Comment puis-je prévenir les infections par des infostealers ?

La prévention des infections par des infostealers peut se décomposer en deux étapes clés. Si la première étape est généralement relativement simple, la seconde est souvent beaucoup plus complexe.

Appareils gérés bien sécurisés
Les appareils gérés au sein des organisations sont généralement équipés de solutions de sécurité professionnelles telles que l’EDR/XDR (Endpoint/Extended Detection and Response). Ces systèmes sont conçus pour détecter et neutraliser rapidement les infostealers connus comme nouveaux. Toutefois, il est important de s’assurer que les mesures de sécurité existantes sont à jour et fonctionnent de manière optimale. S’il existe une marge d’amélioration, renforcez vos couches de sécurité afin de garder une longueur d’avance sur les nouvelles menaces.‍

1. Aucun accès depuis des appareils non gérés vers les environnements internes
   ‍Il s’agit souvent d’un enjeu plus complexe et plus difficile à gérer. Les ordinateurs portables personnels des employés et les ordinateurs des prestataires externes accèdent souvent aux systèmes internes, mais ne bénéficient pas du même niveau de sécurité strict que les appareils gérés. Cela fait de ces appareils un point faible difficile à maîtriser. Les appareils non gérés sont plus vulnérables aux infections par des infostealers, ce qui augmente le risque de fuites de données.

Tant que l’accès depuis des appareils non gérés n’est pas totalement éliminé, l’organisation reste vulnérable aux infections par des infostealers. Cependant, plusieurs mesures peuvent être mises en place pour réduire considérablement ce risque.

‍

Restreindre l’accès depuis les appareils (VDI ou navigateur sécurisé)

Une mesure efficace pour réduire les risques liés aux infostealers consiste à mettre en place une infrastructure de bureau virtuel (VDI), par exemple Citrix ou VMware. La VDI permet aux employés et aux parties externes de travailler dans un environnement virtuel. Cela signifie qu’il n’y a pas d’accès direct aux systèmes internes depuis l’appareil local ; l’accès se fait via la VDI. Son principal avantage est que les sessions ne peuvent pas être transférées vers l’appareil local, ce qui réduit fortement le risque de détournement de session.

Cependant, le niveau de protection que la VDI offre contre les infostealers dépend fortement de sa configuration. Des facteurs tels que le stockage des données sur les appareils locaux et les paramètres de gestion des sessions sont essentiels à l’efficacité de cette solution.

En outre, l’utilisation de navigateurs sécurisés, comme Amazon Workspaces Secure Browser, apporte une couche de protection supplémentaire contre les infostealers. Comme pour la VDI, le niveau de protection dépend de la configuration du navigateur sécurisé. Le navigateur réduit le risque en confinant les infections dans un environnement contrôlé, sans accès direct aux systèmes locaux ou de l’entreprise.

Réduire la durée de validité des sessions

Une autre stratégie pour limiter l’impact des infostealers consiste à réduire la durée de validité des jetons de session. Les jetons de session se vendent sur les places de marché des infostealers, car ils permettent aux attaquants d’accéder aux systèmes sans avoir besoin de mot de passe. Plus la durée de session est courte, moins les attaquants ont de chances d’utiliser avec succès des jetons volés.

Pour les jetons de session des applications installées sur les appareils, des mesures supplémentaires peuvent être mises en place afin de limiter la validité des jetons en fonction de la localisation géographique et du moment. Microsoft propose plusieurs options de sécurité robustes, telles que la mise en œuvre de la protection des jetons et la restriction de la réutilisation des jetons à des environnements réseau spécifiques. Ces mesures contribuent à réduire le risque que des attaquants exploitent ces jetons en dehors des environnements autorisés. Vous souhaitez en savoir plus ? Consultez cet article de Microsoft. Il est important de noter, toutefois, que ces mesures ne s’appliquent pas aux attaques de rejeu de session impliquant des sessions basées sur le navigateur.

Surveillance des infostealers‍

Même avec toutes ces mesures de sécurité, certains infostealers peuvent encore passer inaperçus et accéder aux systèmes internes. Il est donc crucial de surveiller en continu si des appareils infectés sont mis en vente sur les places de marché des infostealers, comme proposé par Passguard. La surveillance des places de marché des infostealers permet de détecter la vente de données volées. Cela permet aux organisations d’identifier rapidement les appareils infectés et de déterminer quels accès ou quelles données ont été compromis. C’est une occasion précieuse de réagir rapidement avant que des dommages plus importants ne surviennent.

‍

Sensibilisation

Envisagez d’intégrer la dimension humaine des risques liés aux infostealers dans vos campagnes de sensibilisation. De nombreux employés ne sont pas conscients des risques associés à l’utilisation d’appareils personnels à des fins professionnelles. Une campagne de sensibilisation efficace peut aider à informer les employés de ces dangers. Il est important de les informer des risques liés au téléchargement de logiciels illégaux et à l’utilisation d’appareils personnels pour se connecter aux systèmes de l’entreprise.

Conclusion

Tant que l’accès depuis des appareils non gérés n’est pas totalement exclu, votre organisation reste vulnérable aux infections par des infostealers. Heureusement, plusieurs mesures permettent de réduire ce risque, comme la VDI, les navigateurs sécurisés, la réduction de la durée des sessions et la protection des jetons. En outre, la surveillance des infostealers permet d’évaluer en continu si vos mesures de sécurité sont efficaces.

La surveillance des infostealers est précieuse, car elle fournit des indications sur l’efficacité de votre sécurité. Si peu de nouvelles infections surviennent après la mise en œuvre des mesures, ou si aucune activité suspecte n’est détectée depuis de nouveaux appareils, c’est un bon signe que votre stratégie de sécurité fonctionne. En revanche, si vous constatez des infections graves, c’est un signal clair indiquant qu’il faut envisager des mesures supplémentaires et renforcer davantage votre sécurité. Il vous appartient de trouver le juste équilibre entre la réduction des risques et le maintien des fonctionnalités au sein de votre organisation