Types de malveillances contre systèmes et réseaux
Une cyberattaque est une action malveillante qui vise un système informatique, un réseau, un serveur, un logiciel, un compte utilisateur ou des données. Ses objectifs sont divers : voler des informations, prendre le contrôle d'un système, espionner une organisation, extorquer de l'argent...
On distingue plusieurs catégories d'attaques, qui d’ailleurs peuvent se combiner. Ainsi, un attaquant peut obtenir un mot de passe grâce à une technique puis détruire des données avec une autre.
Attaques visant les réseaux
Les attaques réseau exploitent les communications entre ordinateurs, serveurs et autres équipements connectés. Elles peuvent viser le contenu des communications, les équipements eux-mêmes ou la disponibilité du réseau.
- L'interception de réseau consiste à capturer les données qui circulent entre deux systèmes (identifiants, données confidentielles…).
Lorsque l'attaquant se place entre deux interlocuteurs et intercepte ou modifie leurs communications sans qu'ils s'en rendent compte, on parle d'attaque de l'homme du milieu (Man-in-the-Middle, ou MITM). Un utilisateur peut par exemple penser communiquer directement avec un serveur alors que ses communications transitent en réalité par le système de l'attaquant.
Le chiffrement des communications réduit fortement les risques d'interception exploitable. - Le spoofing consiste à usurper une identité informatique. L'attaquant fait croire qu'un message, une adresse réseau ou une machine provient d'une source légitime : IP spoofing, lorsque l'adresse IP source est falsifiée, ARP spoofing, lorsque l'attaquant manipule les informations permettant d'associer une adresse IP à une adresse physique sur un réseau local, ou encore email spoofing, lorsque l'expéditeur apparent d'un courriel est falsifié. Le spoofing est utilisé comme étape d'une attaque plus complexe.
- Une attaque par déni de service (Denial of Service, ou DoS) cherche à rendre un service informatique indisponible en le surchargeant de requêtes ou en exploitant une vulnérabilité.
Lorsque l'attaque est menée simultanément depuis un grand nombre de machines compromises, on parle de DDoS (Distributed Denial of Service). Les machines utilisées peuvent former un botnet, c'est-à-dire un ensemble d'ordinateurs ou d'objets connectés contrôlés à distance par l'attaquant.
L'objectif n'est pas de voler des données mais d'empêcher les utilisateurs légitimes d'accéder au service. - Le détournement DNS : le DNS (Domain Name System) permet d'associer un nom de domaine à une adresse IP. Une attaque contre ce mécanisme peut conduire un utilisateur vers un serveur contrôlé par l'attaquant alors qu'il pense accéder au site légitime.
Le détournement peut être utilisé pour récupérer des informations d'authentification ou distribuer des logiciels malveillants. - Une porte dérobée (backdoor) est un mécanisme permettant de contourner les procédures normales d'authentification ou de sécurité afin d'accéder à un système.
Elle est installée par un attaquant après une première intrusion. Ensuite, elle lui permet de revenir dans le système sans avoir à reproduire l'attaque initiale.
Attaques contre les logiciels et les systèmes
Les logiciels peuvent présenter des vulnérabilités (voir la sécurité du développement logiciel).
- L'exploitation d'une vulnérabilité : l'attaquant cherche une faille dans un système d'exploitation, une application, un serveur ou un équipement réseau. Une fois la vulnérabilité identifiée, il l'exploite pour exécuter du code, obtenir des privilèges supplémentaires ou accéder à des données.
Certaines vulnérabilités permettent une exécution de code à distance (Remote Code Execution, ou RCE). L'attaquant peut alors exécuter des instructions sur une machine sans y avoir un accès physique. - L'injection SQL vise les applications qui communiquent avec une base de données. Lorsque les données fournies par un utilisateur sont insuffisamment contrôlées, un attaquant peut parvenir à faire interpréter certaines données comme des instructions SQL. Il peut alors, selon la vulnérabilité, consulter, modifier ou supprimer des informations stockées dans la base de données.
- L’attaque XSS (Cross-Site Scripting) consiste à faire exécuter du code malveillant dans le navigateur d'un utilisateur lorsqu'il consulte une page web vulnérable. L'attaquant peut notamment chercher à manipuler l'affichage d'une page, à récupérer certaines informations liées à la session de l'utilisateur ou à faire exécuter des actions à son insu.
- Un dépassement de tampon (buffer overflow) se produit lorsqu'un programme écrit davantage de données dans une zone mémoire qu'elle ne peut en contenir. Dans certaines situations, cette erreur peut être exploitée pour provoquer un dysfonctionnement ou permettre l'exécution de code. Les systèmes modernes disposent de plusieurs mécanismes de protection destinés à limiter les conséquences de ce type de vulnérabilité.
Attaques visant les utilisateurs
L'être humain est une cible. Plutôt que de contourner directement les protections techniques, l'attaquant peut convaincre un utilisateur de lui fournir lui-même une information ou d'effectuer une action. Cette « famille » d’attaques fait l’objet de la page sur l’ingénierie sociale. Voir aussi les techniques manipulatoires.
Attaques contre les mots de passe et l'authentification
Les comptes utilisateurs constituent une cible privilégiée car la compromission d'un seul compte peut donner accès à de nombreuses ressources.
- L'attaque par force brute consiste à essayer différentes combinaisons de mots de passe jusqu'à trouver la bonne.
- Le password spraying consiste à essayer un petit nombre de mots de passe courants sur un grand nombre de comptes.
- Le credential stuffing exploite le fait que des utilisateurs réutilisent les mêmes mots de passe sur plusieurs sites. Des identifiants récupérés lors d'une fuite de données peuvent donc être testés automatiquement sur d'autres sites.
- Le vol de session : un attaquant récupère les informations permettant de maintenir une session authentifiée. Il peut alors accéder au compte sans connaître directement le mot de passe. L'utilisation de l'authentification multifacteur et de mécanismes de gestion de session robustes permet de limiter ce risque.
Logiciels malveillants
Il existe de nombreux types de logiciels malveillants : le virus, le ver, le cheval de Troie, le logiciel espion, le ransomware, le keylogger… Voir les malwares.
Attaques visant les données
- L'exfiltration de données consiste à copier et transférer clandestinement des données depuis le système de la victime vers un environnement contrôlé par l'attaquant.
- L’objectif d’une attaque peut être de supprimer ou de modifier des données. L'attaquant cherche moins à obtenir une information qu'à perturber l'organisation. La modification de données peut être très difficile à détecter.
Attaques par élévation de privilèges
Une fois qu'un attaquant a obtenu un premier accès, il cherche souvent à augmenter ses droits. L'élévation de privilèges consiste à exploiter une vulnérabilité ou une mauvaise configuration afin de passer d'un compte disposant de droits limités à un compte disposant de privilèges plus importants.
On distingue l'élévation horizontale (un utilisateur accède aux ressources d'un autre utilisateur ayant un niveau de privilège comparable) de l'élévation verticale (un utilisateur obtient des privilèges supérieurs, par exemple ceux d'un administrateur).
Attaques de la chaîne d'approvisionnement
Une organisation ne dépend pas que de son propre système informatique. Elle utilise des logiciels, des services cloud, des fournisseurs et différents prestataires.
Une attaque de la chaîne d'approvisionnement (supply chain attack) consiste à compromettre un fournisseur ou un composant utilisé par la cible afin d'atteindre indirectement cette dernière. Cette méthode est particulièrement efficace car le logiciel ou le fournisseur compromis bénéficie déjà d'une relation de confiance avec l'organisation ciblée.
