CERTA
|
CERTA Centre d'Expertise Gouvernemental de |
 |
|
Affaire suivie par : CERTA Objet : Bulletin d'actualité
2006-51
Gestion du documentUne gestion de version détaillée se trouve à la fin de ce document. Le bulletin d'actualité est disponible dans son intégralité et au format PDF à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-051.pdf Un extrait du bulletin, ne reprenant que les articles de la semaine, se trouve en HTML à l'adresse suivante : http://www.certa.ssi.gouv.fr/site/CERTA-2006-ACT-051/ 1 Activité en cours1.1 Captures de frappes au clavierCette semaine, le CERTA a été informé d'un incident de sécurité informatique dû au déploiement d'un outil de capture de données au clavier (keylogger) sur les postes des utilisateurs. Les données sont recueillies par cet outil malveillant lorsque l'internaute remplit des formulaires sur un site Web. À titre d'illustration, voici un aperçu de la nature des captures de consultation de sites Web portées à notre connaissance :
Parmi les informations collectées, on trouve :
On notera que le fait que les sites soient sécurisés (https) n'a pas empêché la capture dans la mesure où celle-ci s'effectue sur le poste de l'internaute. Le CERTA dans le cadre de sa démarche de traitement d'incidents informe les responsables sécurité des serveurs. RecommandationsLe CERTA attire l'attention des internautes sur l'importance de choisir un poste de travail sain pour procéder à la saisie de données sensibles. Si le poste n'est pas sain, alors la transaction ne peut pas être sûre quelle que soit la solidité des mesures de sécurité mises en place sur le serveur ou entre celui-ci et le poste utilisateur. Seule l'application rigoureuse des consignes habituelles permet de maintenir un poste sain :
1.2 Filtrage des flux sortantsLe CERTA a traité un incident suite au signalement d'une machine compromise. Cette dernière envoyait des requêtes à destination d'une machine distante, via le port TCP 6667, associé au service IRC. Ce protocole de messagerie sert également de canal de contrôle dans le cadre de réseaux de machines zombi (botnet). Outre la compromission de la machine, certaines mesures préventives auraient dû être prises, afin d'éviter qu'une machine interne puisse établir des connexions vers n'importe quel port. De manière générale, le CERTA rappelle qu'il est capital de filtrer les tentatives de connexion depuis le réseau interne. Avoir une politique sortante du type N_importe_quelle_adresse -> N_importe_quelle_adresse peut être dangereuse. Il faut, notamment, considérer les points suivants :
Ces démarches ne protègent pas des codes ouvrant des connexions sur des ports supposés légitimes (cas des tunnels), mais limitent les risques de rebond d'une machine compromise, et offrent une source intéressante de surveillance du réseau pour l'administrateur. Il est possible d'utiliser les différents types de proxies pour affiner le filtrage sortant et limiter les effets des tunnels. Le CERTA recommande la lecture de la note d'information CERTA-2006-INF-001 relative au filtrage et aux pare-feux : http://www.certa.ssi.gouv.fr/site/CERTA-2006-INF-001/ 2 Avis Microsoft du mois de décembre 20062.1 Les faitsPlusieurs vulnérabilités présentes au moins dans les applications Microsoft Word, Microsoft Works, Microsoft Visionneuse et OpenOffice.org permettent d'exécuter du code arbitraire à distance au moyen d'un fichier au format Word (.doc) spécialement conçu. Le savoir-faire permettant d'exploiter cette vulnérabilité est largement publié sur l'Internet ainsi que des codes d'exploitation qui sont d'ores et déjà diffusés. Le CERTA a été informé par l'un de ses correspondants de l'apparition sur ses passerelles de messagerie de documents exploitant cette vulnérabilité. Ces documents ont été détectés et identifiés par les passerelles anti-virales déployées sur ce même réseau. Selon les premières analyses des éditeurs anti-virus ce code d'exploitation tenterait de télécharger et/ou d'exécuter du code malveillant depuis l'Internet. Le CERTA recommande de porter une attention toute particulière aux journaux d'événements des équipements réseaux (passerelles, parfeux, serveurs mandataires) qui permettraient de déceler toutes anomalies liées à cette vulnérabilité. Informer le CERTA de tout incident relatif à l'exploitation de cette vulnérabilité. 2.2 Contournement provisoire
3 Concernant le filtrage associé au trafic UDPIl existe plusieurs procédés pour effectuer des traductions d'adresses (ou NAT pour Network Address Translation) permettant à des machines à l'intérieur d'un réseau d'accéder à l'Internet par le biais d'un ensemble d'adresses IP publiques. Les plus courantes font également une traduction au niveau des ports. Il existe un protocole, décrit dans le RFC 3489, détaillant une méthode pour que deux machines, chacune dans un réseau différent, puissent communiquer entre elles en UDP malgré le NAT. Il s'appelle STUN (Simple Traversal of UDP through NAT), et s'utilise avec des applications comme Google Talk ou Skype. Cette méthode peut permettre, sous certaines conditions, de contacter directement une machine se trouvant derrière un NAT, et peut donc être une violation à la politique de sécurité. Il est important de vérifier que les règles de filtrage, notamment celles liées à UDP, empêche ce scénario si celui-ci n'est pas autorisé. En relation avec l'article précédent sur le filtrage, une solution pour contourner ce problème serait, indépendemment du NAT, de filtrer de manière restrictive et rigoureuse les connexions sortantes en UDP. 4 Rappel des avis émisDurant la période du 15 au 21 décembre 2006, le CERTA a émis les avis suivants :
Pendant cette période, les avis suivants ont été mis à jour :
Gestion détaillée du document
CERTA 2012-01-04 |
|
||||||||||||||||||||||||||||
|
|||||||||||||||||||||||||||||||
)
uvre d'un pare-feu ;