Quand la fuite est intentionnelle
Toutes les fuites de données ne sont pas le fait d’un pirate externe. Certaines des fuites les plus préjudiciables sont délibérées et le fait d’un employé de confiance qui dispose déjà d’un accès légitime. Les inquiétudes concernant les employés malveillants ont fortement augmenté ces dernières années, et le coût est bien réel : le coût annuel moyen des incidents de sécurité impliquant des employés s’élève à plusieurs millions par organisation, et leur maîtrise prend souvent des mois.
Cette tendance se confirme dans des incidents récents. Chez Allianz Life, des pirates qui ont accédé à un CRM hébergé dans le cloud ont utilisé ses propres fonctions administratives et d’exportation légitimes pour extraire les numéros de sécurité sociale, les dates de naissance et les détails des contrats de 2,8 millions de personnes. Chez PowerSchool, les identifiants volés d’un sous-traitant ont permis l’exportation massive de données concernant plus de 62 millions d’élèves et d’enseignants. Aucun de ces deux cas n’a nécessité d’exploit sophistiqué. Les deux attaques ont été menées à l’aide d’outils approuvés et d’un accès valide, ce qui illustre précisément le problème : dès lors qu’un intrus dispose d’identifiants valides, il se comporte exactement comme un initié, et les contrôles conçus pour un périmètre hostile ne s’appliquent plus. Le seul moyen de le détecter réside alors dans l’aspect même des données au moment de leur fuite.
Ce qui rend les fuites intentionnelles si difficiles à endiguer, c’est que les initiés savent exactement comment fonctionnent l’examen des documents et le filtrage des e-mails ; ils conçoivent donc leurs exfiltration de manière à échapper aussi bien à l’œil humain qu’aux scanners automatisés.
Que signifie réellement l'expression « texte invisible » ?
On appelle « texte invisible » tout contenu qui devient illisible pour l'œil humain mais qui reste intact dans le fichier d'origine. Il ne s'agit ni de chiffrement ni de stéganographie, mais simplement d'un texte ordinaire dont la mise en forme a été modifiée pour le rendre invisible.
Voici quelques techniques courantes :
- ZeroFont : les valeurs sensibles ou les URL malveillantes sont définies avec une taille de police égale à zéro ; elles ne s'affichent donc jamais pour le lecteur, mais restent entièrement lisibles par les machines.
- Adapter la couleur du texte à celle de l'arrière-plan : un numéro de carte bancaire ou un numéro de Sécurité sociale est bien visible, mais passe inaperçu sur une page blanche
- Réduire la taille du texte à une police extrêmement petite : masquer les informations personnelles identifiables (PII), les identifiants ou le code source dans un bloc qui ressemble à une ligne vide
- Pousser les données bien au-delà des marges visibles d'une feuille de calcul : là où elles restent cachées à moins que quelqu'un ne réduise l'échelle au maximum
Chacun de ces fichiers a l'apparence d'un fichier banal et sans histoire. Les données sont conservées dans leur intégralité à l'intérieur du fichier. Elles sont simplement masquées aux yeux de la personne qui l'examine. C'est précisément pour cette raison que cela est dangereux, et c'est précisément pour cette raison qu'il faut les inspecter au niveau du contenu plutôt qu'au niveau visuel.
Comment Proactive DLP™ gère cette situation
La technologie Proactive DLP™ analyse le contenu réel d'un fichier plutôt que ce qu'une personne voit à l'écran ; ainsi, les astuces de mise en forme qui trompent l'œil humain ne trompent pas le moteur.
Lorsque la détection du texte invisible est activée dans MetaDefender™ Core, la technologie Proactive DLP™ analyse la mise en forme du document, met en évidence le texte qui a été masqué ou réduit en dessous d'un seuil de lisibilité, puis soumet ce texte récupéré au même processus de détection des données sensibles que celui appliqué au contenu normal, notamment grâce à des détecteurs intégrés pour les données financières, les informations personnelles identifiables (PII) et les informations confidentielles, ainsi qu'à tout modèle personnalisé que vous définissez.
Dès que des données sensibles sont détectées dans du texte masqué, votre politique basée sur le contenu détermine la suite des opérations : bloquer le fichier ou l'autoriser après application de mesures correctives telles que la caviardage, la substitution ou la suppression des métadonnées. L'important est que les données masquées soient traitées comme de véritables données, car c'est exactement ce qu'elles sont.
Découvrez-le en action : avant et après
Au premier abord, le document se présente comme un rapport classique et anodin. Aucune information sensible n'est visible pour un lecteur, et un filtre qui n'analyse que le contenu affiché le laisse passer. Il recèle toutefois une ou plusieurs données soumises à une réglementation, prêtes à quitter l'entreprise.
