{"id":5337,"date":"2021-12-05T13:14:38","date_gmt":"2021-12-05T13:14:38","guid":{"rendered":"https:\/\/www.e-xpertsolutions.com\/?p=5337"},"modified":"2025-03-25T14:24:41","modified_gmt":"2025-03-25T14:24:41","slug":"soc-at-defense-en-2021","status":"publish","type":"post","link":"https:\/\/www.e-xpertsolutions.com\/de\/soc-at-defense-en-2021\/","title":{"rendered":"SOC AT-Defense en 2021"},"content":{"rendered":"

[et_pb_section fb_built=”1″ _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_row admin_label=”Post Navigation Top” _builder_version=”4.16″ _module_preset=”default” custom_padding=”0px||15px||false|false” collapsed=”on” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ _module_preset=”default” custom_css_main_element=”height: 90px;” global_colors_info=”{}”][et_pb_code admin_label=”Menu Button” _builder_version=”4.16″ _module_preset=”default” positioning=”absolute” position_origin_a=”top_center” vertical_offset=”28px” z_index=”1″ width=”35px” custom_css_main_element=”font-size: 35px;” global_colors_info=”{}”]<\/i><\/a>[\/et_pb_code][et_pb_post_nav in_same_term=”on” module_class=”tmp-post-navigation tmp-post-navigation-top” _builder_version=”4.16″ _module_preset=”default” title_text_color=”#000000″ title_font_size=”18px” positioning=”absolute” position_origin_a=”center_center” width=”100%” custom_padding=”0px||||false|false” global_colors_info=”{}” title_text_color__hover_enabled=”on|hover” title_text_color__hover=”#F15D22″][\/et_pb_post_nav][et_pb_divider color=”#F15D22″ divider_position=”bottom” _builder_version=”4.16″ _module_preset=”default” positioning=”absolute” position_origin_a=”bottom_center” width=”100%” global_colors_info=”{}”][\/et_pb_divider][\/et_pb_column][\/et_pb_row][et_pb_row _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_post_title meta=”off” featured_image=”off” _builder_version=”4.16″ _module_preset=”default” title_text_color=”#F15D22″ global_colors_info=”{}”][\/et_pb_post_title][\/et_pb_column][\/et_pb_row][et_pb_row _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ _module_preset=”default” global_colors_info=”{}”][et_pb_text _builder_version=”4.24.1″ _module_preset=”default” text_font=”|300|||||||” text_orientation=”justified” global_colors_info=”{}”]<\/p>\n

L\u2019ann\u00e9e 2021 a \u00e9t\u00e9 marqu\u00e9e par la publication de nombreuses vuln\u00e9rabilit\u00e9s. On peut citer entre autres les vuln\u00e9rabilit\u00e9s li\u00e9es au service Microsoft Exchange qui a connu \u00e0 lui seul la publication de huit CVE r\u00e9parties sur la p\u00e9riode de Mars \u00e0 Ao\u00fbt 2021. Ces derni\u00e8res portaient les noms de ProxyLogon (CVE-2021-26855, CVE-2021-26858, CVE-2021-26857, et CVE-2021-27065) et Proxy Shell (CVE-2021-34473, CV-2021-34523, CVE-2021-31207). Ces vuln\u00e9rabilit\u00e9s permettent la prise de contr\u00f4le et l\u2019ex\u00e9cution de codes arbitraires sur n\u2019importe quel serveur Exchange expos\u00e9 sur Internet, qui plus est\u00a0: sans authentification. \u00a0Via l\u2019architecture des serveurs Exchange, ces failles donnent la possibilit\u00e9 d\u2019\u00e9lever ses privil\u00e8ges au niveau d\u2019administrateur de domaine (niveau le plus \u00e9lev\u00e9 d\u2019autorisation dans le domaine). Ces vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 massivement exploit\u00e9es par diff\u00e9rents groupes d\u2019attaquants aux motivations diverses\u00a0: financi\u00e8res via le vol de donn\u00e9es et le d\u00e9ploiement de Ransomware ou \u00e9tatiques. Par ailleurs, cela constitue \u00e9galement une porte d\u2019entr\u00e9e formidable pour des attaquants du fait l\u2019exposition quasi obligatoire de ces environnements et la d\u00e9faillance des processus de gestion des vuln\u00e9rabilit\u00e9s d\u2019autre part. Dans le cas de ProxyLogon par exemple, Microsoft a publi\u00e9 un correctif le 2 Mars 2021. Dans notre SOC \u00ab\u00a0at-Defense\u00a0\u00bb, nous avons constat\u00e9 des attaques sur nos clients d\u00e8s le 3 Mars 2021 alors qu\u2019il n\u2019existait pas encore de code d\u2019exploitation officiellement publi\u00e9. Cette observation d\u00e9montre bien la complexit\u00e9 du processus de gestion des vuln\u00e9rabilit\u00e9s et de leur suivi qui doivent \u00eatre effectu\u00e9s en \u00ab\u00a0temps r\u00e9el\u00a0\u00bb pour pr\u00e9venir ces attaques dans des fen\u00eatres de temps extr\u00eamement courtes. Et oui\u00a0: les attaquants n\u2019attendent pas les r\u00e9unions d\u2019appr\u00e9ciation de risques et les Change Advisory Board pour lancer leurs m\u00e9faits\u00a0! Cette p\u00e9riode a \u00e9t\u00e9 extr\u00eamement charg\u00e9e pour nos \u00e9quipes. Outre la charge de travail induite sur notre service de monitoring des menaces (MSS \u00ab\u00a0At-Defense\u00a0\u00bb), nous \u00e9tions \u00e9galement contact\u00e9s par des entreprises qui n\u2019\u00e9taient pas sous notre surveillance. D\u00e9clenchant ainsi des op\u00e9rations de r\u00e9ponses \u00e0 incident en urgence absolue et des investigations post-mortem (aka forensique). Et cela, plusieurs semaines apr\u00e8s la publication des failles\u00a0; les clients se rendant compte de la compromission en g\u00e9n\u00e9rale par la pr\u00e9sence d\u2019un ransomware. Sur l\u2019ensemble des investigations effectu\u00e9es, nous avons not\u00e9 un nombre important d\u2019attaquants avec des motivations diverses et vari\u00e9es qui se promenaient all\u00e8grement sur le parc des clients en prenant le contr\u00f4le du domaine, exfiltrant des donn\u00e9es et une fois \u00ab\u00a0termin\u00e9\u00a0\u00bb d\u00e9ployaient un ransomware pour augmenter leur profit.<\/p>\n

Microsoft a quelque peu sem\u00e9 le trouble \u2026 Apr\u00e8s une communication bien fournie sur la faille de mars, un grand nombre d\u2019entreprises, ont pris conscience de l\u2019urgence, et ont pu se pr\u00e9parer afin d\u2019\u00e9viter le pire. Cependant, celle-ci a laiss\u00e9 passer la faille publi\u00e9e en ao\u00fbt (presque identique en termes d\u2019impact) comme quasiment \u00ab\u00a0inaper\u00e7ue\u00a0\u00bb, laissant de nombreuses entreprises vuln\u00e9rables pendant une large fen\u00eatre de temps. Lors de nos travaux de r\u00e9ponses aux incidents, nous demandions quand le patch Exchange avait \u00e9t\u00e9 appliqu\u00e9. La r\u00e9ponse \u00e9tait syst\u00e9matiquement\u00a0: mars 2021. Ces m\u00eames entreprises \u00e9taient donc bien expos\u00e9es \u00e0 la nouvelle faille parue en ao\u00fbt.<\/p>\n

Notre \u00e9quipe a eu l\u2019opportunit\u00e9 de travailler avec des entreprises concern\u00e9es par l\u2019affaire des \u00ab\u00a0Pandora papers\u00a0\u00bb – 11.9 millions de documents fuit\u00e9s et communiqu\u00e9s \u00e0 l\u2019International Consortium of Investigative Journalists (ICIJ). Des investigations forensiques effectu\u00e9es pour ces m\u00eames clients dans le cadre d\u2019attaque par ransomware sur la p\u00e9riode d\u2019octobre, nous ont permis de constater que ces clients \u00e9taient \u00e9galement impact\u00e9s par les failles Exchange. De m\u00eame, nos \u00e9quipes ont pu retrouver des traces d\u2019exploitations et de vols de donn\u00e9es av\u00e9r\u00e9es en ao\u00fbt 2021 sur au moins trois clients. Dans ces conditions, d\u00e8s lors que le consortium de journaliste (ICIJ) disposait des informations d\u00e8s le mois de septembre le lien de la fuite de donn\u00e9es \u00e0 travers l\u2019exploitation de cette faille ne peut \u00eatre compl\u00e8tement \u00e9cart\u00e9\u2026<\/p>\n

[\/et_pb_text][et_pb_text _builder_version=”4.24.1″ _module_preset=”default” header_font=”|300|||||||” header_text_color=”#F15D22″ global_colors_info=”{}”]<\/p>\n

R\u00e9ponse aux incidents et forensique<\/h1>\n

[\/et_pb_text][et_pb_text _builder_version=”4.24.1″ _module_preset=”default” text_font=”|300|||||||” text_orientation=”justified” global_colors_info=”{}”]Au sein de nos op\u00e9rations \u00ab at-Defense \u00bb, le r\u00f4le de nos experts en r\u00e9ponse aux incidents et analyses forensiques est primordial. On constate souvent que lors d\u2019incident de type ransomware, les services IT effectuent une restauration de l\u2019environnement (lorsque les sauvegardes sont encore accessibles) \u00e0 une date post\u00e9rieure \u00e0 l\u2019ult\u00e9rieure. Cette approche ne fonctionne pas. En effet, si pendant un cambriolage le voleur r\u00e9cup\u00e8re le double des cl\u00e9s, vous pouvez changer la fen\u00eatre, ce dernier aura toujours la capacit\u00e9 de revenir.<\/p>\n

La r\u00e9ponse aux incidents est un m\u00e9tier qui demande des comp\u00e9tences d\u2019analyses \u00e9volu\u00e9es, tant sur les aspects offensifs que d\u00e9fensifs, ainsi qu\u2019un maintien continu des connaissances des sch\u00e9mas d\u2019attaque et de d\u00e9fense. Les \u00ab Incident Responders \u00bb interviennent apr\u00e8s une constatation d\u2019incident ou un doute. Ils assistent le client souvent pendant plusieurs jours dans la rem\u00e9diation correcte de son incident tout en fournissant un rapport et des conseils sur les impl\u00e9mentations \u00e0 effectuer pour se pr\u00e9munir de ces attaques. Ce travail de fourmis d\u00e9marre d\u2019une machine compromise pour retrouver le \u00ab patient z\u00e9ro \u00bb, la m\u00e9thode d\u2019intrusion initiale, les mouvements internes qu\u2019il y a pu avoir entre les machines, les persistances laiss\u00e9es par l\u2019attaquant, les outils utilis\u00e9s par l\u2019attaquant, le niveau de privil\u00e8ges et d\u2019acc\u00e8s dont disposaient les attaquants, les donn\u00e9es exfiltr\u00e9es etc.<\/p>\n

Chez e-Xpert Solutions, nous privil\u00e9gions syst\u00e9matiquement un contr\u00f4le \u00e0 quatre yeux, impliquant deux analystes. La communication interne avec le board de direction ou conseil d\u2019administration est un autre \u00e9l\u00e9ment sensible dans lequel le sp\u00e9cialiste forensique contribue en apportant de pr\u00e9cieux conseils tant sur la bonne d\u00e9marche de retour en production que sur la communication avec les tiers (clients externes, partenaires, NCSC, organes de police, etc.)<\/p>\n

Sans cette investigation avanc\u00e9e, repartir en production \u00e0 partir d\u2019une simple sauvegarde est le chemin assur\u00e9 vers un nouvel incident dans les jours qui suivent. \u00c0 ce jour, nous n\u2019avons jamais eu \u00e0 revenir chez un client apr\u00e8s une r\u00e9ponse aux incidents.<\/p>\n

Dans la panique, et sans doute par m\u00e9connaissances, nous observons r\u00e9guli\u00e8rement des entreprises qui s\u2019adressent \u00e0 des \u00e9diteurs de solutions (tels que des vendeurs d\u2019antivirus) de s\u00e9curit\u00e9 pour leurs r\u00e9ponses aux incidents. L\u2019approche d\u2019un \u00e9diteur diff\u00e8re de mani\u00e8re significative de celle des analystes et consistera en g\u00e9n\u00e9ral en un traitement sympt\u00f4matique plut\u00f4t que d\u2019identifier la \u00ab root cause \u00bb de l\u2019attaque. Vulgairement dit, ils appliqueront un sparadrap sur la blessure plut\u00f4t que d\u2019en soigner la cause, en d\u00e9ployant un produit \u00ab miracle \u00bb, qui au passage, d\u00e9truit r\u00e9guli\u00e8rement les preuves primordiales \u00e0 une investigation polici\u00e8re ou permettant simplement de remonter \u00e0 la source de l\u2019attaque.[\/et_pb_text][et_pb_text _builder_version=”4.24.1″ _module_preset=”default” text_font=”|300|||||||” header_font=”|300|||||||” header_text_color=”#F15D22″ header_line_height=”1.4em” text_orientation=”justified” global_colors_info=”{}”]<\/p>\n

Un SOC peut-il aider les entreprises \u00e0 se pr\u00e9munir de ces probl\u00e8mes\u00a0?<\/h1>\n

Un Security Operations Center (ou SOC) tient un r\u00f4le fondamental\u00a0: il a la charge de pr\u00e9venir, d\u00e9tecter et r\u00e9pondre aux incidents de s\u00e9curit\u00e9. Si votre SOC effectue son travail correctement, la partie analyse forensique approfondie (analyse disque, m\u00e9moire, etc) ne devrait jamais avoir lieu puisque la menace sera d\u00e9tect\u00e9e suffisamment t\u00f4t et, ainsi, le risque pr\u00e9venu.<\/p>\n

Tr\u00e8s concr\u00e8tement le SOC repose sur plusieurs principes simples\u00a0:<\/p>\n