Vulnérabilité et exploits Zero Day
Les vulnérabilités logicielles peuvent être découvertes de différentes manières. Dans certains cas, la vulnérabilité est découverte en interne par le fabricant du logiciel ou signalée de manière éthique par un chercheur en sécurité externe. Dans d’autres, la vulnérabilité est découverte et exploitée par des cybercriminels.
La plupart des exploits Zero Day entrent dans cette deuxième catégorie. Dans ce cas, il y a une fenêtre entre l’exploitation publique de la vulnérabilité et la publication de défenses ciblées – sous la forme de signatures de logiciels malveillants ou d’une mise à jour logicielle. C’est ce que l’on appelle le « jour zéro » et c’est là que les vulnérabilités et les exploits zero-day obtiennent leur nom.
Exemples d'exploits Zero Day
Un exemple de vulnérabilité zero-day est un ensemble de vulnérabilités dans les serveurs Microsoft Exchange. Bien que Microsoft ait initialement découvert ces vulnérabilités, la lenteur des cycles de correctifs signifiait que de nombreux serveurs Exchange étaient encore vulnérables lorsque les cybercriminels ont commencé à exploiter ces vulnérabilités.
Hafnium est un exemple de logiciel malveillant qui tire parti de ces vulnérabilités Exchange. Il exploite ces vulnérabilités pour accéder à un serveur Exchange vulnérable et élever ses privilèges sur le système. Ce logiciel malveillant est conçu pour effectuer la collecte d’informations, en essayant de voler les informations d’identification et les e-mails des utilisateurs à partir de systèmes exploités.
Les défis de sécurité liés à Zero Day Exploits
Les vulnérabilités et les exploits zero-day sont une préoccupation importante pour le personnel de cybersécurité, car il est difficile de s’en défendre. Parmi les problèmes de sécurité liés aux exploits Zero Day, citons :
- Absence de signatures : De nombreuses solutions de cybersécurité, comme certains Systèmes de prévention des intrusions (IPS), s’appuient sur des signatures pour identifier et bloquer les logiciels malveillants et autres attaques. En ce qui concerne un exploit Zero Day, les chercheurs en cybersécurité n'ont pas encore eu l'occasion de développer et de publier la signature de l'exploit, ce qui signifie que ces solutions ne le voient pas.
- Développement lent des correctifs : Dans le cas d’un exploit zero-day, le processus de développement de correctifs commence lorsque la vulnérabilité devient publique (c’est-à-dire lorsque des attaques l’exploitant sont détectées dans la nature). Une fois que la vulnérabilité est devenue publique, le fabricant du logiciel doit comprendre la vulnérabilité et développer, tester et publier un correctif avant de pouvoir l’appliquer aux systèmes vulnérables. Au cours de ce processus, tout appareil non protégé est vulnérable à l’exploitation de cette vulnérabilité.
- Déploiement lent des correctifs : Même après la création d’un correctif, il faut du temps aux entreprises pour l’appliquer à leurs logiciels vulnérables. C’est pourquoi le logiciel malveillant Hafnium est toujours capable d’infecter l’appareil même après la mise à disposition d’un correctif par Microsoft.
Pour ces raisons, une approche réactive de la cybersécurité basée sur les signatures et les correctifs n’est pas efficace pour les vulnérabilités et les exploits zero-day. Les organisations doivent prévenir les attaques de manière proactive afin de bloquer ces nouveaux exploits.
Comment se protéger contre les exploits Zero Day
En ce qui concerne les exploits Zero Day, le principal problème auquel les organisations sont confrontées est le manque d'informations. Si une équipe de sécurité dispose d'informations concernant une menace en particulier, des solutions de sécurité peuvent être configurées pour la bloquer. Cependant, accéder à ces informations et les diffuser via l'architecture de sécurité d'une organisation constitue un défi majeur pour de nombreuses organisations.
Une protection efficace contre le jour zéro nécessite une architecture de sécurité dotée des fonctionnalités suivantes :
- Consolidation : De nombreuses organisations s'appuient sur un ensemble désagrégé de solutions de sécurité ponctuelles, difficiles à utiliser et à gérer. La consolidation de la sécurité garantit que, une fois qu'une menace « jour zéro » est découverte, l'ensemble de l'architecture de sécurité de l'organisation peut l'identifier et y répondre de manière coordonnée.
- Threat Prevention Engines : Les moteurs de prévention des menaces sont des solutions de détection spécialisées conçues pour identifier les fonctionnalités et les techniques d’attaque courantes des logiciels malveillants. Par exemple, un moteur de prévention des menaces peut effectuer une inspection Processeur pour détecter la programmation orientée retour (ROP) ou rechercher du code réutilisé à partir d’un logiciel malveillant connu.
- renseignements sur les menaces : L’information est cruciale dans la lutte contre les exploits zero-day. L’accès à une source de renseignements sur les menaces de haute qualité permet à une organisation d’apprendre de l’expérience des autres et de se renseigner sur les menaces zero-day avant qu’elles ne soient ciblées.
L’approche de Check Point, axée sur la prévention, est le seul moyen de se protéger efficacement contre les menaces inconnues telles que les exploits zero-day. ThreatCloud IA est la plus grande base de données de renseignements sur les cybermenaces au monde et traite en moyenne 86 milliards de transactions par jour. Cela lui permet d'identifier chaque jour environ 7 000 menaces jusque-là inconnues, ce qui permet aux organisations de détecter et de bloquer ces exploits Zero Day contre leurs systèmes.
ThreatCloud IA s’appuie sur l’intelligence artificielle (IA) pour traiter les données et détecter les menaces. Pour en savoir plus sur l’importance de l’IA pour la détection des exploits zero-day, consultez ce livre blanc. Vous pouvez également vous inscrire à une démo pour voir comment les solutions Protection avancée des postes de Check Point peuvent protéger le personnel à distance de votre organisation contre les menaces zero-day.
Commentaires