Exfiltration de données contre fuite de données
Une fuite de données est toute exposition non autorisée de données, intentionnelle ou accidentelle. Un salarié qui envoie un tableur sur une messagerie personnelle pour travailler depuis chez lui provoque une fuite par négligence, pas par malveillance.
L'exfiltration de données est le transfert délibéré et discret de données vers une destination externe contrôlée par un attaquant ou un initié. Elle suppose une intention : quelqu'un fait sortir les données de façon à ce qu'elles partent sans être remarquées.
En pratique, les méthodes de détection se recoupent fortement, car les deux exigent de surveiller les flux de données et d'inspecter le contenu. La distinction d'intention reste pourtant importante pour la réponse aux incidents, les actions en justice et la classification des menaces internes.
| Critère | Fuite de données | Exfiltration de données |
|---|---|---|
| Intention délibérée | ||
| Peut être accidentelle | ||
| Surveillance des flux et du contenu |
Méthodes courantes d'exfiltration
L'exfiltration utilise tout canal par lequel des données peuvent légitimement quitter une organisation. Chaque canal demande son propre contrôle, et le contrôle des périphériques couvre les canaux locaux, comme l'USB et l'impression.
Les six premières méthodes sont les plus fréquentes dans les incidents réels. Les deux dernières sont plus rares, mais plus difficiles à détecter.
| Canal | Comment les données sortent |
|---|---|
| Canaux réseau | Envois en HTTP/HTTPS, FTP, protocoles de tunnel maison ; le chiffrement masque le contenu |
| Pièces jointes ou liens envoyés à des adresses externes, y compris par webmail | |
| Stockage cloud | Envois vers des comptes personnels comme Google Drive, Dropbox, OneDrive, Box ou MEGA |
| Messageries | Fichiers envoyés via WhatsApp, Telegram, Signal, Slack, Teams ou un chat web |
| Supports amovibles | Copies sur clés USB, disques externes ou supports optiques |
| Presse-papiers et écran | Texte collé dans des applications non approuvées ou photos de l'écran |
| Impression | Documents sensibles imprimés pour être emportés |
| Stéganographie et détournement de protocoles | Données cachées dans des images ou des fichiers audio ; tunnels DNS/ICMP en petites quantités |
Qui exfiltre des données
Trois types d'acteurs exfiltrent des données :
- Initiés malveillants : salariés ou prestataires qui volent des données délibérément, comme de la propriété intellectuelle pour un concurrent, des listes de clients, des données financières pour une fraude, ou des informations pour des raisons idéologiques, comme le lancement d'alerte ou l'activisme.
- Comptes compromis : attaquants externes qui ont volé des identifiants ou pris le contrôle d'un appareil. Ils agissent par l'accès légitime du salarié, si bien que l'activité paraît autorisée. C'est pourquoi les initiés compromis relèvent de la surveillance des menaces internes.
- Logiciels malveillants : chevaux de Troie voleurs d'informations et menaces persistantes avancées (APT) qui collectent les données localement et les envoient à un serveur de commande et de contrôle.
Pourquoi l'exfiltration est difficile à détecter
La difficulté centrale est que l'exfiltration utilise les mêmes applications et canaux que le travail légitime. Un salarié qui téléverse un fichier dans le cloud à 14 h partage peut-être une proposition avec un client. La même action à 2 h du matin, vers une messagerie personnelle, par quelqu'un qui a donné sa démission, est une tout autre histoire. Aucun signal isolé n'est concluant : la détection combine donc les contrôles ci-dessous et évalue le risque dans le temps.
- Analyse du contenu : les données correspondent-elles à des motifs confidentiels, à des empreintes numériques ou à des étiquettes ? C'est sur ce contrôle que s'appuie le blocage fondé sur le contenu.
- Contexte : quand, d'où et par qui : hors horaires, lieu inhabituel ou salarié en préavis.
- Volume et schéma : un téléchargement massif suivi d'un envoi externe est une signature classique.
Prévention et réponse
La prévention et la réponse combinent cinq capacités :
- 1
Appliquer les politiques DLP
Empêcher les données sensibles de sortir par les canaux contrôlés, selon la classification du contenu.
- 2
Surveiller les canaux locaux
Visibilité sur l'USB, le presse-papiers et l'impression, que les outils réseau ne voient pas.
- 3
Établir le comportement normal
L'analyse comportementale (UEBA) construit un profil de l'activité habituelle et signale les écarts.
- 4
Limiter les accès
Un accès limité au strict besoin réduit les dégâts causés par un compte compromis.
- 5
Enquêter et conserver les preuves
Établir qui, quoi, quand et où, stopper les transferts en cours et conserver les preuves pour une action judiciaire ou disciplinaire.
À quoi cela ressemble dans Anexet
Dans la console Anexet, un e-mail intercepté s'ouvre sur un onglet IA qui liste les menaces possibles, comme la dissimulation d'informations, et un bref résumé de la conversation. L'écran indique aussi que les sorties de l'IA ne sont pas toujours fiables : l'analyste lit donc le message avant d'agir. Les messages signalés peuvent être ajoutés à un dossier d'investigation.
Par où commencer
Commencez par les données dont la fuite causerait le plus de dégâts, puis cartographiez les canaux que les équipes utilisent réellement pour les faire circuler. Les règles qui bloquent tout dès le premier jour sont souvent désactivées, et plus rien n'est alors surveillé.
Le module Anexet DLP fonctionne sur site et couvre les canaux décrits plus haut.
Pour aller plus loin : Systèmes DLP — qu'est-ce que c'est et comment ça fonctionne; Comment un responsable de la sécurité identifie-t-il une personne interne malveillante grâce au système DLP ?.
L'exfiltration ressemble rarement à une attaque. Elle ressemble à un envoi ordinaire, un après-midi ordinaire.
Anexet TeamComment Anexet traite ce sujet
Le module DLP d'Anexet est conçu spécifiquement pour détecter et bloquer l'exfiltration de données sur tous les canaux qu'un initié ou un compte compromis pourrait utiliser :
L'architecture on-premise garde toutes les données de détection, le contenu capturé et les dossiers d'enquête dans l'infrastructure de l'organisation. C'est important lorsque le cas d'exfiltration porte sur des données sensibles ou réglementées qui ne doivent pas être confiées à un cloud tiers.
Politiques de blocage
Les politiques de blocage agissent sur 11 types de canaux : HTTP(S), SMTP, FTP, MAPI, messageries, impression, presse-papiers, stockage externe, partages réseau, processus et transferts de fichiers. Les conditions peuvent reposer sur des objets de classification du contenu, comme une correspondance de thésaurus, un hash, une empreinte numérique ou une étiquette de sensibilité.
Capture sur les terminaux
L'interception au poste de travail capture le contenu du fichier avant que le chiffrement ne le masque. Elle offre une visibilité sur les envois vers le cloud, les transferts par messagerie et les canaux locaux (USB, presse-papiers, impression) que les outils réseau seuls ne voient pas.
Analyse des risques
Le moteur d'Analyse de Risque note les utilisateurs selon huit catégories de risque préconfigurées. Il combine les signaux de fuite de données avec des indicateurs comportementaux, comme les schémas horaires et les anomalies de volume, pour prioriser les dossiers à examiner.
Investigations
Le module Investigations constitue des dossiers à partir des événements capturés. Les dossiers peuvent être exportés à des fins juridiques ou disciplinaires.
Fonctionnalité de blocage des transferts de données
En savoir plus