Les hackers sont plus rapides que vous
Plus de 64% des hackers ont besoin d’un peu moins de cinq heures pour collecter et potentiellement exfiltrer des données, ont appris Bishop Fox et SANS dans leur enquête auprès de plus de 300 hackers éthiques.
Le piratage est bien là pour rester. Les organisations optent pour des hackers éthiques pour protéger leurs locaux alors que les acteurs de la menace sont à la recherche de données précieuses. Mais plus encore, les hackers éthiques peuvent fournir des informations précieuses sur la situation générale de la cybersécurité dans le monde.
La sécurité pas utile pour les hackers
L’enquête a révélé qu’après avoir découvert une exposition, il suffit de cinq heures ou moins pour l’exploiter et pénétrer dans l’environnement. Selon les pirates interrogés, le rythme de développement/déploiement des applications et les connexions de tiers sont les deux principaux facteurs d’exposition aux vulnérabilités.
Un peu de statistiques
Du point de vue des attaques, les configurations, les logiciels vulnérables, les services web exposés et les informations sensibles sont les expositions les plus couramment exploitées.
Les hackers éthiques qui s’occupent d’environnements de cloud computing ont presque tous indiqué qu’ils trouvaient des actifs de cloud computing public/IaaS mal configurés ou non sécurisés (41.7%) et plus souvent qu’autrement (41.8%).
Après avoir obtenu l’accès, il faut généralement 3 à 5 heures (dans 36.7% des cas) à un pirate pour se déplacer latéralement parmi les cibles d’un réseau. La majorité des personnes interrogées ayant également besoin de moins de cinq heures. Ces résultats sont importants pour les équipes de sécurité qui doivent être en mesure d’identifier et de répondre rapidement à une attaque.
Ensuite, 64% des pirates éthiques sont capables de collecter et potentiellement d’exfiltrer des données en moins de cinq heures. Mais 24.2% d’entre eux n’ont besoin que d’une à deux heures pour le faire.
En moyenne, il faut à un pirate éthique moins de 25 heures pour mener à bien une attaque. Y compris l’obtention d’un accès initial, l’accès aux cibles et l’exfiltration éventuelle des données. Les réponses sont réparties de manière égale entre 5-10 heures, 16-20 heures, 21-25 heures et plus de 25 heures.
La hiérarchie des attaques
Sans surprise, le vecteur d’attaque le plus efficace est l’ingénierie sociale, suivie du phishing et des attaques d’applications Web. Cela a été confirmé par de nombreuses brèches, dont le récent piratage d’Uber, où le vecteur de compromission initial semblait être une attaque par hameçonnage.
Les entreprises pas prêtes pour les hackers
Enfin, près des trois quarts des personnes interrogées ont répondu que les entreprises n’ont que peu de capacités de détection et de réaction. On peut s’attendre à ce que les acteurs de la menace le sachent aussi, exploitant efficacement l’incapacité des organisations à faire face à une attaque.
D’autres réponses indiquent que la plupart des entreprises sont mal équipées lorsqu’il s’agit de détecter, de répondre et de prévenir un large éventail d’attaques. Telles que celles spécifiques aux applications et au cloud.
