Machine speed attacks require machine speed detection and response

Impératif de la réponse autonome face aux cyberattaques ultra-rapides

Les attaquants actuels exploitent des vulnérabilités pour exfiltrer des données en moins de 15 minutes, rendant les méthodes de détection et de réponse manuelles inefficaces. La sécurité repose désormais sur la capacité à automatiser la détection comportementale et la réponse immédiate.

Points clés des vecteurs d’attaque

• Vol de jetons (Tokens) GitHub : Les malwares ciblent les jetons OAuth stockés sur les postes des développeurs. GitHub ne détecte pas l’usage abusif de ces jetons persistants, permettant l’exfiltration massive de code via des proxys résidentiels.
• Leurre “ClickFix” : Des commandes d’installation frauduleuses, imitant des outils d’IA (ex: Claude Code), incitent les utilisateurs à exécuter des scripts qui dérobent cookies, identifiants cloud et clés de chiffrement (trousseau macOS).
• Vishing (Hameçonnage vocal) : Des attaquants se faisant passer pour le support informatique piègent les employés pour qu’ils valident une authentification multi-facteurs (MFA) réelle sur une page de connexion factice (AiTM - Adversary-in-the-Middle).

Vulnérabilités identifiées

• Absence de contrôle granulaire des jetons : Les jetons OAuth (ex: gho_) persistent longtemps et ne sont pas monitorés par les plateformes SaaS (GitHub, Snowflake, etc.).
• Défaut de corrélation : Les fournisseurs d’identité (IdP) valident souvent une session comme “sûre” dès que le MFA est passé, ignorant les anomalies contextuelles (nouvelle géolocalisation, usage de Linux vs macOS).
• Incomplétude de la révocation : La réinitialisation d’un mot de passe ou d’une session IdP (Okta) ne révoque pas automatiquement les jetons actifs dans les applications tierces (AWS, Google Workspace, GitHub).

Recommandations pour une réponse autonome

Pour contrer la rapidité des attaquants, il est nécessaire de mettre en place des actions de réponse automatisées, classées par niveau de friction :

1. Réponses “basse friction” (Automatisables) :
   • Okta : Révocation des sessions/jetons OAuth (/api/v1/users/{id}/sessions) et réinitialisation des facteurs MFA.
   • Microsoft Entra ID : Révocation des jetons de rafraîchissement (/revokeSignInSessions) et suppression des méthodes d’authentification compromises.
   • GitHub : Suppression des autorisations de jetons compromis au niveau de l’organisation.
   • AWS : Injection de politiques Deny (via PutUserPolicy) pour invalider les sessions STS actives.
2. Réponses “haute friction” (Validation humaine requise) : Toute action impactant la production ou nécessitant une intervention critique (suppression de comptes, réinitialisations massives) doit faire l’objet d’une validation par le propriétaire du compte ou son responsable.
3. Stratégie opérationnelle : Anticiper la création de rôles et de permissions API spécifiques pour chaque service critique (SaaS, Cloud, AI) afin que les scripts de réponse automatisés puissent s’exécuter sans erreur de droits (403 Forbidden) en plein incident.

Source