Jean-Philippe Racine

Comment surveiller efficacement d’éventuelle brèche sur mon entreprise?

Au-delà de surveiller le dark web, ce qu’il faut déjà comprendre, c’est que ce n’est pas uniquement via le dark web que l’information peut fuiter. Parfois cela peut être rendu public directement sur le web, mais il est également possible de « reconstruire » des données en trouvant de l’information sur diverses sources de données et en les croisant. Une méthode reconnue dans le marché pour trouver ces données s’appelle OSINT, soit l’open source intelligence.

Qu’est-ce que l’OSINT exactement? L’OSINT permet la recherche d’information sur une ou des cibles. Ces cibles peuvent être des entreprises, des organismes ou tout simplement des personnes. L’OSINT se sert d’informations accessibles du public, en plus de l’information du dark web. Voici quelques exemples:

• Médias, articles de journaux, magazines et rapports de presse;
• Travaux de recherches publiés;
• Articles de blogues, livres et autres documents de référence;
• Activités sur les réseaux sociaux comme Facebook et LinkedIn;
• Bases de données de divulgation de compromissions;
• Données de recensement du gouvernement;
• Répertoires de contact et de numéros de téléphone;
• Informations sur des certificats SSL/TLS ou des noms de domaines;
• Décisions de justice et plumitifs;
• Informations concernant des transactions publiques et enquêtes publiques;
• Informations de géolocalisation de diverses sources (ex. photos);
• Indicateurs de cyberattaques partagés publiquement, tels que les adresses IP, les noms de domaine et les hachages de fichiers;
• Données sur les vulnérabilités des applications ou systèmes.

Les tests OSINT dans un contexte corporatif permettent notamment de vérifier la santé de votre sécurité opérationnelle. Par la suite, vous pouvez orienter vos systèmes de défense en fonction des informations recueillies lors des tests. Bien qu’un test OSINT peut sembler moins important qu’un test d’intrusion, il est tout autant important puisque dans beaucoup de cas, les attaques n’auraient pas été réussies sans les tests OSINT. Cela nous permet donc d’être beaucoup plus du côté «prévention» que «réaction».

Mise en situation: 

1. Une entreprise demande un test OSINT. Lors du test OSINT, nous découvrons qu’un employé fait partie de plusieurs fuites de données par l’entremise de son courriel professionnel. Ensuite, parmi les fuites de données, nous pouvons voir que certaines fuites font partie de sites et d’applications en tout genre qui n’ont aucun lien avec l’emploi qu’il occupe. Tout d’abord, il faudra que la personne change ses mots de passe corporatifs afin de s’assurer qu’il n’utilisait pas le même mot de passe pour ses comptes corporatifs que pour les sites et applications personnels. Par la suite, si ce n’est pas déjà en place, une des recommandations sera d’établir une politique d’utilisation des ressources informationnelles qui mentionne que les courriels professionnels ne devraient servir qu’à ouvrir des comptes à des fins professionnelles. La politique des mots de passe devrait également demander à chaque employé d’avoir un mot de passe différent pour chaque site (les gestionnaires de mots passe sont là pour ça). Ainsi, même si les identifiants d’un employé (courriel/mot de passe) se retrouvent dans une fuite de données, il aura uniquement à changer son mot de passe sur ce site.

2. Pendant le test, nous découvrons des fuites de données. Parmi les fuites, nous pouvons voir qu’un employé utilise souvent le même modèle de mot de passe (Nom de l’entreprise 01, 02, 03, etc.). Une brève recherche sur LinkedIn nous permet de comprendre que l’employé en question est aussi administrateur système pour l’entreprise. Trouver le mot de passe de l’employé sera aisé et rapide et un attaquant, en compromettant ce compte, pourrait se retrouver administrateur du domaine de votre entreprise (aka il aurait les clés du palais). Une des recommandations sera alors de procéder à la mise en place de l’authentification en 2 étapes et d’un gestionnaire de mots de passe en mesure de générer des mots de passe sécuritaires et variés.