CrowdStrike a annoncé hier son projet de rachat de Preempt Security. La société spécialisée dans la protection des endpoints débourse environ 96 millions de dollars, dont 86 millions en cash et le reste en stock options, pour s’offrir cette jeune pousse opérant pour sa part dans le monde de la sécurité des accès.  

 Zero Trust

Ainsi, Preempt s’inscrit dans une démarche Zero Trust alors que les architectures toujours plus hybrides rendent la sécurité périmétrique obsolète (lorsque seule ligne de défense d’une entreprise). Et ça, les éditeurs d’EDR le savent. Le rachat de la jeune pousse permettra à CrowdStrike de combiner la sécurité des workloads avec la protection par l’identité. 

CrowdStrike entend intégrer la technologie d’accès conditionnel de Preempt à sa plateforme Falcon, afin de renforcer les capacités Zero Trust de cette dernière. Falcom, principale offre de CrowdStrike, comprend jusqu’à présent de la détection de menaces, des outils de réponse aux incidents et de la visibilité sur le réseau de l’entreprise.

L’accès conditionnel, c’est quoi ?

Le projet de Campus Cyber porté par Michel Van Den Berghe posera ses valises en septembre 2021 à La Défense, en région parisienne, dans la tour Eria. Y est attendu un millier de salariés du secteur de la cybersécurité, de l'Anssi à Orange en passant par l'Epita.

On sait désormais où le Campus Cyber prendra ses quartiers. Fin juillet, Michel Van Den Berghe, le patron d'Orange Cyberdefense mandaté en juillet 2019 par Matignon pour piloter ce projet, nous confiait avoir remis au gouvernement cinq propositions, dont trois à La Défense (interview à lire dans InfoCR numéro 2). Etaient recherchés des lieux existants offrant entre 17 000 et 20000 mètres carrés, susceptibles d'accueillir entre 800 et 1000 spécialistes. Une décision était prévue courant octobre, à l'occasion des Assises de la Sécurité qui se tiendront à Monaco, en attendant que le gouvernement se prononce sur l'option de son choix. Nous étions alors au lendemain du remaniement.

Depuis, Cédric O a retrouvé son poste de secrétaire d'Etat au Numérique et les choses se sont, semble-t-il, accélérées. Selon Le Figaro, le choix de l'exécutif s'est porté sur la Tour Eria. Cet immeuble de 26 000 mètres carrés dont la construction doit s'achevée ce trimestre coche en effet toutes les cases du cahier des charges de Michel Van Den Berghe. Situé dans le quartier Bellini, à Puteaux, en contrebas de l'Esplanade de la Défense, il est situé à quelques minutes de marche de la Ligne 1 du métro et est desservi par plusieurs lignes de bus.

Ouverture en septembre 2021

La tour hébergera donc le millier de salariés attendu en septembre 2021. Une date surprenante : le patron d'Orange Cyberdefense nous expliquait en juillet vouloir tenir le calendrier initial, c'est-à-dire  avoir un lieu prêt à accueillir les entreprises dès la fin du premier trimestre 2021. Toujours est-il qu'une soixantaine d'entreprises, d'organismes de formation et d'agences de l'Etat ont adhéré au projet de Campus Cyber, parmi lesquelles Atos, Orange, Capgemini, l'Anssi ou encore l'Epita.

Et ce ne sera qu'un début. L'immeuble Eria est en effet destiné à accueillir des activités surtout tertiaires. La "deuxième jambe" du Campus Cyber sera quant à elle posée au plateau de Satory, dans les Yvelines, pour la cybersécurité du secteur industriel et les activités qui exigent plus de surface. En outre, se refusant à une démarche jacobine, Michel Van Den Berghe entend mettre en place un réseau de campus en s'appuyant sur des structures existantes ou à créer en région. “Nous avons des soutiens forts. La région des Hauts de France réfléchit à une unité satellite dédiée à la sécurisation des PME et PMI, tandis que les Pays de Loire sont sur la partie smart cities, et la Bretagne sur tout ce qui touche à la défense et aux activités sensibles. Nous regardons à l’extérieur de Paris et avons déjà des accords tacites avec plusieurs régions” soulignait-il.

L'outil de vidéoconférence, un temps montré du doigt pour sa sécurité un brin défaillante, fait depuis amende honorable en multipliant les fonctionnalités de sécurité. Il annonce ainsi le support de l'authentification double facteur pour l'ensemble de ses utilisateurs toutes plateformes confondues.

On se rappellera que Zoom, au début du confinement, suscitait la controverse sur les questions de sécurité et de protection des données. L’entreprise a eu fort à faire pour corriger le tir. Non sans un certain succès, en témoignent ses résultats trimestriels. Poussant plus loin cette démarche, Zoom annonce qu’il supporte désormais la double authentification, 2FA pour les intimes. 

Dans les faits, Zoom offrait déjà la double authentification, mais uniquement dans la version web de son service. Elle est désormais disponible pour les clients mobiles et desktop, et pour l'ensemble des utilisateurs, y compris les titulaires de comptes gratuits. En outre, l'outil ne proposait jusqu'à présent que le 2FA par le biais d'applications dédiée, telle que Google Authentification.

Sécurité renforcée

Désormais Zoom offre deux possibilités pour s'authentifier. "Avec la double authentification, les utilisateurs ont l'option d'utiliser des applications d'authentification qui supportent le protocole Time-Based  One-Time Password (TOTP) (à l'instar de Google Authenticator, Microsoft Authenticator et FreeOTP), ou que Zoom envoie un code par SMS ou appel téléphonique en tant que second facteur du processus d'authentification" écrit Zoom dans un post de blog. Un choix qui s'explique sans doute par la volonté de simplifier l'authentification, notamment pour les clients légers, mais qui appelle à la prudence. La faiblesse de plus en plus flagrante du 2FA par SMS est fréquemment pointée du doigt comme aisément contournable par un attaquant. 

Notons que Zoom en profite également pour proposer des codes de récupération, utile pour récupérer l'accès à son compte en cas de perte ou vol du terminal.

La double authentification est accessible depuis le Dashboard de Zoom, sous Avancé puis Sécurité. Des options dédiées aux administrateurs permettent également d'administrer plus finement l'option, par exemple en fonction de comptes ou de groupes spécifiques, ainsi que forcer la réinitialisation de l'authentification double facteur pour un utilisateur. Moins chère qu'un SSO, la solution conviendra notamment, selon Zoom, aux entreprises et autres organisations qui n'ont ni les moyens ni le temps de mettre en place un système de gestion des identifiants et des mots de passe.

Une faille s’est glissée dans les versions 4.2 à 5.0 du protocole Bluetooth. Affectant un composant utilisé pour configurer les clés d’authentification, cette vulnérabilité écrase ces dernières, ou au mieux affaibli leur chiffrement, permettant à un attaquant de se connecter au terminal ciblé. 

Encore une faille dans le protocole Bluetooth ! CVE-2020-15802 affecte le composant CTKD, pour Cross-Transport Key Derivation, du protocole. Entre les versions 4.2 et 5.0, ce composant permet de générer les clés de chiffres lors de l’appairage de deux appareils prenant en charge le Low Energy et le BR/EDR (Basic Rate/Enhanced Data Rate). On parle de Dual-mode : les appareils décident qui de BLE ou de BR/EDR ils préfèrent utiliser, sans avoir à s’appairer une seconde fois sachant que CTKD permet d’écraser les clés de chiffrement . 

Ce qui, dans le cas de BLURtooth, permet une attaque de type man-in-the-middle, l’attaquant écrasant les autres clés d’authentification Bluetooth sur l’appareil ciblé et de s’y connecter. Et donc d’accéder à tout dossier et application qui seraient partagés par ce biais. 

Clés écrasées

Le Bluetooth Special Interest Group précise néanmoins que “pour que cette attaque réussisse, un appareil attaquant doit être à portée d'un appareil Bluetooth vulnérable prenant en charge les transports BR/EDR et LE et CTKD entre les transports et permet l'appariement sur le transport BR / EDR ou LE soit avec aucune authentification (par exemple JustWorks) ou aucune restriction d'accès contrôlée par l'utilisateur sur la disponibilité de l'appairage”. 

Si la norme 5.1 du protocole contient les options permettant d’empêcher l’exploitation de BLURtooth, ce n’est pas le cas des versions antérieures. Quant aux patchs, distribués par chacun des fabricants de terminaux, on ignore encore quand ils pourront être diffusés.

En attendant, le SIG recommande des tests de conformité supplémentaires pour garantir que l’écrasement d’une clé autorisée par une clé non légitime ou plus faible ne soit pas autorisé. Il conseille en outre de limiter les appairages aux seules interactions de l’utilisateur ainsi que la durée du Dual-mode lorsque l’utilisateur n’a pas explicitement appairé son terminal avec un autre appareil.

En lançant YesWeHack EDU il y a moins d’un an, la plateforme française de bug bounty entendait attaquer le grand mal de la cybersécurité : la pénurie de compétences. Aujourd’hui, EDU recense 180 écoles et 3000 étudiants sur sa plateforme, une adoption sans doute boostée par sa gratuité lors du confinement.

En novembre 2019, YesWeHack lançait YesWeHack EDU. Cette plateforme éducative entend permettre à des étudiants de s’entraîner à la recherche de failles de sécurité sur des scénarios réalistes, dans des contextes identiques à ce qui existe aujourd’hui en production au sein des entreprises et des organisations. “L’objectif est de permettre aux étudiants de se confronter aux conditions réelles de gestion de vulnérabilités : depuis la recherche de failles, la rédaction de rapports de vulnérabilités et la méthodologie d’analyse de risques, le suivi des contributions et les corrections de vulnérabilités” écrit la jeune pousse française.

YesWeHack explique sa démarche par le manque de formations pratiques dans les universités françaises. En effet, s’il existe bel et bien un nombre croissant de cursus en cybersécurité, l’entreprise déplore que les programmes soient en règle générale “trop théoriques”. Il faut selon l’entreprise attendre les stages ou le premier poste avant que les étudiants soient confrontés aux problématiques réelles de la sécurité informatique des entreprises. 

Du concret dans les formations

Lors du confinement, en avril, YesWeHack a choisi comme de nombreuses autres entreprises d’offrir gratuitement l’accès à sa plateforme EDU. “L’occasion pour bon nombre d’enseignants de tester YesWeHack EDU avec leurs étudiants et ainsi poursuivre, à distance, leur enseignement en ajoutant de la pratique aux cours traditionnels” ajoute la jeune pousse. Aujourd’hui, elle annonce ses chiffres : 3000 étudiants l’ont testée, pour un total de 180 écoles. 

Cela peut sembler bien peu au regard des besoins actuels dans la cybersécurité. Entre 5000 et 10 000 postes seraient ainsi à pourvoir chaque année, rien qu’en France. “YesWeHack ambitionne de contribuer à la réduction de la pénurie de talents à laquelle le secteur est confronté en permettant aux étudiants, dès leurs premières années d’études, de s’entraîner à détecter et corriger des failles, dans des conditions réelles de Bug Bounty. Elle leur ouvre également des perspectives d’emploi vers des spécialisations porteuses telles que DevSecOps, Data Scientist, Security Analyst…”. 

Ce n’est plus le cheval de Troie bancaire que l’on a connu mais plutôt désormais un vecteur d’attaques opéré par un groupe appelé TA542 lequel a des « clients » qui exploitent des trojans tels que Dridex, Qbot et TrickBot distribués sous forme de "seconde charge utile".

Emotet doit donc être détecté au plus tôt sur les postes infectés car sa présence laisse prévoir d’autres intrusions. Les premiers courriers d’hameçonnage contiennent la plupart du temps des fichiers joints de type PDF ou Word. Parfois le courriel contient seulement une URL qui pointe sur un document Word contenant des macros.

L’ANSSI a lancé une alerte le 7 septembre sur la recrudescence d’Emotet en France avec quelques recommandations :
► Sensibiliser les utilisateurs à ne pas activer les macros dans les pièces jointes et à être particulièrement attentifs aux courriels qu’ils reçoivent et réduire l’exécution des macros.
► Limiter les accès Internet pour l’ensemble des agents à une liste blanche contrôlée.
► Déconnecter les machines compromises du réseau sans en supprimer les données.
► De manière générale, une suppression / un nettoyage par l’antivirus n’est pas une garantie suffisante., Seule la réinstallation de la machine permet d’assurer l’effacement de l’implant.

Pour Matt Walmsley, expert cybersécurité et directeur Europe de Vectra, « chercher à identifier et à comprendre qui sont les opérateurs d’Emotet ainsi que leurs motivations fait partie du puzzle et c’est le rôle des forces de l’ordre. Mais le plus utile et le plus durable pour la sécurité reste de comprendre les tactiques et les techniques qu'ils utilisent et d'anticiper la manière dont elles pourraient être atténuées pour protéger les cibles du Trojan.

« Dans le cas d'Emotet, il s'agirait notamment de détecter l'utilisation abusive de comptes à privilèges, les mouvements latéraux sur le réseau local (pour les PME par exemple) et les comportements signalant la présence d’outils de commande et de contrôle (C&C). Les équipes de sécurité doivent être de plus en plus agiles, car le temps est leur ressource la plus précieuse pour faire face aux attaques de logiciels malveillants. Une détection et une réponse précoces sont essentielles pour reprendre le contrôle et arrêter les attaquants avant qu'ils ne puissent se propager dans l'organisation, et qu’ils volent ou empêchent l’accès aux données. »

L’éditeur installé dans la banlieue de Lille devait passer sous pavillon américain après que le fonds Catalyst ait investi en juin 2019 quelque 70 millions de dollars dans l’entreprise. Mais crise sanitaire et procédure judiciaire obligent, l’investisseur se retire. 

En juin 2019, Vade Secure annonçait avoir signé un accord d'investissement avec le fonds américain General Catalyst. Ce dernier devait injecter 70 millions d’euros dans le spécialiste français de la sécurité des e-mails, faisant passer l’entreprise lilloise sous pavillon américain, avec un nouveau président en la personne de Stephan Dietrich, co-fondateur de Neolane. 

L’éditeur comptait sur cet investissement pour renforcer sa présence aux États-Unis, où il dispose déjà de bureaux. Mais l’opération est aujourd’hui remise en cause et Vade Secure se voit privé des fonds de Catalyst. L’investisseur a préféré retirer ses billes compte tenu des difficultés rencontrées par Vade Secure aux États-Unis et de la crise sanitaire qui a fragilisé les PME américaines, coeur de cible outre-Atlantique de l’éditeur. 

En effet, selon Les Echos, l’entreprise française a refusé la demande de Catalyst d’un nouveau report de la date de clôture de l’opération. Le fonds, se considérant dans l’impossibilité de mettre en oeuvre ses projets, a annulé son investissement. Vade Secure a néanmoins réussi à sécuriser 10 millions d’euros par le biais d’un prêt garanti par l’Etat, et 5 millions supplémentaires grâce à l’un de ses clients japonais. 

Une plainte de Proofpoint

On est cependant bien loin des 70 millions annoncés et Vade Secure n’est pas au bout de ses déboires de l’autre côté de l’Atlantique. Il est en effet poursuivi en justice par son principal concurrent, ProofPoint. L’éditeur américain reproche au Français un vol de secrets industriels et commerciaux. “Nous avions embauché un peu plus de deux ans auparavant comme CTO un ancien salarié d'une société rachetée par Proofpoint. Et nous étions poursuivis pour simple suspicion d'appropriation de secret d'affaire” explique aux Echos le PDG de Vade Secure, Georges Lotigier. 

Le patron de l’éditeur fait certainement référence au recrutement en février 2017 de Olivier Lemarié, actuel CTO de Vade Secure, qui occupait auparavant différents postes chez Cloudmark, aux fonctions de responsable des équipes ingénierie ou encore responsable produits. Or, en novembre 2017, Cloudmark était racheté pour 110 millions de dollars par Proofpoint. Selon Georges Lotigier, la procédure, qui permet à Proofpoint de “réclamer, sur la base de simples soupçons, des tonnes de documents pour prouver que nous n'avions dérobé aucune info confidentielle” , exige une “énergie folle”. Et surtout coûte en frais de justice 500000 euros par mois à Vade Secure. Qui, malgré ses difficultés, n’exclut pas de tenter prochainement une nouvelle levée de fonds.