Risk report 2024 de Zscaler ThreatLabz : Face à la multiplication des exploits, 78% des entreprises ont l’intention d’adopter une stratégie Zero Trust au cours des 12 prochains mois

• La sécurité des VPN suscite de plus en plus d'inquiétudes : 91 % des personnes interrogées craignent qu’ils ne compromettent la sécurité de leur entreprise
• Parmi les principales menaces exploitant les vulnérabilités des VPN : les ransomwares (42%), les attaques DDoS (30%), ainsi que d'autres types de malwares (35%)
• Les mouvements latéraux constituent un grand sujet de préoccupation, comme le signalent une majorité d'entreprises victimes de violations par VPN, preuve de défaillances significatives

Zscaler, Inc. (NASDAQ : ZS), leader de la sécurité dans le cloud, vient de publier les conclusions de son rapport « 2024 ThreatLabz Risk Report ». Plus de 600 professionnels des secteurs de la sécurité, de l'informatique et des réseaux ont été interrogés dans le cadre de cette étude dont les conclusions ont été analysées par Cybersecurity Insiders. Selon cette dernière, 56 % des entreprises ont été la cible de cyberattaques impliquant des failles de sécurité VPN au cours de l'année écoulée. Ces incidents soulignent combien il est urgent de passer des défenses traditionnelles basées sur le périmètre à une architecture Zero Trust s’avérant quant à elle bien plus robuste.

Ce passage au Zero Trust a notamment pris de l'ampleur suite aux récentes violations largement médiatisées et les graves vulnérabilités des VPN de deux importants fournisseurs :

Ivanti (CVE-2023-46805 et CVE-2024-21887) : des attaquants ont pu réaliser des contournements d'authentification et des injections de commandes à distance.

Palo Alto Networks (CVE-2024-3400) : des utilisateurs non-authentifiés ont exploité le système d'exploitation du fournisseur de sécurité pour infiltrer le réseau. Résultat, la vulnérabilité s’est vu attribuer un degré de gravité maximal de 10,0.

Les vulnérabilités Zero Day d'Ivanti ont même conduit l'Agence pour la Cybersécurité et la Sécurité des Infrastructures (CISA) à publier une injonction d'urgence pour que les agences fédérales interrompent immédiatement les connexions avec les dispositifs VPN compromis.

Les défis de sécurité des réseaux privés virtuels (VPN)

Les VPN permettent aux entreprises d'accéder à distance aux réseaux, mais l'ampleur et la complexité croissante des cybermenaces ciblant ces réseaux continuent d’inquiéter les équipes sécurité. Pour 91% des personnes interrogées, les VPN représentent un point d'entrée vulnérable dans leur infrastructure informatique, comme en témoignent les récentes violations qui ont révélé les dangers d'une infrastructure VPN non patchée et non actualisée.

« L'année dernière, plusieurs graves vulnérabilités de VPN ont servi de points d'entrée et permis des attaques contre de grandes entreprises et des institutions fédérales », rappelle Deepen Desai, CSO de Zscaler. « Face à ces événements récurrents, les entreprises doivent prendre conscience que les acteurs de la menace vont intensivement exploiter ce type d’actifs classiques exposés en ligne, qu'ils soient physiques ou virtuels. Il leur sera donc facile de naviguer latéralement à travers les réseaux plats classiques. C’est pourquoi le passage à une architecture Zero Trust est indispensable. Elle réduit considérablement la surface d'attaque en éliminant les technologies existantes telles que les VPN et les pares-feux, applique des contrôles de sécurité cohérents via l'inspection TLS et limite le rayon d'action de l'explosion grâce à la segmentation et à la tromperie, pour éviter les violations compromettantes. »

Principales attaques contre les vulnérabilités des VPN

Le rapport indique que les attaques par ransomware (42%), les infections par malware (35%), et les attaques DDoS (30%), constituent les menaces principales exploitant les vulnérabilités des VPN. Ces statistiques révèlent à quel point les entreprises sont menacées par les faiblesses inhérentes aux architectures VPN traditionnelles, confirmant ainsi la nécessité de s’orienter vers une architecture Zero Trust. 78% des entreprises interrogées prévoient notamment de déployer rapidement une stratégie Zero Trust au cours des 12 prochains mois. 62% des entreprises reconnaissent en effet que les VPN sont en contradiction avec les principes du Zero Trust et que même la fourniture de VPN via le cloud ne permet pas de mettre en place une architecture Zero Trust. 

Enrayer la propagation

La plupart des entreprises ayant subi une violation du fait de vulnérabilités VPN remontent que les attaquants se sont déplacés latéralement sur leur réseau, signe que de graves défaillances de confinement se sont produites après le point de compromission initial. Pour minimiser le rayon d'action et atténuer les risques liés aux vulnérabilités des VPN, Zscaler recommande vivement l'adoption d’une architecture Zero Trust permettant d’aider les entreprises à :

• Réduire la surface d'attaque : les applications sont invisibles sur Internet, donc plus difficiles à découvrir et à cibler pour les pirates.
• Eviter les risques de compromission grâce à l'inspection en ligne du trafic et du contenu pour détecter et bloquer les activités malveillantes et protéger les ressources contre les accès non autorisés ou l'exfiltration de données.
• Eliminer les mouvements latéraux pour segmenter et connecter directement les utilisateurs aux applications plutôt qu'au réseau et limiter les accès non autorisés et les mouvements latéraux des attaquants.

Pour plus d'informations sur les risques que représentent les VPN pour les entreprises, téléchargez le rapport « Zscaler ThreatLabz 2024 VPN Risk Report with Cybersecurity Insiders » via le lien suivant : www.zscaler.com/campaign/threatlabz-vpn-risk-report.

Méthodologie

Plus de 600 professionnels de la sécurité, de l'informatique et des réseaux ont été interrogés pour établir le « VPN Risk Report » (rapport sur les risques liés aux réseaux privés virtuels).