Les vulnérabilités,
principale cyber-menace des prochaines années
Par le JDNet
Solutions (Benchmark Group)
URL : http://www.journaldunet.com/solutions/0205/020513_faille.shtml
Mardi 7 mai 2002
Voir
aussi le dossier : Failles, la sécurité informatique
sur la brèche
D'ici 2005, 90% des cyber-attaques exploiteront
des failles de sécurité connues, pour lesquelles des correctifs sont
ou seront alors disponibles. Cette prévision que le Gartner
vient d'émettre dans une récente étude nous rappelle
les dommages subis dans le passé suite au passage de chevaux
de Troie et autres codes malicieux, tels que Code Red et Nimda. Deux
vers qui durant plusieurs semaines ont eu tout loisir d'exploiter
une faille sur plusieurs milliers de sites tournant sous le serveur
Web IIS (Internet Information Server) de Microsoft.
Une faiblesse pour laquelle un patch
avait pourtant été publié depuis longtemps par
la firme de Redmond. Dans son document, l'institut précise
que les deux vers restent encore actifs aujourd'hui...
L'ombre de Code Red serait-elle de retour ?
Selon la société américaine Arbor
Networks, plus de 18 000 systèmes auraient encore été infectés
par Code Red ou l'une de ses variantes (dont Code Red II) en avril
2002, contre 14 000 en décembre 2001.
Rappelons
que ce vers est conçu à l'origine pour exploiter les ressources de
sa machine cible en vue de lancer des attaques par déni de services
(DOS). Une telle opération consiste à lancer sur un serveur
Web tiers une importante quantité de requêtes simultanées, dans l'objectif
de le rendre indisponible voire d'entraîner sa chute. Code Red qui
est allé jusqu'à infecter 350 000 serveurs en moins de 24 heures (dixit
la Cooperative Association
of Internet Data Analysis) aurait déjà touché plus de 5 millions
d'adresses Internet uniques au cours des six derniers mois, contre
1,7 million pour Nimda. Pour l'heure, Arbor Networks recevrait encore
30 notifications d'infections par Code Red chaque minute. La tendance
serait inverse dans le cas de Nimda.
La liste des failles s'allongeant avec le temps, il est parfois difficile
de tenir son serveur à jour... Dernier épisode en date :
la découverte d'un défaut dans le système d'exploitation
Solaris (Sun). Rapporté
par le CERT,
il permettrait à un intrus d'exploiter à distance les
ressources du système ou d'exécuter certains codes.
Le tout en passant simplement par son mécanisme de commandes
RPC (pour Remote Procedure Call). Confirmant l'existence de ce problème,
Sun annonce la sortie d'un correctif dans les jours qui viennent.
Quelques heures avant cette annonce, HD. Moore, consultant au service
de la société Digital
Defense, mettait en garde les développeurs contre une utilisation
trop peu critique de la documentation de la plate-forme .Net. Reconnaissant
que la nouvelle infrastructure de Microsoft était plus sûre
que les précédentes suites, il insistait néanmoins
sur l'existence de failles pouvant notamment apparaître à
la suite d'une procédure d'installation manuelle de ISS. Selon
lui, certains services proposés comme optionnels lors de la
phase de paramétrage pourraient finalement se révéler
vérolés.
Linux, plus sûr
Qu'en est-il dans l'univers Linux
? Pour répondre à cette question, Evans
Data a mené récemment une étude auprès de 400 spécialistes
du système du pingouin. Elle montre notamment que 78% des développeurs
Linux n'ont jamais expérimenté d'intrusions indésirables. Les personnes
interrogés attribuant cette caractéristique au modèle "Open Source"
du système d'exploitation de Linus Torvald. Au total, 84% des
répondants affirment que Linux est plus sûr que les logiciels conçus
pour servir une licence propriétaire. D'après le document de l'institut,
la pénétration du système dans les grandes entreprises aurait augmenté
de plus de 7 points entre 2000 et 2001 à 17,6% (voir
notre article sur Auchan)... Et les analystes de Evans Data de
noter que plus de 70% des programmeurs prévoient de se lancer dans
des projets intégrant la technologie des Web Services dans les deux
ans.
Pour l'heure, Linux est encore loin de faire l'unanimité chez
les grands comptes... On peut d'ailleurs se demander si son éventuelle
généralisation ne pourrait pas faire de lui une cible
plus prisée sur le terrain du piratage. Sans prendre en compte
les différences entre systèmes, l'étude du Gartner
prévoit au total que 20% des entreprises devront faire face
d'ici 2005 à un incident de sécurité sérieux,
c'est-à-dire un événement plus grave qu'une simple
infection. [Antoine Crochet Damais, JDNet]
Pour tout problème de consultation, écrivez au Webmaster
Copyrights
et reproductions . Données
personnelles
Copyright 2006 Benchmark Group - 69-71 avenue Pierre Grenier
92517 Boulogne Billancourt Cedex, FRANCE
|
|
|