Gestion des menaces

Gestion des menaces
La sécurité des menaces du Web 2.0
Menaces Web
Un White Paper Trend Micro I Février 2008
LA SÉCURITÉ DES MENACES DU WEB 2.0
SOMMAIRE
Synthèse
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3
Introduction au Web 2.0
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .3
Les vecteurs des menaces du Web 2.0
Les dangers du Web 2.0 : étude de cas
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .5
Une sécurité multicouche . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7
In-the-Cloud . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7
Sur la passerelle Internet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8
Sur le poste client . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .8
Les meilleures pratiques face aux menaces du Web 2.0
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9
Grand Public . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9
Entreprises . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9
La stratégie Trend Micro
Références
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .10
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .10
2 White Paper I Menaces Web
LA SÉCURITÉ DES MENACES DU WEB 2.0
SYNTHÈSE
Si les technologies Web 2.0 représentent une évolution passionnante et radicale de l’informatique en ligne, elles
exposent les particuliers et les entreprises à un spectre plus large de menaces Web. Les technologies Web 2.0 comme
AJAX (Asynchronous Javascript And XML), étendent la cible et les failles de sécurité dont tirent avantage les cybercriminels, tandis que le concept de communautés interactives, fer de lance du Web 2.0, expose davantage les utilisateurs aux méthodes d’ingénierie sociale (attaques qui misent sur la confiance, l'ignorance ou la crédulité des victimes).
Cet état des lieux impose aux solutions de sécurité de protéger au-delà des postes clients évoluant au sein
d’architectures client-serveur traditionnelles en ligne. De nombreuses autres menaces sont en effet détectées dans la
zone In-the-cloud du Web, à savoir en amont de la passerelle Internet de l'entreprise. Dans le Web 2.0, cette zone se
comporte comme un système d’exploitation dynamique et les solutions de sécurité de nouvelle génération doivent
pencher davantage sur les mécanismes de défense qui sécurisent les sites Web, comme celui de la réputation Web
qui constituent une nouvelle ligne de défense contre les menaces Web 2.0.
Une sécurité négligente dans un contexte Web 2.0 présente des conséquences potentiellement importantes : « la
sécurité était déjà déficiente avec le Web 1.0, ouvrant la voie à des piratages de sites Web, des usurpations d’identité
et des coûts supplémentaires… Les applications composites (mashup) Web 2.0 qui n’auront pas mis l’accent sur la
sécurité, seront particulièrement exposées à de nouvelles formes de phishing et d’attaques », prévient le Gartner
Group [1]. Pourtant, les applications web 2.0 se multiplient en réponse à une demande dynamique, et dans ce contexte, les failles de sécurité du langage de programmation AJAX et la vulnérabilité de l’écosystème Web 2.0 restent
préoccupantes. Les développeurs Web ne se penchent toujours pas suffisamment sur la sécurité, ce qui fait dire à certains observateurs : « Nous ne pouvons pas laisser la sécurité du Web aux mains des développeurs Web. » [2]
Ce livre blanc décrit l’origine, le développement et l’impact des menaces de sécurité liées au Web 2.0, et détaille les
carences des outils, technologies et stratégies de sécurité classiques face à une menace en permanente mutation. Ce
document expose également la pertinence d'une approche multicouche et des technologies de réputation Web pour
sécuriser le Web 2.0. Il présente enfin les meilleures pratiques de sécurité pour le grand public et les entreprises contre cette nouvelle vague de menaces.
INTRODUCTION AU WEB 2.0
La paternité du Web 2.0, une formule qui obtient plus 100 millions de résultats sur Google, revient à Tim O’Reilly, de
O’Reilly Media, qui l’a utilisée pour la première fois en tant que titre d’une conférence. À cette époque, O’Reilly n’a
proposé aucune définition rigoureuse et le Web 2.0 regroupait une multitude d’outils, de comportements et de pratiques
qui considéraient le Web comme une plate-forme, permettant aux utilisateurs de créer et de gérer un contenu propre
et transformant les sites Web statiques en interfaces de services applicatifs.
Plus récemment, O’Reilly a formalisé sa définition du Web 2.0 : « une révolution économique du secteur informatique
qui utilise le Web en tant que plate-forme, et une tentative pour identifier les clés du succès sur cette nouvelle plateforme ». [3]
Ces différents volets du Web 2.0 sont autant de nouvelles options qui s’offrent aux communautés collaboratives. À
l’époque du Web 1.0, peu d’utilisateurs étaient capables de créer du contenu en dehors de leurs pages Web
personnelles, et une poignée d’éditeurs et de concepteurs dictait le contenu des sites Web les plus fréquentés.
Aujourd’hui, certains des sites les plus courus du Web, en particulier MySpace, Daily Motion, Wikipedia ou YouTube,
sont ouverts à la participation de tous les internautes. Le web, un espace autrefois occupé par des élites de
l’information, s’est largement démocratisé en se rendant accessible à tous.
3 White Paper I Menaces Web
LA SÉCURITÉ DES MENACES DU WEB 2.0
Table 1. Web 1.0-Web 2.0 : les nouvelles Implications
Langage
Plate-forme
Web 1.0
HTML
Web 2.0
AJAX
Navigateur
Web
et système
d’exploitation
Rôle du poste
client
Limité
Important
Modèle de
syndication
Aucun
RSS, Atom
Modèle
P2P
Aucun
BitTorrent,
Napster,
etc.
Création/
Modification
de contenu
Utilisateur
unique
Gestion des
versions
Iteratif
4 White Paper I Menaces Web
Communauté
Version béta
perpétuelle
Notes de sécurité
Asynchronous Javascript and XML (AJAX) regroupe plusieurs langages de programmation qui donnent aux pages Web un comportement plus proche de celui
d’une application. Les pages Web codées en HTML obligeaient les utilisateurs à
les recharger pour afficher de nouvelles données, alors qu’AJAX échange des
données en continu avec le serveur, et accélère ainsi les requêtes des utilisateurs.
Dans Google Maps, par exemple, AJAX accélère les chargements et améliore
l’interactivité avec l’utilisateur (zoom avant et arrière pour afficher des lieux géographiques par exemple). AJAX associe plusieurs langages en constante évolution, et se veut à ce titre une cible pour les pirates et cybercriminels. AJAX a ainsi
déjà été impliqué dans les attaques XSS et XSRF (voir ci-dessous).
Avec des sites Web devenus applications, la simple protection du navigateur et du
système d’exploitation n’est plus un gage de sécurité contre les menaces Web
2.0. Comme le soulignent les applications composites (mashup), des sites Web
qui intègrent du contenu provenant de sources hétérogènes pour faciliter la navigation. HousingMaps.com, par exemple, est une application composite de Google
Maps et Craigslist. Google Maps traite la cartographie visuelle, tandis que
Craigslist fournit des informations immobilières sur la carte. Ces applications
mashup enrichissent l’expérience utilisateur, mais l’agrégation de plusieurs applications engendre de nouvelles vulnérabilités face à logiciels malveillants.
Les cybercriminels peuvent injecter des logiciels malveillants directement dans
des sites et applications Web 2.0. Pour ces pirates du Web 2.0, il est « bien plus
amusant de sévir en amont ». [4]
La syndication Atom emploie le format de fichier RSS (Really Simple Syndication)
et permet aux éditeurs de blogs de diffuser automatiquement un contenu à des
abonnés. Si un ver Web 2.0 comme Storm Trojan s’infiltre sur un blog, la syndication devient un vecteur de diffusion de cette menace auprès de victimes peu méfiantes.
Le Peer-to-Peer (P2P) est un modèle informatique qui connecte les clients les uns
aux autres. Les réseaux P2P se sont démocratisés lorsque Napster a, pour la
première fois, proposé aux particuliers de stocker et de partager des fichiers musicaux à partir de leur poste de travail. Le P2P est un pilier du Web 2.0. Des technologies comme BitTorrent permettent aux utilisateurs de télécharger des fichiers
volumineux, tandis que l’absence de sécurité intégrée attise le risque de recevoir
un logiciel malveillant de manière fortuite.
Les utilisateurs peuvent ajouter leur contenu à une communauté en ligne… et les
logiciels malveillants également. C’est le cas de XSS (cross-Site Scripting), un
moyen d’injecter un script malveillant qui se diffuse d’un site Web à un autre.
XSRF (cross-Site Reference Forgery) associe XSS à des techniques d’ingénierie
sociale.
Web 2.0 évolue en fonction des contributions des utilisateurs. Immatures par définition, les sites Web 2.0 présenteront pratiquement toujours des failles susceptibles d’être exploitées par des logiciels malveillants.
LA SÉCURITÉ DES MENACES DU WEB 2.0
De nombreux medias ont relayé l’impact positif du Web 2.0. Time Magazine a fait sa Une en 2006 sur le thème
“The Year of You” (vous êtes la personne de l’année) pour mettre à l’honneur ces millions d’utilisateurs qui
s'impliquent dans le Web 2.0. Cette course au Web 2.0 a eu un lourd impact sur la sécurité, un domaine pourtant
négligé tant par les entreprises que le grand public.
Il suffit de se pencher sur un des volets du Web 2.0 tel que défini par O’Reilly : le concept de « hackability », à
savoir la propension à être piraté. Dans la terminologie Web 2.0 et de l’informatique classique, cette notion
englobe les opérations qui visent à renforcer la sécurité d’un système, mais elle se teinte également d’une
connotation plus sombre liée au cybercrime. La propension au piratage du Web 2.0 est une occasion à saisir
pour les concepteurs de logiciels malveillants qui étudient dans le détail ses vulnérabilités (voir tableau 1) avant
de transformer ses utilisateurs en victimes. Ainsi la convergence des contenus, des applications et des
communautés prônées par le Web 2.0 est synonyme de liberté pour les utilisateurs… comme pour les
cybercriminels.
LES VECTEURS DES MENACES DU WEB 2.0
Les failles de sécurité du Web 2.0 ont été exploitées à de nombreuses reprises. Fin 2005, la plateforme populaire
Web 2.0 MySpace s’est rendue indisponible à cause du virus XSS (cross-Site Scripting) Samy. Créé par
l’adolescent Samy Kamkar, ce virus était constitué de scripts AJAX malveillants hébergés dans le profil MySpace
de son auteur. Les visiteurs du profil de Samy exécutaient l’application à leur insu, et se retrouvaient dans la liste
d’amis de Samy et inversement. L’ajout d’un profil à une liste d’amis est normalement soumis à l’accord de
l’utilisateur, mais les scripts AJAX ont su automatiser cette validation : les visiteurs de Samy sont
automatiquement devenus ses « amis ».
Ce logiciel malveillant s’est propagé à grande vitesse : en moins d’une journée, il a infecté plus d’un million
d’ordinateurs, un chiffre qui témoigne de la nocuité des pirates qui sévissent sur le Web 2.0. Samy Kamkar, luimême surpris de cette épidémie fulgurante, estime que le pire reste à venir : « MySpace laisse les utilisateurs
publier en toute liberté … Les sites qui offrent ce niveau de personnalisation, présentent des failles et constituent
des cibles potentielles pour injecter des scripts JavaScript. Ils peuvent être à l’origine d’une épidémie d’intensité
comparable, et causer un véritable préjudice. » [5] Les criminels en herbe n’auront qu’à étudier le code de Samy,
publié dans son intégralité sur le Web, pour reproduire son attaque sur un autre site, avec des conséquences
qu’on imagine plus graves.
Ce JavaScript qui dope l’expérience Web 2.0 est également une arme puissante et automatisée dans les mains
des cybercriminels. Le ver Yamanner, écrit en JavaScript, s’est ainsi propagé par Yahoo! Mail, dès l’ouverture
d’un message et sans requérir l’activation d’un lien ou d’une pièce jointe. Contrairement aux logiciels malveillants
traditionnels, ceux du Web 2.0, comme Samy et Yamanner, touchent également des utilisateurs qui connaissent
et appliquent les meilleures pratiques de sécurité (suppression des pièces jointes inconnues, non-divulgation
d’informations financières à des inconnus, etc.)
Le Web 2.0 est également un nouveau terrain de prolifération des virus traditionnels. Le ver Storm Trojan par
exemple, a infecté de nombreux ordinateurs en 2006 et s’est propagé par le biais de messages BBS, de liens
Google, de messages instantanés et de commentaires sur des blogs infectés. Storm a profité des multiples
vecteurs du Web 2.0 pour mieux s’auto-propager.
LES DANGERS DU WEB 2.0 : ÉTUDE DE CAS
Associez la précision technique de XSS aux techniques plus anciennes d’ingénierie sociale (ruses destinées à
escroquer les particuliers et les entreprises en les incitant à fournir des données confidentielles), et vous obtenez
une menace encore plus sérieuse : XSRF (cross-Site Reference Forgery).
5 White Paper I Menaces Web
LA SÉCURITÉ DES MENACES DU WEB 2.0
Avec XSRF, il n’est pas nécessaire que la victime télécharge ou installe un quelconque logiciel. Le simple fait de
consulter une page XSRF et de la laisser active lance l’attaque. Imaginez le scénario suivant pour un particulier,
qui a d’ailleurs été conçu et testé avec succès par International Security Partners.
1. John apprécie de rencontrer de nouvelles personnes sur un site de réseau social. Il discute souvent avec
ses amis via une fenêtre active, tout en naviguant sur d’autres pages Web. Jean dispose d’un profil
personnel sur ce site, avec photo et autres informations personnelles.
2. Elisa, une cybercriminelle sévissant sous une fausse identité, visite la page de profil de John et noue une
relation amicale avec lui. Au cours de leurs discussions, Elisa accumule davantage d’informations sur John.
Ils évoquent notamment les services qu’ils utilisent sur leur ordinateur, et John mentionne notamment qu'il
passe ses ordres de bourse en ligne. Il recommande d’ailleurs à Elisa les services de son propre courtier.
Elisa apprend également que Jean est un fervent amateur de football.
3. Un jour, John et Elisa sont en pleine discussion. John a également ouvert une fenêtre de navigation sur
son site de passage d’ordres boursiers, une fenêtre minimisée sur la barre des tâches. Elisa envoie à John
un lien vers une dépêche sportive. Le joueur de foot préféré de John va être transféré ! John clique sur le
lien et lit la nouvelle avec attention.
Social Engineering Penetrates the “Trust Barrier”
Communications
from Friends
and Family
(e.g., vacation
photographs)
Ethno-Linguistic Content
(e.g., language-specific
phishing on topics
of interest
to specific groups)
Communication
from Authority Figure
(e.g., recommendation
from a doctor)
Shared Interest News
(e.g., sports,
world affairs,
entertainment)
Communications
from Colleagues
(e.g., note from boss,
stock tips)
Schéma 1. Les méthodes d’ingénierie sociale impliquent des attaques contre les groupes et les individus, en activant les leviers de la
psychologie, de la confiance et de la vulnérabilité pour intégrer le "cercle de confiance" de l’utilisateur. Les cybercriminels déjouent ainsi
la méfiance naturelle des individus en intégrant des groupes identifiés "de confiance" et en offrant un contenu séduisant.
4. John ignore que le site Web d’actualités sportives a été piraté, tant il est simple pour un pirate de maquiller
un site illégitime. Comme le note un expert en sécurité, « les liens peuvent être facilement formatés pour
pointer vers une autre destination, camouflant ainsi les mots qui révéleraient leur destination réelle. » [6]
Tandis que John lit l’article, le site Web sportif lance une attaque XSRF, en utilisant un cadre iFrame qui
crée un document HTML masqué dans la page principale. Ce document fantôme utilise des méthodes de
requêtes HTTP comme POST ou GET pour cibler le site de courtage de John.
5. Les requêtes HTML, qui piratent les cookies d’authentification de John, se comportent comme s’ils
provenaient de l’ordinateur de John. Ils ont donc le pouvoir d’ordonner à son site de courtage de créer un
nouveau compte courant pour effectuer des virements, d’y transférer le solde du compte de John, ou de
vider son compte.
6 White Paper I Menaces Web
LA SÉCURITÉ DES MENACES DU WEB 2.0
Dans ce type d’attaque, le Web 2.0 atténue la vigilance de John face à une « liste d’amis ». Cette liste est un point
d’entrée pour les criminels qui transmettent le script déclenchant l’attaque. Le schéma 1 illustre d’autres types de
techniques d’ingénierie sociale qui visent les particuliers.
Outre ces menaces sur le grand public, les risques de sécurité sont particulièrement élevés pour les entreprises qui
passent leurs applications et sites Web traditionnels au Web 2.0 auprès de leurs clients et partenaires. Certaines
entreprises permettent par exemple aux clients de publier des commentaires sur leurs sites Web. Comme le souligne
Aberdeen Group, « Ce niveau d’accès plus large se traduit par une plus grande vulnérabilité aux intrusions dans les
systèmes critiques d’entreprise. Les conséquences vont du vol de données clients confidentielles jusqu’à la destruction
pure et simple d’informations vitales, capable de paralyser une entreprise. » [7]
UNE SÉCURITÉ MULTICOUCHE
Une nouvelle approche de sécurité est nécessaire pour traiter cette nouvelle menace et venir au renfort des techniques
actuellement utilisées par la plupart des entreprises et particuliers. L’approche la plus efficace met en jeu plusieurs
couches de sécurité qui activent différentes mesures de sécurité. Par ailleurs, la nature versatile des menaces Web
2.0 impose un mécanisme de partage des informations, où les données recueillies à l’échelle d’une couche servent à
mettre à jour les informations des autres couches de sécurité. Ce mécanisme implique des solutions intégrées à trois
niveaux différents (voir schéma 2) :
• In-the-cloud : analyse des données Web au niveau du centre de données par exemple, en amont de la passerelle
Internet d’entreprise.
• Sur la passerelle Internet : analyse des données au niveau du point de connexion entre Internet et le réseau
d’une entreprise ou d’un fournisseur d’accès.
• Sur le poste client : analyse des données sur le poste client ou le serveur.
In-the-Cloud. Cette protection complémentaire en amont de la passerelle Internet d’un réseau, cherche à identifier
les sites Web gérés par des pirates. Un filtrage statique des adresses URL implique de mettre à jour régulièrement
la liste des URL connues comme illégitimes/piratées, mais cette mise à jour n’est pas suffisamment réactive pour
identifier les menaces véhiculées par XSS, XSRF ou RSS vers des sites légitimes. La puissance du langage AJAX
et la liberté de le publier sur n’importe quel site rendent caduque la distinction de l’époque Web 1.0, entre sites
légitimes et sites contenant un contenu malveillant. Dans ces circonstances, seule une surveillance approfondie de
la réputation d’un site Web identifie les sites malveillants et en neutraliser l’accès. Ce contrôle de la réputation Web
fait également intervenir une base de données de filtrage d’URL. Mais avec 5 000 nouveaux domaines créés
chaque jour, le contrôle de la réputation d'un site (voir schéma 3) doit être optimisé.
Les services sophistiqués de réputation Web ne doivent pas présupposer l’existence d’un nombre fixe de sites
malveillants. Ils doivent, au contraire, compiler, surveiller et évaluer en temps réel une liste détaillée de noms de
domaine enregistrés, dont le nombre s’élève aujourd’hui à plus de 300 millions dans la base de données de
réputation de Trend Micro. À partir de cette liste de noms de domaine, des technologies sophistiquées de contrôle
de réputation examinent les informations liées à l’entité propriétaire du nom de domaine (ces informations
publiques sont obligatoires pour enregistrer un nom de domaine et son IP) dans le but de déterminer la légitimité
d’un site Web. Lorsqu’elles sont suivies sur la durée, certaines informations (entité ayant enregistré le site ou
localisation physique du site) sont révélatrices de la stabilité d’un nom de domaine particulier. Par exemple, un
changement fréquent de lieu géographique invite à la méfiance, car les cybercriminels modifient souvent
l’emplacement physique de leurs adresses IP pour échapper à toute détection.
7 White Paper I Menaces Web
LA SÉCURITÉ DES MENACES DU WEB 2.0
Tools and Reports
Website
Reputation Checking
Management
Threats
SPYWARE
BOTNET
PHISHING
VIRUSES
HTTP
Internet
HTTP
HTTP
1
Anti-Spyware
Anti-Spam
Antivirus
Firewall
HTTP
2
Gateway
3
Endpoint
Anti-Phishing Content & URL
Filtering
Schéma 2. Une approche multicouche permet de déjouer de nombreuses menaces
Off Network
De même, des sites récents qui attirent un volume inhabituel de visites sont suspects, une telle activité signalant
peut-être qu’un virus oriente le trafic vers un site particulier. D’autres indicateurs, comme la localisation
géographique, fournissent des informations essentielles sur la stabilité ou la légitimité d’un site particulier. Bien
entendu, la réputation d’un site Web est également évaluée en vérifiant si ce site est présent dans des bases de
sites connues pour initier des attaques de phishing, de pharming et utilisant d’autres techniques malveillantes.
Sur la passerelle Internet. Les fonctionnalités actives sur la passerelle Internet, et gérées par un logiciel ou un
matériel dédié, doivent assurer le filtrage des fichiers et une analyse comportementale. Le filtrage des fichiers
vérifie la « réputation » de chaque fichier avant d’autoriser son téléchargement par l’utilisateur. Une analyse des
données et de la réputation de chaque fichier du site Web doit être effectuée régulièrement pour établir et maintenir
à jour une base de données de réputation des fichiers. Ce contrôle des fichiers vient renforcer la fonction de
contrôle de réputation Web dans la zone In-the-cloud, et déjouer les tentatives des cybercriminels qui déplacent
souvent les fichiers malveillants d’un site Web à un autre.
Sur le poste client. La prévention au niveau des postes clients doit bénéficier d’un filtrage d’URL, d’une
vérification de la réputation des sites Web et d’un mécanisme de restauration. Un point de restauration est
enregistré avant la navigation sur le Web. Si une activité anormale est détectée après le téléchargement d’un
fichier ou la navigation sur Internet, l’ordinateur sera restauré à son point initial. Parmi les autres moyens de
prévention, notons la création d’un « environnement virtuel » dédié à la navigation sur le Web, qui sert de zone
tampon pour éviter que les menaces web ne prolifèrent jusqu’au poste de travail de l'utilisateur. Les postes
clients doivent également être équipés d'outils de nettoyage et d'analyse. Un mécanisme de restauration
complète est également nécessaire lorsque le nettoyage est impossible, après une infection à la racine du poste
client par exemple.
8 White Paper I Menaces Web
LA SÉCURITÉ DES MENACES DU WEB 2.0
Web Reputation
URL Category Database
Security Rating
IP Location Check
Anti-Phishing Database
Domain Behavior
URL Filtering
Security Rating
IP – Geo Check
Phishing Check
Domain Reputation
Employee Access
to Web Sites
Crawls Web Sites
To Check For Malware
Correlates IP Locations
with URL
Lists Known
Phishing URL’s
Provides Analysis of ALL
Top Level Domains (TLD’s)
Schéma 3. La protection complémentaire In-the-cloud vérifie la réputation de chaque site Web au travers d’un processus en plusieurs étapes.
LES MEILLEURES PRATIQUES FACE AUX MENACES DU WEB 2.0
Grand public. Les particuliers optimiseront leur sécurité en choisissant un fournisseur d’accès et de sécurité Internet
qui leur apporte les meilleures pratiques suivantes :
• Un logiciel de protection du poste client contre les menaces Web 2.0, associé à une protection classique de type
antivirus et antispyware
• Sécuriser le routeur/réseau sans fil et être conscient qu’un réseau tiers (dans un café ou un aéroport) n’est peutêtre pas aussi sécurisé qu’un réseau résidentiel ou d’entreprise
• Un logiciel de sécurité, proposé par le fournisseur d’accès, pour traiter les menaces Web 2.0 et garantir un
contrôle de la réputation Web au cours de la navigation
• Lors d’opérations financières en ligne, s’assurer que le site Web n’utilise pas de cookies permanents
susceptibles d’être la cible d’une attaque XSRF. En cas de doute, interroger directement l’établissement financier
sur sa politique des cookies de son site Web.
• Être conscient que les chevaux de Troie et autres logiciels malveillants apparaissent non seulement dans les
liens de messages email, mais aussi sous forme de commentaires de blog ou autre script intégré dans des pages
utilisateurs.
• Miser sur la prudence vis-à-vis des personnes rencontrées sur les sites Web 2.0. Les cybercriminels adoptent
souvent de fausses identités en ligne et surveillent les victimes potentielles pendant des mois avant de passer à
l’action.
Entreprises. Les entreprises amélioreront leur protection contre les menaces Web en adoptant les mesures suivantes,
qui sont également des critères pour choisir avec pertinence son fournisseur d’accès Internet.
• Adopter les technologies de réputation Web pour se prémunir des menaces Web 2.0, tout en se protégeant des
menaces classiques au niveau de la passerelle Internet et du poste client.
9 White Paper I Menaces Web
LA SÉCURITÉ DES MENACES DU WEB 2.0
• Sensibiliser les collaborateurs sur les menaces Web 2.0, en particulier ceux qui travaillent parfois à domicile
ou utilisent leur portable professionnel dans un contexte privé.
• Évaluer avec précision les risques et les conséquences d’une attaque XSRF, XSS et virale, lorsque les
collaborateurs sont autorisés à visiter des sites Web 2.0 sur les ordinateurs de l’entreprise.
• S’assurer que les technologies de réputation Web déployées vont au-delà du filtrage d’URL statique (site sûr
ou pas sûr) et appliquent des niveaux de risques pondérés aux adresses URL.
• Opter pour la réputation Web en tant que service fourni à la demande à diverses applications de sécurité.
LA STRATÉGIE TREND MICRO
La stratégie de protection de Trend Micro face aux menaces du Web 2.0 se concrétise par une solution exhaustive et
multicouche. Trend Micro offre ainsi ses services de réputation pour la protection In-the-cloud. Au niveau de la
passerelle Internet, les solutions logicielles et matérielles de Trend Micro (dont InterScan Web Security Suite et
l’appliance de sécurité), proposent un filtrage des fichiers et une analyse des comportements qui identifient les
contenus malveillants. Enfin, Trend Micro sécurise les postes clients avec ses solutions primées OfficeScan, AntiSpyware Enterprise Edition et LeakProof qui gèrent le contrôle d’accès, les analyses virales et les fuites de données.
Les solutions conviviales et ciblées de Trend Micro constituent une protection intégrée contre les menaces du Web 2.0,
avec également des services de nettoyage et de restauration en cas d’infection. Toutes ces fonctionnalités sont
disponibles dans des formats et outils parfaitement adaptés aux grandes entreprises, aux PME, aux fournisseurs de
services et au grand public.
RÉFÉRENCES
1. Pescatore, John. 2006. Web 2.0 needs security 101. Gartner,
http://www.gartner.com/DisplayDocument?ref=g_search&id=498199.
2. Stamos, Alex and Lackey, Zane. 2006. Breaking AJAX Web applications: vulnerabilities 2.0 in Web 2.0.
Black Hat Japan Conference, October 5, 2006,
http://www.blackhat.com/presentations/bh-jp-06/BH-JP-06-Stamos-Lackey.pdf
3. O’Reilly, Tim. 2006. Web 2.0 compact definition: trying again, http://radar.oreilly.com/archives/2006/12/web_20_compact.html.
4. Stamos and Lackey, http://www.blackhat.com/presentations/bh-jp-06/BH-JP-06-Stamos-Lackey.pdf
5. Lenssen, Philipp. 2005. Samy, their hero, http://blog.outer-court.com/archive/2005-10-14-n81.html
6. Burns, Jesse. 2005. Cross-site reference forgery, http://www.isecpartners.com/documents/XSRF_Paper.pdf
7. Patel, Mounil. 2006. Customer and private data protection strategies: the application security benchmark. Aberdeen Group,
http://callcenterinfo.tmcnet.com/whitepapers/articles/3335-customer-private-data-protection-strategies-application-securitybenchmark.html
8. Stamos and Lackey, http://www.blackhat.com/presentations/bh-jp-06/BH-JP-06-Stamos-Lackey.pdf
TREND MICRO ™
Trend Micro, leader mondial en matière de sécurité de contenu Internet, concentre
ses efforts sur la sécurisation de l’échange d’informations numériques des entreprises et des particuliers. Pionnier dans ce secteur, au premier plan de l’industrie
de la sécurité informatique, Trend Micro propose une technologie de gestion intégrée des menaces permettant de protéger la continuité des opérations, la confidentialité des informations et la propriété intellectuelle contre les programmes
malveillants, messages de spam et fuites de données et contre les menaces
Internet les plus récentes. Ses solutions flexibles, disponibles sous plusieurs
formes, bénéficient d’un contrôle effectué 24 h/24, 7 j/7 par des experts en matière
de stratégies intelligentes contre les menaces, à l’échelle planétaire. Entreprise
internationale dont le siège social se situe à Tokyo, Trend Micro commercialise
partout dans le monde ses solutions de sécurité primées par l’intermédiaire de ses
différents partenaires commerciaux. www.trendmicro.com
10 White Paper I Menaces Web
TREND MICRO INC.
85 Avenue Albert 1er
92500 Rueil Malmaison
Tél : 01 76 68 65 00
Fax : 01 76 68 65 05
www.trendmicro.com
©2008 Trend Micro, Incorporated. Tous droits réservés. Trend Micro, le logo t-ball de Trend Micro sont des marques commerciales ou des marques
déposées de Trend Micro, Incorporated. Tous les autres noms de produit ou de société peuvent être des marques commerciales ou des marques
déposées de leurs propriétaires.