Qu'est-ce que l'exfiltration de données ? Comment l'IA accélère le vol de données et comment réduire ce qui est exposé

Une fois que les attaquants sont dans une base de données, un wiki ou une boîte mail, ils veulent une chose : les données. L'exfiltration ne nécessite pas de malware ni d'outils spéciaux. Une connexion valide ou une seule application web vulnérable suffit, et la copie ressemble à un trafic normal jusqu'à ce que quelqu'un vérifie le volume. L'IA raccourcit le temps entre l'entrée et la sortie avec les meilleurs enregistrements.

Qu'est-ce que l'exfiltration de données ?

L'exfiltration de données est le transfert non autorisé de données depuis un système, un réseau ou un service cloud vers un emplacement contrôlé par l'attaquant. Les équipes de sécurité l'utilisent aussi comme verbe : les attaquants exfiltrent des données. Une violation de données décrit l'exposition elle-même, et une fuite de données signifie généralement que l'exposition était accidentelle. L'exfiltration est délibérée, et la personne derrière peut être un attaquant externe ou un initié.

Exemples d'exfiltration de données

Prenez le contrôle d'une base de données. Un attaquant exploite une application web vulnérable, prend le contrôle d'une base de données de registre et exporte des millions d'enregistrements. Un dump d'intranet est différent : quelqu'un avec des credentials volées copie toute la wiki de l'entreprise, procédures et notes d'architecture incluses, et parfois credentials que les gens ont collées dans les pages.

Les exportations de Mailbox sont plus discrètes. Après avoir pris le contrôle d’un compte, l’attaquant extrait la Mailbox et la recherche pour des factures, contrats et données personnelles. Le ransomware à double extorsion ajoute une menace supplémentaire. Les attaquants copient d’abord les données, puis chiffrent les systèmes, et avertissent la victime que les données seront publiées si la rançon n’est pas payée.

Techniques courantes d’exfiltration de données

La plupart des exfiltrations suivent l’une de quelques routes :

• Identifiants volés : une connexion valide lit et copie les données via des interfaces normales, donc l’activité ressemble à une utilisation courante.
• Failles applicatives : des faiblesses dans les applications web, plateformes CMS et APIs permettent aux attaquants d'extraire des données directement sans aucune connexion.
• Initiés : les employés et les sous-traitants copient des données vers un stockage personnel, des clés USB ou des emails.
• Synchronisation et téléchargements cloud : les données sont transférées vers des comptes personnels ou des services de partage de fichiers.
• Mise en scène et transfert : quelle que soit la voie utilisée pour extraire les données, les attaquants les compressent souvent d’abord dans de grosses archives avant de les envoyer via HTTPS, DNS ou un autre canal déjà autorisé par le réseau.

Comment l'IA modifie l'exfiltration des données

Copier des données n’a jamais été la partie lente. Choisir quoi prendre et trier ce qui revenait prenait la plupart du temps d’un attaquant. L’IA accélère précisément ces tâches.

Les données volées sont recherchées par signification

L'extraction de données signifiait des recherches par mots-clés et une navigation manuelle. Désormais, un modèle peut lire des documents, des feuilles de calcul et des fils d'e-mails et extraire les contrats, les dossiers clients et les identifiants, même lorsque les fichiers ont des noms inutiles. Un grand volume devient consultable bien plus rapidement qu'une personne ne pourrait le lire.

Les cibles sont classées avant toute copie

Les noms de dossiers, les métadonnées des fichiers et le contenu d’échantillon indiquent à un modèle quels shares et bases de données contiennent le matériel le plus sensible. Les attaquants peuvent prendre ces données en premier et ignorer les fichiers à faible valeur, ce qui rend les transferts plus petits et plus discrets.

Les enregistrements volés sont triés par prix

Les données personnelles, les dossiers médicaux, les données de paiement et la propriété intellectuelle ont chacun une valeur différente pour la revente et l’extorsion. Les modèles peuvent trier les dossiers volés par type et rédiger des messages d’extorsion citant des fichiers spécifiques, et une demande qui nomme vos propres documents est difficile à ignorer.

La collecte s'exécute via un script

Énumérer, copier, compresser, préparer, envoyer. Chaque étape peut être scriptée et réessayée automatiquement, et une routine peut s'exécuter simultanément sur plusieurs organisations.

Exfiltration de données traditionnelle vs. assistée par IA

Détection d'exfiltration de données

Surveillez les gros archives dans des endroits inhabituels, le volume sortant qui ne correspond pas à la journée, les connexions vers des destinations inconnues, les lectures en masse d'une base de données ou d'une boîte aux lettres, l'accès aux partages de fichiers à des heures inhabituelles, et les comptes qui lisent des données qu'ils ne touchent jamais.

La mise en scène est l’une des étapes les plus faciles à vérifier. Cette commande Linux liste les grandes archives créées au cours des dernières 24 heures.

      find / -xdev -type f \( -name "*.zip" -o -name "*.7z" -o -name "*.rar" -o -name "*.tar.gz" \) -size +500M -mtime -1 -ls 2>/dev/null 
      

La version PowerShell fait la même chose sous Windows. Pointez-la vers vos chemins de partage de fichiers, car scanner tout le disque C: prend beaucoup de temps.

      Get-ChildItem -Path D:\Shares -Recurse -Include *.zip,*.7z,*.rar -ErrorAction SilentlyContinue | 

  Where-Object { $_.Length -gt 500MB -and $_.CreationTime -gt (Get-Date).AddDays(-1) } | 

  Select-Object FullName, Length, CreationTime 
      

Ces vérifications fonctionnent sur un seul serveur. Sur les serveurs de fichiers, SharePoint, les boîtes aux lettres et les bases de données, elles prennent du retard, et un transfert important n’est généralement visible qu’après le départ des données. Un contrôle plus fiable commence plus tôt, en sachant ce que vous détenez.

Prévention de l'exfiltration de données : réduisez ce qui vaut la peine d'être volé

Les contrôles de Network et endpoint sont importants, et chacun dépend de la connaissance des données sensibles. Beaucoup d’organisations ne savent pas où se trouvent les données personnelles, les données de paiement et la propriété intellectuelle, ni qui peut y accéder. Chaque technique mentionnée fonctionne mieux avec des données que personne n’a classifiées, verrouillées ou mémorisées.

Netwrix Data Classification détecte en continu les données sensibles et réglementées sur les serveurs de fichiers Windows, NetApp, Dell EMC, Nutanix Files, SharePoint, Microsoft 365, Exchange, SQL Server, Oracle, MySQL, Box, Dropbox et Google Drive. Les règles prédéfinies couvrent le GDPR, HIPAA et PCI DSS, et les taxonomies personnalisées gèrent les données spécifiques à votre entreprise.

Une évaluation des risques montre quelles données sensibles sont les plus exposées. La remédiation automatisée déplace ensuite les fichiers sensibles vers des emplacements sécurisés, supprime les autorisations des groupes d'accès globaux et caviarde le contenu confidentiel.Détection ROT signale les données redondantes, obsolètes et triviales afin que vous puissiez les supprimer. Moins de données, sous un contrôle plus strict, laissent moins d'endroits où un attaquant peut chercher.

Les étiquettes de classification peuvent également être intégrées dans les fichiers, ce qui améliore la précision des outils DLP et IRM. La classification réduit ce qui est exposé et indique aux autres contrôles ce qui mérite une protection. Bloquer les transferts au niveau du point de terminaison est une tâche DLP, et Netwrix Endpoint Protector applique ces politiques sur les périphériques USB, navigateurs, emails et outils d'IA sous Windows, macOS et Linux.

Liste de contrôle pour la prévention de l'exfiltration de données

1. Trouvez où se trouvent les données sensibles, y compris les serveurs de fichiers, SharePoint, les boîtes aux lettres et les bases de données.
2. Classez-le par type, comme les données personnelles, les données de paiement et la propriété intellectuelle, et maintenez la classification à jour.
3. Supprimez les autorisations excessives, en commençant par les groupes d'accès globaux.
4. Supprimez ou archivez les données redondantes, obsolètes et triviales.
5. Déplacez les fichiers sensibles hors des partages ouverts vers des emplacements contrôlés.
6. Appliquez des contrôles DLP aux endpoints pour les périphériques USB, navigateurs, emails et outils IA.
7. Surveillez les archives volumineuses et les transferts sortants inhabituels.