Tables des matières

Liste des figures

Introduction

Les dispositifs d’accès sont des composants logiciels ou matériels de réseau qui interconnectent des réseaux gérés à l’interne et des réseaux non sécurisés externes, comme Internet. Ces dispositifs peuvent connecter des réseaux organisationnels à Internet, fournir une connectivité contrôlée à des réseaux internes protégés et assurer la circulation du trafic.

Les termes « frontière » et « périmètre » sont aussi utilisés en référence aux limites ou aux périphéries d’un réseau. La périphérie du réseau est une frontière logique établie par des administratrices et administrateurs pour séparer les réseaux internes des réseaux externes auxquels les auteurs de menace ont accès sans entrave. Elle sert à acheminer tout le trafic, qu’il soit entrant ou sortant, vers un dispositif qui met en œuvre des stratégies de sécurité afin d’assurer la sécurité du réseau interne.

La périphérie, la frontière ou le périmètre de réseau dispose de voies vers le réseau interne, où les services internes sont hébergés. Toutes les périphéries de réseau nécessitent leur propre niveau de sécurité pour non seulement assurer la sécurité des données et du réseau interne, mais aussi pour prévenir l’exploitation des dispositifs d’accès.

Dispositifs d’accès couramment utilisés

Ces conseils se limitent aux réseaux virtuels privés (RPV), aux pare-feu et aux routeurs, puisqu’ils sont des dispositifs d’accès courants.

Passerelles de réseau privé virtuel

A virtual pUne passerelle de réseau privé virtuel (RPV) est une connexion sécurisée entre deux points, comme un ordinateur portable et le réseau de votre organisation. Le RPV sert de tunnel par l’entremise duquel des données sécurisées peuvent être envoyées et reçus en périphérie du réseau. Les données chiffrées sont transmises par l’entremise d’un « tunnel » qui les protège des auteurs de menace. Pour de plus amples renseignements, consultez notre publication Virtual private networks (ITSAP.80.101).

Pare-feu

Les pare-feu sont des dispositifs de sécurité (physiques ou virtuels) qui contrôlent les données qui entrent dans un réseau ou une zone de sécurité et qui en sortent. Ils surveillent et contrôlent le trafic de données en fonction d’un ensemble de règles prédéfinies. Les pare-feu se trouvent à la périphérie entre le réseau et l’utilisatrice ou utilisateur pour apporter une sécurité essentielle. Ils vérifient le trafic qui circule et peuvent autoriser les connexions ou les empêcher de se rendre à leur destination. Il est important d’activer le blocage par défaut du trafic inconnu lors de la configuration des pare-feu.

Pour en savoir plus, consultez notre publication Considérations de sécurité liées aux pare-feu – ITSAP.80.039.

Routeurs

Les routeurs dirigent le trafic entre les réseaux internes et Internet, mais ils n’offrent pas la même sécurité qu’un pare-feu. Le routeur peut diriger des paquets en fonction de règles de routage qui sont configurées manuellement, apprises de façon dynamique d’autres dispositifs ou les deux. Les routeurs sont essentiels à tout réseau. Il est important que les routeurs mettent en œuvre l’isolation des segments réseau afin de réduire le plus possible la surface d’attaque, comme les segments de réseau de technologies opérationnelles (TO).

Pour en savoir plus, consultez la publication Pratiques exemplaires en matière de cybersécurité pour les routeurs (ITSAP.80.019).

Facteurs à considérer pour les dispositifs d’accès

Votre organisation exige que vos dispositifs organisationnels comportent des capacités permettant d’accéder au Web et aux courriels. Il faut donc permettre une connectivité entre le réseau local et Internet. Votre organisation peut sécuriser ces connexions en ayant recours à un dispositif d’accès axé sur la sécurité, comme un pare-feu, un RPV ou un routeur. Ces types de dispositifs d’accès ont été conçus pour résister au trafic malveillant provenant d’Internet et le bloquer.

Malgré les progrès dans les mesures de sécurité et une meilleure visibilité des infrastructures réseau, les dispositifs d’accès sont toujours susceptibles d’être compromis, principalement en raison des vulnérabilités dans les dispositifs d’accès et de la manière dont l’architecture de réseau (et de la passerelle) est configurée.

Parmi les facteurs que votre organisation devrait prendre en compte lors de l’évaluation de la sécurité d’un dispositif d’accès, notons :

• sa fabrication (responsabilité du fabricant);
• sa configuration (responsabilité partagée entre le fabricant, les guides de renforcement du fournisseur et l’organisation);
• la date la plus récente d’application des mises à jour et des correctifs pour les logiciels, le matériel, le système d’exploitation et la sécurité.

Menaces visant les dispositifs d’accès

Les auteurs de menace disposent de plusieurs moyens pour compromettre et tirer parti des dispositifs d’accès afin d’accéder à votre environnement. Un vecteur important est n’importe quel dispositif directement connecté et utilisé comme une mesure de prévention et de détection, comme un pare-feu. Les auteurs de menace consacreront du temps et des ressources pour trouver tous les vecteurs possibles afin d’essayer de contourner les contrôles et les mesures de protection des frontières en place.

Mauvaises configurations et mauvaise gestion des dispositifs d’accès

Tout composant mal configuré d’un dispositif d’accès, par exemple un routeur ou un RPV, peut entraîner une compromission. Votre organisation doit établir des normes en matière de configuration et de sécurité qui doivent être respectées dans le cadre de chaque déploiement de dispositifs. Bien que cela puisse être contraignant pour les ressources, vous pouvez réduire quelque peu la pression en tirant parti d’un modèle de gestion centralisée des configurations. Ainsi, votre organisation sera en mesure de surveiller et de gérer les dispositifs de sécurité dans l’ensemble de son environnement à partir d’un point de contrôle.

On recommande fortement que les administratrices et administrateurs de votre organisation effectuent toutes les tâches liées à la sécurité et à la configuration à partir d’une station de travail administrative dédiée, comme un poste de travail avec accès privilégié (PAW pour Privilege Access Workstation) ou un poste de travail avec accès sécurisé (SAW pour Secure Access Workstation). Vous pourrez ainsi mieux surveiller les menaces et contrôler l’ampleur d’un cyberincident si une compromission devait se produire.

Pour plus d’information sur les zones de gestion et d’architecture, consultez les conseils de l’ASD sur l’administration sécurisée (en anglais seulement).

Exploitation des vulnérabilités

Les auteurs de menace concentrent leur attention sur les vulnérabilités des dispositifs individuels en périphérie du réseau. Les dispositifs d’accès sont habituellement connectés à Internet et sont dotés d’adresses IP publiques accessibles de partout. Les dispositifs d’accès sont alors particulièrement vulnérables à l’exploitation, car les auteurs de menace peuvent tirer avantage d’Internet pour relever des vulnérabilités dans ces dispositifs et les exploiter.

L’exploitation de vulnérabilités se produit lorsque des auteurs de menace tirent parti de vulnérabilités dont les organisations ne sont peut-être pas au courant ou qu’elles n’ont pas eu l’occasion de régler avec des mises à jour ou des correctifs. L’exploitation de vulnérabilités connues se produit lorsque des auteurs de menace exploitent des vulnérabilités pour lesquelles des correctifs existent, mais n’ont pas encore été appliqués.

Une fois que les menaces du jour zéro, qui exploitent des vulnérabilités inconnues, sont exploitées et détectées, les fabricants de dispositifs responsables publieront des correctifs rapidement. Votre organisation doit se tenir au fait des correctifs et des mises à jour qui sont publiés afin d’atténuer les vulnérabilités connues des dispositifs. Votre organisation doit avoir des procédures en place afin d’appliquer les mises à jour et les correctifs immédiatement, avant que les auteurs de menace ne puissent exploiter les vulnérabilités connues.

Votre organisation peut aussi être vulnérable si elle ne reçoit pas de notifications concernant les mises à jour et les correctifs de sécurité. Si une mise à jour de sécurité n’est pas installée, votre dispositif peut être vulnérable aux compromissions. Assurez-vous de configurer les mises à jour automatiques dans votre environnement ou de désigner un délai obligatoire dans lequel les mises à jour doivent être installées. Vous devriez utiliser un scanneur de vulnérabilité régulièrement afin de vous aider à repérer les mises à jour ou les correctifs manquants pour corriger les vulnérabilités dans les systèmes d’exploitation des dispositifs réseau connectés à Internet. Cette mesure permet d’atténuer les vulnérabilités connues.

Attaques par déni de service et par déni de service distribué

Les attaques par déni de service (DoS pour Denial of service) cherchent à entraver la fonctionnalité des services et à rendre les réseaux inaccessibles. Un déni de service distribué (DDoS pour Distributed denial of service) signifie que les auteurs de menace utilisent les nombreux dispositifs connectés à un réseau pour atteindre leur objectif.

Pour être efficace, une attaque par DDoS exige d’utiliser de multiples dispositifs compromis, que l’on appelle parfois un réseau zombie. La plupart des attaques par DoS ont pour but d’inonder le serveur cible avec du trafic inutile et d’exploiter quelques vulnérabilités liées au service ciblé. Les routeurs de petites entreprises ou de bureaux à domicile ou les routeurs personnels sont des dispositifs que les auteurs de menace privilégient pour la compromission, et ils les laissent en état de latence jusqu’à ce qu’ils soient prêts à faire escalader leur attaque. Si les mises à jour et les correctifs ne sont pas appliqués aux dispositifs d’accès, les auteurs de menace peuvent les exploiter afin d’attaquer d’autres réseaux.

Lorsque le moment est venu, l’auteur de menace peut faire en sorte que tous les dispositifs compromis participent à l’attaque par DDoS. Cette procédure génère suffisamment de demandes pour ralentir, paralyser ou mettre complètement hors fonction un réseau en surchargeant la capacité du dispositif d’accès à se défendre.

Même si cette mesure ne protège pas complètement les dispositifs contre les attaques par DoS et par DDoS, on vous recommande de veiller à ce que les correctifs soient appliqués aux dispositifs d’accès afin de rendre la tâche plus difficile pour les auteurs de menace de relever et d’exploiter les vulnérabilités dans les dispositifs d’accès pour appuyer ces attaques.

Pour plus d’information sur l’atténuation des attaques par DDoS, consultez la publication Défense contre les attaques par déni de service distribué .

Applications Web

Lorsqu’il est connecté à Internet, votre dispositif peut être exposé à des tentatives d’intrusion. À des fins professionnelles et opérationnelles, les organisations ont souvent besoin qu’un serveur accède à Internet. Ces serveurs comprennent notamment :

• les serveurs de gestion des dispositifs d’accès;
• les serveurs Web ou de messagerie;
• les serveurs utilisés pour fournir une connectivité par des applications mobiles;
• les serveurs d’accès à distance.

Cette fonctionnalité peut sembler souhaitable, mais elle ajoute des risques supplémentaires qui doivent être pris en compte. Le serveur externe est habituellement placé sur un réseau distinct, c’est-à-dire une zone démilitarisée (ZD), permettant la connexion par le pare-feu à des réseaux externes. Les serveurs externes ou les dispositifs d’accès exposés peuvent entraîner une augmentation de l’exposition aux menaces.

Paramètres de configuration par défaut

Certaines entreprises de réseaux périphériques continuent de définir des mots de passe par défaut. Les justificatifs d’identité par défaut doivent être changés pour accroître la sécurité, car les auteurs de menace peuvent facilement découvrir les mots de passe par défaut et les exploiter. Les équipes de sécurité des TI doivent changer les paramètres de configuration par défaut sur les dispositifs avant de les déployer afin d’accroître leur sécurité.

On recommande aux équipes de sécurité de créer un document relatif à la configuration de référence à consulter lors de la configuration des dispositifs. Cette base de référence devrait comprendre la désactivation des ports, des protocoles et des services inutilisés, et le changement des noms d’utilisateur et des mots de passe par défaut.

Une fois déployés, les dispositifs d’accès et leurs paramètres de sécurité relèvent de la personne responsable de l’administration ou de l’exploitation. On vous recommande de consulter le guide de renforcement et le manuel du fabricant compris avec votre produit ou de communiquer avec les entités externes, comme le Center for Internet Security (CIS), pour plus d’information sur le renforcement de la sécurité et la configuration.

Certains paramètres de sécurité peuvent être verrouillés et contrôlés au niveau administratif, mais l’installation ou la mise en œuvre de paramètres ou de contrôles de sécurité peut parfois relever d’une opératrice ou d’un opérateur, ou d’une utilisatrice finale ou d’un utilisateur final qui n’a peut-être pas une connaissance technique approfondie en matière de cybersécurité. Les opératrices et opérateurs, et les utilisatrices finales et utilisateurs finaux devraient consulter et suivre les conseils disponibles sur la configuration acceptable et utiliser les dispositifs d’accès fournis par leur organisation et le fabricant.

Alors que les politiques d’utilisation acceptable et les politiques en matière de cybersécurité personnalisées peuvent contribuer à atténuer les attaques causées par une erreur d’une utilisatrice ou d’un utilisateur, on encourage vivement les fabricants à créer des environnements tolérants aux erreurs des utilisatrices et utilisateurs. Le fait d’adopter les principes de sécurité dès la conception renforcera la sécurité des dispositifs et aidera les utilisatrices et utilisateurs à les déployer de manière plus sécuritaire.

Les fabricants sont invités à suivre les principes de sécurité dès la conception. En mettant en œuvre ces principes durant la phase de conception des produits, les fabricants peuvent réduire de manière considérable le nombre de failles exploitables avant de les commercialiser pour une utilisation généralisée. La sécurité dès la conception permet également de s’assurer que les produits sont livrés aux consommatrices et consommateurs dans la configuration la plus sécurisée possible.

Pour plus d’information, consultez les recommandations pour les fabricants de dispositifs d’accès dans cette publication.

Exemples de compromission de dispositifs d’accès

Les exemples suivants montrent les méthodes que les auteurs de menace peuvent utiliser pour compromettre et tirer parti des dispositifs d’accès. Ces exemples soulignent également certaines des répercussions potentielles de ces types de compromissions sur les organisations.

Fortinet, FortiOS (CVE-2024-21762; CVE-2022-42475)

Le 8 février 2024, Fortinet a divulgué la présence d’une vulnérabilité d’écriture hors bande, CVE-2024-21762, qui permet à un auteur de menace de se connecter sans fournir de justificatifs d’identité valides et d’exécuter des commandes arbitraires sur le dispositif d’accès. Cette vulnérabilité, qui touche des fournisseurs offrant le service SSL-RPV, permet à un auteur de menace non authentifié d’exécuter des commandes arbitraires au moyen de requêtes HTTP.

De plus, la CISA a signalé qu’en 2024, le groupe d’auteurs de menace Volt Typhoon a exploité la vulnérabilité CVE-2022-42475 dans un pare-feu de périmètre réseau FortiGate 300D qui n’avait pas reçu de correctifs. L’auteur de menace a utilisé cet exploit pour compromettre un compte d’administrateur de domaine stocké de façon inappropriée sur le dispositif.

Cisco, Cisco IOS (CVE-2023-20198; CVE-2023-20273)

Semblable à l’incident décrit ci-dessus, la cause fondamentale de cette compromission était le résultat de l’exploitation de deux vulnérabilités distinctes. La première vulnérabilité a permis à un auteur de menace d’obtenir un accès (administratif) de « niveau 15 » pour créer un nouveau compte d’utilisateur avec un mot de passe réglé par l’auteur de menace. Ensuite, une vulnérabilité distincte n’a pas été corrigée dans l’interface de configuration Web. Par conséquent, des fichiers ont été créés sur le disque à mémoire flash pour obtenir un accès supplémentaire et s’implanter de manière à ce qu’un redémarrage du dispositif ne supprime pas la porte dérobée.

Cette compromission était attribuable à une vulnérabilité du jour zéro provenant d’un fournisseur qui a permis à un auteur de menace d’effectuer une élévation des privilèges par l’entremise de l’interface de configuration Web des dispositifs. On recommande à votre organisation de ne pas exposer directement les interfaces de gestion de réseau à Internet. De plus, votre organisation devrait examiner son architecture et déterminer si une approche à vérification systématique serait possible. Une architecture robuste permettra d’atténuer ce type de vulnérabilité.

Pour examiner en profondeur une compromission touchant un RPV, consultez le rapport du Centre canadien pour la cybersécurité sur la Cyberactivité touchant les réseaux privés virtuels Cisco ASA .

Atténuation des menaces contre les dispositifs d’accès

Votre organisation peut limiter le risque de compromission de vos dispositifs d’accès en mettant en œuvre les recommandations suivantes :

• Abonnez-vous aux notifications de sécurité offertes par le fournisseur du dispositif ainsi qu’aux bulletins publiés par le Centre pour la cybersécurité.
• Suivez les guides de renforcement des fournisseurs.
• Installez des correctifs sur les dispositifs d’accès le plus rapidement possible après avoir effectué des tests de fiabilité sur un dispositif de réserve ou un dispositif réservé à cet effet.
  • Établissez un plan de gestion automatisée ou surveillée des correctifs pour vous assurer que les correctifs sont appliqués dès qu’ils sont publiés.
• Autorisez la journalisation centralisée (hors dispositif) et configurez des niveaux de journalisation pour qu’ils soient aussi détaillés que possible.
• Utilisez un mécanisme robuste d’authentification multifacteur (AMF) résistant à l’hameçonnage pour tous les accès administratifs aux dispositifs.
• Créez des alertes pour les connexions administratives, les modifications de configuration et les modifications matérielles réussies.
• Détectez les modifications matérielles en utilisant les commandes ou les outils de détection du fournisseur.
• Suivez les processus de gestion des changements standard de l’industrie pour toutes les modifications de configuration de sécurité.
  • Exigez qu’au moins deux personnes passent en revue une modification avant de la mettre en œuvre.
• Désactivez les fonctionnalités qui ne sont pas nécessaires.
• Passez en revue régulièrement les règles de sécurité pour assurer la pertinence.
  • Plus le réseau est dynamique, plus cette revue devrait être effectuée fréquemment.
• Conservez un inventaire des dispositifs d’accès et de leurs échéances respectives en matière de soutien.
  • Gérez le cycle de vie de n’importe quel dispositif et service en fin de vie, car toute vulnérabilité découverte sur un dispositif demeure non corrigée.
  • Examinez de manière périodique les dispositifs qui ont une date de fin de vie imminente et planifiez de retirer ces dispositifs ou de les remplacer avant la date d’échéance.
  • Enquêtez et mettez en œuvre des contrôles compensatoires si votre organisation ne peut pas retirer un service en fin de vie.
• Tirez parti de l’authentification centralisée avec le contrôle d’accès basé sur les rôles pour réduire au minimum les risques associés aux comptes locaux et pour aider à la gestion de l’accès.
  • Tenez compte des risques liés au déploiement des approches et des services d’authentification au sein de votre environnement.
• Utilisez une station de travail administrative ou un réseau de gestion hors bande qui est séparé physiquement du réseau de flux de données opérationnelles.
  • Assurez-vous que la gestion des dispositifs de l’infrastructure réseau peut seulement provenir d’un réseau de gestion hors bande.
• Utilisez un hôte renforcé pour réduire le risque que les justificatifs d’identité administratifs et l’AMF soient exploités par une compromission de l’hôte local.
• Assurez-vous d’inclure la compromission des dispositifs d’accès dans le plan d’intervention en cas d’incident de votre organisation.
  • Faites des exercices pratiques pour vous assurer que le plan fonctionne et qu’il permettra à votre organisation de détecter, de contenir, de corriger et d’assurer une reprise, le tout, avec une faible incidence sur ses activités.
  • Lorsque vous sélectionnez des fournisseurs pour les fonctions des dispositifs d’accès, songez à diversifier les fournisseurs afin de réduire et d’atténuer l’exposition aux menaces tout en respectant l’intégrité de la chaîne d’approvisionnement.

Pour en savoir plus sur les moyens supplémentaires qui permettent aux organisations de sécuriser leurs dispositifs, consultez les publications suivantes :

Recommandations pour les fabricants de dispositifs d’accès

Les auteures et auteurs encouragent tous les fabricants de dispositifs d’accès à sécuriser leurs produits dès la conception en intégrant des considérations liées à la sécurité dans les processus de conception et de développement des produits, afin de réduire les vulnérabilités dans les dispositifs d’accès. Les principes de sécurité dès la conception décrivent la manière dont les fabricants devraient améliorer les résultats en matière de sécurité pour leur clientèle en assumant la responsabilité de la sécurité de leurs produits.

Pour plus d’information, les fabricants devraient passer en revue le guide conjoint Shifting the Balance of Cybersecurity Risk: Principles and Approaches for Secure by Design Software (en anglais seulement) qui a été publié par le Centre pour la cybersécurité et des partenaires internationaux de la cybersécurité.

Les fabricants peuvent consulter la publication Secure by Design Alert: Security Design Improvements for SOHO Device Manufacturers (en anglais seulement) de la CISA s’ils souhaitent obtenir des conseils pour mettre en œuvre des fonctions de sécurité par défaut dans les dispositifs d’accès.

On encourage aussi les fabricants à se joindre à l’engagement Secure by Design Pledge (en anglais seulement) de la CISA, qui souligne les objectifs que les fabricants doivent atteindre afin d’améliorer la sécurité de leurs produits, y compris les objectifs pour réduire les vulnérabilités dans leurs produits et faire état des vulnérabilités de manière transparente.

Renseignements supplémentaires

La publication ne traite que de la sécurité relative aux frontières des réseaux d’entreprise de votre organisation. Pour obtenir de plus amples renseignements sur la protection de votre organisation et des employées et employés qui travaillent à distance, veuillez consulter les publications suivantes :