USB

Risques de cybersécurité de l’USB: Ce qu’il faut savoir

Bien qu’ils ne fassent pas nécessairement l’objet d’autant d’attention que les risques logiciels, les risques matériels restent prépondérants en termes de cybersécurité. L’une de ces préoccupations concerne les dispositifs amovibles tels que les clés USB. L’abréviation USB signifie « Universal Serial Bus ». Ils permettent à un ordinateur de communiquer avec d’autres appareils. Les périphériques connectés à l’USB sont nombreux. Ils comprennent les lecteurs flash, les claviers, etc. Un USB peut également être utilisé comme un moyen d’envoyer de l’énergie à d’autres appareils, comme l’alimentation des smartphones ou le chargement des batteries des appareils. Les attaques matérielles impliquant des dispositifs tels que les clés USB sont de plus en plus fréquentes et les attaquants peuvent contourner les systèmes d’authentification et de sécurité des points d’accès. Ces attaques sont difficiles à tracer et, essentiellement, les attaquants peuvent tirer parti d’une faiblesse dans la façon dont un système d’exploitation gère le matériel. Honeywell Cybersecurity Research a émis un avertissement sur les menaces liées aux supports amovibles en juin 2021. Honeywell a indiqué que 79 % des cybermenaces provenant de supports amovibles étaient critiques pour la technologie opérationnelle dans la fabrication lourde. Honeywell a ajouté que la quantité de logiciels malveillants conçus spécifiquement pour être utilisés sur des supports amovibles comme vecteur d’attaque a doublé d’une année sur l’autre. Voici ce qu’il faut savoir dès maintenant sur les risques de cybersécurité liés à l’USB.

Types d’attaques

Il existe plusieurs façons d’utiliser une clé USB comme vecteur d’attaque. Par exemple, le code malveillant est le plus simple d’entre eux. Dans une attaque par code malveillant, un utilisateur clique sur un fichier sur une clé USB, et le code peut s’activer automatiquement lorsqu’il est consulté. À partir de là, d’autres logiciels malveillants sont téléchargés en ligne. Le deuxième type d’attaque est connu sous le nom d’ingénierie sociale, où un fichier conduit l’utilisateur d’une clé USB vers un site de phishing. Une fois sur ce site d’hameçonnage, une personne peut être amenée à donner des informations d’identification. Un type d’attaque plus important utilisant des périphériques amovibles est appelé « usurpation d’interface humaine » ou HID. Dans ce scénario, un dispositif ressemble à une clé USB, mais il fait croire à l’ordinateur qu’il s’agit d’un clavier connecté. Le pirate peut alors accéder à distance à un ordinateur. Une situation appelée « attaque Zero Day » se produit lorsque la clé USB exploite une faille dans un logiciel informatique. Le pirate agit avant que la vulnérabilité ne puisse être corrigée. D’une manière générale, l’une des utilisations les plus courantes des clés USB armées est la diffusion de logiciels malveillants.

Comment se protéger contre ces attaques ?

L’une des mesures les plus efficaces que vous pouvez prendre pour vous protéger contre les attaques liées aux clés USB et au matériel informatique est la formation des employés. Lorsque vous enseignez aux employés les risques liés aux supports amovibles et leur conseillez de ne pas brancher de dispositifs sur leur ordinateur s’ils ne savent pas de quoi il s’agit, vous pouvez réduire considérablement la menace à laquelle votre organisation est confrontée. Voici d’autres moyens de se protéger contre ces attaques :

  • Pensez à désactiver l’exécution automatique sur tous les périphériques. Si la possibilité d’exécuter automatiquement des programmes lorsqu’une clé USB est insérée est activée, il est facile de transformer une clé USB en arme. Vous devriez adopter une politique visant à désactiver le lancement automatique de tous les supports amovibles. Vous pouvez également former davantage les employés sur la manière d’exécuter manuellement les programmes sur les supports amovibles de confiance.
  • Cryptez toutes les données sensibles que vous souhaitez charger sur une clé USB afin que, en cas de vol, les informations qu’elle contient soient protégées.
  • Vous devez vous assurer que vos employés savent qu’il ne faut jamais stocker d’informations personnelles sur un appareil professionnel et vice versa. Votre politique doit définir clairement les exigences relatives à la séparation des deux types d’informations.
  • Si vos employés doivent utiliser des clés USB pour quoi que ce soit, vous ne devez les autoriser à utiliser que des clés dotées de fonctions de sécurité supplémentaires. Par exemple, elles peuvent être équipées d’un système de cryptage intégré, d’un scanner biométrique et d’un code PIN.

Une autre option consiste à ne pas autoriser du tout l’utilisation de supports amovibles. Dans ce cas, bien sûr, il n’y a aucun moyen pour un attaquant d’utiliser la clé USB comme arme. La question de savoir si c’est la bonne solution pour votre entreprise dépend de nombreuses variables indépendantes. Une autre chose qui peut être généralement utile pour faire face à une myriade de menaces liées au matériel est une architecture de confiance zéro. En tant que dispositif, une clé USB ne serait pas intrinsèquement fiable dans un modèle de confiance zéro. Au contraire, le dispositif devrait être vérifié, comme le fait chaque utilisateur et chaque machine. Même si un acteur malveillant parvenait à accéder à une clé USB, son mouvement latéral serait entravé par les cadres de confiance zéro. Il est important, dans le cadre de votre planification de la cybersécurité, de ne pas négliger le rôle des menaces matérielles et de prendre des mesures pour s’en protéger comme vous le faites pour les autres risques auxquels vous pouvez être confrontés.

About the Author

Experts en Contenu

L'équipe chargée du contenu crée une destination d'économie ultime pour vous faire gagner du temps et de l'argent chaque jour. Vous y trouverez toutes sortes d'astuces et de conseils d'achat d'experts.