Ce qu'est le scavenging
Le scavenging consiste à fouiller les données résiduelles pour y trouver des informations sensibles qui n'ont jamais été correctement effacées. La cible n'est pas un système attaqué, mais la trace d'un travail passé : supports mis au rebut, fichiers temporaires, anciennes sauvegardes et copies laissées dans des dossiers partagés. Aucune intrusion n'a lieu, la technique ressemble donc à une simple consultation.
Ces restes sont appelés rémanence des données. Supprimer un fichier n'efface généralement que sa référence : le contenu peut subsister sur le disque jusqu'à la réutilisation de l'espace. C'est cet écart qui rend le scavenging possible.
Où s'accumulent les données résiduelles
Une information sensible existe rarement à un seul endroit. Longtemps après qu'un document est considéré comme supprimé, des fragments et des copies survivent là où personne ne les contrôle, par exemple sous forme de données obsolètes dans d'anciens dossiers :
| Source | Ce qui subsiste |
|---|---|
| Déchets physiques et supports mis au rebut | Impressions, notes autocollantes avec mots de passe, disques jetés sans effacement |
| Fichiers temporaires et caches | Copies de travail, fichiers de sauvegarde automatique, files d'impression, cache du navigateur |
| Fichiers supprimés | Le contenu reste sur le disque jusqu'à son écrasement et se récupère avec des outils courants |
| Dossiers partagés et stockage mal configuré | Copies de travail visibles par bien plus de personnes que prévu |
| Matériel retiré du service | Postes de travail, serveurs, téléphones et copieurs qui conservent leurs données stockées |
| Anciennes sauvegardes et instantanés | Données conservées longtemps après la correction ou la suppression de la copie active |
Scavenging physique contre numérique
L'image classique est celle d'une personne qui fouille une benne derrière un immeuble de bureaux, d'où le terme dumpster diving. Impressions, matériel jeté et notes portant des mots de passe ont provoqué de vrais incidents pendant des décennies, et la technique ne demande aucune compétence technique.
La variante numérique fonctionne de la même façon, à plus grande échelle. Un salarié curieux parcourt un partage réseau ouvert, branche un disque d'occasion ou examine un ordinateur portable réaffecté à la recherche de fichiers de configuration et de bases exportées. Comme rien n'est piraté, aucune alerte ne se déclenche et l'activité peut passer inaperçue pendant des années.
À quoi cela ressemble dans Anexet
Anexet traite les résidus numériques présents dans l'organisation. Dans le module Anexet DLP, l'audit des partages réseau enregistre les opérations sur les fichiers et peut conserver une copie fantôme de ce qui est écrit sur un partage. Le File Systems Monitoring utilise une correspondance par hachage pour repérer, sur les postes de travail, les copies de documents protégés.
1 / 2
Qui fouille les résidus, et pourquoi
Pour un attaquant externe, le scavenging est une reconnaissance peu coûteuse : un organigramme jeté, un ancien fichier de configuration ou une note avec des identifiants lui épargne des jours de sondage. Pour une menace interne malveillante, comme un salarié sur le départ, c'est un moyen de collecter des données qu'il est facile de nier, car rien ne transite par des canaux surveillés.
Chercheurs et journalistes ont démontré la technique à plusieurs reprises en achetant des disques d'occasion et en décrivant ce qu'ils avaient pu récupérer.
Contre-mesures
Réduire les résidus exploitables relève d'une discipline qui couvre tout le cycle de vie des données, et non d'un contrôle isolé. Les disques retirés doivent subir un assainissement des supports avant de quitter l'organisation, et le papier doit être déchiqueté puis éliminé dans des bacs verrouillés.
- 1
Inventaire et classification des données
Savoir quelles données sont sensibles et où se trouvent leurs copies conditionne toutes les autres mesures.
- 2
Assainissement des supports avant mise au rebut
Les supports sont effacés ou détruits physiquement avant retrait, et le résultat est vérifié plutôt que présumé.
- 3
Limitation des accès au stockage partagé
Droits minimaux sur les partages réseau et les dossiers cloud, revue régulière des permissions et nettoyage des données obsolètes.
- 4
Chiffrement
Les résidus illisibles sans clés perdent l'essentiel de leur valeur, sur les systèmes en service comme sur les supports retirés.
- 5
Surveillance du stockage des fichiers
Visibilité sur ce qui est écrit, où, et sur les copies de fichiers protégés qui apparaissent là où elles ne devraient pas être.
Ce que le logiciel peut et ne peut pas faire
Un logiciel ne peut pas empêcher quelqu'un de fouiller une benne ou un disque d'occasion. Il couvre en revanche les copies créées au sein de l'organisation, là où naissent la plupart des résidus. La manière de surveiller les transferts est décrite sur la page contrôle des transferts de fichiers et des partages réseau.
| Mesure | Neutralise les supports retirés | Voit les copies sur les partages | Enregistre qui a écrit la copie |
|---|---|---|---|
| Assainissement des supports | |||
| Chiffrement au repos | |||
| Audit des opérations sur fichiers dans Anexet |
Par où commencer
Commencez par les données dont la réapparition causerait le plus de dommages, puis repérez les endroits où leurs copies s'accumulent réellement. Une règle appliquée à tous les fichiers à la fois bloque le travail courant et se désactive en quelques semaines, alors qu'une règle ciblée sur quelques dossiers à forte valeur tient dans la durée.
Les données qui fuient par accident sont généralement celles que personne n'a pensé à supprimer.
Anexet TeamComment Anexet traite ce sujet
Un logiciel ne peut pas empêcher quelqu'un de fouiller une benne ou un disque d'occasion. Ce versant du scavenging relève de la politique d'élimination, de l'assainissement des supports et de la discipline physique. Anexet traite les résidus numériques au sein de l'organisation : copies, fichiers temporaires et écritures sur le stockage partagé qui, sans cela, apparaîtraient et passeraient inaperçus.
L'architecture on-premise conserve les règles de détection, le contenu capturé et les journaux d'événements dans l'infrastructure propre de l'organisation. C'est important, car la trace des données résiduelles est elle-même sensible.
Audit des opérations sur fichiers
Les agents installés sur les postes auditent les opérations sur fichiers dans les partages réseau. Le nom complet du fichier, sa taille et le processus à l'origine de l'opération sont consignés, de sorte qu'un fichier apparu dans un dossier partagé garde la trace de la personne qui l'y a déposé.
Stockage partagé maîtrisé
L'accès aux partages réseau et l'écriture sur ceux-ci peuvent être restreints selon le nom du partage (liste blanche ou noire), les attributs du fichier et son contenu. Les fichiers écrits sur un partage sont contrôlés selon les politiques de sécurité et peuvent être bloqués ou conservés pour examen.
Copies fantômes des fichiers transférés
Les fichiers interceptés sur des supports amovibles et des partages réseau sont copiés en zone contrôlée, avec des limites de taille paramétrables. Le registre de ce qui a été déplacé subsiste, même si l'utilisateur supprime ensuite l'original.
Repérer les copies aux emplacements non approuvés
Le File Systems Monitoring recherche sur les postes les fichiers correspondant aux banques de hachage de documents protégés, à une somme de hachage précise ou à des attributs (nom, extension, taille). Il peut agir à distance sur ce qu'il trouve : copier, déplacer, masquer, passer en lecture seule ou supprimer.
Piste d'audit
Chaque événement fichier est consigné avec ses métadonnées : utilisateur, horodatage et action effectuée. Les enquêteurs disposent ainsi d'une piste d'audit complète et attribuable sur l'apparition des copies résiduelles et sur leur manipulation.
Anexet DLP
En savoir plus