Page d'accueil d'OpenText.
Sujets techniques

Qu'est-ce qu'une menace interne ?

Contactez-nous
Illustration d'éléments informatiques mettant en évidence un point d'interrogation

Aperçu

Une menace interne désigne un risque de cybersécurité qui provient de l'intérieur même d'une organisation. Cela se produit généralement lorsqu'un employé, un entrepreneur, un fournisseur ou un partenaire actuel ou ancien disposant d'identifiants d'utilisateur légitimes abuse de son accès au détriment des réseaux, des systèmes et des données de l'organisation. Une menace interne peut être exécutée intentionnellement ou non. Quelle que soit l'intention, le résultat final est une compromission de la confidentialité, de la disponibilité et/ou de l'intégrité des systèmes et des données de l'entreprise.

Les menaces internes sont à l'origine de la plupart des violations de données. Les stratégies, politiques, procédures et systèmes de cybersécurité traditionnels se concentrent souvent sur les menaces externes, laissant ainsi l'organisation vulnérable aux attaques internes. Étant donné que la personne initiée a déjà une autorisation valide pour accéder aux données et aux systèmes, il est difficile pour les professionnels de la sécurité et les applications de faire la distinction entre une activité normale et une activité malveillante.

Les employés malveillants bénéficient d'un avantage certain par rapport aux autres catégories d'attaquants malveillants en raison de leur connaissance approfondie des systèmes, processus, procédures, politiques et utilisateurs de l'entreprise. Ils connaissent parfaitement les versions des systèmes et leurs vulnérabilités. Les organisations doivent donc traiter les menaces internes avec au moins autant de rigueur que les menaces externes.

Types de menaces internes

Menaces internes malveillantes

Aussi appelés traîtres, les principaux objectifs des menaces internes malveillantes comprennent l'espionnage, la fraude, le vol de propriété intellectuelle et le sabotage. Ils abusent intentionnellement de leur accès privilégié pour voler des informations ou dégrader des systèmes à des fins financières, personnelles et/ou malveillantes. On peut citer comme exemples un employé qui vend des données confidentielles à un concurrent ou un ancien fournisseur mécontent qui introduit un logiciel malveillant paralysant sur le réseau de l'organisation.

Les menaces internes malveillantes peuvent provenir de collaborateurs ou de loups solitaires.

Collaborateur

Les employés sont des utilisateurs autorisés qui travaillent avec un tiers dans le but de nuire intentionnellement à l'organisation. La tierce partie peut être un concurrent, un État-nation, un réseau criminel organisé ou un individu. L'action du collaborateur entraînerait la fuite de renseignements confidentiels ou la perturbation des opérations commerciales.

Loup solitaire

Les loups solitaires opèrent de manière totalement indépendante et agissent sans manipulation ni influence extérieure. Ils peuvent être particulièrement dangereux car ils ont souvent un accès privilégié au système, comme les administrateurs de bases de données.

Menaces internes imprudentes

Les menaces internes à la sécurité surviennent par négligence. Elles résultent souvent d'erreurs humaines, de mauvais jugements, de complicités involontaires, de la facilité, de l'hameçonnage (et d'autres tactiques d'ingénierie sociale), de logiciels malveillants et d'identifiants volés. La personne concernée expose sans le savoir les systèmes de l'entreprise à une attaque externe.

Les menaces internes imprudentes peuvent être de simples pions ou des erreurs grossières.

Pawn

Les « pions » sont des utilisateurs autorisés qui ont été manipulés pour agir involontairement de manière malveillante, souvent par le biais de techniques d'ingénierie sociale telles que le spear phishing. Ces actes involontaires pourraient inclure le téléchargement de logiciels malveillants sur leur ordinateur ou la divulgation de renseignements confidentiels à un imposteur.

Gâche

Les gens qui font des gaffes prennent délibérément des mesures potentiellement dangereuses, mais sans aucune intention malveillante. Ce sont des utilisateurs arrogants, ignorants et/ou incompétents qui ne reconnaissent pas la nécessité de suivre les politiques et procédures de sécurité. Une erreur peut être commise par un utilisateur qui stocke des renseignements confidentiels sur les clients sur son appareil personnel, même s'il sait que c'est contraire à la politique de l'entreprise.

Une marmotte

Une taupe est une personne extérieure à l'organisation, mais qui a obtenu un accès privilégié aux systèmes de celle-ci. Ils peuvent se faire passer pour un fournisseur, un partenaire, un entrepreneur ou un employé, obtenant ainsi une autorisation privilégiée à laquelle ils n'auraient autrement pas droit.

Comment détecter une menace interne

La plupart des outils de veille sur les menaces se concentrent sur l'analyse des données réseau, informatique et applicatives, tout en accordant peu d'attention aux actions des personnes autorisées susceptibles d'abuser de leurs accès privilégiés. Pour une cyberdéfense efficace contre les menaces internes, il est essentiel de surveiller toute activité comportementale et numérique anormale.

Indicateurs comportementaux

Il existe plusieurs indicateurs de menace interne à surveiller, notamment :

  • Un employé, un entrepreneur, un fournisseur ou un partenaire insatisfait ou mécontent.
  • Essais de contournement des mesures de sécurité.
  • Je travaille régulièrement en dehors des heures normales.
  • Il montre du ressentiment envers ses collègues.
  • Violation systématique des politiques organisationnelles.
  • Envisager une démission ou discuter de nouvelles opportunités.

Indicateurs numériques

  • Se connecter aux applications et aux réseaux d'entreprise à des heures inhabituelles. Par exemple, un employé qui se connecte au réseau à 3 heures du matin sans qu'on le lui demande peut être une source d'inquiétude.
  • Augmentation soudaine du volume de trafic réseau. Si quelqu'un tente de copier de grandes quantités de données sur le réseau, vous verrez des pics inhabituels de trafic réseau.
  • Accéder à des ressources auxquelles ils n'ont généralement pas accès ou auxquelles ils n'ont pas accès.
  • Accéder à des données qui ne sont pas pertinentes pour leur fonction.
  • Demandes répétées d'accès aux ressources système non pertinentes à leurs fonctions.
  • Utilisation d'appareils non autorisés comme des clés USB.
  • Exploration du réseau et recherche délibérée d'informations sensibles.
  • Envoyer par courriel des renseignements personnels à l'extérieur de l'organisation.

Comment se protéger contre les attaques internes

Vous pouvez protéger les actifs numériques de votre organisation contre une menace interne. Voici comment.

Protéger les actifs essentiels

Identifiez les atouts logiques et physiques critiques de votre organisation. Cela inclut les réseaux, les systèmes, les données confidentielles (y compris les renseignements sur les clients, les détails sur les employés, les schémas et plans stratégiques détaillés), les installations et le personnel. Identifier chaque actif critique, classer les actifs par ordre de priorité et déterminer l'état actuel de la protection de chaque actif. Naturellement, les actifs les plus prioritaires doivent bénéficier du plus haut niveau de protection contre les menaces internes.

Établir une base de référence pour le comportement normal des utilisateurs et des appareils.

Il existe de nombreux systèmes logiciels différents qui peuvent détecter les menaces internes. Ces systèmes fonctionnent en centralisant d'abord les informations relatives à l'activité des utilisateurs en exploitant les journaux d'accès, d'authentification, de modification de compte, de point de terminaison et de réseau privé virtuel (VPN). Utilisez ces données pour modéliser et attribuer des scores de risque au comportement des utilisateurs lié à des événements spécifiques tels que le téléchargement de données sensibles sur un support amovible ou la connexion d'un utilisateur depuis un emplacement inhabituel. Établissez une base de référence de comportement normal pour chaque utilisateur et appareil, ainsi que pour chaque fonction et titre de poste. Grâce à cette base de référence, les écarts peuvent être signalés et faire l'objet d'une enquête.

Augmenter la visibilité

Il est important de déployer des outils qui surveillent en permanence l'activité des utilisateurs et qui agrègent et corrèlent les informations d'activité provenant de sources multiples. Vous pourriez, par exemple, utiliser des solutions de cyber-tromperie qui mettent en place des pièges pour attirer les employés malveillants, suivre leurs actions et comprendre leurs intentions. Ces informations seraient ensuite intégrées à d'autres solutions de sécurité d'entreprise afin d'identifier ou de prévenir les attaques actuelles ou futures.

Appliquer les politiques

Définir, documenter et diffuser les politiques de sécurité de l'organisation. Cela évite toute ambiguïté et établit les bases nécessaires à l'application de la loi. Aucun employé, sous-traitant, fournisseur ou partenaire ne devrait avoir le moindre doute quant aux comportements acceptables en ce qui concerne la politique de sécurité de son organisation. Ils doivent prendre conscience de leur responsabilité de ne pas divulguer d'informations confidentielles à des tiers non autorisés.

Promouvoir les changements culturels

Bien que la détection des menaces internes soit importante, il est plus judicieux et moins coûteux de dissuader les utilisateurs d'adopter des comportements inappropriés. Promouvoir un changement de culture axé sur la sécurité et la transformation numérique est essentiel à cet égard. Inculquer les bonnes croyances et les bonnes attitudes peut aider à lutter contre la négligence et à s'attaquer aux racines des comportements malveillants. Les employés et les autres intervenants devraient participer régulièrement à des formations et à des actions de sensibilisation à la sécurité qui les informent sur les questions de sécurité, lesquelles devraient s'accompagner d'une mesure et d'une amélioration continues de la satisfaction des employés afin de détecter les premiers signes de mécontentement.

solutions de détection des menaces internes

Les menaces internes sont plus difficiles à identifier et à prévenir que les attaques externes. Elles passent souvent inaperçues auprès des solutions de cybersécurité classiques telles que les pare-feu, les systèmes de détection d'intrusion et les logiciels anti-malware. Si un attaquant se connecte via un identifiant utilisateur, un mot de passe, une adresse IP et un appareil autorisés, il est peu probable qu'il déclenche une alarme de sécurité. Pour protéger efficacement vos actifs numériques, vous avez besoin d'un logiciel et d'une stratégie de détection des menaces internes qui combinent plusieurs outils pour surveiller le comportement des initiés tout en minimisant le nombre de faux positifs.

Menace interne

Commencez dès aujourd'hui.

En savoir plus

Resources

Produits connexes

OpenText™ Core Behavioral Signals

Détectez de manière proactive les risques internes, les attaques inédites et les menaces persistantes avancées.

OpenText™ Cybersecurity Cloud

Défendez avec précision, sécurisez avec confiance

OpenText™ Core Adversary Signals

Découvrez comment les attaques sont menées et quelles sont leurs cibles.

Voir tous les produits connexes

Comment pouvons-nous vous aider?

Notes de bas de page