9 entreprises américaines sur 10 touchées par le botnet Zeus
D'après une étude publiée hier

Le , par Gordon Fowler, Expert éminent sénior
Amazon avait bien tenté de convaincre les entreprises réticentes de passer au Cloud avec une offre supposée plus sécurisée (lire par ailleurs).

C'est raté.

En tout cas pour la sécurité puisqu'un Hacker a réussi à héberger et faire tourner le module de commande centrale (command and control) du botnet Zeus, assimilable à un cheval de Troie.

Zeus est spécialisé dans le vol de données sensibles (bancaires, mots de passe, etc.).

Les pirates n'ont pas, à proprement parlé, utilisé l'EC2 d'Amazon (lire ci-dessous pour plus de détails sur l'EC2). Ils ont pénétré l'infrastructure en hackant un site web qui lui-même était hébergé sur les serveurs d'Amazon.

Il n'en reste pas moins qu'il s'agit de la première utilisation malicieuse cataloguée du Cloud d'Amazon.

Indépendamment de cette histoire, les experts s'inquiètent de la migration croissante des criminels vers ce type de solutions délocalisées. Le Cloud récupérerait petit à petit les bannis des serveurs classiques, serveurs qui, par crainte de mauvaise image, font de plus en plus attention aux activités qu'ils hébergent.

Il se pourrait donc bien que des numéros de cartes de crédit volé avec Zeus depuis Amazon servent à acheter des EC2... à Amazon.

Et ainsi de suite.

Mais que l'on se rassure, Amazon a déjà pris toutes les disposition nécessaires.

Zeus n'est plus dans les nuages.

Source : L'étude qui a mis à jour la présence de Zeus dans le Cloud d'Amazon

Et vous ? :

Le Cloud va-t-il (également) devenir un repère privilégié pour les criminels ?
Pour vous, l'informatique dans les nuages est-elle un progrès ou une régression en terme de sécurité ?

MAJ de Gordon Fowler

Cloud Computing : Amazon annonce une offre plus sécurisée pour convaincre les entreprises réticentes

Amazon vient d'annoncer une nouveauté particulièrement intéressante : la possibilité de créer un tunnel entre, d'une part, l'infrastructure interne d'une organisation, et d'autre part, les Web Services qu'elle propose en Cloud ; et ce, de manière sûre, fiable et peu coûteuse.

C'est en tout cas ce que promet la société.

Pour mémoire, le Amazon Web Service est une offre qui s'appuie sur deux produits phares : le EC2 (pour Elastic Cloud), des machines virtuelles personnalisables sur lesquelles le client peut héberger et faire tourner ses applications, et le stockage à la demande S3 (pour Simple Storage Service).

Le principe de ces deux produits est d'être facturés uniquement à l'utilisation.
Ils permettent donc d'adapter les coûts informatiques aux plus près des besoins d'une société.

Néanmoins, le Cloud Computing pose encore de nombreux problèmes pour une adoption corporate, notamment en terme de sécurité.

Transférer ses applications et ses données sensibles exige en effet, dans le monde professionnel encore plus que dans la vie privée, des mesures drastiques.

Or la sécurité est souvent décrite comme le talon d'Achille de ce type d'offres.

Amazon tente donc d'y remédier pour vaincre les réticences des sociétés.
Son annonce va en tout cas dans ce sens.

La connexion aux EC2 des clients sur le Amazon Web Service pourra donc se faire à présent via un VPN ("Virtual Private Network" ou "réseau privé virtuel") que l'on schématise souvent pour le vulgariser par un "tunnel" crypté.

L'autre innovation proposée est la possibilité pour le client de créer sa propre grappe d'"instances" EC2 au sein du Cloud d'Amazon.

Amazon a baptisé cette nouvelle offre "Virtual Private Cloud" ou "VPC".

D'après Amazon, le VPC devrait permettre une intégration beaucoup plus simple des applications internes de l'entreprise.

Comme elle est de surcroit plus sécurisée, le fournisseur de services délocalisés espère bien que son offre lui permettra de pénétrer le marché professionnel beaucoup plus efficacement qu'en jouant sur le simple argument prix.

Mais ces nouveautés seront-elles suffisantes pour convaincre les indécis ?

Werner Vogels, directeur de la technologie de Amazon, considère pour sa part que les entreprises sont toutes plus ou moins prêtes à sauter le pas, pour peu qu'on leur propose des offres adaptées et simples.
Ce qui, à l'en croire, sera la cas de VPC.

Dans un billet très complet, il explique également sa définition du "Cloud privé" :
We have developed Amazon Virtual Private Cloud (Amazon VPC) to allow our customers to seamlessly extend their IT infrastructure into the cloud while maintaining the levels of isolation required for their enterprise management tools to do their work.

Ce mélange d'"isolement" et d'externalisation à la demande est la base de ce que Werner Vogels appelle le "Private Cloud".

D'où le nom choisi pour ce produit dans lequel Amazon et ses dirigeants semblent placer beaucoup d'espoirs.

Amazon VPC est disponible en version béta.
Une inscription préalable est exigée.

Sources :

La béta publique de Amazon VPC
L'annonce de la nouvelle offre sur le blog de Amazon Web Service
Le billet de Werner Vogels

Lire aussi :

Cloud Computing : 4 entreprises sur 5 l'auraient adopté
Etude : Le Cloud a le vent en poupe chez les développeurs
Les débats sur le Cloud et sa définition font rage
L’OMG veut coordonner la standardisation du cloud computing

Et vous ? :

Pensez-vous que cette nouvelle offre soit suffisament sécurisée pour rassurer les entreprises ?
Que pensez-vous de la définition du "private cloud" de Werner Vogels ?
Êtes-vous tenté(e) par la béta-test de VPC ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de Gordon Fowler Gordon Fowler - Expert éminent sénior https://www.developpez.com
le 10/12/2009 à 12:00
Sécurité : le Cloud d'Amazon hébergeait un Trojan
L'informatique dans les nuages est-elle un progrès ou une régression en terme de sécurité ?

Cf. pemier billet de ce topic.

Le Cloud va-t-il (également) devenir un repère privilégié pour les criminels ?
Pour vous, l'informatique dans les nuages est-elle un progrès ou une régression en terme de sécurité ?
Avatar de Federico_muy_bien Federico_muy_bien - Membre habitué https://www.developpez.com
le 10/12/2009 à 13:06
Zeus n'est plus dans les nuages.

Une solution en cloud doit proposer les plus grosses sécurités possibles à mon avis ... mais comme le risque zero n'existe pas ... je n'aime pas trop ça (même si ça a l'air pratique)
Avatar de farnulfo farnulfo - Candidat au Club https://www.developpez.com
le 10/12/2009 à 13:48
Un article un peu trop alarmiste à mon avis.
Zeus utilisait un serveur qui effectivement était hébergé sur Amazon EC2.
Mais cela n'a pas compromis la sécurité des autres clients de Amazon. C'est cela qui aurait été vraiment grave.

Pour ma part je pense que le cloud va faire avancer la sécurité en nous obligeant à mieux sécuriser les données par exemple.

Le fait que les pirates utilisent le cloud computing est au contraire une bonne publicité : c'est que ça marche bien ! ;-)
Avatar de souviron34 souviron34 - Expert éminent sénior https://www.developpez.com
le 12/12/2009 à 16:13
Citation Envoyé par farnulfo  Voir le message
Pour ma part je pense que le cloud va faire avancer la sécurité en nous obligeant à mieux sécuriser les données par exemple.



la meilleure sécurité consistant à ne pas les mettre sur le ouaibe...

Avatar de Lyche Lyche - Expert confirmé https://www.developpez.com
le 14/12/2009 à 11:25
Citation Envoyé par souviron34  Voir le message


la meilleure sécurité consistant à ne pas les mettre sur le ouaibe...


+1024

Je ne pense pas que le Cloud soit "la" solution tant attendue. Trop de dérives possibles et trop de dangers pour les entreprises.
J'attends de voir ce que ça donne, mais bon, ça fait un peu années 70 et le retour des Mainfram
Avatar de Katleen Erna Katleen Erna - Expert éminent sénior https://www.developpez.com
le 15/04/2010 à 4:45
Mise à jour du 14.04.2010 par Katleen
9 entreprises américaines sur 10 touchées par le botnet Zeus, d'après une étude publiée hier

Le cabinet d'étude RSA FraudAction vient de publier un rapport réalisé par son service spécialisé dans la lutte contre les trojans. Ses équipes ont analysé les données volées par Zeus (voir news précédente, ci-dessous) sur des ordinateurs infectés en août 2009.

De là, les chercheurs ont pu remonter jusqu'à des adresses IP ou e-mail appartenant à des entreprises. Il a ainsi été démontré que 88% des domaines des compagnies du classement Fortune 500 (les plus importantes firmes américaines) avaient reçu la visite d'ordinateurs infectés par Zeus. Autrement dit, près de 9 grandes compagnies sur 10 souffriraient de l'activité de cet botnet.

De plus, environ 60 % de ces entreprises seraient atteintes au niveau de leurs messageries, puisque les données volées de comptes e-mails leur appartenant ont été retrouvées sur les sites où les informations volées par Zeus étaient entreposées.

Les compagnies employant moins de 75.000 personnes sont apparues comme les plus touchées, avec le plus grand nombre d'adresses e-mail compromises.

Lire aussi :
Peut-on vraiment lutter contre les botnets ?

Pensiez-vous que le botnet Zeus aurait eu un tel impact sur autant d'entreprises aussi puissantes ?
Avatar de JoeChip JoeChip - Membre éclairé https://www.developpez.com
le 15/04/2010 à 8:23
Pour ma part je pense que le cloud va faire avancer la sécurité en nous obligeant à mieux sécuriser les données par exemple.

Oui, et les voleurs font avancer la sécurité en nous obligeant à mettre des serrures ; d'avantage d'ivrognes sur la route feraient avancer la sécurité en nous obligeant à nous méfier de tout le monde, etc...

Le seul avantage du cloud computing, à mon avis, est commercial... C'est la seule façon de faire payer les programmes "au flux" et non au stock... Le rêve de Microsoft : se faire payer à chaque utilisation de ses softs... Pour la sécurité, bah, comme d'hab : il faudra une catastrophe ou deux pour qu'elle commence à être à peu près correctement gérée...
Avatar de benzoben benzoben - Membre actif https://www.developpez.com
le 15/04/2010 à 9:42
Le problème c'est qu'il y a beaucoup de mythe autour de la sécurité. Beaucoup de gens pensent savoir se protéger et parce que leur antivirus ne dit rien se disent qu'ils n'ont rien.
Je pensais être aussi à jour dans ce domaine jusqu'au moment où je me suis chopé un rootkit totalement invisible via une bête clé USB. Je m'en suis aperçu quelques temps après (combien je ne sais pas) car mon antivirus à commencer à trouver tout un tas de virus qui réapparaissaient chaque jour.
Depuis je suis devenu encore plus parano.
Donc ça ne m'étonne pas de voir que tant de boites sont touchées par des botnets.

Le pire dans la sécurité c'est que c'est comme la voiture : t'as beau roulé comme il faut et mettre ta ceinture rien ne t'empêchera te prendre un mec bourré qui aura brulé son feu!
Avatar de s4mk1ng s4mk1ng - Membre éprouvé https://www.developpez.com
le 16/04/2010 à 10:06
9/10 c'est assez énorme comme chiffre après reste à savoir à quelle niveau réel elles sont touchées.
Offres d'emploi IT
Expert décisionnel business intelligence H/F
Safran - Ile de France - Évry (91090)
Architecte technique des systèmes d'information H/F
Safran - Ile de France - Évry (91090)
Ingénieur développement fpga (traitement vidéo) H/F
Safran - Ile de France - 100 rue de Paris 91300 MASSY

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil