La double extorsion est devenue la norme : les données sont copiées avant d’être chiffrées, et la publication est menacée. Cela change la fenêtre de détection utile.
L’exfiltration précède le chiffrement de plusieurs heures à plusieurs jours. C’est la dernière occasion d’agir avant que l’incident ne devienne public.
Les architectures filtrent rigoureusement ce qui entre et laissent sortir librement. Trois raisons à cela.
La première est historique : le modèle de sécurité périmétrique s’est construit contre l’intrusion, pas contre la fuite.
La deuxième est pratique : restreindre le sortant casse des choses. Une application qui appelle une interface externe non documentée cesse de fonctionner, et personne ne sait pourquoi.
La troisième est technique : le trafic est chiffré, donc le contenu est invisible sans interception, avec les arbitrages juridiques que cela suppose.
Résultat : sur la plupart des parcs que nous auditons, un serveur applicatif peut joindre n’importe quelle adresse sur Internet, ce qui n’a aucune justification métier.
C’est le signal le plus simple et le plus robuste. Une machine qui envoie soudainement dix fois son volume habituel est une anomalie, quel que soit le contenu.
La difficulté n’est pas la mesure, c’est la référence : sans historique de ce qui est normal pour cette machine, on ne peut pas qualifier l’écart. D’où l’intérêt d’une base comportementale — voir ce que l’analyse comportementale apporte.
Une connexion vers un service de stockage grand public depuis un serveur de production n’a pas de raison d’être. Les attaquants privilégient précisément les destinations légitimes pour se fondre dans le trafic.
La journalisation DNS suffit à repérer ces résolutions, sans rien déchiffrer.
Un transfert important lancé un samedi à trois heures depuis une machine dont l’usage est diurne et ouvré est un signal fort, avec très peu de faux positifs.
Une connexion maintenue plusieurs heures, ou des connexions courtes à intervalles réguliers vers la même destination, sont caractéristiques d’un canal de commande.
L’exfiltration par requêtes DNS reste utilisée parce que ce protocole est rarement filtré : requêtes anormalement longues, sous-domaines aléatoires, volume inhabituel vers un même domaine.
La détection vaut mieux que rien, mais la restriction est plus efficace.
Pour les serveurs, le principe devrait être l’interdiction par défaut du sortant vers Internet, avec des autorisations explicites : dépôts de mises à jour, interfaces partenaires identifiées, services de temps. Un serveur applicatif n’a en principe aucune raison d’initier une connexion arbitraire.
C’est la mesure la plus rentable du domaine, et l’une des moins appliquées. Elle transforme une compromission exploitable en compromission bloquée, et génère une alerte immédiate.
Pour les postes, la restriction est plus délicate, mais le filtrage par réputation et par catégorie reste applicable, avec un blocage explicite qui produit un signal.
Même séquence que pour la segmentation, et pour les mêmes raisons :
Sauter la première étape garantit l’incident et l’abandon du projet.
Reprenons les phases décrites dans la chronologie d’une attaque. L’exfiltration intervient après la neutralisation des sauvegardes et avant le chiffrement.
La détecter permet trois choses :
Ce dernier point est sous-estimé. Une organisation qui sait dire quelles données sont sorties notifie précisément. Celle qui l’ignore notifie au pire, avec les conséquences de réputation correspondantes.
Les services de partage personnels utilisés par des salariés — voir le shadow IT.
La messagerie : pièces jointes volumineuses vers des adresses externes, transferts automatiques vers une boîte personnelle. Une règle de transfert créée discrètement est un classique de l’exfiltration interne.
Les supports amovibles, qui échappent totalement à la surveillance réseau.
Les assistants IA, où le contenu part par un canal parfaitement légitime.
Une surveillance qui ne couvre que le réseau rate l’essentiel de ces cas.
Surveiller les flux sortants des postes revient à observer l’activité de salariés identifiés. Les obligations d’information, de proportionnalité, de durée de conservation et de restriction d’accès s’appliquent — voir l’article 32.
La surveillance des flux serveurs ne pose pas les mêmes questions et peut être mise en œuvre plus largement. C’est aussi là que le gain est le plus élevé : commencer par les serveurs est à la fois plus efficace et plus simple juridiquement.
ISO/IEC 27002:2022 traite le sujet par les mesures 8.12 (prévention des fuites de données, nouveauté de la révision 2022), 8.16 (activités de surveillance), 8.20 et 8.22.
La mesure 8.12 est l’une des plus mal traitées en audit de transition, parce qu’elle suppose un dispositif réel et pas une procédure.
La restriction des flux relève de nos missions de sécurité réseau et d’orchestration des politiques. La détection et la qualification relèvent de l’infogérance SOC.
Un incident majeur ne se déclenche pas aux heures ouvrées. Les attaquants choisissent le vendredi soir et les veilles de jours fériés, précisément parce que la réaction sera lente. L’astreinte ...
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
