Password spraying : 97 % des attaques ne piratent pas, elles se connectent simplement

Password spray : l’attaque la plus ennuyeuse (et efficace) au monde

Le password spraying semble presque... inoffensif.

Ce n’est pas le cas.

1. Essayez des mots de passe courants sur de nombreux comptes.
2. Restez en dessous des seuils de verrouillage.
3. Attendez une connexion réussie.

C’est tout. Pas de zero-days. Pas de montage de piratage à la Hollywood. Pas de musique de Mission Impossible.

Juste de la patience.

Et ça marche. Beaucoup.

Si vous entendez des chiffres comme « 97 % des attaques commencent ainsi », ce n’est pas une erreur d’arrondi. Ce sont des faits que nous ne pouvons pas ignorer.

Pour être concret, Microsoft dit deux choses importantes en ce moment.

Extrait du Rapport sur la Défense Numérique de Microsoft

Cette petite boîte dit tout.

C’est exact.

Même si les tactiques évoluent, les attaquants réussissent toujours grâce à des mots de passe faibles et surutilisés.

Prenez une minute pour lire les directives de Microsoft et le rapport pour le contexte complet. Revenez ici une fois terminé.

Parce que vous pouvez passer toute la journée à parler de menaces avancées… pendant que les attaquants continuent d’entrer par la porte d’entrée.

Oui. Vous devriez.

FIDO2. Windows Hello. Biométrie. Le tout.

C’est la destination.

Mais soyons honnêtes avec nous-mêmes une seconde…

Votre organisation n’est pas là.

Vous avez des applications héritées. Des dépendances VPN. Des comptes de service. Et des utilisateurs qui tapent encore “Summer2024!”.

Et maintenant ?

Est-il juste d’ignorer simplement la réalité jusqu’à ce que la « transformation sans mot de passe » soit terminée ?

Ce n’est pas une stratégie. Ou si c’en est une, c’est une stratégie risquée au mieux. Honnêtement, c’est espérer et prier pour qu’un problème ne survienne pas.

Et comme nous l’avons déjà dit :

L’espoir n’est pas une stratégie. La politique l’est.

Le fossé dont personne ne veut parler

Il existe un énorme fossé inconfortable entre l’endroit où Microsoft veut que vous soyez (utopie sans mot de passe) et l’endroit où vous êtes réellement (mots de passe partout).

Cette lacune ?

C’est là que vivent les attaquants.

Et les données de Microsoft elles-mêmes disent essentiellement :

« Hé… c’est de là que viennent les attaques. »

Alors, la vraie question est :

Que faites-vous à ce sujet aujourd’hui ?

Voici le logiciel du type « Pourquoi je ne l’avais pas déjà ? »

Imaginez ceci :

Un utilisateur essaie de définir un mot de passe.

En coulisses, votre système le vérifie par rapport à une vaste base de données de mots de passe compromis connus.

Si elle est faible, réutilisée ou déjà compromise ?

Bloqué. Immédiatement.

Pas de débat. Pas d’exception. Pas de « on le réparera plus tard ».

C’est ce que fait Netwrix Password Policy Enforcer.

Il se connecte directement à Active Directory et aux événements de changement de mot de passe hybrides, vérifie ces mots de passe à l'avance avec Have I Been Pwned, et bloque ceux compromis et/ou faibles avant qu'ils ne deviennent un problème.

Il fonctionne avec ce que vous avez déjà : environnements hybrides Active Directory et/ou Entra ID, sans remplacement nécessaire.

Il ne s'agit pas de réinventer l'identité.

Cela rend votre système d’identité existant… réellement applicable.

Ou comme j'aime le dire :

Nous ne réinventons pas la roue. Nous rendons la roue plus ronde.

Pourquoi cela compte plus que jamais

Revenons au point de Microsoft :

Les attaquants établissent une persistance. Assis tranquillement. Attendant.

Password spray est souvent le premier domino.

S'ils entrent une fois, même avec un compte à faible privilège, ils n'ont pas besoin de feux d'artifice.

Ils ont besoin de temps.

Et à partir de là, c’est le mouvement latéral. Escalade de privilèges. Techniques living-off-the-land.

Jeu terminé… juste plus lent.

Le passage : de la détection à la prévention

Voici la vérité dérangeante :

EDR détecte après coup. SIEM alerte après coup. La réponse aux incidents intervient après coup.

Prévention contre les attaques par pulvérisation de mots de passe ?

C’est avant le fait.

C’est la différence entre courir après les attaquants et les arrêter à la porte.

Ou mieux encore… ne jamais leur laisser trouver une porte qui fonctionne.

Comblez le fossé. N’attendez pas la perfection.

Vous savez déjà où vous voulez aller.

Sans mot de passe. Résistant au phishing. Identité moderne.

Mais d'ici là ?

Vous avez des mots de passe. Acceptez-le.

Bloquez les mots de passe compromis. Appliquez une politique stricte. Éliminez les faiblesses faciles dont les attaquants tirent parti.

Parce que le pire titre n’est pas :

« Entreprise compromise par un acteur étatique avancé »

C’est :

« Entreprise compromise… à cause d’un mot de passe faible qu’ils auraient pu éviter. »

Dernière réflexion

Microsoft vient de vous fournir le document d’ancrage.

Les données sont là. Le schéma est évident.

97 % des attaques passent par la même porte d'entrée.

Voici donc la solution simple.

Vous savez que vous devriez être sans mot de passe. Ce n’est pas le cas.

Vous avez des mots de passe. Et probablement pour... un certain temps. Alors, gérons cela.

Utilisez Netwrix Password Policy Enforcer pour arrêter les attaques par pulvérisation de mots de passe.

Combler le fossé entre ce que vous avez et où vous voulez aller.

Et ne soyez pas dans les journaux parce que vous auriez pu faire quelque chose… et ne l’avez pas fait.