Le scraping de données qui a touché la Direction générale des finances publiques (DGFIP) ne peut pas être réduit à une simple affaire de comptes compromis.
C’est un des principaux enseignements du retour d’expérience publié par l’Agence nationale de la sécurité des systèmes d’information (ANSSI)
Le document ( une vingtaine de pages) met en évidence une série de contrôles à renforcer autour des applications métiers, de l’authentification, des droits d’accès, de la détection et de la réponse à incident.
Il faut toutefois distinguer les faits des recommandations. L’ANSSI précise elle-même que seul un audit complet du SI et des applications concernées permettra d’identifier avec exhaustivité les vulnérabilités exploitables. Les mesures qu’elle énumère ne constituent donc pas toutes la liste de failles avérées.
Elles dessinent néanmoins une chaîne de défense dont plusieurs maillons ont pu être insuffisamment robustes. Six niveaux ressortent particulièrement.
1- Une exposition des applications métiers à mieux maîtriser
La première faiblesse concerne la manière dont les applications métiers sont exposées.
L’ANSSI distingue trois catégories. Les applications internes devraient être accessibles uniquement depuis des postes administrés par la DGFIP et ne pas être directement accessibles depuis Internet, sauf au travers d’un VPN dédié aux agents.
Pour les applications destinées à un usage externe limité, l’agence préconise également un accès depuis les réseaux internes ou via un VPN pour les partenaires. À défaut, une limitation à une liste d’adresses IP autorisées peut être envisagée.
Cette recommandation est importante dans le contexte de l’incident. Plus une application métier est directement exposée à Internet, plus elle doit disposer de mécanismes complémentaires pour contrôler qui peut s’y connecter et ce qu’il peut y faire.
L’ANSSI ne dit pas que toutes les applications concernées étaient inutilement exposées. Mais la réduction de cette exposition constitue clairement l’un des axes de remédiation identifiés après l’incident.
Pour les applications qui doivent rester publiques, l’agence recommande notamment le géofiltrage, le filtrage des adresses IP mal réputées et l’utilisation de la source de connexion comme critère d’alerte lorsque son blocage n’est pas possible.
2 – Une authentification qui doit résister à la compromission des identifiants
Deuxième niveau : la protection des comptes.
Le retour d’expérience de l’ANSSI accorde une place importante à la prévention du vol d’identifiants. L’agence recommande notamment de proscrire l’utilisation d’appareils personnels pour accéder aux ressources professionnelles et de renforcer le niveau de sécurité des postes administrés : mises à jour, EDR, antivirus et VPN always-on sont cités parmi les mesures à mettre en œuvre.
Elle préconise également le déploiement de l’authentification multifacteur sur tous les applicatifs.
Mais l’ANSSI apporte une précision importante : tous les MFA ne se valent pas.
Le second facteur doit rester indépendant de la compromission du premier. Un code à usage unique transmis par e-mail n’est ainsi pas considéré comme suffisamment protecteur si la messagerie est elle-même accessible avec le même couple identifiant-mot de passe.
L’agence recommande plutôt des tokens physiques ou des applications d’authentification et préconise, lorsque cela est possible, l’utilisation d’un appareil différent pour le second facteur.
Cette partie du retour d’expérience montre que la question n’est donc pas seulement de savoir si un MFA existe. Il faut aussi déterminer contre quel scénario de compromission il protège réellement.
L’ANSSI demande parallèlement de renforcer les mots de passe et de mieux séparer les usages professionnels et personnels afin d’éviter qu’un environnement non administré par la DGFIP ne devienne le point d’entrée vers des identifiants professionnels.
3 – Des droits d’accès et des périmètres de consultation trop larges
C’est le troisième maillon et l’un des plus importants pour comprendre comment une compromission peut se transformer en extraction de données.
L’ANSSI recommande une gestion fine des droits applicatifs afin que chaque utilisateur ne puisse accéder qu’aux informations nécessaires à l’exercice de sa fonction.
Elle demande également la mise en place de plafonds de consultation des ressources métiers.
La nuance est importante. Un utilisateur peut être légitimement autorisé à accéder à une application sans pour autant devoir pouvoir consulter une quantité illimitée de données.
Cette distinction entre droit d’accès et capacité de consultation est fondamentale dans un scénario de scraping.
Un attaquant disposant d’identifiants valides peut en effet produire des requêtes qui, prises individuellement, ressemblent à une activité légitime. Le problème apparaît lorsque le compte permet d’enchaîner ces requêtes et d’explorer un périmètre de données beaucoup plus large que celui nécessaire à l’activité normale de l’utilisateur.
La limitation des droits ne constitue donc pas seulement une mesure de confidentialité. Elle sert aussi à contenir l’impact d’une compromission de compte.
4- Des mécanismes de limitation du scraping insuffisants
Le quatrième niveau est celui du contrôle du volume.
L’ANSSI demande explicitement l’application de quotas portant sur :
le volume de ressources métiers consultées ;
le nombre de requêtes ;
le volume de données échangées sur une période donnée.
Ces mesures sont particulièrement adaptées à la prévention du scraping automatisé.
Elles permettent de distinguer un utilisateur qui consulte ponctuellement une ressource d’un compte qui enchaîne des milliers de requêtes ou récupère des volumes de données incompatibles avec son usage habituel.
L’ANSSI préconise également des plafonds de consultation des ressources métiers. Il s’agit donc de créer plusieurs niveaux de limitation plutôt que de compter uniquement sur l’authentification.
Cette protection aurait un rôle essentiel dans un scénario où les identifiants ont déjà été compromis : même connecté avec un compte valide, l’attaquant ne devrait pas pouvoir exploiter indéfiniment l’application.
Il faut toutefois rester prudent sur la formulation. Si le texte de l’ANSSI recommande ces mécanismes, il ne permet pas, à lui seul, d’affirmer que chacun d’eux était absent au moment des opérations de scraping.
5 – Une détection et une réaction qui doivent être plus rapides
Cinquième maillon : la supervision.
L’ANSSI recommande que les applications soient systématiquement intégrées à un SIEM et que plusieurs indicateurs puissent déclencher des mesures de restriction : réputation IP, géolocalisation ou comportement inhabituel.
Le document fournit surtout un élément concret : des recherches suspectes sur E-Contact ont généré de vrais positifs.
Cette précision est intéressante parce qu’elle montre que le problème ne se situe pas nécessairement dans l’absence totale de détection.
Détecter une activité suspecte n’est toutefois qu’une première étape. Il faut ensuite pouvoir qualifier l’événement et interrompre rapidement l’activité malveillante.
C’est pourquoi l’ANSSI propose d’étudier la possibilité de déclencher automatiquement le blocage des comptes après certaines recherches suspectes.
Dans le cas d’une opération automatisée, cette capacité peut faire une différence considérable. Une alerte traitée manuellement peut laisser à l’attaquant une fenêtre d’exploitation supplémentaire. Un mécanisme automatisé peut au contraire interrompre la chaîne avant que le volume de données extrait ne devienne important.
L’enjeu est donc celui du passage d’une logique de détection à une logique de détection-réaction.
6 – Une gestion des comptes compromis à renforcer
Le dernier niveau concerne la réaction à la compromission elle-même.
L’ANSSI estime que la réinitialisation du mot de passe ne doit pas constituer la seule mesure.
Lorsqu’un compte est considéré comme compromis, son activité doit être analysée depuis la date présumée de la compromission. L’objectif est notamment d’identifier les applications auxquelles l’attaquant a pu accéder et les données qu’il a pu consulter.
La cartographie du SI devient ici un élément essentiel. Sans connaissance précise des applications auxquelles un compte peut accéder, il est difficile de mesurer correctement l’étendue d’une compromission.
L’ANSSI recommande également de révoquer les sessions actives sur tous les applicatifs et portails accessibles.
Cette mesure répond à un problème classique : modifier un mot de passe ne suffit pas nécessairement à mettre fin à une session déjà établie.
Enfin, si un même compte est compromis à plusieurs reprises, l’agence préconise une analyse approfondie de la cause racine.
La réponse à incident ne doit donc pas seulement consister à « changer le mot de passe ». Elle doit permettre de comprendre ce qui a été compromis, pendant combien de temps, par quels accès et pourquoi la compromission a pu se reproduire.
Selon l’ANSSI, un plan d’action prenant en compte les défaillances exploitées a été défini avec la DGFiP. Reste à connaitre le calendrier des déploiements.
Photo : © ANSSI
The post DGFiP : les six failles que l’ANSSI invite à corriger après le scraping appeared first on Silicon.fr.