Décembre : le mois de tous les dangers

Une lecture a retenu mon attention ce soir, à quelques jours du prochain Patch Tuesday de Microsoft, dernier de la décennie de l’année(1) :

Hackers view the holiday season as the ideal time for hacking business computer systems

Cet article soulève un point intéressant : la période des fêtes de fin d’année est une période d’activité privilégiée des “hackers” à la recherche de proies faciles sur Internet : vos réseaux, vos sites web, vos postes de travail. Malgré une étrange insistance à réduire la sécurité au paramétrage de firewalls, l’article a le mérite de rappeler que cette période est particulièrement critique pour plusieurs raisons.

Les sites de commerce font ce mois-ci une part plus qu’importante de leur chiffre d’affaires annuel. Le trafic et le revenu est tel que tous les efforts de supervision doivent être concentrés sur les quelques systèmes vitaux, au détriment peut-être d’autres points d’entrée plus discrets.

Deuxième point : pour les mêmes raisons, le cybercriminel maître-chanteur au DDOS aura sans aucun doute très peu de mal à convaincre sa victime de payer rapidement... et discrètement.

Enfin, et c’est le plus inquiétant car la solution existe mais n’est pas mise en œuvre : tous les réseaux d’entreprise sont en “freeze” en fin d’année. Que ce soit en raison du pic d’activité commerciale ou des opérations annuelles comme les clôtures de comptes, les serveurs applicatifs ne sont pas patchés pendant au moins un mois. Mardi 8/12, dans 3 jours, Microsoft publiera 6 bulletins de sécurité dont 3 critiques. Que feront les entreprises les plus exposées ? Rien. Comme d’habitude en décembre. Et c’est bien dommage.

(1) Trop pressé d’en finir avec cette décennie, j’oubliais que les périodes comme les décennies, siècles et autres millénaires commencent les années en 1 et se terminent les années en 0. Merci Stéphane pour le rappel.