 |
|
|
| |
|
|
| Sommaire Sécurité |
|
| Le navigateur Web plus dangereux que l'e-mail |
| Selon une étude d'IDC, le surf sur Internet serait la première cause de contamination par un code malveillant, devant l'e-mail. Faut-il, pour les entreprises, appliquer un filtrage plus restrictif du surf de leurs salariés ?
(15/09/2006) |
|
Si l'e-mail a longtemps été désigné comme le premier vecteur des codes malveillants dans l'entreprise, une étude d'IDC Danemark semble remettre en question le caractère incontestable de cette assertion. Pour Per Andersen, analyste chez IDC, "c'est à tort une croyance communément admise de penser que les e-mails sont la principale menace représentée par Internet."
En effet, 40% des 200 entreprises danoises s'étant soumises à l'enquête du cabinet reconnaissent avoir subi les effets de codes malveillants. Et la première source d'infection par ces virus et ces vers n'était pas imputable à l'e-mail, mais à la navigation sur Internet.
"L'étude montre que plus de 30% des sociétés de 500 salariés et plus infectées l'ont été en raison du surf sur Internet de leurs salariés. Comparativement, dans seulement 20 à 25% des cas, la cause en était des e-mails", précise Per Andersen.
"Les risques d'infection sont approximativement 3,5 fois supérieurs dans les entreprises qui autorisent une utilisation sans aucune restriction que dans celles ayant banni les usages privés", poursuit-il.
Les résultats d'une enquête de Trend Micro parue l'année dernière soulignaient les comportements à risques des utilisateurs dans le cadre de leur activité professionnelle. Les individus auraient ainsi tendance à prendre plus de risques pendant leur travail, plutôt qu'à leur domicile.
63% des salariés interrogés déclaraient cliquer en confiance sur un lien ou visiter un site qu'ils estiment suspect, du simple fait des protections logicielles sur leur poste de travail. 40% de ces internautes qui reconnaissaient adopter des comportements risqués, se justifiaient par l'existence d'un support informatique à même de résoudre les problèmes susceptibles de se produire.
| 40% des internautes reconnaissaient adopter des comportements risqués |
Mais l'internaute ne peut assumer à lui seul tout le blâme. Les pirates ont fortement intensifié leurs efforts sur l'exploitation des failles des navigateurs Web. Et plus encore lorsque ces vulnérabilités peuvent permettre la contamination par du code malveillant sans interaction avec l'utilisateur.
L'expert en sécurité HD Moore n'avait pas hésité à mettre en lumière les multiples failles affectant les navigateurs. Au début du mois de juillet, il s'était ainsi engagé à divulguer une faille de sécurité par jour grâce à des outils de fuzzing (lire l'article du 27/07/2006). Aucun navigateur n'avait été épargné.
Toutefois, le recul de l'e-mail comme source d'incidents de sécurité, s'il venait à se confirmer, tient en partie à la sensibilisation des salariés. Ces derniers sont en effet plus avertis des risques inhérents aux courriers électroniques provenant d'expéditeurs inconnus. Ils font donc - pour la plupart - montre de plus de prudence. De plus, les passerelles antispam et les filtres déployés sur les messageries permettent de traiter en amont le problème.
Pour IDC, combattre les menaces de sécurité ne passe pas nécessairement par la proscription pure et simple de l'utilisation privée d'Internet. "Aujourd'hui, travail et vie privée sont si souvent interconnectés qu'il est irréaliste de penser bannir les usages à titre privé de l'accès Internet de l'entreprise", explique Per Andersen.
Il serait plus viable, selon le cabinet, de faire réellement appliquer les chartes d'utilisation en application au sein des firmes, de renforcer le monitoring d'Internet, notamment par le biais d'outils. Le cabinet prévient toutefois, qu'une application de monitoring ou de filtrage ne doit en aucune façon constituer un levier de contrôle systématique des actions de l'ensemble des salariés.
Enfin, il ne faut pas négliger le caractère de plus en plus hybride des attaques, combinant donc e-mail et navigation. Un cheval de Troie inoculé grâce à une vulnérabilité dans un navigateur pourra ainsi servir de support à une opération de phishing. A titre d'exemple, un e-mail maquillé peut inviter un internaute à se rendre sur le service en ligne de sa banque, le cheval de Troie ayant alors pour tâche de l'orienter de manière transparente vers le site de phishing destiné à lui dérober ses identifiants.
|
| |
| |
|
|
|
|
|
|
Dossiers 
