Brevet FR3083887A1 — publié le 20200117

« Procédé et dispositif de détection de compromission d'une cible par une attaque latérale » Domaine technique L'invention se situe tians le domaine de l'affichage sur un dispositif d'affichage d'un terni local «un objet graphique généré par un serveur distant. Plus précisément, s'applique à un terminal local et un serveur distant mettant en oeuvre un protocole de bureau à distance, dans le contexte d'une session contrôlée par une passerelle mandataire. Pile s'applique notamment au protocole de bureau à distance connu sous le nom de RIP, pour 10 l'anglais Remote Desktop Protocol, ou encore au protocole SSH, pour l'anglais Secure Etat de la technique antérieure On connaît en particulier dans l'éLat de la technique un système et procédé d authentification sécurisée basés sur une passerelle mandataire facilitant 'amélioration dc la sécurité. d'une authentification entre un client et une cible au moyen d'un module d'authentification sur une passerelle mandataire. Le client peut se connecter à la passerelle. mandataire au inoyen d'un protocole natif et fournit des informations d'identification d'utilisateur à la passerelle mandataire. H est inutile, pour l'utilisateur, d'être en possession des Iniormations d'identification 20 d'accès de cible. La passerelle mandataire peut éventuellement être connectée à un système de gestion d'accès privilégié qui peut fournir ebou stocker des int °mations d'identification d'accès de cible. Les informations d'identification d'accès de cible fournies par la passerelle mandataire facilitent la prévention contre une faille dans la sécurité du client qui expose les informations d'identification d'accès de cible. 2.5 Toutefois, il peut arriver que pour rendre Mi ser 1cc utilisateur, une connexion à la cible avec un accès privilégié soit nécessaire. Bien entendu, la cible peut alors se retrouver exposée à une attaque de sécurité de type latéral, par création d'un compte à privilège pour le compte de l'utilisateur. Aussi, il existe un besoin de mieux sécuriser les cibles pouvant être attaquées par des 30 attaques de sécurité de type latéral. Exposé de l'invention Un but del'invention est notamment de remédier à tout ou partie des inconvénients précités. Une idée qui est à la base de l'invention est de s'assurer de l'intégrité au cours du temps de d ichuers de configuration de la ci Ne. À cet effet, il e!st proposé, selon un premier aspect de f Invention un procédé de détection d'une attaque latérale d'une cible par un utilisateur comportant - une étape d'enregistrement de données relatives à un ou plusieurs fichiers,dit sensible, lesdits fichiers sensibles étant des fichiers de configuration de la cible, - une étape de connexion primaire de l' utilisateur sur une passerelle mandataire pour établir une connexion secondaire de la passerelle mandataire sur la cible, une étape de vérification de l'intégrité des fichiers sensibles, ultérieurement à 1étape de connexion secondaire de la passerelle mandataire sur la cible et, lorsque l'intégrité d' au moins un fichier sensible est déterminée comme compromise par 10 l'étape de vérification de l'intégrité du fichier sensible, une étape de détection d'une attaque latérale de la cible par l'utilisateur. Aussi, il n'est pas possible de réussir une attaque latérale, car elle est détectée et une réponse adéquate peut Y être apportée. Les données enregistrées relatives aux fichiers sensibles peuvent être enregistrées sur la passerelle mandataire. Avantageusement, le procédé selon V invention peut comporter une étape de copie di sensible dans un fichier, dit intègre, préalablement à l'étape de connexion secondaire. Selon une première possibilité, lorsqu'une attaque latérale de la cible par l'utilisateur est détectée, les fichiers sensibles sont modifiés pour être remplacés par des fichiers intègres. 20 Selon une deuxième possibilité, éventuellement combinable avec la première, lorsqu'une possibilité, d'attaque latérale de la cible par l'utilisateur est détectée, une notification (par email ou SMS) est adressée à un administrateur de la passerelle mandataire et/ou de la cible. De préférence, I' utilisateur connecté à la cible n'est pas averti de cette notification. I:étape de vérification de 1? intégrité des fichiers sensibles peut compotier une étape de 25 comparaison de données, dites courantes, relatives au fichier sensible qui sont déterminées à partir du fichier sensible, dit courant, et des données enregistrées relatives au fichier sensible. Selon un premier mode de réalisation, les données enregistrées relatives au fichier sensible comportent le fichier sensible lui-même. Aussi, il est possible de vérifier le contenu du fichier par rapport à Un fichier intègre. 30 Selon un deuxième mode de réalisation, les données enregistrées relatives aux licluers sensibles peuvent comporter des attributs des fichiers sensibles. (Tes attributs sont par exemple la taille, le propriétaire, bi-node et la date du fichier. Aussi, il est possible de ne vérifier que les attributs enregistrés aux attributs d'un fichier intègre. - 3 - Scion un troisième mode de réalisation, les données enregistrées relatives au fichier sensible comportent une signature numérique du fichier sensible. Aussi, il est possible de ne vérifier que la signature enregistrée par rapport à celle d'un fichier intègre. Selon une possibilité, l'étape d'enregistrement de données relatives aux fichiers sensibles est réalïsée ultérieurement à l'étape de connexion primaire de l'utilisateur et préalablement à l'étape de vérification de l'intégrité des fichiers sensibles. L'étape d'enregistrement de données relatives au Fichier sensible peut are réalisée immédiatement après l'étape de connexion secondaire et avant qu'une commande générée par 'utilisateur ne puisse Cirre exécutée par la ci Ne Aussi, il est possible de connaître l'état des 10 fichiers sensibles préalablement à toute action de la part de l'utilisateur sur lesdits fichiers sensibles. À titre d'exemple, l'étape de vérification de l'intégrité du fieluer sensible peut être réalisée par la passerelle mandataire, ultérieurement à une étape de. téléchargement sur la pasere1le mandataire de données, dites courantes, relatives au fichier sensible, dit courant. 15 Toujours à titre d'exemple, l'étape de vérification de l'intégrité du Fichier sensible peut êi,re réalisée par la cible. Selon un mode de réalisation. les fichiers sensibles soipar des appels ides interfaces de programmation, en anglais API pour application progranuning interface --- cas des systèmes Windows. Ces appels peuvent se faire au travers d'une sonde de session &ployée sur la cible au 20 debut de la connexion. Le procédé selon la revendication peut avantageusement comporter une étape de fermeture de la connexion secondaire, auquel cas l'étape de vérification de l'intégrité du fichier sensible est réalisée préalablement à l'étape de fermeture de la connexion secondaire. Selon rin deuxième aspect de l'invention, il est proposé une passerelle mandataire pour la 25 détectii m d'une attaque latérale (l'une ci hie par un utilisateur, comportant des moyens de traitement de données configurés pour : enregistrer des données relatives à un fichier, dit sensible, ledit chier sensible étant un fichier de configuration de la cible, établir une connexion primaire de l'utilisateur sur ta passerelle mandataire pour établir 30 une connexion secondaire de ladite passerelle mandataire sur la cible, vétifier l'intégrité du Fichier sensible, ultérieurement à l'étape de connexion secondaire de la passerelle mandataire sur la cible et, lorsque l'intégrité du fichier sensible est déterminée comme compromise par l'étape de vérification de l'intégrité du fichier sensible, détecter une attaque latérale de la cible par 35 l'utilisateur. - 4 - Scion un autre aspect de l'invc fst proposé un produit programme dordinaten téléchargeable depuis un réseau de communication et/ou stocké sur un support lisif ordinateur et/ou exécutable par un microprocesseur, et chargeable dans une mémoire r d'une unité de calcul, comportant des instructions de code de programme qui, lorsqu'elles sont exécutées par l'unité de calcul, mettent en oeuvre les étapes d'un procédé selon le premier aspect de l'invention, ou l'un ou plusieurs de ses perfectionnements Description des figures D'autres avantages et particularités de l'inventitin apparaîtront à la lecture de la description 10 détaillée de mises en oeuvre et de modes de réalisation nullement limitatifs, au regard de dessins annexes sur lesquels : la Figure I représente scliétnatjquemerit une attaque latérale d'une cible selon l'art antérieur, - la figure 2 illustre le contenu de deux fichiers d'une cible, avant et aprifs la connexion de l'attaquant sur la cible via une passerelle mandataire, la figure 1 illustre un diagramme d'échanges de données pour parvenir à la création de l'utilisateur privilégie de la figure 2, - La figure 4 illustre un diagramme d'échanges de données dérivant de la mise en oeuvre d'un procédé selon un premier mode de réalisation de l'invention. Description de modes de réalisation Les modes de réalisation décrits ci-après n'étant nulle:ment limitatifs, on pourra notamment considérer des variantes de l'invention ne comprenant qu'une sélection de caractéristiques décrites, par la suite isolées des autres caractéristiques décrites, si cette sélection de 75 caractéristiques est suffisante pour conférer im avantage technique ou pour différencier invention par rapport à l'état de la technique antérieure. Cette sélection comprend au moins une caractéristique, de préférence fonctionnelle sans détails structurels, on avec seulement une partie des détails structurels si celle partie uniquement est suffisante pour conférer un avantage technique ou pour différencier l'invention par rapport à l'état de la technique antérieure. 30 La figure 1 représente schématiquement une attaque latérale d'une cible selon l'art antérieur. Un attaquant A établi une connexion légitime entre un terminal I et une passerelle mandataire 2, aussi appelée fi:bastion Conune suite de cette connexion légitime, le bastion établit une connexion légitime entre lui-même et un serveur 3. Par suite, l'attaquant modifie un ou plusieurs fichiers sur le serveur 3, dans le but d établir plus tard, et sans passer par le bastion, une connexion par un compte à privilège entre l'attaquant et le serveur. Ceci est illustré par la figure 2, qui liste le contenu de deux fichiers du serveur, avant et après la connexion de l'attaquant sur le serveur 3 via la passerelle mandataire 2. Après la connexion de l'attaquant, le fichier nommé « Micipassvial » comprend une ligne de plus accréditant un nouvel utilisateur « charlie» et un nouveau groupe « 1001 «. On remarque également que l'utilisateur « charlie» est ajouté à la liste du groupe «sudo», dans le fichier « jeteigroup ». Aussi, utilisateur «charlie.» peut.. après l'attaque latérale, se connecter la directement sur le serveur 3 et exécuter des actions avec des autorisations d'administrateur. La figure 3 illustre un diagramme d'échanges de données pour parvenir à la création de l'utilisateur privilégie de la figure 2. Selon un mode de réalisation d'un procédé selon l'invention conduisant au diagramme d'échanges de données illustré par la figure 4, le procédé comporte aussi une étape de 15 connexion prlinaire Cl de l'utilisateur sur une passerelle mandataire 2 pour établir une connexion secondaire C2 de la passerelle mandataire. 2 sur le serveur cible 3. Le procédé comporte: : - une étape de téléchargement MM I Ti de données relatives à un fichier, dit sensible, ledit fichier sensible étant un fichier de configuration de la cible 3, et - une étape d'enregistrement E des données téléchargées sur la passerelle mandataire 2, - ultérieurement à la fin d'une session utilisateur, une étape de téléchargement final 'if de données relatives au fichier sensible courant sur la cible 3, - une étape de vérification C de l'intégrité du fichier sensible, ultérieurement à I'étape de connexion secondaire de la passerelle mandataire sur la cible et, - lorsque l'intégrité du fichier sensible est déterminée comme compromise par l'étape de vérification de l'intégrité du fichier sensible, une étape de détection D d'une attaque latérale de la cible par utilisateur. L'étape de détection D selon le mode de réalisation comporte une remtmtée d'alerte à un administrateur dei la cible 3. 30 Bien sûr, l'invention n'est pas limite.e aiux exemples jui viennentdécrits et de nombreux aménagements peuvent être apportés à ces exemples sans sortir du cadre de :ention. De plus, les différentes caractéristiques, formes, REVENDICATIONS1. Procédé dc détection d'une attaque latérale d'une cible (3) par un utilisateur comportant - une étape d'enregistrement (E) de données relatives à un fichier, dit sensible, ledit fichier sensible étant un fichier de configuration de la cible, - une étape dc connexion primaire (Cl) de l'utilisateur sur une passerelle mandataire (2) pour établir une connexion secondaire (C2) dc la passerelle mandataire sur la cible, - une étape de vérification (C) de l'intégrité du fichier sensible, ultérieurement à l'étape de connexion secondaire de la passerelle mandataire sur la cible et, - lorsque l'intégrité du fichier sensible est déterminée comme compromise par l'étape de vérification de l'intégrité du fichier sensible, une étape de détection (D) d'une attaque latérale de la cible par l'utilisateur. 2. Procédé selon la revendication précédente, comportant une étape de copie (Ti) du fichier sensible dans un fichier, dit intègre, préalablement à l'étape dc connexion secondaire (C2). 3. Procédé selon la revendication précédente, dans lequel, lorsqu'une attaque latérale de la cible par l'utilisateur est détectée, le fichier sensible est modifié pour être remplacé par un fichier intègre. 4 Procédé selon l'une quelconque des revendications précédentes, dans lequel lorsqu'une attaque latérale de la cible par l'utilisateur est détectée, une notification est adressée à un administrateur de la passerelle mandataire (2) et/ou de la cible (3). 5 Procédé selon l'une quelconque des revendications précédentes, dans lequel l'étape de vérification (C) de l'intégrité du fichier sensible comporte une étape de comparaison de données, dites courantes, relatives au fichier sensible qui sont déterminées à partir du fichier sensible, dit courant, et des données enregistrées relatives au fichier sensible. -7- 6. Procédé selon l'une quelconque des revendications précédentes, dans lequel les données enregistrées relatives au fichier sensible comporte le fichier sensible lui-même. 5 7. Procédé selon l'une quelconque des revendications précédentes, dans lequel les données enregistrées relatives au fichier sensible comportent des attributs du fichier sensible. 8. Procédé selon l'une quelconque des revendications précédentes, dans lequel les 10 données enregistrées relatives au fichier sensible comportent une signature numérique du fichier sensible. 9. Procédé selon l'une quelconque des revendications précédentes, dans lequel l'étape d'enregistrement (Ti) de données relatives au fichier sensible est réalisée 15 ultérieurement à l'étape de connexion primaire (Cl) de l'utilisateur et préalablement à l'étape de vérification (C) de l'intégrité du fichier sensible. 10. Procédé selon la revendication précédente, dans lequel l'étape d'enregistrement (Ti) de données relatives au fichier sensible est réalisée immédiatement après 20 l'étape de connexion secondaire (C2). I . Procédé selon l'une quelconque des revendications précédentes, comportant en outre une étape de fermeture de la connexion secondaire et dans lequel l'étape de vérification (C) de l'intégrité du fichier sensible est réalisée préalablement à 25 l'étape de fermeture de la connexion secondaire. 12. Procédé selon l'une quelconque des revendications précédentes, dans lequel l'étape de vérification (C) de l'intégrité du fichier sensible est réalisée par la passerelle mandataire (2), ultérieurement à une étape de téléchargement (Tf) sur 30 la passerelle mandataires de données, dites courantes, relatives au fichier sensible, dit courant. -8- 13. Passerelle mandataire (2) pour la détection d'une attaque latérale d'une cible par un utilisateur comportant des moyens de traitement de données configurés pour : enregistrer des données relatives à un fichier, dit sensible, ledit fichier sensible étant un Fichier de configuration de la cible, 5 - établir une connexion primaire de l'utilisateur sur la passerelle mandataire pour établir une connexion secondaire de ladite passerelle mandataire sur la cible, vérifier l'intégrité du fichier sensible, ultérieurement à l'étape de connexion secondaire de la passerelle mandataire sur la cible et, 10 lorsque l'intégrité du fichier sensible est déterminée comme compromise par l'étape de vérification de l'intégrité du fichier sensible, détecter une attaque latérale de la cible par l'utilisateur. 14. Produit programme d'ordinateur, téléchargeable depuis un réseau de 15 communication et/ou stocké sur un support lisible par ordinateur et/ou exécutable par un microprocesseur, et chargeable dans une mémoire interne d'une unité de calcul, caractérisé en cc qu'il comporte des instructions de code de programme qui, lorsqu'elles sont exécutées par l'unité de calcul, mettent en oeuvre les étapes d'un procédé selon l'une quelconque des revendications précédentes de procédé 20 de détection.