Exfiltration via service cloud légitime

Définition

L'exfiltration via service cloud légitime désigne une technique consistant à transférer des données dérobées vers un service de stockage ou de partage cloud grand public parfaitement légitime, comme un service de synchronisation de fichiers ou une plateforme de collaboration largement adoptée en entreprise, plutôt que vers une infrastructure contrôlée directement par l'attaquant, dans le but de dissimuler le trafic d'exfiltration parmi le volume important de trafic légitime vers ces mêmes services que génère quotidiennement l'organisation. Cette approche exploite le fait que de nombreux pare-feux et proxys d'entreprise autorisent par défaut le trafic vers ces domaines de confiance largement utilisés, sans inspection approfondie du contenu réellement transféré, et que le chiffrement TLS natif de ces services empêche une inspection de contenu sans déchiffrement TLS explicitement mis en œuvre côté défense. Cette technique relève de l'approche plus large connue sous le nom de living off the land ou living off trusted services, consistant à s'appuyer sur des outils et services légitimes plutôt que sur une infrastructure dédiée facilement identifiable comme malveillante. Pour les équipes défensives, la contre-mesure repose sur un contrôle d'accès applicatif au niveau des passerelles web sécurisées, autorisant uniquement les comptes cloud sanctionnés par l'organisation, un déploiement de solutions de prévention de fuite de données inspectant les contenus transférés, et une surveillance des volumes anormaux de trafic sortant vers ces services même lorsqu'ils sont considérés comme de confiance.