Il n’est pas déraisonnable de supposer que la guerre en Ukraine va générer une vague de cyberattaques. Cela signifie que chaque entreprise ou utilisateur d’ordinateur personnel doit vérifier ses protections de sécurité existantes, en particulier pour les entreprises qui ont adopté le lieu de travail hybride.

Alors que les grandes entreprises emploient généralement des responsables de la sécurité de l’information (CISO) et des consultants en sécurité pour gérer ces tâches, ce qui suit est un conseil utile pour les utilisateurs de Mac, iPad et iPhone qui souhaitent lancer un tel audit.

Faire un audit de mot de passe

J’espère que la plupart des utilisateurs d’Apple utiliseront Keychain. Il dispose de quelques fonctionnalités utiles pour vous aider à vérifier vos mots de passe, et c’est maintenant le bon moment pour les utiliser.

• Sur un Mac, ouvrez Préférences Safari>Mots de passe (Paramètres> Mots de passe sur iOS/iPad) et passez en revue la liste que vous y trouverez.
• Vous verrez des mots de passe pour tous vos sites. Vous pouvez voir un triangle d’avertissement à côté de certains d’entre eux.
• Ce triangle vous montre les sites pour lesquels vous réutilisez peut-être des mots de passe ou des mots de passe qui ont pu apparaître dans des fuites de données.

Dans les deux cas, vous devez les modifier ; sélectionnez simplement le service, puis choisissez Changer le mot de passe sur le site Web. Apple essaiera alors de vous diriger vers la page de compte de ce site où vous pourrez modifier votre mot de passe ou supprimer votre compte.

Lors de la création d’un nouveau mot de passe, utilisez la fonction de génération de mot de passe automatisée de Keychain qui créera des mots de passe plus forts. Vous trouverez plus d’informations sur le porte-clés ici.

Pour la plupart des utilisateurs Apple, le mot de passe le plus important est celui qu’ils utilisent pour leur identifiant iCloud/Apple.

Vous devez vous assurer que votre code d’accès iCloud/Apple ID est unique et difficile à deviner. Il est également recommandé de changer régulièrement de mot de passe. Lorsque vous le ferez, vous devrez saisir votre nouveau mot de passe sur tous vos appareils, ce qui est un frein, mais pensez à toutes les informations personnelles que vous y stockez pour aider à justifier l’effort.

Renforcez la sécurité de vos services

Écoutez, la froide et dure vérité est que la plupart des gens ont quelques services qui utilisent des mots de passe identiques. Mais c’est une vulnérabilité que vous pouvez corriger en quelques minutes de travail. Une autre amélioration que vous pouvez apporter est de vous assurer qu’aucun des mots de passe que vous utilisez n’est sur cette liste. Vous devez également supprimer votre compte aux services que vous n’utilisez plus pour minimiser votre surface d’attaque.

Activer 2FA

Activez l’authentification à deux facteurs, 2FA (ou MFA, authentification multifacteur) sur tous les services essentiels, et certainement les services financiers. Utilisez Apple Pay dans la mesure du possible. La plupart des principaux services offrent 2FA, et vous pouvez également désormais créer des codes 2FA à partir d’iOS sur les applications prises en charge.

Lors de la création de nouveaux comptes et de l’inscription à de nouveaux services, assurez-vous d’utiliser le masquage d’e-mails iCloud+ (Masquer mon e-mail) ou des services gratuits tels que Cloudflare, iPassword et d’autres pour masquer votre véritable identité.

Protéger les autres pour se protéger

Bien que je sache que les utilisateurs de Mac continuent de croire que leur plate-forme est sécurisée, il ne s’agit plus seulement de vous. Installez et utilisez un vérificateur de logiciels malveillants. Cela devrait vous offrir une certaine protection contre tout logiciel malveillant Mac susceptible d’apparaître, mais il signalera également tout logiciel malveillant Windows que vous pourriez autrement partager par inadvertance avec d’autres.

Protégez vos flux sociaux

Certains attaquants tentent de trouver et de récolter des informations personnelles concernant des individus pour créer des exploits de phishing hautement personnalisés ou pour les aider à deviner les mots de passe de compte ou les informations d’autorisation d’une personne, comme le nom de la mère.

Une application tierce essentielle appelée Géant peut vous aider à gérer votre vie privée sur de nombreux réseaux sociaux, notamment Facebook, Twitter, Google, Instagram et LinkedIn. Il s’agit d’une couche de protection supplémentaire utile pour vos flux sociaux qui peut aider à empêcher les pirates de récolter ce type d’informations.

Une interdiction de phishing

Nous savons tous qu’il ne faut pas cliquer sur les e-mails de personnes que nous ne connaissons pas, mais qu’en est-il de ceux qui proviennent de personnes que vous pensez connaître ? Les tentatives de phishing qui prétendaient être des messages de support client d’Apple sont devenues plus convaincantes récemment, et elles sont conçues pour vous faire cliquer sur le lien.

le Rapport du FBI sur la criminalité sur Internet 2020 a révélé que les attaques de phishing ont touché 241 342 victimes en 2020, contre 114 702 en 2019. Notez que 90 % des attaques réussies impliquent des mots de passe légitimes et que le phishing de mot de passe représentait 83% de toutes les cyberattaques en 2021.

Dans la plupart des cas, si vous recevez un e-mail contenant un lien vous demandant de mettre à jour quelque chose, il est préférable d’accéder manuellement au service concerné dans votre navigateur Web (plutôt que le lien) et de vous connecter. Vous pourrez alors voir si cette alerte est authentique. Vous devez transférer les e-mails de phishing à la Federal Trade Commission (FTC) à spam@uce.gov et à l’entité représentée dans l’e-mail.

Lorsque vous effectuez des achats en ligne ou accédez à des sites nécessitant des informations financières, vérifiez toujours que l’adresse Web est protégée par SSL, généralement indiquée par une icône de cadenas dans la barre de recherche de votre navigateur.

Protégez votre trafic Web

Si vous avez un compte iCloud +, vous devez commencer à utiliser le service bêta de relais privé d’Apple pour protéger toutes vos activités en ligne à l’aide du navigateur Safari. Sinon, utilisez un service VPN.

Si vous n’avez pas de VPN, le développeur de logiciels ukrainien MacPaw propose ClearVPN pour iOS, Mac, Android et Windows gratuitement. Ce VPN comprend une gamme de raccourcis vers la collecte de fonds, la signature de pétitions, des médias de confiance et d’autres moyens de soutenir l’Ukraine contre l’agression russe. NordVPN, ExpressVPNet Surfshark sont également des services largement recommandés.

Les entreprises peuvent être rassurées sur le fait qu’iCloud Private Relay est compatible avec vos propres systèmes de sécurité d’entreprise, car il est suffisamment intelligent pour s’écarter si un appareil utilise un système VPN d’entreprise.

Il va sans dire que même avec un VPN en place, il est toujours logique de ne pas accéder à des informations confidentielles ou financières en utilisant une connexion Wi-Fi publique. En effet, les criminels surveillent parfois le trafic qui a lieu sur ces réseaux pour saper la sécurité.

Sauvegardez tout

Sauvegardez vos sites Web, collections d’images et tous les autres actifs numériques. Les services cloud ont généralement des équipes de professionnels de la sécurité pour aider à se protéger contre les attaques, mais ce n’est pas infaillible et ne protège pas contre une arnaque de mot de passe réussie. C’est pourquoi la plupart des entreprises utiliseront une combinaison de services de stockage en ligne et locaux.

En ce qui concerne le stockage local, beaucoup utilisent des sauvegardes quotidiennes sur un lecteur et des sauvegardes hebdomadaires (ou plus fréquentes) sur un autre mode de stockage maintenu hors ligne et mis en quarantaine du réseau de l’entreprise.

L’avantage de ce dernier est que les données stockées sont moins susceptibles d’être corrompues ou d’être supprimées en cas d’attaque, ce qui limite la perte de données si cela se produit. Vous devriez également envisager de changer régulièrement vos sauvegardes pour éviter les incidents dans lesquels la sauvegarde elle-même est infectée.

Apple vous permet également de créer un contact de récupération de compte pour votre identifiant Apple. Il doit s’agir d’une personne de confiance qui pourra alors vous aider à récupérer l’accès à votre compte en cas d’oubli de votre mot de passe, ou s’il est modifié sans votre autorisation. Vous pouvez définir votre contact de récupération dans Mot de passe et sécurité dans les paramètres.

Segmentez vos déploiements informatiques

Tout comme c’est une bonne idée de maintenir un système de sauvegarde hors ligne, il est également utile de maintenir plusieurs réseaux d’appareils au sein de grandes entreprises.

La théorie est que si tous vos systèmes sont conservés sur un seul réseau, toute personne accédant à ce réseau peut être en mesure de surmonter vos défenses. La segmentation interne des systèmes peut aider à se protéger contre cela, car cela signifie que si l’un d’entre eux est piraté, l’ensemble du réseau de machines ne l’est pas.

Il est également important de protéger les données elles-mêmes. FileVault d’Apple sur Mac est un système de cryptage de disque intégré à macOS qui rend difficile l’accès à vos données confidentielles en cas de perte ou de vol de la machine. Voici comment appliquer cette protection sur votre Mac.

Utilisez le Zero Trust

Les entreprises et les éducateurs qui utilisent des systèmes MDM tels que ceux proposés par Jamf, Apple Business Essentials et d’autres peuvent être en mesure de déployer une protection plus robuste sur les appareils gérés. Cela inclut la possibilité d’empêcher les employés de créer et de partager leurs propres mots de passe, mais d’utiliser à la place une autorisation attribuée et cryptée.

De nombreuses entreprises utilisent désormais des formes de plus en plus complexes de protection zéro confiance. Ceux-ci peuvent limiter l’accès aux services en fonction de qui, où et quand un appareil cherche à y accéder. Une bonne politique de sécurité doit être construite autour d’une prise de conscience que les cas d’utilisation peuvent différer considérablement au sein d’une organisation et donc plus votre solution est flexible et personnalisable, mieux c’est.

Si vous utilisez des services cloud, il peut être possible d’attribuer des zones géographiques dans lesquelles vos données sont stockées, ce qui vous aide à éviter de stocker des informations essentielles dans ou à proximité de zones de conflit. Vous pouvez également utiliser des outils de géolocalisation pour vous assurer que vos services/données ne sont disponibles que dans les pays où sont basés vos utilisateurs authentiques.

Vérifiez et mettez à jour votre kit

Les équipes de sécurité d’Apple surveilleront toute nouvelle vulnérabilité majeure, c’est pourquoi vous devez toujours vous assurer que tous vos appareils sont mis à jour avec les dernières mises à jour logicielles.

Avez-vous encore un vieux PC sur votre réseau ? Peut-être que vous entretenez une imprimante vintage ? Jamf a récemment averti que 39 % des organisations autorisaient les appareils présentant des vulnérabilités connues du système d’exploitation à fonctionner dans un environnement de production sans restriction de privilèges ou d’accès aux données.

Vous devez vous assurer que tous les logiciels sont à jour et envisager de mettre en quarantaine tout équipement pour lequel les mises à jour de sécurité ne sont plus disponibles.

Les outils, y compris ceux intégrés à vos routeurs, devraient être en mesure de vous dire quelles adresses IP sont actives sur votre réseau et vous devriez les auditer pour vous assurer qu’aucune donnée malveillante n’est exfiltrée par un appareil inconnu.

Vérifiez et vérifiez vos bureaux d’enregistrement

La vérification de votre kit s’étend également aux enregistrements de votre registraire de domaine. Sont-ils exacts et à jour et les mots de passe sont-ils sécurisés ? Sinon, sécurisez-les.

Vous devez également valider la sécurité de tous vos services internes et externes orientés vers l’extérieur. Sont-ils à jour ? Certains d’entre eux ont-ils cessé de recevoir des correctifs de sécurité ? Remplacez tous les services avec des vulnérabilités non corrigées ou qui ne fournissent plus de mises à jour de sécurité. Le remplacement peut avoir un coût, mais le coût d’une attaque sera beaucoup plus élevé.

Dans quelle mesure vos partenaires sont-ils en sécurité ?

Si l’un de vos clients externes, partenaires, fournisseurs ou toute autre personne a accès à vos réseaux, vous devez vérifier leurs procédures de sécurité et restreindre leurs privilèges d’accès, en supprimant ceux qui ne sont pas nécessaires. Vos propres systèmes internes étant durs comme des clous ne font aucune différence si les pirates exploitent un partenaire externe moins sécurisé pour s’introduire.

Téléchargez toujours des logiciels à partir de sources fiables

N’installez jamais d’applications provenant de sources douteuses. Le modèle d’Apple fonctionne si bien car il interdit le chargement latéral des applications. Il le fait parce qu’il sait que sans une police et une protection efficaces en place, les utilisateurs peuvent facilement être trompés et installer des applications infestées de logiciels malveillants. Les entreprises doivent développer et former les employés à une politique d’installation d’applications sécurisées.

Ayez un plan avant que la catastrophe ne se produise

La sagesse de l’industrie en matière de sécurité est qu’une faille de sécurité est inévitable, c’est pourquoi il est logique de planifier la réaction de votre entreprise en cas d’exploit.

Les particuliers et les entreprises doivent planifier ce qu’il faut faire après une violation, s’assurer que des recours sont en place et s’assurer que toutes les parties sont pleinement conscientes de leurs responsabilités. Un utilisateur d’un seul Mac, par exemple, peut savoir qu’il doit rétablir les paramètres d’usine de sa machine et restaurer les données avec des sauvegardes. Un administrateur de 500 Mac distants devra trouver comment réaliser la même chose (probablement en utilisant un système MDM).

La priorité de tout plan est de confirmer que les voies d’escalade et les contacts sont en place et que les communications continueront de fonctionner même si vos systèmes d’entreprise tombent en panne.

La sécurité est un environnement de risque en constante évolution dans lequel même votre propre gouvernement peut constituer une menace. Plus vous êtes en sécurité dans les meilleurs moments, plus vous devriez être en sécurité lorsque les mauvais moments arrivent.

Vous voudrez peut-être maintenant jeter un coup d’œil au Guide de sécurité de la plate-forme Appleun haut niveau Principes de gouvernance du conseil d’administration en matière de cyber-risquedu Forum économique mondial, et quelques blogs antérieurs écrits par moi pour la sécurité Mac, la sécurité iOS et le travail à domicile.

Merci de me suivre sur Twitterou rejoignez-moi dans le Le bar-grill d’AppleHolic et Discussions Apple groupes sur MeWe.