27 avril 2022
Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) du CST s’est joint à ses partenaires en cybersécurité de la Cybersecurity and Infrastructure Security Agency (CISA), de la National Security Agency (NSA), du Federal Bureau of Investigation (FBI), de l’Australian Cyber Security Centre (ACSC), de la Computer Emergency Response Team New Zealand (CERT NZ) et du National Cyber Security Centre (NCSC) du Royaume‑Uni pour publier un bulletin de cybersécurité conjoint visant à offrir de l’information sur les 15 vulnérabilités et expositions courantes (CVE pour Common Vulnerabilities and Exposures) les plus souvent exploitées par les auteurs de cybermenace en 2021, ainsi qu’une liste secondaire de vulnérabilités qui ont été fréquemment prises pour cibles au cours de cette période.
Le Centre pour la cybersécurité ou ses partenaires ont signalé toutes ces CVE et ont fourni des mesures d’atténuation pour chacune d’elles. Le Centre pour la cybersécurité continue d’encourager toutes les organisations à prendre les mesures nécessaires afin de protéger leurs systèmes, ce qui comprend notamment les suivantes :
- appliquer les mesures correctrices appropriées, telles que les mises à jour de systèmes d’exploitation, d’applications et de micrologiciels ou les solutions de contournement approuvées par les fournisseurs;
- activer l’authentification multifacteur pour tous les utilisateurs;
- activer l’authentification multifacteur pour toutes les connexions RPV ou, si ce n’est pas possible, adopter une stratégie de mots de passe robustes;
- réexaminer, valider ou retirer les comptes privilégiés au moins une fois par année;
- adhérer au principe de droit d’accès minimal lors de la configuration des contrôles d’accès;
- désactiver les protocoles et ports réseau non utilisés ou superflus, chiffrer le trafic réseau et désactiver les services et dispositifs réseau non utilisés;
- segmenter les réseaux pour limiter ou bloquer les déplacements latéraux;
- mettre en œuvre une liste d’applications autorisées.
Plus d’informations sur ce bulletin (disponible en anglais seulement)