Première ligne de défense
Échec des approches traditionnelles de sécurité des informations face aux menaces Internet
Les analystes en matière de sécurité des informations chez Trend Micro prévoient que les menaces de sécurité des informations seront principalement véhiculées via Internet en 2007. Selon le groupe d'action anti-phishing, le nombre de sites Web de phishing est passé de 5 242 en septembre 2005 à 24 565 en septembre 2006. Or, les approches de sécurité traditionnelles ne parviennent pas à protéger efficacement les entreprises et particuliers contre ces menaces Internet de plus en plus sophistiquées.
La collecte d'échantillons ne suffit plus
L'approche traditionnelle en matière de protection antivirus est la collecte d'échantillons de virus, la mise au point de signatures et la distribution rapide de ces correctifs. Cependant, en raison du caractère ciblé et varié des menaces Internet, la collecte d'échantillons est devenue quasiment impossible. Les nombreuses variantes utilisent des moyens de diffusion divers (p. ex. spam, messagerie instantanée, sites Web multimédia). Ainsi, la collecte d'échantillons et l'établissement de signatures ne suffisent plus à protéger contre ces menaces. En outre, étant donné que les menaces Internet se servent de techniques très diversifiées (p. ex attaques ciblées locales et régionales, spam en langue locale/étrangère et sites Web), une solution de sécurité unique n'est pas adaptée à tous les types de menace. Un échantillon collecté pour une attaque locale ciblée, par exemple, ne concerne pas d'autres attaques locales.
Difficultés grandissantes de la détection
Le but fondamental des menaces Internet est de se cacher et non de se propager, afin d'échapper à leur détection par les techniques antivirus courantes. Dans certains cas, les menaces Internet provoquent une infection si grave du système (p. ex. via un rootkit dans lequel le fichier système est déplacé) que les approches classiques de désinstallation ou de nettoyage du système s'avèrent inutiles. Il est donc nécessaire de procéder à une restauration totale impliquant l'effacement du disque dur et la réinstallation du système d'exploitation, des applications et des données utilisateur. Les cybercriminels tirent aussi profit de la nécessité de laisser ouvert le port 80 pour autoriser le trafic, ce qui handicape les pare-feux clients existants. En outre, certains cybercriminels professionnels utilisent des failles de type zero-day si bien que même les correctifs de sécurité reçus à temps ne réussissent pas à empêcher les effets dévastateurs de ces menaces.
Menaces indépendantes du système d'exploitation
Parallèlement, les cybercriminels motivés par l'appât du gain ne ciblent et ne compromettent pas uniquement la plate-forme de serveur Internet Windows (p. ex. afin de propager une source de programme de téléchargement), mais également d'autres plates-formes. En fait, beaucoup de menaces Internet ne dépendent pas du système d'exploitation et ciblent les serveurs Internet de tout type. Ainsi, même les serveurs Internet basés sur Linux, autrefois réputés pour être moins vulnérables aux menaces de sécurité, sont maintenant compromis. Une fois installé, un programme malveillant continue à lancer d'autres programmes afin de violer les règles du système de prévention d'intrusion sur hôte. Un nombre excessif de fausses alertes gêne les utilisateurs à tel point qu'ils désactivent leur système de protection et permettent au programme de s'exécuter. C'est ainsi que les programmes malveillants parviennent à échapper aux techniques du système de prévention d'intrusion sur hôte.
Nouvelles attaques complexes
Les programmes de téléchargement individuels couramment utilisés dans les menaces Internet semblent inoffensifs. Pourtant, une fois combinés, ils deviennent malveillants, rendant inutile le scan heuristique basé sur fichiers ou générant des faux-positifs. Les menaces Internet déploient souvent cette technique d'association d'attaques multicouches et multiprotocoles afin de contourner les moyens de détection classiques. Par exemple, un cybercriminel incorpore un URL dans un message électronique ou un message instantané. L'utilisateur clique sur le lien dirigeant vers un URL légitime, piraté par le cybercriminel quelques jours ou quelques heures auparavant. Ensuite, un contrôle ActiveX teste la vulnérabilité du navigateur de l'utilisateur. Si une faille est détectée, le programme malveillant passe à l'attaque. Dans le cas contraire, il télécharge un fichier, recherche des failles, télécharge d'autres fichiers et ainsi de suite. Chaque session du trafic semble normale, mais ces activités combinées deviennent une menace coordonnée.
Solutions de sécurité de génération future requises
Les menaces Internet sont bien réelles et deviennent de plus en plus nombreuses et dangereuses. Elles sont extrêmement complexe, utilisent une multitude de variantes et divers moyens de diffusion. De plus, elles exploitent le support médiatique le plus utilisé de nos jours. Elles constituent ainsi pour les entreprises, fournisseurs de services et particuliers le plus grand défi en matière de sécurité jamais relevé. Comme les approches classiques ne suffisent pas à protéger des menaces Internet, l'industrie de la sécurité informatique se trouve dans l'impasse. Afin de se protéger efficacement contre ces menaces, les entreprises de toutes tailles, fournisseurs de services et particuliers doivent déployer des solutions via une approche intégrée multicouche.
