Les services de réseaux privés virtuels (VPN) sont devenus des outils essentiels pour les entreprises modernes ces dernières années, doublement depuis. aider à sauver la situation pour beaucoup d’entre eux dans le pêle-mêle alimenté par la pandémie se précipiter vers le travail à distance en 2020. En créant un tunnel crypté pour les données d'entreprise circulant entre les réseaux de l'entreprise et les appareils des employés, les VPN aident à sécuriser les informations sensibles sans compromettre la productivité des employés ni paralyser les opérations critiques des entreprises. Comme de nombreuses organisations se sont depuis installées dans une modèle de lieu de travail hybride qui mélangent travail au bureau et travail en déplacement, les VPN d'accès à distance sont restés un incontournable de leurs boîtes à outils de connectivité réseau et de sécurité.

D’un autre côté, les VPN font également l’objet d’une surveillance croissante en raison d’une augmentation des vulnérabilités de sécurité et des exploits qui les ciblent, parfois même. avant le déploiement des correctifs. Étant donné que les VPN représentent potentiellement les clés du royaume des entreprises, leur attrait tant pour les acteurs étatiques que pour les cybercriminels est indéniable. Les adversaires consacrent des ressources considérables à la recherche des points faibles des piles de logiciels d’entreprise, ce qui exerce une pression supplémentaire sur les organisations et souligne l’importance de pratiques solides d’atténuation des risques.

À une époque où le exploitation massive des failles de sécurité, grande échelle attaques de la chaîne d'approvisionnement, et d'autres violations des défenses des entreprises sont de plus en plus courantes, les inquiétudes grandissent non seulement quant à la capacité des VPN à protéger les données de l'entreprise contre les acteurs malveillants, mais également quant au fait que ces logiciels eux-mêmes constituent une autre source de cyber-risques.

Cela soulève la question suivante : les VPN professionnels pourraient-ils constituer un handicap qui augmenterait la capacité de votre organisation ? surface d'attaque?

Les clés du royaume

Un VPN achemine le trafic de l'utilisateur via un tunnel crypté qui protège les données contre les regards indiscrets. La principale raison d'être d'un VPN professionnel est de créer une connexion privée sur un réseau public ou sur Internet. Ce faisant, il permet à un personnel géographiquement dispersé d'accéder aux réseaux internes comme s'il était assis à son bureau, intégrant essentiellement ses appareils au réseau de l'entreprise.

Mais tout comme un tunnel peut s’effondrer ou présenter des fuites, une appliance VPN vulnérable peut également faire face à toutes sortes de menaces. Les logiciels obsolètes sont souvent la raison pour laquelle de nombreuses organisations sont victimes d'une attaque. L'exploitation d'une vulnérabilité VPN peut permettre aux pirates informatiques de voler des informations d'identification, de détourner des sessions de trafic cryptées, d'exécuter du code arbitraire à distance et de leur donner accès à des données sensibles de l'entreprise. Ce Rapport sur les vulnérabilités VPN 2023 fournit un aperçu pratique des vulnérabilités VPN signalées ces dernières années.

En effet, comme tout autre logiciel, les VPN nécessitent une maintenance et des mises à jour de sécurité pour corriger les vulnérabilités. Les entreprises semblent cependant avoir du mal à suivre les mises à jour des VPN, notamment parce que les VPN n'ont souvent pas de temps d'arrêt planifié et sont censés être opérationnels à tout moment.

Les groupes de ransomwares sont souvent connus cibler les serveurs VPN vulnérables, et en y accédant au moins une fois, ils peuvent se déplacer sur un réseau pour faire ce qu'ils veulent, comme crypter et conserver des données contre une rançon, les exfiltrer, mener de l'espionnage, etc. En d’autres termes, l’exploitation réussie d’une vulnérabilité ouvre la voie à des accès malveillants supplémentaires, pouvant conduire à une compromission généralisée du réseau de l’entreprise.

Les histoires édifiantes abondent

Récemment, Affaires mondiales Canada a entamé une enquête sur une violation de données causé par une compromission de sa solution VPN de choix, qui durait depuis au moins un mois. Les pirates auraient eu accès à un nombre non divulgué de courriels d'employés et à divers serveurs auxquels leurs ordinateurs portables étaient connectés à partir du 20 décembre.^th, 2023, jusqu'au 24 janvier^th, 2024. Inutile de dire que les violations de données entraînent d'immenses coûts – 4.45 millions de dollars en moyenne, selon l'étude d'IBM. Coût d'une violation de données 2023 signaler.

Dans un autre exemple, en 2021, des acteurs menaçants alignés sur la Russie ciblé cinq vulnérabilités dans les produits d'infrastructure VPN d'entreprise, ce qui a nécessité un avertissement public de la NSA exhortant les organisations à appliquer les correctifs dès que possible, sous peine de risque de piratage et d'espionnage.

Une autre préoccupation concerne les défauts de conception qui ne se limitent pas à un service VPN donné. Par exemple, Vulnérabilités TunnelCrack, découvert récemment par des chercheurs et affectant de nombreux VPN d'entreprise et grand public, pourrait permettre aux attaquants de tromper leurs victimes pour qu'elles envoient leur trafic en dehors du tunnel VPN protégé, en espionnant leurs transmissions de données.

Des mises à jour de sécurité critiques sont nécessaires pour combler ce type de failles de sécurité, il est donc indispensable de les maîtriser. Il en va de même pour la sensibilisation des employés, car une autre menace traditionnelle implique des acteurs malveillants utilisant des sites Web trompeurs pour inciter les employés à divulguer leurs identifiants de connexion VPN. Un escroc peut également voler le téléphone ou l'ordinateur portable d'un employé afin d'infiltrer les réseaux internes et compromettre et/ou exfiltrer des données, ou encore espionner discrètement les activités de l'entreprise.

Sécuriser les données

Une entreprise ne doit pas se fier uniquement à son VPN pour protéger ses employés et ses informations internes. Un VPN ne remplace pas la protection habituelle des points de terminaison, ni les autres méthodes d’authentification.

Envisagez de déployer une solution qui peut vous aider évaluation des vulnérabilités et correctifs car l’importance de rester au courant des mises à jour de sécurité publiées par les fabricants de logiciels, y compris les fournisseurs de VPN, ne peut être assez soulignée. En d’autres termes, une maintenance régulière et des mises à jour de sécurité constituent l’un des meilleurs moyens de minimiser les chances de réussite d’un cyber-incident.

Il est important de prendre des mesures supplémentaires pour protéger le VPN de votre choix contre toute compromission. La Cybersecurity and Infrastructure Security Agency (CISA) et la National Security Agency (NSA) des États-Unis ont un brochure pratique qui décrit diverses précautions qui font exactement cela. Cela inclut la réduction du surface d'attaque, utilisant un cryptage fort pour brouiller les données sensibles de l'entreprise, une authentification robuste (comme un deuxième facteur supplémentaire sous la forme d'un code à usage unique) et une surveillance de l'utilisation du VPN. Utilisez un VPN conforme aux normes de l’industrie et provenant d’un fournisseur réputé ayant fait ses preuves dans le respect des meilleures pratiques de cybersécurité.

Aucun logiciel VPN ne garantit une protection parfaite et une entreprise serait mal avisée de s’en remettre uniquement à lui pour la gestion des accès. Les organisations peuvent également bénéficier de l'exploration d'autres options pour prendre en charge une main-d'œuvre dispersée, comme le sécurité zéro confiance modèle qui repose sur l'authentification continue des utilisateurs, ainsi que d'autres contrôles, qui incluent la surveillance continue du réseau, la gestion des accès privilégiés et l'authentification multicouche sécurisée. Ajouter détection et réponse des points de terminaison à cela s'ajoute, car cela peut, entre autres choses, réduire la surface d'attaque et ses capacités de détection des menaces basées sur l'IA peuvent automatiquement mettre en évidence les comportements suspects.

De plus, tenez compte de la sécurité VPN dont vous disposez ou souhaitez. Cela signifie que les VPN peuvent différer dans ce qu’ils offrent, car il y a bien plus sous la surface que la simple création d’une simple connexion à un serveur, car cela peut également inclure diverses mesures de sécurité supplémentaires. Et les VPN peuvent également différer dans la manière dont ils gèrent l’accès des utilisateurs : l’un peut nécessiter une saisie constante d’informations d’identification, tandis qu’un autre peut être une opération unique.

Pensées de séparation

Même si les VPN constituent souvent un élément crucial pour un accès distant sécurisé, ils peuvent être – surtout en l’absence d’autres pratiques et contrôles de sécurité – des cibles juteuses pour les attaquants cherchant à s’introduire dans les réseaux d’entreprise. Divers groupes de menaces persistantes avancées (APT) ont récemment exploité des vulnérabilités connues des logiciels VPN pour voler les informations d'identification des utilisateurs, exécuter du code à distance et extraire les joyaux de la couronne de l'entreprise. L’exploitation réussie de ces vulnérabilités ouvre généralement la voie à des accès malveillants supplémentaires, pouvant conduire à des compromissions à grande échelle des réseaux d’entreprise.

À mesure que les modes de travail évoluent, la demande d'accès à distance persiste, ce qui souligne l'importance constante de donner la priorité à la sécurité d'une main-d'œuvre dispersée en tant qu'élément fondamental de la stratégie de sécurité d'une organisation.

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
• La source: https://www.welivesecurity.com/en/business-security/vulnerabilities-business-vpns-spotlight/