Un ancien ingénieur en infrastructure a été condamné à 32 mois de prison pour avoir verrouillé environ 3 000 appareils sur le réseau de son employeur et exigé une rançon de 750 000 $. Cette condamnation pour attaque par rançongiciel interne est un rappel utile que certains des incidents les plus dommageables ne commencent pas par un inconnu sondant un pare-feu. Ils commencent par quelqu'un qui a déjà les clés.

L'article source est bref, donc ce billet s'en tient à ce qui a été rapporté et se concentre sur les leçons pratiques pour les organisations et les individus.

Ce que l'ingénieur a fait et ce qu'il a écopé

Selon le rapport, le prévenu était ingénieur en infrastructure dans l'entreprise qu'il a ensuite attaquée. Il a verrouillé environ 3 000 appareils sur le réseau de l'employeur et exigé une rançon de 750 000 $. Il a maintenant été condamné à 32 mois.

L'article ne fournit pas plus de détails ici, et nous ne spéculerons pas sur les méthodes techniques, l'identité de l'entreprise ou la façon dont le stratagème a été découvert. Ce que l'affaire rend clair, c'est l'ampleur : une seule personne a pu affecter des milliers de terminaux à la fois. Cette ampleur, c'est l'histoire.

Pourquoi l'accès interne contourne les défenses périmétriques

La plupart des dépenses de sécurité visent à tenir les étrangers à l'extérieur : pare-feu, filtrage des e-mails, détection des terminaux et passerelles VPN qui authentifient les utilisateurs distants. Ces contrôles comptent. Mais ils sont construits autour d'une prémisse : que la personne à l'intérieur agit dans l'intérêt de l'organisation.

Les ingénieurs en infrastructure sont un cas particulièrement sensible. Leur travail exige souvent de larges droits administratifs sur les serveurs, les outils de gestion et le réseau lui-même. Des actions qui paraîtraient suspectes depuis un compte externe, comme pousser des changements sur des milliers de machines, peuvent sembler routinières lorsqu'elles proviennent d'un administrateur.

C'est le problème central des menaces internes :

  • Les identifiants légitimes ne déclenchent pas les alertes que pourraient déclencher des identifiants volés ou obtenus par force brute.
  • Les initiés savent où se trouvent les systèmes précieux et comment les sauvegardes sont gérées.
  • Un accès étendu et permanent signifie qu'un seul compte peut atteindre un très grand nombre d'appareils.

Rien de tout cela ne signifie que les employeurs devraient se méfier de leur personnel. Cela signifie que la conception de l'environnement ne devrait pas dépendre de la fiabilité éternelle d'une seule personne.

Limiter le rayon d'impact : segmentation, moindre privilège et surveillance

La leçon suggérée par cette affaire est que les contrôles d'accès et la segmentation du réseau comptent autant que les défenses périmétriques. Quelques mesures réduisent les dégâts qu'un seul compte peut causer.

Moindre privilège. N'accordez aux administrateurs que l'accès requis par leur rôle actuel, et examinez-le régulièrement. Retirez rapidement les accès lorsque les rôles changent ou que des personnes partent.

Segmentation du réseau. Diviser le réseau en zones signifie qu'un compte, ou un logiciel malveillant, ne peut pas atteindre automatiquement chaque appareil. Verrouiller 3 000 appareils est bien plus difficile lorsque l'environnement est divisé en segments contrôlés séparément.

Séparation des tâches. Exigez une seconde approbation pour les changements à fort impact, tels que les déploiements massifs ou les modifications des systèmes de sauvegarde. Deux personnes sont plus difficiles à compromettre qu'une seule.

Surveillance des accès privilégiés. Journalisez l'activité des administrateurs et alertez sur les schémas inhabituels, comme les actions en masse en dehors des heures normales. Les journaux ne servent que si quelqu'un les examine.

Sauvegardes protégées et testées. Gardez les sauvegardes isolées afin qu'aucun administrateur ne puisse modifier ou supprimer à la fois les systèmes de production et les copies de récupération.

Ce que cette affaire signifie pour les effectifs en télétravail et connectés par VPN

Le travail à distance a élargi le nombre de façons dont les personnes de confiance accèdent aux systèmes internes. Un VPN chiffre le trafic et authentifie les utilisateurs, mais une fois connecté, un utilisateur peut voir bien plus du réseau que nécessaire. Si un VPN place tout le monde sur un réseau interne plat, un initié de confiance (ou un attaquant utilisant ses identifiants volés) hérite de cette portée.

Les organisations peuvent resserrer cela en limitant ce à quoi chaque groupe VPN peut accéder, en exigeant l'authentification multifacteur pour les sessions administratives et en journalisant séparément l'activité administrative à distance. La même logique s'applique aux petites entreprises et aux bureaux à domicile : l'accès à distance doit ouvrir la porte spécifique dont quelqu'un a besoin, pas tout le bâtiment.

Ce que cela signifie pour vous

Si vous gérez ou aidez à gérer l'informatique d'une organisation, considérez cette affaire comme une invitation à auditer qui détient de larges droits administratifs et si une seule personne pourrait perturber des milliers de systèmes. Si vous êtes un employé ou un utilisateur individuel, la leçon est plus modeste mais toujours pertinente : vos comptes ne sont peut-être protégés que dans la mesure des règles d'accès internes qui les sous-tendent, alors utilisez des identifiants forts et uniques et l'authentification multifacteur partout où vous le pouvez.

Points clés à retenir et prochaines étapes

Cette condamnation pour attaque par rançongiciel interne montre qu'une peine de 32 mois de prison suit les dégâts, mais ne les prévient pas. La prévention vient de la conception.

  • Examinez les autorisations des administrateurs et des accès à distance et supprimez tout ce qui est inutile.
  • Segmentez les réseaux afin qu'un seul compte ne puisse pas atteindre chaque appareil.
  • Exigez des approbations et une surveillance pour les actions administratives à fort impact.
  • Gardez les sauvegardes isolées et testez les restaurations.
  • Limitez l'accès VPN par rôle plutôt que d'accorder une portée à l'échelle du réseau.

Pour un autre exemple d'initiés de confiance se retournant contre les organisations qu'ils servent, lisez notre rapport sur le négociateur double agent de BlackCat condamné à 70 mois. Prenez ensuite une heure cette semaine pour examiner vos propres contrôles d'accès et votre configuration d'accès à distance.