Il est souvent aisé pour un hacker de contourner les défenses communément rencontrées en entreprise (anti-spam, anti-virus). En effet, la plupart des réseaux d’entreprises ne sont pas conçus ni gérés pour détecter et stopper les attaques dites ciblées qui sont orchestrées par des humains.
Pour détecter et éradiquer ces menaces, il vous faudra mettre en œuvre des solutions de sécurité capables de vous aider à repérer ce qui est suspect au sein de votre environnement informatique :
Anomalies relatives au trafic réseau interne et internet :
- Est-ce qu’un serveur se connecte à une IP internet inconnue ?
- Est-ce qu’un ordinateur réalise un grand nombre de requêtes DNS ?
- Est-ce qu’un système communique avec une IP identifiée comme malicieuse par une des nombreuses bases de données répertoriant les menaces (threat intelligence) ?
- Etc.
L’analyse du trafic réseau permet de détecter des menaces
Anomalies relatives aux logs d’authentification et logs transactionnels :
- Est-ce qu’une adresse IP russe se connecte au VPN avec les identifiants d’un employé Français ?
- Est-ce qu’un administrateur se connecte la nuit pour administrer des serveurs critiques ?
- Est-ce qu’un technicien informatique se connecte à l’ordinateur de votre PDG ?
- Est-ce que de nombreux achats e-commerce ont été réalisés à partir d’une même IP mais avec des cartes de crédit différentes ?
- Etc.
Anomalies relatives aux configurations et comportements de vos systèmes :
- Est-ce que des programmes suspects sont automatiquement exécutés lors du démarrage d’un système ?
- Est-ce que des programmes bureautiques (Word, Outlook, Excel, PDF, etc.) ont subitement un comportement anormal sur un ordinateur ?
- Est-ce que des utilisateurs normaux exécutent sur leurs ordinateurs des commandes normalement utilisées par des administrateurs (powershell.exe, ping.exe, net.exe, etc.) ?
- Est-ce que des comptes locaux ont été créés pour conserver des accès ?
- Etc.
L’analyse des comportements des ordinateurs permet de détecter des attaques ne pouvant être détectées par des antivirus traditionnels. Ici un document PDF est exploité par un hacker afin d’exécuter des commandes malicieuses.
Analyse du trafic réseau :
Analyse des logs :