Pas une autre clé USB perdue?!

Nouvelles victimes, la même vieille histoire….Une clé USB sans protection contenant des informations personnelles des citoyens canadiens est disparue d’un bureau de Ressources Humaines et Développements des Compétences de Gatineau, Quebec.

Le disque gardait les noms, les numéros d’assurance sociale, les dates de naissance et les bilans bancaires de 583000 étudiants qui avaient emprunté de l’argent entre 2000 et 2006.

L’investigation interne sur l’affaire a commencé deux mois après la découverte de la perte de la clé (5 novembre) et une notification a été envoyée aux victimes le vendredi passé.

Alors la question reste : Pouvons-nous apprendre des erreurs des autres ? Spécialement maintenant que les logiciels de Contrôle des Périphériques, Prévention des Pertes de Données et cryptage USB existent depuis des âges et sont pratiquement disponibles pour tout le monde.

Un officier de l’Armée Canadienne vendait des informations militaires aux Russes pour $3000 par mois

Jeffrey Paul Delisle, ex sous-lieutenant de l’Intelligence Navale canadienne a reconnu que les accusations d’espionnage étaient vraies. Selon le procureur Lyne Decarie, il est volontairement entré dans l’Ambassade Russe en 2007 pour offrir à vendre des informations militaires confidentielles. Apparemment, il recevait environ $3000 par mois pour ses services, mais il déclare qu’il ne le faisait pour l’argent, mais ‘pour des raisons idéologiques’.

On lui demandait de copier des références sur les russes de son ordinateur de travail sur une clé USB, puis il emportait la clé chez soi, où il téléchargeait les infos dans une application email pour les partager avec les gens qui le payaient.

Vous pouvez lire plus sur cette affaire d’espionnage à haut niveau ici : http://www.huffingtonpost.com/huff-wires/20121010/cn-canada-navy-spy-case/

Comment voler les plans du palais de l’Elysée? Sur une clé USB!

Ce dimanche un incident des plus communs s’est passé à la gare Lyon de Paris: un voleur a fait disparaitre une clé USB d’une voiture. Rien de spécial ici, ce type de choses arrivent tous les jours!

Ce qui fait que cet incident soit spécial c’est les infos stockées sur la clé. Le propriétaire de la clé était un entrepreneur impliqué dans un projet d’installation de fibre optique dans quelques bâtiments importants de Paris. Sa clé contenait les plans hautement confidentiels du palais de l’Elysée, du ministère de l’intérieur et de la préfecture de police de Paris. Le plus grave c’est que la clé n’était pas cryptée, donc le voleur a accès plein à tous les documents!

La question qui se pose maintenant est: est-ce que le voleur savait à priori quel type d’informations se trouvaient sur la clé ou est-ce qu’il a volé cette clé précise par hasard?

Les réquisitions pour une solution de Contrôle des Périphériques

Qu’est-ce qu’il faut chercher quand on veut acheter une solution de Contrôle des Périphériques ?

Même si le sujet ‘Contrôle des Périphériques’ n’est pas un thème nouveau, les incidents de pertes de données via des périphériques portables sur lesquels on entend parler tout le temps démontrent qu’il est toujours d’actualité. C’est pourquoi au moment quand on veut acheter un produit pour nous défendre contre les pertes ou les vols de données,  il est utile d’avoir une liste de caractéristiques de la solution, liste faite bien sûr, conformément aux besoins de notre réseau et principalement de nos employés/utilisateurs.

Dans ce sens-là, securosis.com a publié un guide d’achat que vous pouvez trouver ici : https://securosis.com/blog/endpoint-security-management-buyers-guide-ongoing-controls-device-control

Aujourd’hui, la flexibilité d’un produit de Contrôle des Périphériques est parmi les plus importantes, car, même si nous voulons empêcher les fuites/pertes/vols de données, nous voulons quand même permettre aux utilisateurs une mobilité accrue, afin de les rendre productifs. Ca ne sert à rien de bloquer l’utilisation légitime, pour des buts professionnels des clés USB !

Selon le guide de securosis.com, voici ce dont vous avez besoin :

1. Support pour les périphériques : assurez-vous que le produit que vous choisissez peut sécuriser tous les périphériques que votre réseau peut supporter : clés USB, CD/DVD, Bluetooth, imprimantes, FireWire, port série, etc.
2. Granularité des politiques : assurez-vous que le produit que vous choisissez vous permet de définir des différentes politiques, selon les besoins de vos utilisateurs : par exemple, le management a accès à tous les périphériques, tandis qu’un employé du département Financier a accès uniquement à une clé USB cryptée qui lui a été assigné
3. Support pour les algorithmes de cryptage : assurez-vous que le produit que vous choisissez permet le chiffrement des périphériques amovibles, éventuellement si vous avez un algorithme préféré ou si vous souhaitez regarder un produit certifié (FIPS, etc.)
4. Support pour l’agent : assurez-vous que le produit que vous choisissez a un système de protection pour que l’agent ne puisse pas être altéré ou désinstallé par un attaqueur/utilisateur
5. Protection contre les keyloggers : assurez-vous que le produit que vous choisissez détecte les attaques hardware et les neutralise
6. Intégration avec les plate-formes d’administration de sécurité des terminaux
7. Support hors ligne (offline) : assurez-vous que le produit que vous choisissez peut renforcer les droits d’utilisation des périphériques même quand ils ne sont pas connectés au réseau
8. Rapports : assurez-vous que le produit que vous choisissez garde les journaux d’activité sur le réseau
9. Modifier temporairement les droits : assurez-vous que le produit que vous choisissez vous donne la possibilité de faire des changements temporaires dans vos politiques, pour les cas d’urgence.

Si vous avez trouvé une solution qui répond à ces besoins, vous pouvez avancer et analyser d’autres caractéristiques du produit qui vous intéresse.

‘il y a toujours un idiot qui ne pense pas à la clé usb entre ses mains’

Stuxnet, le ver créé par les Etats-Unis et l’Israël pour détruire l’usine nucléaire iranienne Natanz a échappé leur contrôle

Un article publié aujourd’hui dans le New York Times montre que le ver Stuxnet-écrit et déployé par les gouvernements des Etats-Unis et de l’Israël- ayant comme cible l’usine nucléaire Natanz s’est répandu sans contrôle. Il semble que le but du code était de ralentir le programme de recherche nucléaire iranien en commandant le matériel qui contrôle le taux de tournoiement de l’équipement centrifuge. Ce qui est à noter est le fait que le ver ciblait uniquement cette usine nucléaire spécifique, il n’a pas été désigné pour se répandre sur l’Internet.

Le réseau de Natanz est très sécurisé, ce qui a rendu très difficile pour les gens qui ont fait le plan d’introduire le code dans le réseau. Ils avaient besoin de quelqu’un qui avait accès physique au site pour y introduire le code sur une clé usb (c’est aussi la manière dont les premières versions du ver ont été distribuées). Pour citer un des architectes du plan : ‘Il semble qu’il y a toujours un idiot qui ne pense pas à la clé usb entre ses mains’.

La manière dont Stuxnet s’est répandu hors du réseau Natanz c’est le plus probable sur un laptop. Heureusement, les chercheurs en sécurité ont réussi à l’annihiler.

Etude de sécurité – Que font les employés du Gouvernement avec une clé USB trouvée ?

La curiosité est plus forte que tout désir de sécurité ou toute peur de hackers et d’autres individus malveillants a été la conclusion d’une étude de sécurité dirigée par le Department of Homeland Security des Etats-Unis. L’étude a démontré la facilité avec laquelle les pirates et d’autres personnes en dehors des sociétés peuvent aller au-delà des firewalls et d’autres mesures de sécurité, simplement en plantant des clés USB ou des disques durs dans le bon endroit.

Le test a tenté les employés du gouvernement en laissant tomber les dites clés USB et disques durs dans les stationnements des édifices gouvernementaux et des prestataires privés qui travaillent avec le gouvernement, juste en les attendant à prendre l’appât. 60% des gens qui ont ramassé les périphériques portables les ont réellement branchés dans leurs ordinateurs du bureau. Si un logo officiel a été ajouté au dispositif, le pourcentage des installations du logiciel qu’il contenait est allé jusqu’à 90%.

L’étude complète menée par le Department of Homeland Security sera publié plus tard cette année. Pourtant, les premiers résultats misent une perspective sombre sur la sécurité des données et du réseau: la plupart des gens la viole dans une seconde pour aussi peu qu’une clé USB utilisée gratuite – le plus communes coûtent moins de 10 dollars.

Mark Rasch, directeur de la sécurité des réseaux et conseil de confidentialité pour Computer Sciences Corp  une compagnie basée en Falls Church, en Virginie, a déclaré à Bloomberg:

“Il n’y a aucun dispositif connu à l’humanité qui va empêcher les gens d’être idiots.”

Cette phrase est une conclusion aussi bonne que le vieil adage: “La curiosité a tué le chat.”

Les conseils que vous devez toujours garder à l’esprit est que les clés USB, cartes de mémoire, disques durs et pratiquement tous les disques portables qu’on trouve juste autour des bureaux, que ce soit des entreprises, des ONG ou les bâtiments du gouvernement, ne sont pas dignes de confiance. Il est préférable de les mettre dans une poubelle, si vous voulez réellement les ramasser, et de vous assurer que personne d’autre ne tombe dans un tel piège.

Clé USB contenant des données confidentielles disparue des usines Dacia

Quelques dirigeants des usines Dacia ont reçu en début d’année des emails où on leur demandait une somme considérable d’argent ou une voiture Dacia Duster à l’échange de  garder silence sur les processus de fabrication de Duster. La tentative de chantage appartenait à Gheorghe M., qui avait attaché à son mail quelques fichiers sur les technologies de fabrication, pour démontrer qu’il possède les documents confidentiels.

L’homme dit qu’il a trouvé dans la cour des usines Dacia une clé qui contenait le processus de fabrication de Dacia Duster, mais qu’il n’est pas la personne qui avait entré dans le système informatique de la compagnie pour copier ces données sur la clé.

Suite à la demande juridique faite par les représentants Dacia, Gheorghe M. a été identifié, retenu et interrogé.

‘Nous l’avons identifié par des procédures  spécifiques, des descentes ont été effectuées à son domicile. Nous avons trouvé des preuves de son action dans son ordinateur portable personnel. L’accusé a menacé les représentants Dacia d’envoyer les documents aux compagnies concurrentes. Lors de l’interrogatoire il a reconnu les faites ’ dit le procureur en chef de DIICOT Pitesti.

Les recherches continuent pour établir qui est la personne qui est entrée dans le système informatique de l’entreprise pour copier les documents sur la clé.

Pour prévenir le vol et les fuites de données confidentielles, qui non seulement produisent des pertes financières, mais aussi endommagent l’image de la compagnie, les experts en sécurité recommandent  l’utilisation des outils logiciels pour crypter et surveiller les ports USB.

L’armée des Etats-Unis interdit les disques amovibles pour prévenir les fuites de données

Les militaires americains ont reçu l’ordre de ne pas utiliser des supports amovibles de mémoire, sinon, ils risquent une poursuite au tribunal militaire.
Le commandant d’Air Force Network Operations, le majeur-général Richard Webber a transmis à toutes les organisation liées à l’Air Force d’arrêter d’utiliser les supports amovibles (CD, DVD, clé USB, etc.) sur tout système, serveur et machine stand-alone qui résident sur SIPRNET (le réseau du Departement de la Défense). Cette mesure est un des demarches pour prévenir des possibles brêches de sécurité comme celle concernant les documents publiés sur WikiLeaks (Bradley Manning dit qu’il a téléchargé des centaines milliers de fichiers sur un CD nommé ‘Lady Gaga’ avant de les transmettre à WikiLeaks).

Les dirigéants savent que cet ordre va rendre l’utilisation des données plus difficile parce que les ordinateurs contenant des données sensibles sont souvent déconnectés du réseau ou se trouvent dans des zones avec une largeur de bande réduite. Neanmoins, si on découvre quelqu’un qui continue à utiliser les disques amovibles, il sera puni conformement à la décision du tribunal militaire.

Pour lire plus: http://www.wired.com/dangerroom/2010/12/military-bans-disks-threatens-courts-martials-to-stop-new-leaks/

Les employés, une source fréquente d’incidents de fraude dans les entreprises

Les fraudes des employés ont coûté les compagnies moyennes environ 5% de leurs revenus en 2009, le vol des sources des entreprises représentant jusqu’à 90% des incidents.
Les employés semblent être tentés par l’accès privilégié aux données et commettre des fraudes. Selon un rapport publié par l’Association des Examinateurs Certifiés des Fraudes (ACFE) ce type de fraude est le plus dommageable, causant une perte de plus de 4 millions de dollars.

‘Ils ont un niveau d’accès élevé, qui leur donne des meilleures opportunités de commettre des fraudes.’ dit Ben Knieff, directeur de marketing pour les produits de fraude chez Actimize.

Pour prévenir ce genre de fraudes il y a quelques pas proactifs que les compagnies peuvent prendre:

Limiter l’accès aux données critiques – comme les données sont difficile à contenir, les compagnies doivent maintenir les employés sous une surveillance continue; l’accès aux données critiques doit être limité à un nombre d’employés autorisés.
Selon Shane Sims, directeur de pratique judiciaire chez PricewaterhouseCoopers, même si les compagnies ne peuvent pas contrôler avec succès le mouvement des données à l’intérieur de leurs réseaux, savoir quels employés accèdent aux données les plus importantes peut être suffisant pour prévenir les fraudes potentielles les plus significatives.

Utiliser l’avantage d’être à l’intérieur – quand il s’agit de fraude, les employés ont l’avantage de connaître le réseau et les politiques d’entreprise; néanmoins, les compagnies peuvent également collecter une grande quantité d’informations qui ne serait pas disponible hors du réseau, dans les cas d’auteurs externes.

Ecouter les employés – en formant leurs employés les compagnies peuvent beneficier du fait qu’ils détéctent le comportement malicieux d’autres employés.

Selon un rapport d’ACFE, 40% des cas de fraude sont signalés par un tiers, pendant que la moitié de ces indices sont transmises par un employé. Selon le même rapport, 43% des auteurs vivent dessus de leurs moyens et plus de 30% ont des problèmes financiers.

Un voleur bien-intentionné

Le mois passé, un cas de vol bien drôle s’est passé en Suède. Un profésseur de l’Université Umeå a constaté le vol du laptop de son sac à dos. Rien d’inhabituel jusqu’ici, pourvu le fait qu’un laptop est volé chaque 53 secondes. Ce qui est rare est le fait qu’une semaine après avoir volé le laptop du profésseur, le voleur a retourné une clé USB qui contenait toutes les données qui se trouvaient sur l’ordinateur portable. Ça a été une grande surprise et joie pour le profésseur, car sur son laptop se trouvait le travail de toute sa vie qu’il avait jamais sauvegardé.
On dirait qu’il existent encore des voleurs bien-intentionnés. Qu’en pensez vous?