Jean Paul Bellerini

Jean Paul Bellerini, Technical Sales Lead, X-Force Expert d’ISS-IBM, a présenté la X-Force en montrant que, quotidiennement, ses équipes analysent 150 millions d’attaques et 40 millions de spam. Elles ont ainsi constitué, depuis leur création en 1990, une base de données de 43.000 vulnérabilités. Selon lui, les éditeurs de logiciels sont de plus en plus sensibilisés à la sécurité. C’est ce qui expliquerait que le nombre de vulnérabilités soit en diminution cette année, même si Sun et Apple ont publié cette année un plus grand nombre de leur vulnérabilités, en incluant les moins critiques. Il a expliqué que près de 50% des vulnérabilités n’étaient pas réduites par les éditeurs principalement pour des questions de criticité. Ainsi, les pirates informatiques se concentrent actuellement sur les applications Web qui, à elles seules, ont totalisé près de la moitié des vulnérabilités et sur les attaques des PDF qui aujourd’hui ont dépassé celui du monde d’Office. Ce phénomène est d’autant plus étrange que le PDF étant un logiciel, pour partie gratuit, les utilisateurs ne le mettent pas à jour. Ainsi, les principales attaques sur le PDF concernent des vulnérabilités patchées depuis de nombreuses années. Ses équipes ont aussi constaté une augmentation de 500% de liens Web ayant un contenu malveillant. Dans le Top 5 des attaques du premier trimestre de 2009, il a mentionné celle de Real Player, qui en entreprises n’est pratiquement jamais patchée. Devant la multiplication des situations de mobilité, ce phénomène est inquiétant, car les pirates sont susceptibles d’utiliser ces failles pour s’introduire dans le SI et voler les données sensibles. Par contre, la 1ère attaque cette année concerne l’exploitation d’une vulnérabilité qui date de 2006.

Au niveau des entreprises, si les infrastructures sont aujourd’hui très bien protégées, il n’en est pas de même pour les postes de travail et les applications Web. Selon lui, l’injection SQL et le Cross Scripting sont les « best seller » du piratage. Il a dénombré 200.000 attaques en avril et 700.000 pour le mois de septembre…ce qui laisse rêveur.

Pour conclure sa présentation, il a évoqué la chute du phishing cette année par rapport à 2008. Selon lui, Paypal reste la première cible des pirates. En revanche, les attaques à partir de liens malveillants présents sur la home page des sites Web sont en très nette augmentation.

Guy Poulain

Guy Poulain, Business Development Secteur Défense, a mis en exergue l’évolution de la politique française en matière de sécurité. Il peut en parler avec d’autant plus d’autorité que dans un passé proche, il a été Contre Amiral dans l’armée française. Depuis le Rapport Pierre Lasbordes qui avait fait un état des lieux de la France dans l’espace Numérique, l’Etat a mis en œuvre une politique de sécurité. En effet, ce rapport a montré que la France a atteint un haut degré dans la diffusion et l’usage des systèmes d’information. En revanche, elle n’a sans doute pas accordé suffisamment d’importance à la sécurité de ses systèmes. Ainsi, l’ANSSI a été créée en juin dernier. Le CNR (Conseil National du Renseignement) a également vu le jour. On a aussi mis en œuvre les Directives Nationales de Sécurité (DNS) et désigné 280 entreprises jugées stratégiques. Face à cette nouvelle politique, Guy Poulain a expliqué que l’on était passé d’une défense assez passive à une défense active en profondeur, voire offensive. Pour lui, l’un des moyens est de mettre en place des cellules de veilles au sein de toutes les entreprises qui pourront, en remontant des informations, faire de la corrélation d’événements afin de détecter le plus rapidement possible tous signaux suspects.

Loïc Guézo Responsable Technique d’ISS-IBM, a présenté l’offre d’IBM dans le domaine de la lutte contre la cybercriminalité. Elle repose, tout d’abord, sur une équipe de 15.000 chercheurs et experts dans le monde : « chaque année, IBM dépose plus de 3.000 brevets dans le domaine de la sécurité et « risk management » a-t-il rappelé. Bien entendu, IBM propose aussi un Framework d’outils de sécurité avec Tivoli pour l’IAM, les IPS avec ISS-IBM… Cette offre se répartit en trois domaines :
– La vente de solutions et de matériels,
– L’expertise professionnelle de services,
– Les services managés de sécurité.