Les vers constituent une menace majeure pour les services cloud. Ils exploitent les vulnérabilités des serveurs pour se propager sur les réseaux et exécuter des actions malveillantes qui menacent gravement vos actifs et votre activité. Cloud Firewall offre une défense en profondeur contre la chaîne d'attaque des vers, en détectant et en bloquant un large éventail de vers et de leurs variantes. Cloud Firewall met également à jour ses capacités de détection et d'interception en temps réel en fonction de l'évolution du paysage des menaces cloud afin de se défendre contre les derniers vers. Cette rubrique explique comment Cloud Firewall assure la défense contre les vers.
Menaces posées par les vers
Les vers peuvent causer les types de dommages suivants :
Interruption de service : Après avoir infecté un hôte, un ver peut modifier les configurations ou arrêter des services, entraînant une indisponibilité du serveur et une perturbation de l'activité.
Vol de données : Les vers conçus pour le vol d'informations peuvent empaqueter et exfiltrer des données depuis vos serveurs, ce qui peut entraîner une violation grave des données et une utilisation abusive des ressources.
Blocage d'IP : Le volume élevé de paquets envoyés lors de la propagation d'un ver peut amener les organismes de régulation à bloquer vos adresses IP, provoquant ainsi une interruption directe du service.
Rançon : Les vers dotés de capacités de rançonnage chiffrent vos fichiers et exigent un paiement, ce qui peut entraîner une perte financière ou une perte définitive de données.
Solution Cloud Firewall
Cloud Firewall propose une défense en profondeur contre la chaîne d'attaque des vers en détectant et en bloquant divers vers et leurs variantes. Il met également à jour et étend ses capacités en temps réel en fonction du paysage des menaces cloud pour se protéger contre les derniers vers.
Parmi les vers typiques, on compte :
DDG : Se propage en exploitant les vulnérabilités Redis et en utilisant des attaques par force brute. Après l'infection, il utilise les ressources de calcul de l'hôte pour le minage.
WannaCry : Se propage en exploitant les vulnérabilités Windows. Après l'infection, son objectif principal est d'exiger une rançon.
BillGates : Se propage via des attaques par force brute et des vulnérabilités applicatives. Après l'infection, il constitue un botnet pour lancer des attaques DDoS.
Étude de cas : le ver DDG
DDG est un ver actif qui se propage principalement en exploitant les vulnérabilités Redis et en lançant des attaques par force brute. Le ver ajoute les hôtes infectés à un botnet pour miner des cryptomonnaies.
Systèmes affectés par DDG
Serveurs utilisant des mots de passe SSH faibles.
Serveurs Redis ou autres bases de données présentant des vulnérabilités.
Principales menaces du ver DDG
Interruption de service : Les hôtes infectés par le ver DDG sont principalement utilisés pour le minage. Le minage consomme d'importantes ressources de calcul, ce qui peut rendre les services indisponibles ou perturber le fonctionnement normal de l'activité.
Blocage d'IP : Après l'infection, le ver DDG tente de se propager davantage, ce qui peut entraîner le blocage de vos adresses IP par les organismes de régulation.
Défense contre la chaîne d'attaque DDG
Cloud Firewall assure une détection et une défense en temps réel contre la chaîne d'attaque DDG, perturbant l'intégralité de l'attaque et de la propagation du ver.
La figure suivante illustre l'architecture de défense de Cloud Firewall contre la chaîne d'attaque DDG :
Cloud Firewall propose les quatre types de défense suivants :
Whitelist : Le module de système de prévention des intrusions (IPS) ne bloque pas le trafic provenant des adresses IP source ou de destination figurant sur la liste d'autorisation, car elles sont considérées comme fiables.
Threat Intelligence : Cloud Firewall utilise la Threat Intelligence pour bloquer les tentatives malveillantes de balayage, de reconnaissance et d'intrusion.
Basic Rules : Prend en charge la détection des logiciels malveillants et intercepte les communications malveillantes, y compris les communications avec des portes dérobées ou des serveurs de commande et de contrôle (C&C).
Virtual Patching : Fournit des correctifs virtuels offrant une protection en temps réel contre les vulnérabilités applicatives populaires à haut risque.
Procédure
Connectez-vous à la console Cloud Firewall.
Dans le volet de navigation de gauche, choisissez .
Dans l'onglet Internet Border, sélectionnez Block-Loose pour Threat Engine Mode.
Cliquez sur Allowlist et ajoutez des adresses IP de confiance ou un carnet d'adresses à la liste d'autorisation pour couvrir le trafic entrant et sortant.
Dans les onglets Basic Protection, Virtual Patching et Threat Intelligence, activez l'interrupteur de chacun pour activer sa protection.
Pour plus de détails sur la configuration des politiques du système de prévention des intrusions (IPS), consultez la section IPS Configuration.