Le fournisseur de données d’essais cliniques d’une entreprise pharmaceutique avait déployé une solution de DLP configurée pour alerter sur les transferts de données dépassant des seuils définis : un gigaoctet pour les transferts sortants vers des destinations externes, cinq mille fichiers pour les transferts de fichiers en masse, et tout transfert vers des plages IP malveillantes connues. Les seuils avaient été fixés à partir d’une analyse opérationnelle des schémas normaux de transfert de données dans l’environnement du fournisseur, c’est-à-dire de la taille habituelle des transferts légitimes entre le fournisseur et ses clients ou partenaires. Lors d’une attaque sophistiquée visant les données d’essais cliniques de l’entreprise pharmaceutique, l’attaquant, présent dans l’environnement du fournisseur depuis dix-huit jours, a commencé l’exfiltration à l’aide d’une technique de fragmentation délibérée. Chaque transfert faisait neuf cent quatre-vingt-dix mégaoctets, soit dix mégaoctets sous le seuil d’un gigaoctet. Douze transferts sur une période de six heures ont déplacé onze virgule huit gigaoctets de données d’essais cliniques vers un compte de stockage cloud contrôlé par l’attaquant. Chaque événement se situait individuellement sous tous les seuils de DLP. Le système de DLP a détecté les douze transferts. Il n’en a classé aucun comme exfiltration. Le volume combiné, près de douze gigaoctets en six heures, était anormal par rapport aux schémas de transfert habituels du fournisseur. Le système de DLP évaluait les transferts isolément plutôt que comme un agrégat de session. La détection d’anomalies au niveau de la session n’existait pas dans la configuration déployée.
Les lacunes de détection de l’exfiltration de données : de quoi s’agit-il vraiment ?
Les lacunes de détection de l’exfiltration de données sont les limites de la capacité d’un programme de sécurité à repérer le moment où des données sont transférées hors de l’organisation par un attaquant. Elles découlent du calibrage des seuils, de l’architecture de détection et des techniques d’exfiltration précises qu’utilisent les attaquants pour contourner la détection configurée. Les solutions de DLP sont le principal outil de détection de l’exfiltration de données, mais elles présentent des limites architecturales inhérentes que les attaquants sophistiqués exploitent : des règles fondées sur des seuils qui ouvrent des fenêtres d’exfiltration sous ces seuils, une évaluation événement par événement qui manque les anomalies agrégées au niveau de la session, et des lacunes de couverture pour certains canaux d’exfiltration.
La technique de contournement des seuils est la lacune de détection de l’exfiltration la plus couramment exploitée. Les seuils de DLP sont fixés en fonction de ce qui constitue un transfert unique anormalement volumineux dans l’environnement normal de l’organisation. Les attaquants qui connaissent le seuil peuvent fragmenter leur exfiltration en événements situés individuellement sous ce seuil : chaque événement ressemble à un transfert légitime de taille normale, mais leur cumul sur une session ou une période représente une exfiltration de données importante. Une évaluation événement par événement sans agrégation par session ne peut pas détecter ce schéma, quelle que soit la qualité du calibrage des seuils par événement.
La lacune de couverture des canaux d’exfiltration est la limite de détection secondaire. Les solutions de DLP surveillent des canaux de transfert de données précis, généralement la messagerie électronique, le téléversement web, les périphériques USB et certains services de stockage cloud. Les attaquants qui utilisent des canaux hors du périmètre de surveillance de la DLP peuvent exfiltrer des données sans générer aucun événement de DLP. L’exfiltration par DNS, qui consiste à encoder des données dans des requêtes DNS, contourne les solutions de DLP qui ne surveillent pas le trafic DNS. L’exfiltration par des services cloud légitimes qui ne font pas partie du périmètre surveillé par la DLP, comme les plateformes de collaboration ou les dépôts de code, peut également échapper à la détection de la DLP.
- Exfiltration fragmentée sous les seuils : plusieurs petits transferts qui, cumulés, constituent une exfiltration importante
- Évaluation événement par événement sans agrégation par session : la DLP ne détecte pas les volumes combinés
- Seuil de DLP calibré pour les anomalies d’un événement isolé, mais pas pour les anomalies au niveau de la session
- Canal d’exfiltration hors du périmètre de la DLP : DNS, plateformes de collaboration, dépôts de code
- Exfiltration de cloud à cloud contournant une DLP centrée sur les terminaux
Pourquoi c’est important
Les lacunes de détection de l’exfiltration de données sont importantes pour la TPRM parce que la DLP constitue la principale source de preuves, lors des enquêtes consécutives à une violation, pour établir si des données ont réellement été exfiltrées et en quel volume. Un système de DLP qui a évalué douze transferts isolément sans détecter l’exfiltration au niveau de la session ne fournit aucune preuve de la violation dont un enquêteur ou un régulateur a besoin. Un fournisseur dont la DLP a correctement détecté mais incorrectement classé douze transferts comme étant sous le seuil dispose d’une DLP qui a fonctionné comme prévu et n’a détecté aucune violation, et d’aucune preuve technique de l’exfiltration réelle.
La dimension de l’évaluation du risque de violation au titre du GDPR est précise. Les exigences de notification des violations de la HIPAA et du GDPR dépendent de la capacité à établir si des données ont réellement été consultées ou exfiltrées : l’évaluation du risque de violation exige des preuves sur la probabilité d’exposition des données. Un fournisseur dont la DLP n’a pas classé les transferts comme exfiltration ne dispose d’aucune preuve directe de l’exfiltration dans ses journaux de DLP. La reconstitution technique de douze transferts sous le seuil comme une exfiltration agrégée peut être possible à partir d’autres sources de journaux, mais l’absence de classement comme exfiltration par la DLP complique considérablement le tableau des preuves de la violation.
Là où la plupart des équipes se trompent
L’échec le plus constant consiste à évaluer le déploiement de la DLP sans évaluer la capacité d’agrégation par session. La détection par seuil par événement est la configuration standard de la DLP. L’agrégation par session, qui détecte lorsque le volume combiné de plusieurs événements sous le seuil est anormal, exige une configuration précise que de nombreux déploiements de DLP ne comportent pas.
- Déploiement de la DLP confirmé sans évaluation de l’agrégation par session
- Calibrage des seuils testé pour des événements isolés, mais pas pour l’exfiltration fragmentée
- Couverture des canaux d’exfiltration non vérifiée : quels canaux sont surveillés
- Détection de l’exfiltration de cloud à cloud non évaluée
- Détection de l’exfiltration par DNS non vérifiée
À quoi ressemblent les bonnes pratiques
Les programmes matures de détection de l’exfiltration combinent des seuils de DLP par événement et des analyses d’agrégation par session, surveillent tous les canaux d’exfiltration pertinents, y compris le DNS et les transferts de cloud à cloud, et soumettent régulièrement la détection de l’exfiltration à des tests adverses utilisant des techniques de fragmentation sous les seuils.
- Détection par agrégation de session : le volume combiné sur une fenêtre de temps déclenche une alerte
- Tests de fragmentation sous les seuils : tests adverses de la DLP avec des transferts fragmentés
- Surveillance de l’exfiltration par DNS : trafic DNS analysé pour repérer des schémas d’encodage de données
- Couverture de l’exfiltration de cloud à cloud : plateformes de collaboration et dépôts de code surveillés
- Inventaire des canaux d’exfiltration : tous les canaux potentiels évalués quant à leur couverture de surveillance
Outils
DLP : Symantec DLP, Microsoft Purview, Forcepoint DLP
Les plateformes de DLP modernes offrent des capacités d’agrégation par session qui détectent les volumes de transfert combinés sur plusieurs événements. Pour les praticiens de la TPRM, demander si la DLP du fournisseur est configurée pour détecter les anomalies au niveau de la session, et pas seulement au moyen de seuils par événement, permet de poser une question précise sur la capacité d’agrégation.
Analyse du trafic réseau : Darktrace, ExtraHop
Les plateformes d’analyse du trafic réseau détectent l’exfiltration par la détection d’anomalies comportementales plutôt que par des règles de seuil : elles repèrent les schémas de communication anormaux, les volumes de données inhabituels vers de nouvelles destinations et les anomalies de protocole compatibles avec des techniques d’exfiltration. Pour les praticiens de la TPRM, demander si l’analyse du trafic réseau complète la DLP pour la détection de l’exfiltration permet de poser une question précise sur l’amélioration de la couverture.
Enjeux de gouvernance
Le défi de gouvernance de la détection de l’exfiltration tient au problème de calibrage des faux positifs. Des seuils d’agrégation par session trop bas génèrent une fatigue d’alerte due aux transferts massifs légitimes. La solution de gouvernance est le calibrage d’une référence : établir ce qui constitue un volume anormal au niveau de la session à partir des schémas normaux observés, puis appliquer des seuils qui détectent la fragmentation pratiquée par les attaquants tout en réduisant au minimum les faux positifs liés aux transferts massifs légitimes.
- Interroger sur la capacité d’agrégation par session de la DLP : par événement uniquement ou au niveau de la session
- Demander si des tests de fragmentation sous les seuils ont été réalisés : la DLP a-t-elle été testée avec une exfiltration fragmentée ?
- Interroger sur la surveillance de l’exfiltration par DNS
- Interroger sur la couverture de l’exfiltration de cloud à cloud
- Demander l’inventaire de la surveillance des canaux d’exfiltration
Si vous êtes une petite équipe
Posez à votre fournisseur le plus à risque une question précise sur sa DLP : si un attaquant transférait vos données en douze événements distincts de neuf cent quatre-vingt-dix mégaoctets chacun sur six heures, chaque événement étant sous votre seuil de DLP mais l’ensemble représentant près de douze gigaoctets, cette activité aurait-elle généré une alerte ? La réponse révèle si la configuration de la DLP comprend une agrégation par session. Si la réponse est non, la technique de fragmentation sous les seuils constitue une lacune d’exfiltration connue dans son environnement.
- Posez le scénario précis : douze événements sous le seuil, douze gigaoctets au total, une alerte ?
- Si la réponse est non : interroger sur la configuration de l’agrégation par session
- Interroger sur la surveillance de l’exfiltration par DNS
- Interroger sur la couverture de l’exfiltration de cloud à cloud
Ce qu’il faut exiger
Demandez directement :
« Votre DLP est-elle configurée pour une agrégation au niveau de la session, c’est-à-dire pour détecter lorsque plusieurs transferts sous le seuil dépassent ensemble un volume anormal sur une fenêtre de temps, ou évalue-t-elle chaque transfert indépendamment au regard de seuils par événement ? »
Preuves attendues
- Confirmation de la configuration de l’agrégation par session de la DLP
- Résultats des tests de fragmentation sous les seuils
- Inventaire de la surveillance des canaux d’exfiltration
- Confirmation de la surveillance de l’exfiltration par DNS
Il faut demander à un fournisseur qui confirme le déploiement d’une DLP avec des seuils configurés si la configuration comprend une agrégation par session. Les seuils par événement détectent l’exfiltration en un seul événement. L’agrégation par session détecte l’exfiltration fragmentée. Les deux exigent une configuration précise. Les deux exigent une confirmation précise.
Comment le prouver
- Registres de configuration de l’agrégation par session de la DLP
- Registres de tests de la technique de fragmentation
- Documentation de la couverture des canaux d’exfiltration
- Registres de surveillance de l’exfiltration par DNS
À retenir
Douze transferts. Onze gigaoctets. Tous sous le seuil. Aucune alerte. La DLP a détecté chaque transfert et n’en a classé aucun comme exfiltration, car chaque événement se situait dix mégaoctets sous le seuil que l’attaquant avait étudié et contre lequel il s’était délibérément calibré. La DLP était correctement déployée et correctement configurée. C’est la configuration qui a créé la lacune. L’agrégation par session détecte ce que le seuil par événement manque : le volume combiné de plusieurs événements sous le seuil qui, pris isolément, semblent normaux mais qui, ensemble, constituent une exfiltration. Demandez la réponse au scénario. Configurez l’agrégation par session. Testez avec la technique.