Attaque zero day : ex­pli­ca­tion et mesures de pro­tec­tion en­vi­sa­geables

En moyenne, sept ans sont né­ces­saires pour découvrir une vul­né­ra­bi­lité zero day. Les cy­ber­cri­mi­nels peuvent ainsi espionner sans encombre les en­tre­prises et les or­ga­ni­sa­tions dans leurs ap­pli­ca­tions pendant sept ans. Le dommage éco­no­mique pouvant être engendré est immense.

Il est donc d’autant plus essentiel que les en­tre­prises prennent la sécurité in­for­ma­tique au sérieux et mettent en place des mesures pour se protéger le mieux possible contre les attaques.

Le terme attaque « zero day » renvoie au fait qu’une en­tre­prise dispose de zéro jour (zero day) pour corriger une faille de sécurité avant qu’il n’y ait un risque. En effet, l’en­tre­prise prend uni­que­ment cons­cience de cette vul­né­ra­bi­lité dans le logiciel lorsqu’un dommage est survenu. Les hackers dé­couvrent la faille de sécurité longtemps avant sa dé­cou­verte par l’en­tre­prise et l’ont exploitée pour infiltrer des logiciels espions ou mal­veil­lants à l’aide de rootkits, de chevaux de Troie, etc.

Dé­rou­le­ment d’une attaque zero day :

1. le dé­ve­lop­peur procède à la pro­gram­ma­tion du logiciel en écrivant du code et en laissant, par mégarde, une vul­né­ra­bi­lité (zero day vul­ne­ra­bi­lity) qui permet aux hackers d’obtenir des in­for­ma­tions ou de manipuler des systèmes.
2. Un hacker découvre cette vul­né­ra­bi­lité avant l’en­tre­prise. Plutôt que d’informer l’en­tre­prise de l’erreur, celui-ci écrit du code (appelé « exploit ») pour exploiter cette faille. Le hacker peut éven­tuel­le­ment choisir de ne pas exploiter di­rec­te­ment cette faille et de la vendre sur le marché noir où il peut obtenir plusieurs milliers d’euros pour le code en question.
3. L’en­tre­prise prend cons­cience de l’attaque zero day, que ce soit par hasard, par une no­ti­fi­ca­tion d’un client ou par une ré­cla­ma­tion. C’est uni­que­ment à partir de ce moment que les dé­ve­lop­peurs pourront dé­ve­lop­per un correctif de sécurité pour corriger cette faille. Mais il est fort probable, qu’à ce moment, le mal soit déjà fait.

Les points d’entrée pour les attaques sont gé­né­ra­le­ment des ap­pli­ca­tions des géants du numérique tels que Google, Apple et Microsoft. Microsoft est fré­quem­ment ciblé par des attaques zero day. En principe, toutes les en­tre­prises utilisant des logiciels de ces pres­ta­taires sont con­cer­nées par ce type d’attaque.

Le risque d’être la cible d’une attaque zero day augmente pour les en­tre­prises con­nais­sant un succès gran­dis­sant puisqu’elles attirent de facto l’attention des cy­ber­cri­mi­nels. Toutefois, même les petites en­tre­prises de secteurs hautement com­pé­ti­tifs peuvent être victimes de telles attaques utilisées pour effectuer de l’es­pion­nage in­dus­triel.

Les attaques zero day sont par­ti­cu­liè­re­ment dan­ge­reuses, car les hackers ont une longueur d’avance sur leur victime. Ils peuvent ainsi espionner les en­tre­prises sans se faire remarquer pendant des mois ou des années.

L’attaque n’est pas iden­ti­fiée par les logiciels antivirus car les schémas d’attaque codés ne sont pas connus par ni inclus dans les bases de données. Lorsque la vul­né­ra­bi­lité est fi­na­le­ment iden­ti­fiée, les en­tre­prises po­ten­tiel­le­ment con­cer­nées ne peuvent pas réagir de façon adaptée et doivent attendre que les dé­ve­lop­peurs de l’ap­pli­ca­tion concernée aient publié un correctif de sécurité. La sécurité peut uni­que­ment être rétablie après l’ins­tal­la­tion du correctif.

Si le fabricant d’un logiciel publie un correctif, mais que l’en­tre­prise ne l’installe pas, quel qu’en soit la raison, la faille de sécurité est maintenue.

Il est difficile de se protéger contre les attaques zero day. Il est toutefois possible de prendre dif­fé­rentes mesures de sécurité pour réduire la pro­ba­bi­lité qu’un dommage survienne, même si une attaque est effectuée.

Alors que les anti-virus tra­di­tion­nels ne se montrent pas per­for­mants pour les attaques zero day du fait de leur signature virale inconnue, les solutions de sécurité basées sur le com­por­te­ment peuvent apporter une aide con­si­dé­rable. À l’aide d’al­go­rithmes et d’heu­ris­tiques, les systèmes de détection d’intrusion (IDS) et les systèmes de pré­ven­tion des in­tru­sions (IPS) sur­veil­lent les mou­ve­ments de données et les accès aux données dans l’en­tre­prise et émettent des messages d’aver­tis­se­ment lorsque des anomalies sont détectées ou prennent au­to­ma­ti­que­ment des contre-mesures.

Les en­tre­prises peuvent également diminuer le risque d’uti­li­sa­tion abusive des données en mettant en place un chif­fre­ment, des systèmes d’au­to­ri­sa­tion et des contrôles.

Comme chaque logiciel peut en principe servir de base pour une attaque zero day, le nombre d’ap­pli­ca­tions ins­tal­lées doit être réduit à un minimum. Le logiciel doit toujours être utilisé et exécuté dans sa dernière version, avec toutes les mises à jour dis­po­nibles. Les ap­pli­ca­tions non utilisées doivent être retirées des or­di­na­teurs.

Ces mesures ne per­met­tront toutefois pas d’atteindre une sécurité sans faille. Mais, le risque de subir un dommage éco­no­mique du fait d’une attaque zero day peut ainsi être con­si­dé­ra­ble­ment réduit.