Guide du CIS Control 10 : Défenses contre les logiciels malveillants

Le Contrôle 10 des CIS Critical Security Controls version 8 est axé sur les défenses contre les logiciels malveillants. Il décrit les mesures de protection pour prévenir ou contrôler l'installation, la propagation et l'exécution d'applications, de code et de scripts malveillants sur les actifs de l'entreprise. (Dans la version 7 de CIS, ce sujet était traité par le Contrôle 8.)

Les logiciels malveillants, en particulier les rançongiciels, sont devenus un problème de sécurité urgent ces dernières années. Les rançongiciels empêchent les utilisateurs d'accéder à leurs systèmes ou informations, menaçant généralement de publier ou de détruire les données à moins que le propriétaire ne paie une rançon. Les prévisions d'experts indiquent qu'en 2031, il y aura une nouvelle attaque toutes les 2 secondes et les coûts liés aux rançongiciels atteindront 265 milliards de dollars par an.

Les logiciels malveillants sont conçus pour aider les attaquants à obtenir l'accès et le contrôle des systèmes et réseaux, généralement dans le but d'extraire des données sensibles. En plus des ransomware, les logiciels malveillants peuvent se présenter sous la forme d'un cheval de Troie déguisé en programme régulier ; des virus et vers qui modifient les systèmes affectés pour servir les desseins de l'attaquant ; et plus encore. Les logiciels malveillants augmentent le risque commercial en volant des données, en capturant des identifiants, en chiffrant ou en détruisant des données, et en identifiant d'autres cibles dans votre réseau.

Les signes d'une infection par un logiciel malveillant peuvent inclure :

• Spam et publicités pop-up
• Un système lent ou gelé
• Plantages fréquents
• Des processus et services inconnus en cours de création ou de démarrage
• De nouveaux fichiers ou dossiers sont créés sans autorisation
• Redirections de sites connus vers des sites inconnus

Les menaces de logiciels malveillants peuvent évoluer et s'adapter en utilisant des techniques d'apprentissage automatique, et peuvent pénétrer dans les systèmes de votre organisation par le biais de multiples vulnérabilités tout en évitant, trompant et désactivant les défenses contre elles.

Pour protéger votre organisation contre les infections par des logiciels malveillants et garantir une réponse rapide aux incidents, suivez les CIS Control 10 mesures de sauvegarde détaillées ci-dessous.

10.1. Déployez et maintenez un logiciel anti-malware sur tous les actifs de l'entreprise

Les logiciels anti-malware identifient les logiciels malveillants en utilisant différentes techniques, y compris :

• Définitions ou signatures — Chaque logiciel malveillant possède une définition ou signature qui peut être capturée et stockée dans une base de données. Les solutions anti-logiciels malveillants effectuent des analyses continues et comparent le code entrant ou présent sur le système aux signatures dans la base de données pour identifier et signaler les logiciels malveillants.
• Analyse heuristique — Étant donné que les modifications de code se produisent fréquemment, les heuristiques sont utilisées pour identifier les logiciels malveillants par leur comportement et leurs caractéristiques au lieu de comparer le code à une signature. Elles peuvent aider à la détection de logiciels malveillants jusqu'alors non découverts.
• Mise en quarantaine— Les solutions anti-logiciels malveillants utilisent cette technique de test pour exécuter un programme suspect dans un espace protégé et surveillent son comportement comme s'il avait un accès complet au système. Si elle détermine que le programme est malveillant, l'anti-logiciel malveillant le termine. Sinon, il est autorisé à s'exécuter en dehors de la mise en quarantaine.

Une fois le logiciel malveillant identifié, la plupart des logiciels anti-malware peuvent soit le supprimer, soit le mettre en quarantaine dans un fichier protégé. Les logiciels anti-malware ne sont pas efficaces à 100%, mais ils restent un élément de sécurité essentiel.

10.2. Configurez les mises à jour automatiques des signatures anti-malware

Les signatures (définitions) sont des algorithmes ou des hachages uniques à un logiciel malveillant spécifique. Les outils anti-malware comparent les fichiers de vos systèmes à un ensemble de signatures afin de détecter les logiciels malveillants.

Parce que les logiciels malveillants changent et s'adaptent tout le temps, l'anti-malware doit également s'adapter pour rester efficace. Les mises à jour sont le seul moyen de garantir que l'anti-malware reconnaît les derniers codes malveillants.

Les mises à jour automatiques sont plus efficaces et fiables que de demander aux utilisateurs ou à votre équipe informatique d'installer les mises à jour. Les mises à jour peuvent être publiées toutes les heures ou tous les jours, et tout retard dans l'installation peut laisser votre système vulnérable aux acteurs malveillants.

10.3. Désactivez l'exécution automatique et la lecture automatique pour les supports amovibles

Les supports amovibles, tels que les clés USB et les disques durs portables, sont susceptibles d'être infectés par des logiciels malveillants, tout comme tout autre système informatique. Ces supports peuvent être configurés pour télécharger, installer, lire ou exécuter automatiquement des programmes dès que vous les branchez à votre ordinateur. Les logiciels malveillants peuvent infecter votre appareil avant que vous puissiez les arrêter.

En désactivant la fonctionnalité d'exécution automatique dans le cadre de votre gestion de configuration sécurisée, vous pouvez prévenir les infections par des logiciels malveillants susceptibles de provoquer des violations de donnéeses, des arrêts de système, des dommages à la réputation et des pertes financières.

10.4. Configurez le balayage automatique anti-logiciels malveillants des supports amovibles

Certains pirates laissent traîner des clés USB, attendant que quelqu'un les ramasse et les branche, ne serait-ce que par curiosité. D'autres fois, des supports amovibles qui échappent à votre contrôle peuvent être infectés par des logiciels malveillants, ou ils pourraient être utilisés pour transférer des malwares d'un système à un autre, involontairement ou intentionnellement.

Configurer votre logiciel anti-virus pour qu'il analyse automatiquement les supports amovibles dès leur connexion aide à détecter les logiciels malveillants et à les mettre en quarantaine ou les éliminer avant qu'ils puissent infecter le système dans lequel ils sont branchés. Les meilleures pratiques suggèrent de limiter l'utilisation des supports amovibles et de pratiquer un contrôle strict de leur localisation. La formation en groupe est utile pour sensibiliser aux risques associés à l'utilisation des supports amovibles.

10.5. Activez les fonctionnalités anti-exploitation

Ce contrôle suggère d'activer les fonctionnalités anti-exploitation sur les actifs et logiciels d'entreprise lorsque cela est possible. Des exemples incluent Microsoft Data Execution Prevention (DEP), Windows Defender Exploit Guard (WDEG), et Apple System Integrity Protection (SIP) et Gatekeeper.

Les fonctionnalités anti-exploitation offrent une protection générique contre les exploits au lieu de rechercher des logiciels malveillants connus comme les anti-virus ou les anti-malwares basés sur des signatures. La plupart sont intégrées dans les systèmes d'exploitation actuels pour empêcher la pénétration de malwares, mais les fonctionnalités sont désactivées par défaut, donc vous devez les activer pour en profiter.

La sécurité anti-exploitation est particulièrement efficace contre les exploits les plus courants qui provoquent des infections de masse, comme les sites de téléchargement drive-by, les campagnes de phishing et les iframes malveillants. Ces fonctionnalités atténuent également les vulnérabilités zero-day, qui sont des vulnérabilités inconnues jusqu'alors et pour lesquelles il n'existe encore aucun correctif. Elles aident aussi à stopper les débordements de tampon et autres attaques par corruption de mémoire.

10.6. Gérez de manière centralisée les logiciels anti-malware

Si vous disposez de plusieurs solutions anti-logiciels malveillants qui ne communiquent pas entre elles, vous risquez de ne pas pouvoir détecter les logiciels malveillants ou les tendances à travers l'entreprise. Vous devez gérer chaque silo séparément.

Comblez cette faille de sécurité en mettant en œuvre une solution anti-malware unique et gérée de manière centralisée qui analyse et rapporte sur chaque appareil au sein de votre organisation. Cela réduit l'expertise nécessaire pour couvrir différentes solutions et vous assure de ne rien manquer parce que cela est passé entre les mailles du filet entre les solutions. Et en cas de violation de données, vous avez besoin de chercher dans un seul endroit pour les informations.

10.7. Utilisez un logiciel anti-malware basé sur le comportement

Les solutions basées sur les signatures ne permettent d'identifier que le code déjà connu. Les logiciels malveillants d'aujourd'hui sont souvent assez intelligents pour échapper à ces outils grâce à des ambiguïtés intégrées qui entraînent des exécutions de code variables.

Les solutions basées sur le comportement peuvent identifier des fichiers malveillants que les solutions basées sur les signatures ne reconnaîtraient pas car elles peuvent analyser chaque ligne de code et toutes ses actions potentielles. Par exemple, ces solutions peuvent analyser l'exécution d'instructions au niveau du système d'exploitation ; le code de rootkit de bas niveau ; et les fichiers, processus et services internes critiques ou non pertinents.

Cependant, les logiciels basés sur le comportement présentent certains inconvénients. Alors que les anti-malwares basés sur les signatures identifient les malwares en temps réel, les logiciels anti-malwares basés sur le comportement ont une certaine latence intégrée en raison de la nécessité d'une analyse dynamique sur plusieurs dimensions. De plus, il est peu probable que les solutions basées sur le comportement détectent les malwares dotés de capacités anti-sandbox.

D'un côté positif, les logiciels anti-malware basés sur le comportement offrent de la flexibilité pour détecter différentes formes de malwares inconnus aux logiciels basés sur les signatures. Cela améliore la détection des intrusions, l'analyse des menaces et l'analytique des utilisateurs, et vous permet de créer ou de modifier des politiques pour autoriser ou interdire des exigences spécifiques à votre secteur ou organisation. La plupart des logiciels basés sur le comportement suivent un mécanisme de contrôle basé sur des politiques, donc la flexibilité est importante à des fins administratives.

Plus de conseils pour la prévention et l'atténuation des logiciels malveillants

• Utilisez des méthodes d'authentification secure authentication methods, y compris des mots de passe forts, l'authentification multifactorielle (MFA) ou des outils biométriques.
• Utilisez les comptes administrateurs uniquement lorsque cela est absolument nécessaire.
• Adhérez au modèle de moindre privilège : Accordez aux utilisateurs l'accès minimal aux capacités du système, aux services et aux données dont ils ont besoin pour accomplir leur travail.
• Mettez en œuvre des solutions de sécurité des e-mails et de protection contre le spam.
• Sensibilisez aux tactiques courantes de logiciels malveillants et tenez les utilisateurs informés des tendances et des meilleures pratiques en matière de cybersécurité. En particulier, conseillez-leur de rejoindre uniquement des réseaux sécurisés en utilisant des VPN lorsqu'ils travaillent en dehors du bureau.
• Encouragez les utilisateurs à signaler tout comportement inhabituel du système.

Résumé

Suivre le CIS critical security controls peut aider une entreprise à renforcer la sécurité, à atteindre la conformité réglementaire et à améliorer la résilience de l’entreprise, aussi bien sur site que dans le cloud.

La recommandation 10 suggère d'utiliser à la fois des outils anti-malware basés sur le comportement et des outils basés sur les signatures avec des mises à jour automatiques activées, et de gérer le logiciel de manière centralisée. Assurez-vous également d'activer les fonctionnalités anti-exploit dans vos systèmes d'exploitation et de contrôler strictement l'utilisation des supports amovibles sur vos appareils, si vous l'autorisez. En suivant ces meilleures pratiques, vous pouvez réduire votre risque d'une infection par malware dévastatrice.