Cyber-attaques : Comment se protéger?

L’ANSSI est la structure nationale chargée de la sécurité informatique pour les entreprises et les particuliers.

Pour les entreprises, l’Agence Nationale de Sécurité des Systèmes d’Informations propose un Guide des Bonnes Pratiques pour se protéger et éviter une attaque.

Les 12 actions clés pour se protéger :

1- Privilégier la session invité :

• En réalité, peu de personnes ont réellement l’utilité d’utiliser leur ordinateur en mode « Administrateur ». Pour des activités basiques, le mode « Invité » est largement suffisant. N’oubliez pas d‘activer et paramétrer votre pare-feu (en bloquant toutes les connexions entrantes par exemple).
• Il est important d’en faire de même avec votre anti-virus (en programmant des analyses et nettoyages de votre ordinateur régulièrement).
• Désactivez l’exécution automatique des disques amovibles.
• Éteignez votre ordinateur lors des périodes d’inactivité ou mettez le en veille protégée par mot de passe (`Logo + L` sur Windows, Ubuntu et Gnome et `Ctrl + ⌘ + Q` sur Mac).
  

2- Préférer la navigation privée :

• Surtout pour effectuer des achats en ligne, lorsque les numéros de votre carte bleue sont demandés. L’utilisation d’un VPN serait même l’option la plus sécurisée. 
  

3- Opter pour l’utilisation d’un VPN :

• Virtual Private Network, soit Réseau Privé Virtuel en français. Le VPN va ouvrir une sorte de tunnel sécurisé entre vous et le réseau Internet. Il vous attribue une nouvelle adresse IP, permettant aux données de navigation de transiter de façon plus sécurisée encore que la navigation privée.
• Pour les entreprises, sécuriser son réseau wifi est donc primordial (voire non négociable) mais mieux, utiliser son VPN d’entreprise pour encapsuler le trafic.
  

4– Vérifier la présence du certificat HTTPS :

• N’entrez jamais (JAMAIS) d’informations sensibles sur des sites dont l’URL ne commence pas par HTTPS. HTTPS est un protocole qui permet de sécuriser les échanges de données entre un serveur et un client (votre navigateur). Le certificat HTTPS est représenté par un petit cadenas situé juste avant l’adresse URL du site visité :
  

Obtenu auprès d’une Autorité de Certification, ce certificat “garantit” la confidentialité des données. Attention toutefois, n’importe qui peut émettre un certificat en se faisant passer pour un autre site Web. Pour préserver votre sécurité, certains navigateurs comme Chrome et Firefox exigent que les sites utilisent des certificats provenant d’organismes approuvés.

5- Etre extrêmement prudent avec les téléchargements :

• Toujours effectuer les téléchargements sur les sites officiels des fournisseurs. Une vigilance particulière doit être appliquée pour les médias de type images, audios, vidéos qui peuvent contenir de petits malwares.
  

6– Sécuriser ses mots de passe :

• Utiliser des mots de passe forts et éviter l’utilisation du même mot de passe pour plusieurs applications. Il existe pour cela des coffres-forts de mots de passe qui proposent de les stocker mais aussi d’en générer des très fiables. Ces logiciels permettent de centraliser le stockage de tous vos mots de passe dans une base de données chiffrées.
  
• Toujours changer les codes par défaut des appareils mobiles et des objets connectés (adieu le 0000 ou le 1234).
  
• Privilégier l’authentification à multiples facteurs.
  

7- Mettre à jour les systèmes d’exploitation et les logiciels :

• Oui, parfois on a la flemme, on se dit qu’on le fera plus tard et finalement on ne le fait jamais.
  Pourtant, les failles de sécurité sont fréquentes sur tout logiciel ou toute application. Il est important de les mettre à jour pour des raisons de sécurité. Le CERT répertorie les patchs régulièrement édités pour réparer les failles sur les logiciels et les applications les plus utilisés. 
  

8- Utiliser avec prudence les réseaux publics :

• Ils ne sont pas sécurisés et peuvent être utilisés très facilement par un attaquant. Un réseau public, comme on en trouve dans les gares, les hôtels, les trains et certains restaurants, est un réseau auquel sont connectés des ordinateurs et appareils que vous ne connaissez pas et en qui vous ne pouvez donc pas accorder votre confiance. Un réseau privé, comme votre réseau domestique a priori, est un réseau dont vous connaissez l’intégralité des appareils qui y sont connectés.
  

9- Protéger ses données lors d’un déplacement

• Lors de ses déplacements et d’une façon générale, protéger ses données numériques (limiter la collecte des informations par Google, filtre de confidentialité lorsque l’on se déplace avec sa machine (pour limiter la vision sur l’écran de regards indiscrets par exemple dans le train ou dans un café)… 
  

10 – Séparer les usages professionnelles et personnels :

• Ce point est très important pour tous les salariés, surtout avec les nouvelles pratiques de télétravail. Ne jamais utiliser le matériel professionnel à des fins personnelles et vice-versa. 

• Préconiser les bonnes pratiques et les divulguer dans l’entreprise, mais aussi de sécuriser les postes de travail et mettre en place la politique générale de protection, ainsi que la charte informatique.

• Le monitorage des activités : mettre en place un système de log/surveillance d’applications et/ou de systèmes afin de repérer les activités anormales.

11- Sauvegarder régulièrement ses données :

• Sauvegarder régulièrement ses données, et pour les entreprises, les dupliquer, ainsi vous n’aurez pas à payer de rançon pour des données que vous avez sauvegardées ailleurs.
  Voir https://www.cybermalveillance.gouv.fr/medias/2019/11/Fiche-pratique_sauvegardes.pdf

• Pour les fournisseurs d’applications et de services web, dupliquer les serveurs permettrait, si un serveur se trouve à saturation, de basculer automatiquement sur un serveur de délestage. Cette pratique est idéale pour prévenir l’attaque par déni de service.

12– Prendre soin de ses informations personnelles, professionnelles et de son identité numérique

Faîtes très attention aux données personnelles que vous partagez en remplissant des formulaires.
Ne donnez que les informations nécessaires, et n’hésitez pas à utiliser deux adresses e-mail différentes : une pour les sites “sérieux” (banque, impôt,…) et une pour le reste (jeux concours, forums etc..).

Vous retrouverez plus de détails dans le Guide des bonnes pratiques rédigé par l’Agence Nationale de Sécurité des Systèmes d’Informations.
Si vous avez des questions, n’hésitez pas à nous contacter via le chat !