Pivot via les applications OAuth entre les locataires et comment protéger/détecter avec les plateformes Microsoft
Découvrez comment les attaques via les applications OAuth se déroulent et les meilleures pratiques pour protéger votre organisation avec les outils Microsoft.
Introduction
La montée en puissance des applications OAuth a ouvert la porte à une nouvelle génération de vecteurs d’attaque sophistiqués. Utilisées à l’origine pour simplifier les processus d’authentification, ces applications peuvent devenir des outils puissants pour les cybercriminels cherchant à compromettre des systèmes entiers. Cet article explore comment ces attaques sont orchestrées, comment elles exploitent les applications multi-locataires pour pivoter entre les locataires, et les meilleures pratiques pour protéger votre organisation en utilisant les plateformes Microsoft.
Les applications OAuth: Un vecteur d’attaque sous-estimé
Les applications OAuth, bien qu’utiles, peuvent être exploitées par des attaquants pour accéder à des environnements sensibles. Récemment, des attaques sophistiquées ont visé des entreprises en utilisant des applications OAuth pour s’introduire dans les environnements de test et de production. Ces attaques commencent souvent lorsqu’un utilisateur ou administrateur consent à une application malveillante, permettant ainsi aux attaquants de pivoter vers des locataires plus sensibles.
Simulation de l’attaque
Les attaquants utilisent une approche méthodique pour compromettre des systèmes via des applications OAuth. Voici comment ces attaques se déroulent généralement :
Enregistrement et préparation de l’application malveillante
Les attaquants commencent par enregistrer une application malveillante auprès d’un fournisseur OAuth 2.0 tel que Microsoft Entra ID. L’application demande des permissions étendues telles que « Mail.ReadWrite » et « Files.ReadWrite.All », souvent en se faisant passer pour une application légitime. L’objectif est de convaincre un administrateur ou un utilisateur de consentir à cette application.
Obtention des permissions nécessaires
Une fois que l’application est consenti, elle obtient des permissions comme « Mail.Read », « Mail.ReadWrite », « Files.ReadWrite.All », et « User.Read ». Ces permissions permettent à l’application d’accéder aux emails, aux fichiers et aux données utilisateur. Les attaquants peuvent ainsi lire et écrire des emails, accéder aux fichiers OneDrive ou SharePoint, et lire les profils utilisateurs.
Pivot entre les locataires
Utilisant l’application multi-locataire, les attaquants peuvent accéder aux ressources d’autres locataires. Les applications peuvent ajouter des informations d’identification supplémentaires (comme des clés ou des secrets) pour maintenir l’accès même si les identifiants initiaux sont révoqués.
Exploitation et persistance
Les permissions obtenues permettent aux attaquants d’exfiltrer des données sensibles ou d’effectuer des actions malveillantes comme l’envoi de phishing via les comptes compromis. Ils peuvent également maintenir l’accès en ajoutant des identifiants supplémentaires ou en créant des règles d’automatisation.
Protection et Mitigations
Pour se protéger contre ces attaques, il est essentiel de mettre en place des mesures de sécurité robustes et d’utiliser les outils fournis par Microsoft.
Désactiver le consentement des utilisateurs aux applications
La sécurisation des applications OAuth est essentielle pour protéger les systèmes contre les attaques sophistiquées. En suivant les meilleures pratiques de sécurité et en utilisant les outils fournis par Microsoft, les entreprises peuvent mieux se protéger contre les compromis des applications OAuth et les escalades de privilèges associées.
FAQs
Comment les applications OAuth peuvent-elles être exploitées par des attaquants? Les attaquants enregistrent une application malveillante avec des permissions étendues et utilisent des techniques de phishing pour obtenir le consentement des utilisateurs ou des administrateurs. Une fois les permissions accordées, ils peuvent accéder aux données sensibles.
Quelles sont les principales étapes pour sécuriser les applications OAuth? Les étapes incluent la désactivation du consentement des utilisateurs, la restriction de la création d’applications, l’implémentation d’un flux de travail de consentement des applications, l’utilisation de Microsoft Defender pour détecter les comportements suspects, l’audit des applications existantes, l’activation de l’authentification multifacteur, et la surveillance des activités des applications via App Governance.
Pourquoi est-il important de désactiver le consentement des utilisateurs aux applications? Cela empêche les utilisateurs non informés ou malveillants de consentir à des applications qui pourraient potentiellement accéder à des données sensibles sans une supervision appropriée.
Comment Microsoft Defender aide-t-il à détecter les applications OAuth malveillantes? Microsoft Defender offre des politiques par défaut pour la détection des applications OAuth malveillantes, alertant les administrateurs sur les comportements suspects et aidant à prévenir les attaques potentielles.
Quelles permissions les attaquants recherchent-ils généralement avec les applications malveillantes? Les attaquants recherchent des permissions telles que « Mail.ReadWrite », « Files.ReadWrite.All », et « User.Read » pour accéder aux emails, fichiers et données utilisateur.
Quelle est l’importance de l’authentification multifacteur (MFA) dans la protection des applications OAuth? L’authentification multifacteur ajoute une couche de sécurité supplémentaire, rendant plus difficile pour les attaquants de compromettre des comptes même s’ils obtiennent les identifiants de connexion.
La loi sur la résilience opérationnelle numérique (DORA), en tant que règlement (UE) 2022/2554, marque une évolution significative dans le cadre réglementaire de l’UE, impactant non seulement les institutions financières basées dans l’UE et les prestataires de services en technologies de l’information et de la communication (TIC), mais aussi les entités mondiales interagissant avec les marchés de l’UE. Conçue pour renforcer la résilience opérationnelle numérique du secteur financier, DORA impose des protections complètes contre les menaces de cybersécurité et les perturbations des technologies de l’information. Ce livre blanc, mis à jour pour inclure les amendements DORA de 2024, souligne l’importance d’une stratégie de conformité collaborative et transversale. Il met en lumière le rôle de DORA dans la promotion d’une culture de résilience numérique proactive au milieu d’un paysage de menaces en évolution et décrit les facteurs clés de succès pour que les entreprises mondiales atteignent la conformité.
Introduction à DORA
Mis en œuvre en janvier 2023, avec une date limite de conformité pour janvier 2025, DORA représente l’initiative stratégique de l’UE pour protéger ses systèmes financiers contre les risques de perturbation ou de rupture des technologies de l’information. Cette législation souligne la nécessité d’une approche unifiée pour garantir des services financiers ininterrompus, rendant impératif pour les entreprises mondiales d’aligner leurs opérations sur les mandats de DORA pour maintenir des partenariats fructueux avec les entités financières basées dans l’UE.
Pertinence de DORA pour les entreprises de l’UE & hors UE
DORA introduit un cadre unifié pour la gestion des risques opérationnels numériques, soulignant le rôle essentiel de la résilience. Ses implications mondiales nécessitent que les entreprises internationales, en particulier celles du secteur financier ou fournissant des services TIC critiques à de telles entités, adaptent leurs opérations pour se conformer à DORA pour une collaboration continue avec les homologues de l’UE.
En établissant des normes rigoureuses pour la résilience opérationnelle numérique, DORA encourage les entités mondiales à atténuer proactivement les menaces de cybersécurité. La réglementation des stratégies de gestion des risques TIC complètes est vitale pour instiller une culture d’amélioration continue et de préparation, cruciale pour naviguer dans le paysage international de la cybersécurité.
Les cinq piliers de la conformité DORA pour les entités mondiales
1. Gestion des risques TIC
La mise en œuvre de cadres complets pour la Gestion des risques TIC est cruciale pour identifier, évaluer et atténuer les risques associés aux technologies de l’information et de la communication. Ces cadres facilitent la collaboration interdépartementale, assurant que différentes parties d’une organisation peuvent travailler ensemble efficacement pour gérer et atténuer les perturbations des TIC.
Exemple: Une institution financière met en œuvre un cadre de gestion des risques qui intègre des mesures de cybersécurité dans tous les départements. Cette approche coordonnée permet à l’institution d’identifier rapidement la source d’une cyberattaque et d’en atténuer l’impact, protégeant les données sensibles des clients et maintenant la continuité opérationnelle.
2. Tests de résilience opérationnelle
Les tests de résilience opérationnelle, incluant des tests de pénétration réguliers menés par des menaces, sont essentiels pour identifier les vulnérabilités au sein des systèmes TIC d’une organisation. En simulant des cyberattaques et d’autres événements perturbateurs, les institutions peuvent comprendre leurs faiblesses potentielles et prendre des mesures correctives avant que de véritables incidents se produisent.
Exemple: Une banque effectue des tests de pénétration bi-annuels, découvrant des vulnérabilités dans sa plateforme de banque en ligne qui auraient pu permettre un accès non autorisé aux comptes des clients. En identifiant et en corrigeant proactivement ces problèmes, la banque prévient les violations potentielles de données et les pertes financières.
3. Rapport d’incidents
Développer des stratégies pour la détection et le rapportage en temps opportun des incidents cybersécurité, impliquant toutes les parties prenantes concernées. Développer des stratégies pour la détection et le rapportage en temps opportun des incidents cybersécurité est vital pour minimiser leur impact. Un rapportage d’incident efficace implique toutes les parties prenantes concernées, assurant que les informations sur les menaces potentielles sont partagées rapidement et efficacement au sein et à l’extérieur de l’organisation.
Exemple: Lorsqu’un prestataire de services de paiement détecte une violation de données, il active immédiatement son plan de réponse aux incidents, notifiant les équipes internes, les autorités réglementaires et les clients affectés. Cette action rapide aide à contenir la violation, à protéger les informations des clients et à maintenir la confiance.
4. Gestion des risques liés aux tiers TIC
Évaluer l’impact des services TIC de tiers sur la résilience opérationnelle est critique, surtout que les institutions financières dépendent de plus en plus de fournisseurs externes pour des services clés. Les approches collaboratives pour gérer ces risques assurent que les services de tiers ne deviennent pas un maillon faible dans la résilience opérationnelle de l’institution.
Exemple: Une entreprise de technologie financière évalue régulièrement les mesures de sécurité de ses fournisseurs de services cloud à travers des audits complets. Cette pratique garantit que les données de l’entreprise, hébergées sur des serveurs tiers, sont adéquatement protégées contre les menaces cybersécurité.
5. Partage d’informations
Faciliter l’échange de renseignements sur les menaces cybersécurité et les meilleures pratiques parmi les institutions financières mondiales. Le partage d’informations joue un rôle pivot dans l’amélioration de la posture de cybersécurité globale et de la résilience opérationnelle des institutions financières au sein de l’Union européenne. En promouvant l’échange de renseignements sur les menaces cybersécurité et les meilleures pratiques, DORA vise à créer un écosystème financier plus sûr et robuste.
Exemple: Les centres d’analyse et de partage d’informations du secteur financier (FS-ISACs) servent de modèle pour un partage d’informations efficace, offrant une plateforme pour que les institutions financières partagent des renseignements sur les menaces et collaborent sur des stratégies de résilience. Des initiatives similaires sous DORA peuvent améliorer la résilience opérationnelle à travers les marchés financiers de l’UE.
Facteurs clés de succès pour un programme de conformité à DORA
Pour les CISOs, établir un programme de conformité à DORA réussi implique plusieurs facteurs de succès critiques :
Implication forte au niveau du conseil d’administration : Assurer un engagement et une compréhension au niveau du conseil d’administration de tous les aspects pertinents des TIC dans le cadre de la gestion des risques pour la clarté, la transparence et une gouvernance efficace.
Cadre complet de gestion des risques TIC : Développer et maintenir un cadre dynamique de gestion des risques TIC qui inclut des stratégies de protection, prévention, détection, évaluation et récupération.
Rapportage et partage d’informations transparents : Mettre en place des plans de communication de gestion des incidents, événements et crises, incluant le rapportage régulier des incidents liés aux TIC selon les critères de DORA et de l’ESA.
Tests réguliers de résilience opérationnelle : Établir un programme de préparation à la conformité qui évalue régulièrement l’environnement TIC et conduit des tests de pénétration réguliers.
Gestion efficace des risques liés aux tiers : Évaluer les vulnérabilités et appliquer des stratégies de gestion des risques en tenant compte des environnements des fournisseurs tiers, en assurant la conformité et les niveaux de maturité en matière de sécurité.
Adaptation aux nouvelles réglementations : Adapter proactivement aux exigences évolutives de DORA, en assurant que tous les contrats avec les fournisseurs tiers sont mis à jour et conformes légalement, y compris les aspects de transfert transfrontalier de données et d’arrangements de sous-traitance TIC.
Changement culturel vers la résilience : Cultiver une culture organisationnelle qui privilégie la résilience, assurant que le personnel à tous les niveaux comprend son rôle dans le maintien de la résilience opérationnelle.
Conclusion
DORA Considérations stratégiques pour les RSSI hors UE
Comprendre et mettre en œuvre les exigences de DORA est crucial pour les entreprises basées hors de l’UE afin de continuer leurs opérations sur le marché financier de l’UE. Cela inclut l’adaptation des structures organisationnelles pour la supervision réglementaire, l’engagement dans le partage d’informations transparent et les pratiques de rapport d’incidents selon les normes de l’UE.
Voie à suivre pour les RSSI
Avec l’approche de la date limite de conformité à DORA, les entreprises européennes et internationales doivent prioriser l’intégration et le raffinement de leurs cadres de résilience opérationnelle en alignement avec les mandats de DORA. Adopter une approche collaborative et transverse, soutenue par les facteurs clés de succès décrits, facilitera non seulement la conformité réglementaire mais aussi renforcera les défenses contre le paysage des menaces cybersécurité, contribuant à la stabilité et à l’intégrité du système financier.
Avec l’évolution constante du paysage des menaces cyber, les défenses contre le phishing au sein des plateformes collaboratives comme Microsoft Teams doivent s’adapter en conséquence. La transition au travail à distance, accéléré par la COVID-19, a augmenté ces menaces, avec des cybercriminels ciblant les plateformes pour extraire des données sensibles. Tirer parti des fonctionnalités de sécurité anti-phishing de Microsoft Teams est vital pour une protection robuste.
Cet article se penche sur les mesures de sécurité avancées fournies par Microsoft Defender pour Office 365 et les meilleures pratiques pour Microsoft Teams. Il discute de la configuration de la plateforme d’administration, de l’utilisation de Microsoft Sentinel pour la chasse aux menaces et souligne l’éducation continue des utilisateurs pour une défense renforcée contre les menaces de phishing.
Analyse des menaces de phishing dans Microsoft Teams
Les menaces de phishing dans Microsoft Teams sont apparues comme une préoccupation majeure en cybersécurité. Déployer une stratégie de sécurité anti-phishing efficace pour Microsoft Teams nécessite une compréhension approfondie de la nature et de l’étendue de ces menaces.
Teams phishing message
Comprendre le paysage des menaces de phishing dans Microsoft Teams
Les menaces de phishing dans Microsoft Teams impliquent souvent de tromper les utilisateurs pour qu’ils révèlent des informations sensibles, telles que les identifiants de connexion, en se faisant passer pour une entité digne de confiance. Les cybercriminels peuvent exploiter des fonctionnalités telles que le chat et le partage de fichiers pour lancer des attaques de phishing. Par exemple, les attaquants peuvent partager des liens malveillants via des messages de chat ou envoyer des e-mails de phishing déguisés en notifications d’équipe.
Ces menaces sont accentuées par l’utilisation accrue de Microsoft Teams pour le travail à distance et la collaboration. Un rapport de Barracuda Networks a révélé une augmentation de 667 % des attaques de spear-phishing depuis le début de la COVID-19, Microsoft Teams étant une cible privilégiée.
Rôle de la sécurité anti-phishing de Microsoft Teams dans l’analyse des menaces
La sécurité anti-phishing de Microsoft Teams joue un rôle crucial dans l’analyse et l’atténuation des menaces de phishing. La protection contre les menaces avancées dans Microsoft Teams inclut des fonctionnalités comme l’analyse des liens et des pièces jointes pour détecter et bloquer les tentatives de phishing. De plus, les algorithmes d’apprentissage automatique peuvent aider à identifier les modèles suspects et prévenir les attaques de phishing.
Par exemple, la fonctionnalité Liens Sécurisés dans Microsoft 365 Defender scanne les URL dans les messages et les documents Office pour identifier et neutraliser les liens malveillants. De même, Pièces Jointes Sécurisées vérifie les pièces jointes des e-mails pour détecter le contenu malveillant, réduisant le risque d’une attaque de phishing réussie.
Malgré ces mesures de sécurité intégrées, il est crucial pour les organisations de revoir et de mettre à jour régulièrement leur stratégie de sécurité anti-phishing de Microsoft Teams en réponse aux menaces évolutives.
Configuration de Microsoft Defender pour Office 365 pour une protection améliorée
Microsoft Defender pour Office 365 a été mis à jour avec de nouvelles fonctionnalités pour renforcer la sécurité de Microsoft Teams contre les menaces de phishing. Cette section vous guidera dans la configuration de ces fonctionnalités pour une protection améliorée.
Activer les fonctionnalités de Protection contre les Menaces Avancées
La Protection contre les Menaces Avancées (ATP) dans Microsoft Defender pour Office 365 est cruciale pour se défendre contre les attaques de phishing sophistiquées dans Teams. ATP inclut Liens Sécurisés, qui offre une protection au moment du clic contre les URL malveillantes dans les messages, et Pièces Jointes Sécurisées, qui analyse les pièces jointes des e-mails pour détecter les malwares.
Mettre en œuvre la Purge Automatique Zéro Heure (ZAP) pour une défense proactive
La Purge Automatique Zéro Heure (ZAP) a été étendue à Microsoft Teams, où elle retire automatiquement les messages identifiés comme malveillants, protégeant les utilisateurs contre les menaces qui échappent à la détection initiale.
Gérer les messages mis en quarantaine
Microsoft Defender pour Office 365 permet aux administrateurs de gérer les messages de Teams mis en quarantaine, offrant des outils pour inspecter et supprimer les messages qui présentent un risque élevé de phishing, maintenant ainsi l’intégrité de la sécurité organisationnelle.
Mettre en place une formation à la simulation d’attaque
La formation à la simulation d’attaque est maintenant disponible pour Microsoft Teams, permettant aux administrateurs de créer des scénarios de phishing simulés pour former les utilisateurs à identifier et à signaler les menaces potentielles, améliorant l’aspect humain de la cybersécurité.
Mise en œuvre de mesures de sécurité avancées dans Microsoft Teams
Mettre en œuvre des mesures de sécurité avancées au sein de Microsoft Teams est crucial pour une protection complète contre le phishing. Cette section décrira les stratégies et les fonctionnalités qui renforcent considérablement la sécurité de la plateforme.
Améliorer la sécurité avec la Protection contre les Menaces Avancées de Microsoft Teams
La Protection contre les Menaces Avancées (ATP) dans Microsoft Teams fait partie de l’écosystème de sécurité de Microsoft 365. Elle protège contre les menaces de phishing en scannant les liens et les pièces jointes en temps réel. Les mises à jour récentes ont amélioré l’efficacité d’ATP, tirant parti de l’intelligence de sécurité étendue de Microsoft.
Renforcer l’authentification des utilisateurs avec l’Authentification Multifacteur (MFA)
L’Authentification Multifacteur (MFA) est devenue une pierre angulaire de la sécurité de Teams. MFA exige que les utilisateurs fournissent plusieurs formes de vérification, ce qui réduit considérablement le risque d’attaques basées sur les identifiants.
Utiliser Microsoft Sentinel pour la détection des menaces en temps réel
Microsoft Sentinel, une solution SIEM/SOAR native du cloud, a été intégrée à Teams pour améliorer la détection des menaces et la réponse. Elle offre une visibilité complète sur les activités suspectes et aide à automatiser la réponse aux menaces identifiées.
Appliquer des politiques d’accès conditionnel pour une collaboration sécurisée
Les politiques d’accès conditionnel dans Microsoft Teams garantissent que seuls les utilisateurs authentifiés peuvent accéder aux fonctionnalités de la plateforme. Ces politiques peuvent être adaptées aux exigences spécifiques de l’organisation, offrant un contrôle granulaire sur l’accès et améliorant la posture de sécurité globale.
Meilleures pratiques pour se sécuriser contre les attaques de phishing
Pour atténuer le risque d’escroqueries par phishing, une approche proactive et complète est nécessaire. Cette section couvre les meilleures pratiques pour sécuriser Microsoft Teams contre les attaques de phishing.
Formation continue et sensibilisation au phishing
La formation continue sur les menaces de phishing est primordiale. Des sessions de formation régulières et des simulations de scénarios de phishing aident les utilisateurs à reconnaître et à répondre efficacement aux activités suspectes.
Mise en œuvre de l’Authentification Multifacteur (MFA) pour une sécurité renforcée
MFA reste l’une des défenses les plus efficaces contre le phishing. En exigeant une preuve supplémentaire d’identité au-delà d’un simple mot de passe, MFA rend l’accès non autorisé beaucoup plus difficile pour les attaquants.
Maintenir les logiciels à jour avec les derniers correctifs de sécurité
Assurer que Microsoft Teams et tous les logiciels associés sont à jour avec les derniers correctifs de sécurité est une pratique vitale pour maintenir de solides défenses contre les menaces émergentes.
Adopter des habitudes de collaboration sécurisée
Encourager des habitudes de collaboration sécurisée, telles que vérifier l’identité des contacts externes et examiner les demandes non sollicitées, est essentiel pour prévenir les attaques de phishing.
Utiliser les solutions de sécurité complètes de Microsoft
Exploiter la suite complète des solutions de sécurité de Microsoft, y compris Microsoft Defender pour Office 365 et Microsoft Sentinel, fournit une stratégie de défense en couches qui aide à détecter et à atténuer les attaques de phishing plus efficacement.
Conclusion
Reconnaissant la nature évolutive des menaces de cybersécurité, il est évident que la mise en œuvre de mesures anti-phishing robustes dans Microsoft Teams est impérative. Avec les fonctionnalités de sécurité avancées de Microsoft Defender pour Office 365 et l’intégration de Microsoft Sentinel, les organisations sont équipées pour renforcer leurs défenses contre les attaques de phishing.
En outre, une stratégie de sécurité proactive, une formation continue du personnel et l’adhésion à des pratiques de collaboration sécurisée constituent la pierre angulaire d’une défense efficace contre le phishing. Des mises à jour régulières et l’application stratégique des outils de sécurité de Microsoft garantissent un environnement résilient et sécurisé dans le paysage numérique en constante évolution.
