Seules 35 % des entreprises assurent un traitement automatisé des clés lorsque les administrateurs changent
SALT LAKE CITY--(BUSINESS WIRE)--Venafi®, leader de solutions de protection de l’identité des machines, annonce aujourd’hui les résultats d’une étude réalisée par Dimensional Research en juillet 2017 afin de savoir comment les organisations gèrent et mettent en œuvre Secure Shell (SSH) dans leurs environnements. Plus de 410 spécialistes de la sécurité informatique ont participé à cette étude qui révèle l’absence généralisée de contrôles de sécurité SSH.
Les pirates informatiques peuvent faire un emploi abusif des clés SSH pour sécuriser et automatiser les accès « administrateur-machine » et « machine-machine » aux fonctions critiques de l’entreprise. Selon cette étude, bien que les clés SSH assurent les niveaux les plus élevés des accès administratifs, elles ne sont généralement ni suivies ni gérées et restent mal sécurisées. C’est ainsi que 63% des personnes interrogées reconnaissent ne pas assurer de traitement automatisé des clés en cas de départ d’un administrateur, qui conserve alors un accès privilégié aux systèmes critiques de l’entreprise.
« Une clé SSH qui tombe dans de mauvaises mains peut être extrêmement dangereuse », affirme Nick Hunter, directeur technique de Venafi. « Les pirates informatiques peuvent s’en servir à distance pour accéder aux systèmes, contourner les outils de sécurité et utiliser généralement la même clé pour accéder à un plus grand nombre de systèmes. Il ressort très clairement de ces résultats que la plupart des entreprises n’ont pas mis en œuvre de politiques de sécurité SSH ni de configurations de restriction des accès SSH car elles ne connaissent pas les risques liés au protocole SSH ni son impact sur les dispositifs de sécurité ».
Principales conclusions de l’étude :
61% des personnes interrogées n’appliquent pas de surveillance ni de limitation du nombre d’administrateurs qui gèrent SSH ; seules 35 % mettent en œuvre des politiques qui interdisent aux utilisateurs SSH de configurer leurs clés autorisées ; les entreprises sont ainsi exposées aux abus de personnes malveillantes bien informées. 90% des personnes interrogées ont affirmé ne pas disposer d’un inventaire complet et précis de toutes les clés SSH ; elles n’ont donc aucun moyen d’établir si des clés ont été volées, utilisées de manière abusive ou ne sont pas fiables. Seules 23% des personnes interrogées assurent une rotation des clés sur une base trimestrielle ou plus souvent. Tandis que 40% ont affirmé qu’elles n’effectuent aucune rotation des clés ou bien uniquement de manière occasionnelle. Les hackers qui accèdent aux clés SSH conservent un accès privilégié jusqu’à la rotation des clés. 51% des personnes interrogées affirment ne pas appliquer le « transfert de port » pour les SSH. Le transfert de port permet aux utilisateurs de contourner effectivement les pare-feux entre les systèmes. Un pirate informatique peut ainsi disposer d’un accès SSH pour évoluer rapidement d’un segment de réseau à un autre. 54% des personnes interrogées ne limitent pas les emplacements à partir desquels les clés SSH peuvent être utilisées. Pour les applications statiques, le fait de restreindre l’utilisation SSH à une adresse IP spécifique permet d’empêcher les hackers d’utiliser à distance une clé SSH compromise.Cette étude a été réalisée par Dimensional Research et a été achevée en juillet 2017. Elle a analysé les réponses de quatre cent-onze spécialistes de la sécurité informatique, qui ont une connaissance approfondie de SSH et sont implantés aux États-Unis, au Royaume-Uni et en Allemagne.
Ressources complémentaires :
Livre électronique : Évaluation de la sécurité de vos clés SSH
Synthèse : Gestion et sécurité des clés SSH
Blog : Bonnes pratiques de gestion des clés SSH : quels sont les risques encourus par vos clés SSH ?
À propos de Venafi
Venafi est un acteur majeur du marché de la sécurité dans le domaine de la protection de l’identité des machines, des connexions et des communications sécurisées entre machines. Venafi protège l’identité des machines en orchestrant la gestion des clés cryptographiques et des certificats numériques pour les usages SSL/TLS, IoT, mobiles et SSH. Venafi fournit une visibilité complète des identités des machines et des risques associés dans l’entreprise au sens large - sur site, mobile, cloud et IoT - à l’échelle et la vitesse d’une machine. Venafi met en œuvre des processus avancés d’automatisation permettant de réduire les menaces pour la sécurité et les indisponibilités de services, liées aux identités faibles, obsolètes ou compromises des machines tout en préservant le flux d’informations à destination de machines fiables et en interdisant la communication avec des machines non fiables.
Titulaire de plus de 30 brevets, Venafi fournit des solutions innovantes aux entreprises du classement Global 5000 les plus exigeantes et sensibilisées à la sécurité, notamment les cinq premières compagnies d’assurance américaines, les cinq premières compagnies aériennes américaines, quatre des plus grandes banques des États-Unis, du Royaume-Uni et d’Afrique du Sud et quatre des cinq acteurs majeurs de la distribution aux États-Unis. Pour plus d’informations, veuillez consulter le site : http://www.hidglobal.com.
Contacts
Venafi
Shelley Boose, 408-398-6987
shelley.boose@venafi.com
Source : http://www.businesswire.com/news/home/201710170051...