La détection, meilleure défense contre les menaces mobiles

À mesure que les entreprises poussent leurs stratégies « mobile first » - et que les salariés utilisent de plus en plus smartphones et tablettes pour leurs tâches professionnelles - les besoins de défense contre les menaces mobiles (MTD) augmentent. Cependant, la détection et la défense des menaces mobiles ne sont pas des opérations simples. Pour être efficace, la technologie doit protéger les applications, les réseaux et supporter les plateformes iOS et Android. « Nous parlons plutôt de défense contre les menaces mobiles que de détection, parce que ces solutions détectent les menaces, mais peuvent aussi prévenir et résoudre les problèmes de sécurité », a déclaré Dionisio Zumerle, directeur de la recherche spécialisé en sécurité mobile chez Gartner.

Selon un récent rapport de Gartner, le marché du MTD, en pleine croissance en terme d'adoption, commence à attirer l'attention des fournisseurs de plates-formes EPP (Endpoint Protection Platform) de protection et de détection des menaces sur les terminaux et d'autres marchés connexes. Selon le Guide des solutions de défense contre les menaces mobiles établi par Gartner, d'ici 2019, les malwares ciblant les terminaux mobiles représenteront un tiers du nombre total des programmes malveillants identifiés par les tests standard, en forte hausse par rapport aux 7,5 % de logiciels malveillants actuels. D'ici 2020, 30 % des entreprises auront mis en place une solution MTD, contre moins de 10 % cette année. « Les utilisateurs finaux comprennent encore mal les risques que représentent les menaces mobiles et l'urgence ou l'utilité des solutions MTD », a déclaré Gartner. Les « solutions de prestige » pour applications mobiles, utilisées pour filtrer les applications, se rapprochent des MTD pour ne proposer qu’une solution de défense unique.

L'apprentissage machine : un rôle crucial dans la détection des menaces

De plus, l'apprentissage machine, utilisé depuis quelques années seulement, semble s’imposer comme socle technologique de la détection des menaces mobiles. Le MTD et l'apprentissage machine utilisent des logiciels embarqués et des systèmes de détection des menaces et des anomalies comportementales. Expliqué simplement, l'apprentissage machine permet aux ordinateurs de développer une compétence plus sophistiquée, comme la reconnaissance de modèles, sans qu’ils soient spécialement programmés pour cela. Le concept de l'apprentissage machine appliqué aux MTD, c’est que le logiciel en arrière-plan surveille le comportement de l'application et de l'utilisateur et identifie les comportements anormaux.

« L’analyse du comportement des terminaux permet de différencier ce qui est normal de ce qui ne l’est pas, et donc d’anticiper une possible action malveillante », a déclaré Dionisio Zumerle. « L'apprentissage machine est l’un des moyens d'accélérer ce processus d’analyse comportementale et le crowdsourcing en est un autre ». Par exemple : une entreprise dispose d’une flotte de 1000 terminaux iOS sous iOS 11.1 dont les firmwares sont très similaires, mais le firmware de l’un d'entre eux diverge significativement. « Dans ce cas, il y a de fortes chances qu’une bibliothèque du mobile a été modifiée. Cette modification est anormale et peut révéler une tentative d’implantation de malware », a expliqué Dionisio Zumerle.

Les malwares, plus difficiles à repérer

Aujourd’hui plus que par le passé, la surveillance du comportement des utilisateurs et des applications est nécessaire. « Si les malwares ont toujours essayé de se déguiser en applications légitimes, ils sont devenus plus difficiles à repérer », comme l’explique Jack Gold, analyste principal chez J. Gold Associates, un cabinet de recherche spécialisé dans la mobilité. En effet, comment faire la différence entre un comportement normal et un comportement anormal ? « Jusqu’ici, pour détecter un comportement anormal, on pouvait lancer un scan du code binaire et trouver des motifs ne correspondant pas à la nature du code. Aujourd’hui, les malwares sont souvent beaucoup plus subtils et plus difficiles à détecter à partir d’un scan », a déclaré l’analyste. « Il faut savoir comment se comporte l'application ».

Des pirates peuvent créer de fausses applications qui ont l’air d’applications légitimes, une app Amazon par exemple. Sauf que celle-ci détourne l’utilisateur final vers un site conçu pour voler les données sensibles que celui-ci va saisir au moment d’effectuer un achat. « C’est impossible à identifier à partir d’un simple scan », a déclaré Jack Gold. Autre exemple : les attaques de phishing, qui ne peuvent pas non plus être détectées à l’aide d’un scan. « La surveillance du comportement de l'application et de l’utilisateur est la clé pour identifier des choses inhabituelles. L'apprentissage machine et l'intelligence artificielle sont très efficaces pour ce genre de détection si les systèmes sont bien entraînés », a-t-il ajouté.

Fournisseurs de MTD et conseils d’adoption

Les principales solutions MTD sont : SandBlast Mobile de CheckPoint, Mobile Endpoint Security de Lookout, Mobile Defense de Proofpoint, Mobile Threat Defense de Pradeo, Endpoint Protection Mobile de Symantec, Threat Defense de Wandera et ZIPS Protection de Zimperium.

Voici les recommandations de Gartner en matière d’adoption :

• Introduire progressivement les solutions MTD, en fonction de son domaine d’activité, des réglementations applicables, de la sensibilité des données présentes sur les terminaux mobiles, des cas d’usage spécifiques et des risques organisationnels que l’entreprise est prête à prendre. L'application des politiques ne pourra pas servir indéfiniment de solution d’intervention et de sécurisation des terminaux.

• Adopter les MTD d’abord dans les secteurs verticaux nécessitant un niveau élevé de sécurité, notamment avec des flottes importantes d'appareils Android, ou dans des secteurs verticaux réglementés, comme la finance et la santé.

• Intégrer les MTD aux outils de gestion de la mobilité d'entreprise (EMM). Gartner conseille de retenir les déploiements de proxys de trafic réseau uniquement quand le BYOD n'est pas un critère, et à condition d’appliquer une politique stricte de gestion des périphériques.

Détecter les défauts de configurations

La plupart des produits MTD sont compatibles avec certaines ou toutes les solutions des fournisseurs EMM (Enterprise Mobile Management) et MAM (Mobile Application Management), notamment AirWatch, Blackberry, Microsoft, MobileIron, IBM et SOTI. Les solutions MTD ne devraient pas seulement être capables de détecter les comportements anormaux en traçant les comportements attendus ou acceptables, elles devraient également être en mesure d'inspecter les périphériques mobiles pour déceler des faiblesses de configuration pouvant fournir des accès aux logiciels malveillants. Le logiciel devrait être capable de surveiller le trafic réseau, couper les connexions suspectes et scanner les applications pour identifier celles qui pourraient mettre les données de l'entreprise en danger.

L’une des préoccupations de certaines entreprises concernant les solutions de sécurité mobile basées sur l'apprentissage machine concerne les faux positifs, ces situations où des applications légitimes ou le comportement d'un utilisateur sont signalés comme une menace quand ce n'est pas le cas. « Ce problème se pose pour la détection de tous les malwares, et pas seulement les malwares mobiles. Par exemple, l’utilisateur télécharge une application dont il est sûr qu’elle est valide, mais les logiciels de Symantec la détecte comme illégitime », a déclaré l’analyste. « Cependant, les solutions MTD ne sont pas dépendantes de l'apprentissage machine », fait remarquer Dionisio Zumerle. Les MTD peuvent accomplir pas mal de tâches simples dont l’intérêt est tangible et dont l’impact peut bénéficier immédiatement à l’entreprise.