Une attaque active est une cyberattaque dangereuse car elle tente de modifier les ressources ou les opérations de votre réseau informatique. Les attaques actives entraînent souvent des pertes de données non détectées, des atteintes à la marque et un risque accru d'usurpation d'identité et de fraude.
Les attaques actives représentent la menace la plus prioritaire à laquelle sont confrontées les entreprises aujourd'hui. Heureusement, il y a des choses que vous pouvez faire pour prévenir ces attaques et en atténuer les effets si elles se produisent.
Que sont les attaques actives ?
Lors d'une attaque active, les pirates exploitent les faiblesses du réseau de la cible pour accéder aux données qu'il contient. Ces acteurs de la menace peuvent tenter d'injecter de nouvelles données ou de contrôler la diffusion des données existantes.
Les attaques actives impliquent également de modifier les données de l'appareil de la cible. Ces changements vont du vol d'informations personnelles à une prise de contrôle complète du réseau. Vous êtes souvent alerté que le système a été compromis car ces attaques sont facilement détectables, mais les arrêter une fois qu'elles ont commencé peut être assez difficile.
Les petites et moyennes entreprises, communément appelées PME, sont généralement les principales victimes des attaques actives. En effet, la plupart des PME n'ont pas les ressources nécessaires pour se procurer des mesures de cybersécurité haut de gamme. Et comme les attaques actives continuent d'évoluer, ces mesures de sécurité doivent être mises à jour régulièrement, sinon elles laissent le réseau vulnérable aux attaques avancées.
Comment fonctionne une attaque active ?
La première chose que les acteurs de la menace feront après avoir identifié la cible est de rechercher les vulnérabilités au sein du réseau de la cible. Il s'agit d'une étape préparatoire au type d'attaque qu'ils prévoient.
Ils utilisent également des scanners passifs pour obtenir des informations sur le type de programmes exécutés sur le réseau de la cible. Une fois les faiblesses découvertes, les pirates peuvent utiliser l'une des formes d'attaques actives suivantes pour saper la sécurité du réseau :
1. Attaque de piratage de session
Dans un attaque de détournement de session, également appelées relecture de session, attaques de lecture ou attaques de relecture, les acteurs de la menace copient les informations d'identification de session Internet de la cible. Ils utilisent ces informations pour récupérer les identifiants de connexion, usurper l'identité des cibles et voler d'autres données sensibles de leurs appareils.
Cette usurpation d'identité se fait à l'aide de cookies de session. Ces cookies fonctionnent avec le protocole de communication HTTP pour identifier votre navigateur. Mais ils restent dans le navigateur après la déconnexion ou la fin de la session de navigation. Il s'agit d'une vulnérabilité que les pirates exploitent.
Ils récupèrent ces cookies et trompent le navigateur en lui faisant croire que vous êtes toujours en ligne. Désormais, les pirates peuvent obtenir toutes les informations qu'ils souhaitent à partir de votre historique de navigation. Ils peuvent facilement obtenir les détails de la carte de crédit, les transactions financières et les mots de passe du compte de cette façon.
Il existe d'autres moyens pour les pirates d'obtenir l'ID de session de leur cible. Une autre méthode courante consiste à utiliser des liens malveillants, menant à des sites avec un identifiant prêt à l'emploi que le pirate peut utiliser pour détourner votre session de navigation. Une fois saisis, les serveurs n'auraient aucun moyen de détecter une différence entre l'ID de session d'origine et l'autre répliqué par les acteurs de la menace.
2. Attaque par modification de message
Ces attaques sont principalement basées sur les e-mails. Ici, l'auteur de la menace modifie les adresses de paquets (contenant l'expéditeur et l'adresse du destinataire) et envoie le courrier à un endroit complètement différent ou modifie le contenu pour entrer dans la cible réseau.
Les pirates réquisitionnent le courrier entre la cible et une autre partie. Lorsque cette interception est terminée, ils ont la liberté d'effectuer n'importe quelle opération dessus, y compris l'injection de liens malveillants ou la suppression de tout message à l'intérieur. Le courrier continuera alors son voyage, la cible ne sachant pas qu'il a été falsifié.
3. Attaque de mascarade
Cette attaque exploite les faiblesses du processus d'authentification du réseau de la cible. Les acteurs de la menace utilisent des informations de connexion volées pour se faire passer pour un utilisateur autorisé, en utilisant l'identifiant de l'utilisateur pour accéder à leurs serveurs ciblés.
Dans cette attaque, l'auteur de la menace, ou mascarade, pourrait être un employé de l'organisation ou un pirate informatique utilisant une connexion au réseau public. Des processus d'autorisation laxistes pourraient permettre l'entrée de ces attaquants, et la quantité de données auxquelles ils auraient accès dépend du niveau de privilège de l'utilisateur usurpé.
La première étape d'une attaque par mascarade consiste à utiliser un renifleur de réseau pour obtenir des paquets IP des appareils de la cible. Ces adresses IP usurpées tromper les pare-feu de la cible, les contourner et accéder à leur réseau.
4. Attaque par déni de service (DoS)
Dans cette attaque active, les acteurs de la menace rendent les ressources réseau indisponibles pour les utilisateurs autorisés prévus. Si vous subissez une attaque DoS, vous ne pourrez pas accéder aux informations, appareils, mises à jour et systèmes de paiement du réseau.
Il existe différents types d'attaques DoS. Un type est le attaque par débordement de tampon, où les acteurs de la menace inondent les serveurs de la cible avec beaucoup plus de trafic qu'ils ne peuvent en gérer. Cela provoque le plantage des serveurs et, par conséquent, vous ne pourrez pas accéder au réseau.
Il y a aussi l'attaque des Schtroumpfs. Les acteurs de la menace utiliseront des appareils complètement mal configurés pour envoyer des paquets ICMP (Internet Control Message Protocol) à plusieurs hôtes du réseau avec une adresse IP usurpée. Ces paquets ICMP sont généralement utilisés pour déterminer si les données atteignent le réseau de manière ordonnée.
Les hôtes qui sont les destinataires de ces paquets enverront des messages au réseau, et avec de nombreuses réponses entrantes, le résultat est le même: des serveurs en panne.
Comment se protéger contre les attaques actives
Les attaques actives sont courantes et vous devez protéger votre réseau contre ces opérations malveillantes.
La première chose à faire est d'installer un pare-feu haut de gamme et système de prévention des intrusions (IPS). Les pare-feu devraient faire partie de la sécurité de tout réseau. Ils aident à rechercher les activités suspectes et à bloquer celles qui sont détectées. IPS surveille le trafic réseau comme les pare-feu et prend des mesures pour protéger le réseau lorsqu'une attaque est identifiée.
Une autre façon de se protéger contre les attaques actives consiste à utiliser des clés de session aléatoires et des mots de passe à usage unique (OTP). Les clés de session sont utilisées pour chiffrer la communication entre deux parties. Une fois la communication terminée, la clé est rejetée et une nouvelle est générée de manière aléatoire lorsqu'une autre communication commence. Cela garantit une sécurité maximale, car chaque clé est unique et ne peut pas être répliquée. De plus, lorsqu'une session est terminée, la clé de cette période ne peut pas être utilisée pour évaluer les données échangées pendant la session.
Les OTP fonctionnent sur le même principe que les clés de session. Il s'agit de caractères alphanumériques/numériques générés de manière aléatoire qui ne sont valables que dans un seul but et expirent après une période spécifique. Ils sont souvent utilisés en combinaison avec un mot de passe pour fournir authentification à deux facteurs.
Hackers et attaquants, pare-feu et 2FA
Les attaques actives exploitent les faiblesses des protocoles d'authentification d'un réseau. Par conséquent, le seul moyen éprouvé de prévenir ces attaques consiste à utiliser des pare-feu, un IPS, des clés de session aléatoires et, surtout, une authentification à deux facteurs. Une telle authentification peut être une combinaison d'une clé générée aléatoirement, d'un nom d'utilisateur et d'un mot de passe.
Cela peut sembler fastidieux, mais à mesure que les attaques actives évoluent et deviennent encore plus impitoyables, les processus de vérification doivent relever le défi et se prémunir contre ces attaques entrantes. N'oubliez pas qu'une fois que les acteurs de la menace sont dans votre réseau, il serait difficile de les débusquer.