Les attaquants peuvent-ils cacher leur commande et contrôle dans des services cloud de confiance ?

Oui, et ils le font, car le trafic vers un service cloud connu est rarement bloqué ou remis en question. Un logiciel malveillant peut récupérer des instructions dans un fichier d'un compte de stockage cloud public, un document partagé, un site d'hébergement de code, l'interface de robot d'une messagerie ou un réseau de diffusion de contenu, et renvoyer les données volées par le même chemin. Pour un pare-feu qui juge les destinations à leur réputation, cela ressemble à un salarié ordinaire utilisant un service populaire. Ce qui le trahit encore, c'est le comportement. Un programme qui consulte un fichier cloud à intervalles réguliers, jour et nuit, depuis un appareil dont l'utilisateur ne travaille pas, a un rythme qu'aucun humain n'a ; les envois peuvent être inhabituellement volumineux pour cet appareil ; et l'empreinte du client dans la négociation TLSTLS: Transport Layer Security. Le chiffrement qui protège la plupart du trafic internet, comme HTTPS. peut ne correspondre ni à un navigateur ni à l'application officielle du service. Mesures pratiques : n'autorisez que les services cloud dont l'activité a besoin, par locataire quand vos outils le permettent, et examinez les appareils qui parlent à des comptes personnels de services populaires. NetSenX détecte le beaconing et les volumes sortants inhabituels dans chaque offre, quelle que soit la destination, et les empreintes TLS dès l'offre Starter là où l'agent capture les paquets.

← Les 25 questions sur Sécurité du cloud et du SaaSTous les thèmes