Un acteur majeur et reconnu dans le développement de solutions de sécurité informatique – 4 ème éditeur mondial dantivirus 20 ans dexpérience dans le.

Présentation au sujet: "Un acteur majeur et reconnu dans le développement de solutions de sécurité informatique – 4 ème éditeur mondial dantivirus 20 ans dexpérience dans le."— Transcription de la présentation:

1

2 Un acteur majeur et reconnu dans le développement de solutions de sécurité informatique – 4 ème éditeur mondial dantivirus 20 ans dexpérience dans le monde de la sécurité et de la recherche de malwares Plus de 2500 employés, +800 techniciens R&D BU : corporate, consumer, OEM Un siège social basé à Moscou en Russie 29 bureaux repartis sur lensemble des continents CA : 87 M$ en 2006 (+61%) - 203 M$ en 2007 (+133%) - 370 M$ en 2008 (+83%) - 538 M$ en 2010 (+38%)

3 2 000 000 1 000 000 0 3 000 000 5 000 000 4 000 000 1999200120032005200720092011 Signatures

4 Cybercriminalité

5 Chiffres clés – Nombre dinternautes en 2007 : 1.000.000.000 – Nombre dinternautes en 2010 : +2.000.000.000 – Nombre en 2013 : 2.500.000.000 ? – Nombre estimé de pirates 2007 : 1.500.000 – Nombre de développeurs Microsoft : 40.000 – 36M de netbooks vendus en 2009 – 58M en 2010 – 17 milliards de matériels connectés En France – 1999 : 3M dabonnés - 2009 : 29M – 2011 : 38M – 1999 : 209.000 acheteurs en ligne, 2009 – 20M, 2010 – 25M

6 1M de domaines déposés tous les mois 192M de domaines actifs en 2009 20.000 sites infectés en 2006 Aujourdhui 1 site sur 150 est infecté soit environ 1,3M de sites – +13 000% /2006 – 1 page infectée toutes les 5 secondes +193% de spam en 2009

7 25.000.000 de nouvelles menaces contre 2.000.000 en 2007 ! (source Kaspersky Lab) +66% daugmentation de logiciels indésirables entre le 1 er et 2d semestre 2007 (source Microsoft via Windows Update) SPAM ! – 1978 : envoi du 1 er spam sur Arpanet par DEC : 400 pers. – 1M/heure soit 80% du trafic selon différentes sources – 3.000 campagnes/jour - 7M emails/campagne – 1M dadresses = 5$ ! (source Marshal) – Une histoire sans fin ! Législations disparates !

8 Cybercriminalité

9 9 Evolution des attaquants 1995-20062006 à aujourdhui2010 à aujourdhui Auteurs« Script-kiddies »CybercriminelsHacktivistes (?) ButAmusement, défi, vandalisme « gratuit » Vol, escroquerie…Sabotage, désinformation… MotivationReconnaissance, défi personnel, autosatisfaction Argent uniquementPolitique, idéologique DistributionHasardHasard à ciblé selon compétences Très ciblé MoyensLimitésImportants (groupes, mafia…) Considérables (dons, états (?)) MalicielsI love you, Blaster, Slammer…Kido/confickers, Zeus, Sality… Stuxnet, DDoS, defacing... ProtectionBasique (antivirus temps réels) Renforcée (suite pare- feu, emails, web…) Globale (application control, périphériques, contrôle Internet, vulnérabilités…)

10

11 Vulnérabilités Windows ET éditeurs tiers – PDF – Flash/Shockwave – Quicktime… Sites web malicieux Supports amovibles Web 2.0 - Réseaux sociaux Résultats moteurs de recherche (antivirus factices) Peer-to-Peer Spam …

12 12

13 La cybercriminalité rapporte 1 trillion de dollars par an dont $780M par le spam (source Finjan & Kaspersky) 1 seul réseau pirate peut récolter $10.800/j soit 39.4 millions de $/an (source Finjan) – 17% des Pay-per-click sont générés par des Botnets – 190,000 attaques DDoS ont rapporté $20 million en 2008 Professionnalisation – Programmeur – Donneur dordre – Exécutant La crise a aggravé la situation !

14 14

15 PLATFORM : N modif N fam % WinCE : 81 23 1,80 % SymbOS : 371 105 8,24 % Python : 64 6 1,42 % J2ME : 1632 62 36,26 % Iphone : 13 3 0,29 % Sgold : 4 3 0,09 % Android : 2353 101 52,28 % BlackBerry: 2 2 0,04 % Mobile modifications: 4520 Mobile Last month: 866 Mobile This month: 469 Mobile fam: 305 15 et 30 nouvelles modifications par jour PLATFORM : N modif N fam % WinCE : 81 23 1,80 % SymbOS : 371 105 8,24 % Python : 64 6 1,42 % J2ME : 1632 62 36,26 % Iphone : 13 3 0,29 % Sgold : 4 3 0,09 % Android : 2353 101 52,28 % BlackBerry: 2 2 0,04 % Mobile modifications: 4520 Mobile Last month: 866 Mobile This month: 469 Mobile fam: 305 15 et 30 nouvelles modifications par jour

16 Cybercriminalité

17 – Attaque DDoS (vente doutils, vente de services « clé en main ») – Spam (vente doutils, vente de services « clé en main », vente dadresse emails…) – Phishing (kit prêt à lemploi, réalisation de « campagne », hébergement, spear phishing…) – Scareware (service de propagation (black SEO (Google Trends), vente du « logiciel », revente de la CB, utilisation ou revente du PC Zombie) – Botnets : service de propagation, achat/vente de PC infectés – Ransomware : décryptage de données moyennant finance (Western Union, SMS surtaxé…) – Fraude aux clics (jusquà 60.000$/an) – Vente de CB : prix variable selon pays & type de carte – Vente de comptes eBay/Paypal – Vente de comptes Facebook / MSN / Skype – Vente dobjets/comptes de jeux vidéo… – Formation : cours de hacking… etc. etc. etc.

18

19 Cybercriminalité

20 Utilisation personnelle et professionnelle dune clé USB par lutilisateur nomade – Une borne dimpression photos numériques infectée – Lordinateur infecté dun ami La clé USB est maintenant infectée Infection automatique par insertion de la clé USB sur poste professionnel Utilisation dun ordinateur portable dentreprise en déplacement ou en vacances – Accès direct sans filtrage à internet depuis lhôtel, aéroport etc. – Visite de Youtube et vidéos utilisant du social engineering + sites malicieux – Infection à laide dun site web légitime compromis Téléchargement de « cracks » depuis le domicile de lutilisateur nomade – Sur le poste professionnel – Sur le poste personnel – Infection de la clé USB qui infecte les postes restants à chaque insertion Le malware se connecte sans filtrage à Internet et télécharge dautres malwares (Dropper - vers, trojans, rootkit, bots, etc.) quil infecte à la volée…

21 Infection distante – Connexion au réseau de lentreprise à laide du VPN et dun token pour récupérer un document ou logiciel. Infection locale – Notre utilisateur nomade rentre de déplacement / vacances et branche sa machine infectée au réseau – Accès complet aux machines et partages de lentreprise. – Le ver (infecté) se copie sur les partages de lentreprise et ajoute des autorun.inf et des noms de fichier attrayants et /ou trompeurs (Social Engineering) – Le virus infecte les setup de diverses applications et les documents web sur les partages – Une application métier est infectée Les utilisateurs lancent lapplication métier et infectent les postes avec le virus Les utilisateurs sont infectés par le ver (infecté lui aussi) automatiquement à laccès au partage réseau via lexécution automatique (autorun.inf) De nouveaux partages sont découverts par le ver (partages utilisateurs par exemple) et le virus infecte de nouveaux exécutables et documents web

22 Les webmasters qui mettent à jour le site Web de lentreprise sont infectés et mettent en ligne une version infectée du site web – Lentreprise devient alors vecteur dinfection pour ses clients et visiteurs Les développeurs se font infecter et les applications compilées aussi – Les applications infectées sont testées pour « QA » et infectent les machines de tests. – Risque de diffusion dapplications infectées (Microsoft, IBM, Yamaha ont distribué des applications infectées dans le passé) qui peuvent nuire à lentreprise Notre utilisateur mobile pendant ce temps vient denvoyer un rapport à son manager et utilise sa clé USB pour lui donner des fichiers annexes trop gros – La machine du manager est infectée des linsertion du support amovible par le ver présent sur la clé – Le ver propage ainsi le virus sur la machine du manager et sur les partages réseaux sensibles quil utilise pour stocker des documents pour la direction. – La boucle est bouclée et linfection remonte jusquaux dirigeants

23 Un administrateur sinfecte en installant une application récupérée sur les partages ou via exécution automatique (autorun.inf) – Pour simplifier ladministration, les partages administratifs sont utilisés sur les serveurs. – Afin de simplifier certaines opérations de maintenance, seul le port 80 est autorisé en sortie – Le virus en mémoire infecte tous les répertoires parcourus par ladministrateur – Il télécharge de nouveaux malwares : Chevaux de Troie, Ransomware etc. Les serveurs & postes de lentreprise & partages réseaux sont infectés Les filiales nationales et/ou internationales sont aussi infectées via les liaisons VPN Les clés USB, disques durs externes et téléphones portables (branchés comme périphériques de stockage) sont infectés Le site Web de lentreprise est infecté Les logiciels développés par lentreprise sont infectés

24 Un ransomware est finalement exécuté sur le serveur de fichiers avec les droits administrateur et tous les documents PDF, WORD, EXCEL, code source, etc. présents sont chiffrées et effacés – Le malware débute la tentative dextorsion et fournit les informations de paiement pour pouvoir récupérer les fichiers Alternative: un cheval de Troie sempresse denvoyer les documents trouvés sur un serveur hébergé à létranger Fuite dinformation confidentielle Le site web de lentreprise infecte les visiteurs Les logiciels distribués par lentreprise sont infectés – Quid de la réputation de lentreprise – Surcoûts et retards pour lentreprise : rappels des produits, etc. Le parc de lentreprise est infecté ainsi que les filiales…

25 Le virus et le ver du scénario existent vraiment Chaque élément du scénario est déjà arrivé! Il est dune importance capitale de : – Maintenir la machine à jour, encore plus si elle est nomade ! – Utiliser une suite de sécurité et surtout de la maintenir à jour – Utiliser les derniers navigateurs avec leurs MAJ (IE, Firefox, Opera, Chrome…) et des logiciels alternatifs… – Mettre en place des politiques de sécurité spécifiques pour les postes nomades – Ne pas utiliser un poste nomade pour administrer les serveurs – Ne pas utiliser les partages administratifs – Désactiver Autoruns sur toutes les machines du Parc – Paramétrer les droits sur les partages (pas de droits décriture si les utilisateurs sont sensés récupérer des setups par exemple) – Contrôler laccès /surf sur le web via proxy avec authentification ou via un logiciel installé localement se prémunir des mises des malwares – Vérifier les sources du site web en cas dinfection globale et régulièrement quand tout va bien

26 Cybercriminalité

27 Protection – Signatures antimalwares – Défenses proactives – Kaspersky Security Network (Cloud) Contrôle – Contrôle des applications – Gestion des vulnérabilités – Contrôle des périphériques – Filtrage de contenu Internet 27

28 Console de sécurité Console de prise en main à distance Console de déploiement Console de gestion de vulnérabilités Console dinventaires 28

29 Souplesse de larchitecture – Centralisée ou décentralisée – Locale ou hébergée… Console MMC – Utilisation simple et rapide sous forme arborescente – Gestion par groupes/sous-groupes – Notion dhéritage – Glisser/déplacer – Copier/coller… – + console Web de supervision Déploiement simple – Assistant de démarrage initial – Broadcast réseau – Connecteurs AD – Désinstallation AV concurrents – Déploiement en masse via agent(s) relais – Gestion fine des mises à jour (agents relais, nomades…) – Gestion des stratégies par produit Customisation selon les besoins Passage automatique LAN/Nomade Remontée dinformations Tableaux de bord dynamiques Rapports / Evènements Requêtes… – Fonctions périmétriques Affichage des applications installées Tunneling SSL Installation dapplications tierces Messages pop-up Affichage des adresses IP – Tâche de sauvegarde...

30