Accès non autorisé (NSD)

Qu'est-ce que l'accès non autorisé

L'accès non autorisé (NSD) est un accès à l'information, aux ressources ou aux systèmes effectué en violation des règles de contrôle d'accès établies. Le NSD peut être réalisé aussi bien avec des moyens informatiques standards (par exemple, devinement de mots de passe, utilisation d'une session oubliée ouverte) qu'avec des outils spéciaux permettant de franchir les systèmes de protection (piratage, exploitation de vulnérabilités, ingénierie sociale). Le NSD est l'une des principales menaces pour la sécurité de l'information et un objet de protection pour les moyens de protection cryptographique (SKZI), les pare-feu et les systèmes de contrôle d'accès. La prévention du NSD est réglementée par la législation, notamment la loi 152-FZ « Sur les données personnelles » et la loi 187-FZ sur la sécurité de la CII. Chaque année, le préjudice causé par le NSD dans le monde se chiffre en milliers de milliards de dollars, et le nombre d'attaques réussies continue de croître, ce qui fait de la protection contre le NSD l'une des directions prioritaires pour toute organisation.

Principaux types de NSD

L'accès non autorisé est classé selon le mode de réalisation et le type de menace. L'accès direct est un accès physique aux équipements (serveurs, postes de travail, commutateurs réseau) dans le but de voler, modifier ou détruire des données, d'installer des implants matériels ou de se connecter aux interfaces de gestion. L'accès réseau est la pénétration dans un système via les interfaces réseau (exploitation de vulnérabilités dans les applications web, devinement de mots de passe, attaques de l'homme du milieu (MITM), substitution DNS, injections SQL, cross-site scripting). L'accès interne est l'utilisation des comptes légitimes d'un employé pour des actions non autorisées (abus de droits, travail après le licenciement, utilisation d'un accès privilégié pour voler des données). L'accès par ingénierie sociale est l'obtention d'identifiants en trompant les utilisateurs (phishing, vishing, smishing). On distingue également l'accès via des supports amovibles — l'utilisation de clés USB infectées, de CD/DVD ou de disques durs externes pour injecter des logiciels malveillants. Pour prévenir le NSD, on utilise des systèmes d'identification et d'authentification, l'authentification multifacteur (MFA), des systèmes DLP et des outils de contrôle d'accès tels que le système de contrôle d'accès (SCA).

Protection contre le NSD

Une protection globale contre l'accès non autorisé comprend plusieurs niveaux qui doivent être mis en œuvre pour garantir une sécurité fiable. Mesures organisationnelles — élaboration et mise en œuvre de politiques de sécurité, de règlements d'accès, d'instructions pour les employés, formation régulière du personnel aux règles de sécurité de l'information. Moyens logiciels et matériels — installation et configuration des SKZI, pare-feu (Firewall, NGFW), systèmes de détection et de prévention des intrusions (IDS/IPS), logiciels antiviraux, moyens de protection cryptographique des données. Surveillance et audit — enregistrement de toutes les tentatives d'accès aux systèmes d'information, analyse des journaux à l'aide de systèmes SIEM, audit régulier des journaux de sécurité. Protection physique — restriction de l'accès physique aux salles serveurs, utilisation de la vidéosurveillance et des systèmes de contrôle d'accès. Sauvegarde — création et conservation de copies de sauvegarde des données critiques pour la restauration après une attaque.

Canaux typiques de NSD et méthodes d'attaque

Les attaquants utilisent divers canaux pour accéder sans autorisation. Services réseau — vulnérabilités non corrigées dans les applications web (OWASP Top 10), serveurs de messagerie, SGBD, systèmes de gestion de contenu. Interfaces de gestion — mots de passe faibles sur les panneaux d'administration, SSH, RDP, Telnet, utilisation d'identifiants standard ou facilement devinables. Supports amovibles — clés USB infectées par des logiciels malveillants (BadUSB), disques à démarrage automatique. Réseaux sociaux et messageries — liens de phishing, pièces jointes malveillantes dans les courriels, fausses pages de connexion. Vulnérabilités zero-day (0-day) — vulnérabilités précédemment inconnues pour lesquelles il n'existe pas encore de correctifs. Attaques DDoS — utilisées comme diversion pour mener d'autres attaques. Pour surveiller et analyser ces menaces, on utilise des systèmes SIEM, des centres de surveillance de la sécurité de l'information (SOC) et des systèmes NDR pour l'analyse du trafic réseau.

Moyens de protection de l'information contre le NSD

Les moyens de protection contre le NSD sont des outils logiciels, matériels ou matériels-logiciels spécialisés conçus pour empêcher l'accès non autorisé. En Russie, ces moyens doivent être certifiés par le FSTEC de Russie ou le FSB de Russie pour être utilisés dans les systèmes d'information publics. Les moyens de protection contre le NSD comprennent : les systèmes de contrôle d'accès (gestion obligatoire et discrétionnaire), les systèmes de protection antivirus, les pare-feu (y compris les NGFW de nouvelle génération), les systèmes de détection d'intrusions (IDS/IPS), les systèmes de protection cryptographique, les moyens de protection contre les fuites de données (DLP), les systèmes de gestion des identités et des accès (IAM). Le choix des moyens spécifiques dépend de la classe du système protégé, du niveau de confidentialité des données et des exigences réglementaires. Pour les objets de la CII, l'utilisation de moyens certifiés figurant au registre des logiciels nationaux est obligatoire.

Réponse aux incidents de NSD

Lorsqu'un NSD est détecté, l'organisation doit disposer d'un plan de réponse aux incidents (IRP). Le processus de réponse comprend plusieurs étapes : détection et confirmation de l'incident (via le SIEM, l'IDS, les plaintes des utilisateurs), isolement du segment de réseau infecté et blocage des comptes compromis, collecte et conservation des preuves pour l'enquête (journaux, images mémoire, captures réseau), analyse de l'incident pour déterminer le vecteur d'attaque et l'ampleur des dommages, élimination des conséquences (suppression des logiciels malveillants, correction des vulnérabilités, changement des mots de passe), restauration du fonctionnement des systèmes à partir des copies de sauvegarde, notification des régulateurs (FSTEC, Roskomnadzor) dans les délais impartis, ainsi qu'analyse post-incident et mise à jour des politiques de sécurité. Une conception professionnelle du système de protection permet de bâtir une défense multi-niveaux efficace.