Selon un article de Computer Weekly, Travelex, une société de change étrangère, a été frappé par le ransomware Sodinokibi. Ce dernier a désactivé les systèmes informatiques de l'entreprise à la veille du nouvel an. L'attaque a pu être réalisée parce que la société avait oublié de réparer ses serveurs VPN Pulse Secure.

Malheureusement, de tels rapports deviennent courants, puisque les VPN sont désormais la cible préférée des cybercriminels.

Vétustes et sujets aux attaques

Lorsque les VPN d'accès distants ont été introduits pour la première fois il y a 30 ans, ils étaient assez impressionnants. L'accès distant peu importe d'où, était un concept avant-gardiste et révolutionnaire. Seulement, les VPN ont été créés à une époque où la plupart des applications s'exécutaient dans le data center, lequel pouvait facilement être sécurisé avec un tas d'appliances de sécurité réseau.

Cependant, le monde a changé avec la migration des applications internes vers le cloud. Les utilisateurs s'attendent à ce que l'entreprise offre une expérience formidable, sachant que 98 pour cent des attaques de sécurité proviennent d'Internet.

Les VPN d'accès distants nécessitent que les serveurs soient exposés à Internet et que les utilisateurs soient placés sur le réseau d'entreprise via des tunnels statiques qui creusent des trous dans les firewalls. Aujourd'hui, la technologie même conçue pour protéger les entreprises les a rendues vulnérables aux attaques modernes par les logiciels malveillants et les ransomwares.

Au juste, comment cela se produit-il exactement ?

Empreinte d'une attaque de programme malveillant

Medium.com a publié un article décrivant comment le ransomware Sodinokibi peut être introduit via un VPN. Jetons un regard global sur le processus typique par lequel les programmes malveillants sont introduits sur un réseau via une vulnérabilité VPN :

Les cybercriminels recherchent sur Internet des serveurs VPN d'accès distant non corrigés.
L'accès distant au réseau est obtenu (sans noms d'utilisateur ni mots de passe valides).
Les hackers affichent les journaux et les mots de passe mis en cache en texte brut.
L'accès administrateur du domaine est obtenu.
Le mouvement latéral a lieu sur l'ensemble du réseau.
L'authentification multi facteur (MFA) et la sécurité des terminaux sont désactivées.
Ransomware (exemple: Sodinokibi) est poussé vers les systèmes réseaux.
L'entreprise subie une demande de rançon.

Impacts négatifs du VPN

De nombreuses entreprises continuent de penser que les VPN d'accès distants sont nécessaires. Et, dans certains cas, ils peuvent très bien l'être. Mais, le plus souvent, les VPN exposent le réseau à Internet et, par conséquent, l'entreprise à un risque accru.

La réparation est souvent lente ou oubliée – Se souvenir, et même trouver du temps pour réparer les serveurs VPN, est tout simplement difficile. L'on attend des équipes qu'elles produisent plus avec moins de ressources, créant souvent un défi humain qui conduit à des failles de sécurité.
Placer les utilisateurs sur le réseau – Peut-être la genèse de tous les problèmes liés aux VPN d'accès distant. Pour que les VPN fonctionnent, les réseaux doivent être détectables. Cette mesure expose l'entreprise aux attaques.
Risque de déplacement latéral à une échelle exponentielle – Une fois sur le réseau, les programmes malveillants peuvent se propager latéralement, malgré les efforts visant à segmenter le réseau (ce qui en soi est un processus complexe). Comme déjà mentionné, cela peut également entraîner le retrait d'autres technologies de sécurité, telles que l'authentification multi facteur et la sécurité des terminals.
La réputation de l'entreprise – Vos clients sont convaincus que vous protégerez leurs informations et leur fournirez le meilleur niveau de service. Pour y parvenir, les entreprises doivent être capables de se protéger elles-mêmes. S'il est connu que vous avez été victime d'une attaque de ransomware, la réputation de votre marque en pâtira.

Plaidoyer pour une nouvelle approche

Les impacts négatifs du VPN ont conduit à la recherche d'une solution alternative. Selon Gartner, cette situation a créé un monde dans lequel, « d'ici 2023, 60 % d'entreprises auront éliminé la plupart de leurs réseaux privés virtuels (VPN) d'accès distant au profit d'un accès au réseau Zero trust (ZTNA). »

Si vous envisagez des méthodes alternatives, telles que ZTNA, voici les points à garder à l'esprit lorsque vous les présenterez à vos dirigeants :

Minimisez les risques commerciaux – ZTNA permet d'accéder à des applications métier spécifiques (basées sur la politique) sans avoir besoin d'accéder au réseau. De plus, aucune infrastructure n'est exposée, car ZTNA empêche que les applications et services soient visibles sur Internet.
Réduisez les coûts – ZTNA peut souvent être entièrement fourni dans le cloud en tant que service, ce qui signifie qu'il n'y a pas de serveurs à acheter, à réparer ou à gérer. Mais cela ne se limite pas uniquement au serveur VPN. La passerelle entrante VPN entière peut désormais être plus petite ou entièrement supprimée (firewall externe, DDoS, VPN, firewall interne, équilibreur de charge, etc.).
Offrez une meilleure expérience utilisateur – Étant donné la disponibilité accrue des services cloud ZTNA par rapport aux passerelles d'appliances VPN limitées, les utilisateurs distants bénéficient d'une expérience d'accès plus rapide et plus transparente, quels que soient l'application, l'appareil ou l'emplacement.

REMARQUE : Toutes les solutions ZTNA ne sont pas identiques. Méfiez-vous des fournisseurs qui se disent Zero Trust mais proposent des solutions qui continuent de placer les utilisateurs sur le réseau et d'exposer les applications métier sur Internet.

Si vous souhaitez remplacer votre VPN d'accès distant, vous trouverez peut-être cette page utile. En attendant, n'oubliez pas de réparer vos serveurs VPN et assurez-vous de garder une longueur d'avance sur les attaques en consultant ces ressources incontournables :