Sécuriser son VPN selon la NSA

La National Security Agency (NSA) et la Cybersecurity and Infrastructure Security Agency (CISA) du Department of Homeland Security américain ont publié un mode d’emploi pour sécuriser les VPN.

La NSA et la CISA, la National Security Agency et la Cybersecurity and Infrastructure Security Agency ont remarqué une augmentation croissante du nombre de pirates informatiques exploitant des vulnérabilités visant des VPN. La NSA vient de proposer de quoi protéger les systèmes de sécurité nationale, le ministère de la Défense et les sous-traitants de la défense contre les groupes de malveillants. Petits détails, la NSA indiquent qu’il s’agit surtout de pirates soutenus par le gouvernement chinois.

Pour s’attaquer aux VPN ?

Une entreprise qui exploite des VPN attire les pirates. Les serveurs VPN servent de points d’entrée dans les réseaux protégés. Bilan, ça attire ! Les deux agences ont notifié que plusieurs acteurs parrainés par l’État Chinois avaient exploité des failles dans des produits VPN au cours des dernières années. Il s’agit d’une tendance dangereuse car les appareils VPN vulnérables peuvent permettre aux attaquants de voler des informations d’identification, d’entendre ou d’affaiblir les communications chiffrées, d’accéder à des données sensibles et d’exécuter à distance du code arbitraire sur les appareils.

Comment atténuer la menace ?

Selon les propositions de la CISA et de la NSA, il serait important d’opter pour un VPN basé sur des normes (IKE/IPSec) conçu par des entreprises réputées, qui ont des antécédents fiables pour corriger rapidement les failles et en utilisant des méthodes de sécurité et d’authentification robustes. Ils ne citent pas d’entreprises US, mais on sent que ça démange de le faire 🙂

En outre, les organisations son invitées à sécuriser les équipements en garantissant « des protocoles cryptographiques, des algorithmes et des informations d’authentification solides et approuvés ». Pour réduire davantage la probabilité d’attaque, il est important d’appliquer les correctifs rapidement, de limiter l’accès externe par protocole et port et de s’en tenir à l’exécution des fonctionnalités essentielles.

Enfin, les entreprises doivent surveiller l’accès vers et depuis les VPN à l’aide de pare-feu d’application Web, de prévention des intrusions, de segmentation du réseau et de journalisation locale/à distance.

Bref, rien de bien nouveau, mais la piqure de rappel ne fera pas de mal… pour ceux qui prendront le temps d’écouter !