité du dragon. Alors que des dizaines de milliers de personnes l’utilisent probablement, le type de données de mot de passe auxquelles les chercheurs ont accès comporte des biais inhérents. Les universitaires ne peuvent pas appeler une entreprise et lui demander de remettre les mots de passe des clients, de sorte qu’ils s’appuient plutôt sur des informations d’identification piratées et divulguées au public.

Cela signifie souvent que les sites ont une sécurité globale médiocre et des exigences de mot de passe faibles. « Les sites qui ont les politiques de mot de passe les plus complexes ne fuient pas aussi souvent », explique Lorrie Faith Cranor, informaticienne à l’université Carnegie Mellon, qui étudie la création de mots de passe dans son laboratoire depuis plus de huit ans. « Dragon » pourrait être disproportionnellement populaire parce que les sites piratés sont moins susceptibles d’obliger les utilisateurs à inclure, disons, un nombre ou un caractère spécial dans leur mot de passe.

Le type de site dont provient un jeu de données de mot de passe peut également fausser les résultats. WP Engine a examiné 5 millions de mots de passe censés être associés à des comptes Gmail, par exemple. L’entreprise a examiné les adresses électroniques associées et a tenté d’estimer le sexe et l’âge des personnes qui les ont créées. Par exemple, « JohnDoe84@gmail.com » serait supposé être un homme né en 1984. En utilisant cette méthode, les chercheurs ont constaté que l’ensemble de données faussait les hommes, et vers les personnes nées dans les années 1980. C’est probablement parce que beaucoup d’informations d’identification proviennent d’eHarmony et d’un site de contenu pour adultes.

Vous pouvez imaginer comment, dans un ensemble de données comme celui-ci, « dragon » pourrait théoriquement apparaître plus souvent, étant donné que le Seigneur des Anneaux, Donjons & Dragons, et Game of Thrones sont relativement populaires parmi les hommes de leur début à la trentaine .

D’autres types de biais de données de mot de passe peuvent être plus évidents. En 2014 par exemple, Burnett a aidé SplashData à compiler sa liste annuelle de mots de passe communs. Quand il a couru les premiers numéros, il a remarqué que « lonen0 » est apparu incroyablement haut sur la liste, prenant la septième place. Cela ne s’est pas produit parce que des dizaines de milliers de personnes ont soudainement pensé à la phrase, mais parce que c’était le mot de passe par défaut pour une société belge appelée EASYPAY GROUP, qui avait subi un piratage. Dix pour cent des utilisateurs n’avaient tout simplement pas réussi à changer le mot de passe par défaut.

Une autre raison pour laquelle « dragon » semble si populaire, avec d’autres mots de passe comme « 123456 », c’est qu’ils sont incroyablement faciles à démasquer. Les entreprises « hachent » souvent les informations d’identification qu’elles stockent, donc dans le cas où un pirate les obtiendrait, elles sont plus difficiles d’accès qu’elles ne le seraient si elles étaient simplement en train de s’asseoir en clair. Les données hachées sont mathématiquement masquées pour ressembler à des chaînes aléatoires de caractères que les humains ne peuvent pas analyser. Certains schémas de hachage ont des faiblesses qui permettent aux pirates de les casser, mais même si les pirates ne peuvent pas exposer chaque mot de passe, ils peuvent toujours exécuter des scripts pour trouver les hachages les plus courants. « Ils utilisent d’abord des programmes informatiques qui utilisent les mots de passe les plus populaires », explique Cranor.

Les gens choisissent des mots de passe comme « dragon » pour la même raison qu’ils utilisent des noms communs.

Malgré des biais potentiels, des chercheurs comme Cranor et Burnett prennent le temps de construire leurs databas

Malgré des biais potentiels, des chercheurs comme Cranor et Burnett prennent le temps de construire leurs bases de données aussi soigneusement que possible. À ce stade, tant de sites Web ont été violés qu’ils ont des ensembles de données très robustes à analyser. Pourtant, selon M. Burnett, déterminer les mots de passe les plus couramment utilisés sur le Web ne peut probablement pas être considéré comme une véritable science, en raison des biais et du manque de contrôles.

La recherche de Cranor a montré que les gens choisissent des mots de passe comme «dragon» pour la même raison qu’ils utilisent des noms communs, comme Michael et Jennifer, ou des activités bien-aimées, comme le baseball. « L’une des choses que nous avons vues est que les gens ont tendance à créer des mots de passe à propos des choses qu’ils aiment », explique Cranor. « iloveyou’ est l’un des mots de passe les plus courants, dans toutes les langues. »

Dans sa recherche, Cranor s’est également demandé pourquoi tant de gens gravitent spécifiquement vers les animaux et les créatures mythiques en créant des mots de passe en particulier « singe », qui, comme le dragon, se classe toujours très bien. Au cours d’une étude qu’elle a menée, Cranor a demandé aux participants qui ont choisi le primate d’expliquer pourquoi ils l’avaient choisi.

« Fondamentalement, les gens ont dit qu’ils aiment les singes, les singes sont mignons », dit Cranor. « Certaines personnes ont dit qu’ils avaient un animal de compagnie nommé singe, ils avaient un ami dont le surnom était singe, tout était très positif. »

Il s’avère que beaucoup de gens ont choisi le dragon pour des raisons similaires. « J’ai commencé avec » dragon « au début des années 90, et il s’est transformé au fil du temps », a expliqué une personne qui utilise ce mot de passe à WIRED. « L’inspiration pour cela était un mélange d’avoir joué à Dungeons & Dragons pendant 10 ans à l’époque et d’avoir juste installé Legend of the Red Dragon. » (On leur a accordé l’anonymat pour des raisons évidentes liées au mot de passe.)

« Les mots de passe, m’a-t-on dit, étaient supposés rendre difficile l’accès à vos comptes pour les autres, et les dragons sont grands et effrayants et moins communs dans la vraie vie que les ours », a déclaré un autre utilisateur. « Il est vrai que j’utilisais surtout des forums et des jeux très ringards. »

Parfois, cependant, la raison pour laquelle vous choisissez « dragon » comme mot de passe est juste parce que vous êtes jeune et les dragons sont, eh bien, vraiment cool. Comme l’a dit un fan de dragon : « J’avais 13 ans à l’époque. »

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage

Les cyberattaques sur les avions connectés se produisent maintenant.

Alors que les avions commerciaux sont de plus en plus connectés Internet, les risques de sécurité augmentent également, a déclaré mercredi le responsable des activités commerciales de Thales aux Etats-Unis.

Il y a déjà eu des piratages d’avions et de systèmes liés à l’aviation, notamment des systèmes de divertissement en vol, des communications de données entre pilotes et contrôleurs au sol et des systèmes d’exploitation aérienne qui ont causé des annulations de vols, Alan Pellegrini, président et chef de la direction de Thales USA, a déclaré. Thales USA fait partie du groupe Thales en France.

« Je n’essaie pas d’effrayer qui que ce soit, mais ces choses se passent », a déclaré Pellegrini lors du déjeuner mensuel de l’Aero Club de Washington, D.C. « Au fur et à mesure que l’avion se connecte, il y a de véritables hacks. »

Historiquement, les changements aux avions commerciaux ont été progressifs, mais l’industrie aéronautique commence à voir des changements « exponentiels » dans la façon dont les avions et leurs systèmes sont connectés aux systèmes au sol et éventuellement aux satellites pour la navigation aérienne de prochaine génération. système de contrôle, a déclaré Pellegrini.

Pellegrini a déclaré que « comme nous atteignons cette partie exponentielle de la courbe et que les avions deviennent connectés et leurs systèmes deviennent connectés et maintenant des millions d’appareils effectivement ajoutés à Internet qui sont tous des points de vulnérabilité sous une forme ou une autre, je pense que la sécurité les risques augmentent. »

Thales conçoit, développe et fabrique des systèmes électroniques utilisés dans les satellites, les cockpits et les cabines d’avions, les systèmes de transport et les systèmes d’armes. La société fournit également des capacités de cybersécurité à ses clients.

L’industrie de l’aviation a une base solide et une culture de la sécurité, a déclaré Pellegrini. Une culture de la cybersécurité peut être construite sur cette base, a-t-il déclaré.

Pellegrini a également souligné qu’il existe des pare-feu parmi les systèmes qui sont utilisés pour contrôler le vol des aéronefs et d’autres systèmes de communication et de divertissement en vol. Les dispositifs de sécurité autour des systèmes de contrôle de vol sont « robustes », a-t-il dit.

Mais il y a des lacunes, a déclaré Pellegrini.

« Je vous soumettrai que nous avons beaucoup de spécifications pour les systèmes à mettre sur des avions qui n’ont pas d’exigences de sécurité bien établies et maintenant, en tant qu’entreprise (je sais que d’autres le font), nous voulons essayer de adressez-les, mais je pense qu’en tant qu’industrie, nous pourrions collectivement faire plus », a-t-il déclaré.

Il y a une prise de conscience croissante au sein de l’industrie du cyber-piratage et des vulnérabilités potentielles et plus d’informations sont partagées mais ce n’est pas encore suffisant, a déclaré Pellegrini. Les efforts pour lutter contre les cybermenaces et le piratage restent «cloisonnés», a-t-il déclaré, soulignant la nécessité pour l’industrie et le gouvernement de travailler ensemble pour atténuer les menaces potentielles.

L’industrie aéronautique pourrait tirer des enseignements des leçons apprises et des meilleures pratiques appliquées par d’autres groupes du secteur privé tels que les services financiers et la vente au détail pour lutter contre les cybermenaces, a déclaré M. Pellegrini.

« La sensibilisation est excellente, l’action est meilleure », a-t-il déclaré. « Et nous avons de bons modèles sur lesquels travailler. »

L’an dernier, une équipe dirigée par la Direction des sciences et de la technologie du Department of Homeland Security des États-Unis (DHS) a démontré qu’elle pouvait pirater à distance un avion commercial stationné. Le DHS a acquis un Boeing 757 usé qu’il stationnait à l’aéroport d’Atlantic City, dans le New Jersey, et a effectué une « pénétration non coopérative » des systèmes à bord de l’avion.

Le travail du DHS est classifié et l’information du piratage a été fournie par Robert Hickey, qui était à l’époque le responsable du programme de l’aviation pour la Division de la cybersécurité de S & T. La révélation du piratage a finalement coûté son travail à Hickey.

Dans une déclaration ultérieure, le DHS a déclaré que « Bien que certains détails de l’évaluation restent classifiés, les commentaires de Hickey manquent de contexte important, y compris un environnement de test artificiel et des mesures de réduction des risques déjà en place. Avec nos partenaires fédéraux et industriels, le DHS prend la cybersécurité de l’aviation au sérieux et travaille avec les chercheurs et les fournisseurs pour identifier et atténuer les vulnérabilités dans le secteur de l’aviation. L’industrie de l’aviation, y compris les constructeurs et les compagnies aériennes, a beaucoup investi dans la cybersécurité et a mis en place des procédures robustes de test et de maintenance pour gérer les risques. »

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage

Cybersécurité : 4 façons de défendre vos données.

Au cours des dernières années, la cybersécurité est devenue un sujet brûlant pour les populations du monde entier. D’une certaine manière, c’est le nouvel engouement qui pousse les gens à se tourner vers des théories extrêmes et souvent stupides sur la nature de l’Internet. Certaines de ces préoccupations, cependant, sont enracinées dans la vérité. Par exemple, les attaques contre Equifax ont vraiment exposé plus de 100 millions de personnes et leur manque de réponse et de préparation a blessé des millions d’Américains.

Cependant, il existe de nombreuses méthodes que vous pouvez utiliser pour garder vos informations en toute sécurité et vos données entre de mauvaises mains. Le futur est une belle chose. Au fur et à mesure qu’Internet prend de l’ampleur et que l’accès aux périphériques compatibles WiFi augmente, nous pouvons nous attendre à ce que le nombre de tentatives de piratage et de logiciels malveillants augmente considérablement au cours des prochaines années. Cela n’équivaut pas à un désastre pour quiconque et ceux qui ont des politiques de protection de la vie privée solides vont trouver qu’ils peuvent se couvrir et ne pas être exposés.

Maintenant, dans le cas d’Equifax et de Target, il est plus difficile de vous protéger, mais vous pouvez toujours atténuer les dommages en faisant preuve d’un discernement incroyable et en gardant un œil vigilant sur toutes vos informations. Dans cet article, nous allons vous montrer les meilleures méthodes pour dissuader les pirates et garder vos informations en toute sécurité.

1. Parcourir en privé

L’un des moyens les plus simples de sécuriser vos données consiste à utiliser des options de navigation privées pour tous vos navigateurs. Presque tous les navigateurs ont un mode de navigation privé qui ne conserve pas les cookies et ne vous suivra pas sur Internet. C’est extrêmement important lorsque vous conservez vos informations en toute sécurité, car ces données sont très utiles aux pirates informatiques.

Ils peuvent utiliser vos cookies pour savoir où vous avez été et quel est le mot de passe que vous avez utilisé étant donné que la plupart des cookies contiennent des identifiants de connexion. La prévention du suivi fait en sorte qu’ils ont aussi plus de mal à vous faire de la publicité et à placer un bug sur les sites que vous visitez souvent. Cela peut être totalement inestimable et constitue une étape simple vers une expérience en ligne plus sûre pour les utilisateurs.

2. Ne pas acheter en public

Cela peut sembler étrange, mais en réalité, en utilisant une connexion WiFi publique pour faire des achats en ligne peut exposer les détails de votre carte de crédit à quiconque avec un keylogger ou un autre type de logiciel de siphonnage.

Un grand nombre de pirates utilisent le WiFi public et numérisent tous ceux qui utilisent certains sites Web sur le réseau WiFi public. Ils peuvent alors facilement extraire vos informations lorsque vous êtes connecté à l’extérieur et n’utilisez pas de connexion privée. Il est extrêmement important que vous fassiez un minimum de travail en ligne lorsque vous êtes connecté publiquement.

3. Seulement partager avec qui vous connaissez

Cette astuce se résume à la façon dont vous partagez vos informations et avec qui. Ne répondez pas aux messages demandant des informations à des personnes que vous ne connaissez pas. Parfois, lorsque vous êtes connecté dans un espace public, vous devez vous abstenir de répondre aux personnes que vous connaissez, car elles peuvent être usurpées et essayer de collecter des données sensibles.

En bref, si vous ne reconnaissez pas qui a envoyé le message, n’envoyez rien et ne cliquez jamais sur un lien à moins de savoir de qui il s’agit ou d’où il vient. Les liens dans les courriels et sur les annonces peuvent être extrêmement dommageables ou être un virus pur et simple.

4. Utiliser des bloqueurs de fenêtres publicitaires intempestives

L’utilisation d’un bloqueur de pop-up est l’une des meilleures choses que vous pouvez faire pour empêcher les pirates de tenter d’accéder à vous via Internet. Bien que certaines entreprises fassent des histoires à propos de l’utilisation de bloqueurs de publicités, la vérité est que beaucoup de pirates utilisent la technique du «bait-and-switch» sur les publicités pour attirer et escroquer les gens ou imprimer des logiciels malveillants.

C’est pourquoi il est absolument impératif que vous utilisiez un bloqueur de fenêtres publicitaires ou un adblocker lorsque vous naviguez sur Internet. Vous devez même les utiliser lorsque vous naviguez en privé car la navigation privée n’arrête pas les publicités. Alors que certaines entreprises ont besoin de revenus, il existe de meilleures façons d’obtenir cet argent marketing sans avoir placé des annonces sur votre site. Lorsque vous voyez une annonce que vous aimez, recherchez-la vous-même et assurez-vous de ne pas cliquer sur la bannière ou l’annonce placée.

En fin de compte, il s’agit d’être clairvoyant et d’utiliser tous les outils à votre disposition pour vous assurer que vos données sont en sécurité et que vous pouvez naviguer sans perdre votre vie privée. Tirez pleinement parti des bloqueurs de publicités et des modes de navigation privés afin de ne pas rester exposé chaque fois que vous vous connectez. Soyez incroyablement conscient de votre environnement et n’accédez pas au WiFi public à moins que vous n’ayez pas d’autre choix. Rappelez-vous, au fur et à mesure qu’Internet se développe, les opportunités pour les hackers et les mauvais acteurs se multiplient. Être diligent est le seul moyen de sauvegarder vos données et de protéger votre vie privée.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage

Ce hack LastPass Phishing peut pirater tous vos mots de passe.

Si vous voulez sécuriser votre monde en ligne, le mieux est d’avoir un mot de passe différent pour chaque site et service que vous utilisez et de vous assurer que chaque mot de passe est composé de caractères aléatoires au lieu de mots ou de chiffres familiers. Mais cela crée évidemment un problème : comment exactement sommes-nous censés nous souvenir de tous ces mots de passe compliqués ?

C’est là que les services de gestion de mot de passe comme LastPass entrent en jeu. Vous souvenez simplement d’un mot de passe sécurisé et le service se souvient du reste. Entrez le vrai mot de passe à la première fois, puis le service remplira automatiquement le mot de passe du site que vous visitez.

Cela semble sûr, non ?

LastPass a des mesures de sécurité solides qui empêchent quelqu’un d’être en mesure d’attaquer par la force votre compte et de déverrouiller votre mot de passe principal. Mais maintenant, grâce à de nouveaux sites d’hameçonnage astucieux, vous pourriez involontairement vous passer le mot de passe, ce qui signifie que tous les identifiants de connexion pour chaque service stocké sur LastPass pourraient être piraté.

LostPass : le clone de phishing LastPass qui pourrait tromper tout le monde.

Le développeur Sean Cassidy a créé un outil d’hameçonnage qui clone parfaitement l’invite de connexion LastPass et il a nommé l’outil LostPass . Il détecte quand LastPass est installé sur l’utilisateur, puis affiche un message «session expirée» sur le site d’hameçonnage qui vous invite à vous reconnecter à LastPass.

C’est là que LostPass devient vraiment méchant. Lorsque vous entrez votre nom d’utilisateur et votre mot de passe sur l’écran suivant, LostPass détourne immédiatement votre compte. Le nom d’utilisateur (adresse e-mail) et le mot de passe principal sont envoyés en amont du serveur de l’attaquant, de sorte que l’essentiel des dégâts soit déjà fait.

À ce stade, si vous avez activé l’authentification à deux facteurs sur votre compte LastPass, vous serez invité à entrer votre code de vérification. Comme avec le message « session expirée » et l’invite de connexion, cette interface est pratiquement identique à l’invite officielle de LastPass.

Maintenant LostPass a tout ce qu’il faut pour prendre le contrôle total de votre compte. Il utilise les informations de connexion et le jeton d’authentification à deux facteurs qu’il a volé pour créer une porte dérobée dans votre compte via la fonctionnalité « Contact d’urgence » de LastPass, puis définit le serveur de l’attaquant comme un périphérique sécurisé pour empêcher toute notification par courrier électronique. Pour le dire simplement, tous vos mots de passe sont maintenant compromis, et vous n’avez probablement aucune idée que cela vient de se produire.

Note : Comme Sean l’a déclaré sur son blog , « LastPass nécessite maintenant une confirmation par e-mail pour toutes les connexions de nouvelles adresses IP, ce qui atténue considérablement LostPass, mais ne l’élimine pas. » Donc, c’est une petite chance que vous pourriez être piraté, mais c’est toujours une chance s’il y a un hacker intelligent et persistant derrière son écran.

Comment s’assurer que vous ne vous faites pas tromper ?

LostPass fonctionne parce que c’est presque une réplique parfaite de l’interface officielle de LastPass, mais il y a quelques éléments distinctifs subtils. Selon que vous utilisez Chrome ou Firefox comme navigateur, il existe deux façons de détecter cette attaque de phishing.

Spotting LostPass sur Chrome

Si vous utilisez Chrome comme navigateur, repérer un site d’hameçonnage LostPass a un sens aigu. La seule vraie différence est dans la barre d’URL : l’adresse de l’invite de connexion LastPass commencera par chrome-extension si elle est légitime, mais elle commencera par chrome-extension.pw ou quelque chose de similaire, s’il s’agit d’une tentative d’hameçonnage LostPass.

Spotting LostPass sur Firefox

Une tentative d’hameçonnage serait un peu plus facile à repérer sur Firefox, puisque l’invite de connexion officielle de LastPass est une fenêtre flottante, alors que l’invite d’hameçonnage LostPass est intégrée dans la page Web. L’interface aura l’air pratiquement identique, mais si vous ne pouvez pas déplacer librement la fenêtre contextuelle, vous avez affaire à une tentative d’hameçonnage.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage

7 façons de se préparer à une attaque de cybersécurité.

Commencez par compter vos appareils, puis passez à ces autres étapes clés.

Les piratages de données, les attaques de phishing, la divulgation d’informations, Internet peut être un endroit effrayant. Réaliser un audit de cybersécurité (ou obtenir une évaluation par une tierce partie) est un excellent moyen de comprendre la posture de cybersécurité de votre organisation. Mais, comme pour préparer un examen ou une révision, se préparer à un audit de cybersécurité peut être intimidant. Bien que chaque évaluation de sécurité soit un peu différente, voici sept façons de vous préparer à votre prochain audit de cybersécurité.

# 1 : Comptez vos appareils

Comment pouvez-vous protéger quelque chose si vous n’êtes pas au courant qu’il existe ? La première étape pour tout bon plan de sécurité consiste à compter chaque périphérique connecté à votre réseau. Veillez à inclure non seulement les ordinateurs de bureau et les ordinateurs portables, mais également les téléphones portables, les imprimantes ou les systèmes de sécurité intégrés à votre réseau. Créer un inventaire de périphérique peut être difficile au début, mais une fois que vous avez terminé, vous aurez une image réelle de ce que vous êtes responsable de la sécurisation. Assurez-vous de maintenir votre inventaire en le mettant à jour lorsque de nouveaux appareils sont ajoutés ou supprimés, il n’y a donc pas de surprise lors de votre évaluation.

# 2 : Vérifiez ce qui fonctionne

Une fois que vous avez terminé l’inventaire d’un appareil, il est temps de faire la même chose pour les applications de logiciel et de micrologiciel. Découvrez ce qui s’exécute exactement sur chaque machine de votre réseau et ce qui doit réellement être exécuté pour exécuter les fonctions métier. Vous pouvez utiliser l’inventaire de votre appareil pour créer une liste de logiciels limitée et approuvée, approuvée pour l’exécution (appelée «liste blanche d’applications»). La liste blanche des applications peut empêcher les utilisateurs de télécharger et d’utiliser des logiciels en dehors de ce qui est nécessaire pour les applications métier.

# 3 : Appliquer le principe du moindre privilège

Le « principe du moindre privilège » est un concept de sécurité informatique précieux. Essentiellement, il favorise les privilèges de profil utilisateur minimal (par opposition à l’accès au niveau de la racine ou de l’administrateur), en fonction du rôle de l’utilisateur ou de ses fonctions. Ajuster les privilèges de l’utilisateur peut sembler limitatif au début, mais cela contribue grandement à empêcher le téléchargement et l’installation d’applications indésirables. Il entre également en jeu lorsqu’une machine a été compromise. Si un cyber-criminel obtient un accès non autorisé à une machine avec des privilèges limités, il sera capable de faire beaucoup moins de dégâts que si le système compromis avait des capacités au niveau de l’administrateur.

# 4 : Implémenter des configurations sécurisées

Les systèmes d’exploitation, les navigateurs et même les imprimantes sont tous dotés de divers paramètres qui doivent être configurés en tenant compte de la sécurité. En fait, un seul système d’exploitation peut avoir des centaines de paramètres à choisir, couvrant des choses comme les exigences de longueur de mot de passe, les ports qui sont ouverts et quand les utilisateurs sont autorisés à se connecter. Les Benchmarks CIS, des normes de configuration sécurisées basées sur le consensus pour plus de 150 technologies différentes, sont disponibles en téléchargement gratuit au format PDF.

# 5 : Patch, patch, patch !

À mesure que de nouvelles vulnérabilités sont découvertes, les fournisseurs publient des mises à jour (ou «correctifs») pour combler les failles de sécurité et rendre les applications plus sécurisées. Les cybercriminels recherchent des gains faciles et des fruits à portée de main, il est donc essentiel d’appliquer les correctifs au fur et à mesure qu’ils sont libérés afin de sécuriser vos systèmes. Un réseau entièrement patché impressionnera tout auditeur. Lorsqu’une application atteint la fin du support (parfois appelée fin de vie), le fournisseur arrête de libérer des correctifs. C’est à ce moment que vous savez qu’il est temps de passer à une version plus récente ou de trouver un autre logiciel pris en charge.

# 6 : Développer un plan de réponse aux incidents

Que se passe-t-il s’il y a une violation de données dans votre organisation ? Les employés savent-ils quoi faire s’ils repèrent (ou pire, deviennent la proie d’un courriel de phishing ? Surprenez votre auditeur en lui montrant que vous êtes prêt pour l’attaque éventuelle de vos systèmes. Les composantes de la planification de l’intervention en cas d’incident comprennent l’évaluation des risques, les tests de pénétration et la formation des employés. Vous devrez peut-être rédiger des stratégies écrites pour indiquer aux employés ce qu’ils doivent faire dans diverses situations, par exemple s’ils reçoivent un courrier électronique suspect, s’ils téléchargent accidentellement un fichier malveillant ou repèrent une menace interne.

# 7 : Utiliser les ressources disponibles

Ne laissez pas l’idée d’un audit de cybersécurité vous submerger. Profitez des outils qui peuvent faciliter ce processus du début à la fin. Des membres comme CIS SecureSuite fournissent un ensemble de ressources qui peuvent vous aider à analyser des systèmes et à produire un rapport sur la conformité d’un système, à implémenter rapidement des configurations sécurisées et à vous connecter avec d’autres experts en cybersécurité.

Accédez maintenant à un nombre illimité de mot de passe :
Découvrez nos logiciels de piratage