Utiliser des pirates éthiques pour aider votre entreprise à découvrir des vulnérabilités - Partie 2
La semaine dernière, dans la première partie de cette série de blogs, nous avons examiné un article du
Article du Security Magazine sur les pirates éthiques, en examinant les raisons pour lesquelles il est nécessaire d’embaucher un pirate informatique éthique et les moyens de le recruter. Cette semaine, nous approfondirons la définition des vulnérabilités en général et de la vidéosurveillance en particulier.
Quelles sont les vulnérabilités ?
Les vulnérabilités sont des bugs ou des défauts du code informatique qui, lorsqu'ils sont exploités, ont un impact négatif sur la confidentialité, l'intégrité et la disponibilité (selon Mitre). Nous appelons cela la "triade CIA". Les vulnérabilités peuvent être trouvées dans les logiciels et les microprogrammes et sont répandues dans la plupart des codes. Plus il y a de lignes de code, plus il y a de risques de vulnérabilités.
Vulnérabilités en vidéosurveillance
Il est important de comprendre que tous les périphériques d'un réseau sont des ordinateurs. Cela inclut les équipements de vidéosurveillance sur IP et autres dispositifs IoT. Oui, vos ampoules intelligentes sont en réalité des ordinateurs et la plupart des caméras IP et des NVR sont des ordinateurs Linux exécutant un serveur Web.
Nous devons accepter cinq faits incontestables :
1. Tous les ordinateurs ont des vulnérabilités. Chaque mois, des correctifs de sécurité sont envoyés aux périphériques Windows, MacOS, Android et iOS pour les vulnérabilités récemment découvertes.
2. Tous les appareils IoT sont des ordinateurs : l'Internet des objets (IoT) est un terme utilisé pour faire référence à toutes les « choses » que nous connectons maintenant à Internet, afin de rendre notre vie plus facile et plus pratique et de nous sentir plus en sécurité. Vos ampoules intelligentes, votre réfrigérateur intelligent, votre thermostat intelligent et tout ce que vous connectez à votre réseau sont en réalité des ordinateurs. Ils ont un système d'exploitation, une interface réseau, une mémoire et un stockage.
3. Tous les équipements de vidéosurveillance basés sur IP sont des appareils IoT: les caméras IP et les appareils d'enregistrement connectés au réseau font partie de l'Internet des objets, car ils sont des ordinateurs. En fait, la caméra vidéo qui vous regarde peut-être maintenant est probablement un serveur Web Linux.
4. Tous les équipements de vidéosurveillance basés sur IP comportent des vulnérabilités : peu importe l’identité du fabricant, tous ces appareils présentent des vulnérabilités et continueront de l’avoir.
5. Les entreprises ne doivent pas être jugées sur leur nombre de vulnérabilités. Si tel était le cas, nous n’utiliserions aucun produit de Microsoft, Apple, Google ou IBM, car ils comptent parmi les plus performants. Les entreprises doivent plutôt être jugées sur la rapidité avec laquelle elles corrigent les vulnérabilités, comment elles communiquent ces vulnérabilités et ces correctifs aux clients et aux utilisateurs finaux, et si elles divulguent des informations de manière responsable.
Le processus de divulgation responsable
Le processus de divulgation responsable est un concept généralement accepté suivi par la plupart des pirates informatiques / chercheurs en sécurité et par les développeurs de logiciels. Bien que les étapes générales définies ci-dessous puissent différer d'une entreprise à l'autre, ce sont les bases à un niveau élevé.
1. Les produits sont créés et malgré toutes les analyses de vulnérabilités, analyses de code, analyses de sécurité des logiciels et analyses, il est sans doute impossible de créer du code ne contenant pas de vulnérabilités.
2. Les produits sont mis à la disposition du public.
3. Les pirates éthiques / chercheurs en sécurité décident de tester le produit. Ils utilisent des outils, une expérience et des esprits avancés qui aiment résoudre les énigmes afin de trouver des moyens de contourner les contrôles de sécurité mis en place.
4. Lorsqu'une vulnérabilité est découverte, le pirate éthique / chercheur en sécurité contacte uniquement le développeur du logiciel et rapporte ce qu'il a trouvé. Ils annoncent généralement que le développeur de logiciel dispose de 90 jours pour corriger la vulnérabilité ou pour que le pirate informatique / chercheur en sécurité éthique divulgue publiquement la vulnérabilité.
5. Le développeur vérifie la vulnérabilité et collabore avec le chercheur pour comprendre, puis corriger ou corriger la vulnérabilité.
6. À une date prédéterminée, le développeur du logiciel révèle qu'il existe une vulnérabilité en créant un CVE dans la base de données CVE et annonce qu'il existe un correctif pour le réparer. Aucun détail n'est partagé avec le public pour le moment. Généralement, le pirate informatique éthique annonce également que c'est lui qui a découvert la vulnérabilité.
7. À ce stade, les utilisateurs disposent d'un délai, généralement de 90 jours, pour appliquer des correctifs à leurs systèmes avant que le pirate informatique éthique ne publie publiquement les détails relatifs à la manière d'exploiter la vulnérabilité. Lorsque cela se produit, de nombreux scanners malveillants qui recherchent en permanence des systèmes vulnérables sur Internet sont mis à jour pour essayer de « pirater » des périphériques non corrigés.
Pour vérifier les déclarations ci-dessus, examinons le standard de facto généralement accepté pour la divulgation des vulnérabilités : la base de données CVE. Vous pouvez y accéder à https://cve.mitre.org
Une fois là-bas, entrez simplement le nom d’une entreprise qui fabrique des logiciels.
L'auteur de l'article du magazine Security propose quelques bonnes pratiques pour impliquer les pirates, notamment:
• Les pirates éthiques constituent une communauté aux compétences variées qui s’intéressent à différents types de vulnérabilités. Il est donc important de définir clairement le type de données que vous essayez de protéger.
• Engagez les pirates informatiques dans le respect de ce qu'ils font et reconnaissez-les correctement si une vulnérabilité signalée est importante. Selon l'auteur, les pirates informatiques veulent être « payés pour leur temps - ou au moins reconnus pour leur contribution ».
• Fournissez une ligne de communication claire et assignez un interlocuteur que les pirates peuvent contacter. « En tant que pirates informatiques, lorsque nous découvrons une vulnérabilité, nous recherchons sur Internet quelles organisations pourraient être affectées. Une fois, j'ai réveillé quelqu'un à 3 heures du matin pour signaler une vulnérabilité qui aurait pu être un événement d'arrêt de l'entreprise. "
Enfin, l’article conseille aux lecteurs de rester en communication avec le pirate informatique une fois la vulnérabilité signalée. Vous devrez d'abord le corriger, puis le tester pour vous assurer qu'il a été corrigé, et réengager le pirate pour que la solution fonctionne.
Pour les entreprises qui engagent des pirates pour la première fois, les plates-formes bug bounty peuvent prendre en charge ce processus. Pour plus d'informations à ce sujet et pour lire l'intégralité de l'article, cliquez ici.