National Exposure Index Afrique du Nord / Ouest à travers la vision d’un attaquant Flavien Vivier Security Sales Engineer EMEA, Rapid7

1. National Exposure Index
Afrique du Nord / Ouest à travers la
vision d’un attaquant
Flavien Vivier
Sales Engineering
EMEA

2. #whoami
• Security Sales Engineer EMEA, Rapid7
• +7 années d’expérience ingénieur et consultant
• Spécialités : Incident Detection & Response
• Intérêts++ : Offensive Security, Intelligence
Gathering, Social Engineering, Threat Modeling,
Vulnerability Analysis, Application Security Testing
• Et + : Conseil et bonnes pratiques sécurité, retour
d’expérience terrain
Flavien Vivier

3. National Exposure Index
Afrique du Nord / Ouest à travers la
vision d’un attaquant
Flavien Vivier
Sales Engineering
EMEA

4. 6,300 clients
120 pays
39% des Fortunes 1000
Fondé en
2000
Focus sur les
questions
critiques
Sécurité & IT
Expertise de
sécurité pour
vos experts
en sécurité
Nous
investissons
dans la
recherche en
sécurité
Suis-je vulnerable ?
Suis-je compromise ?
Suis-je optimisé ?
Security Advisory Services
Incident Detection & Response
Penetration Testing
Vulnérabilités
Pratique IoT
Télémétrie Internet

5. Projet Sonar (Sonar Project)
https://sonar.labs.rapid7.com

7. Quelle est la nature de l'exposition à
Internet – des services qui n'offrent pas
de protection cryptographique
moderne ou qui ne sont pas adaptés à
l'Internet –
et où, physiquement, ces services
exposés sont-ils situés ?

8. Le produit intérieur brut (PIB) d'un pays a-t-il un effet appréciable sur
l'ampleur de son adoption des technologies Internet ?
Est-ce qu’avec un PIB plus élevé, les pays technologiquement avancés ont des
niveaux supérieurs de services qui posent des risques de sécurité ?
Quels sont les services populaires sur Internet ?
Quel est le fossé entre l’Internet que nous avons et l’Internet que nous voulons ?
Quels sont les services exposés qui n'ont pas de raison d'être sur Internet ?

9. Qu’avons-nous fait ?

11. SMTP(S) ssh
Telnet
IMAP(S)
POP3(S)
HTTP(S)
8080
MS SQL
Server DNS
FTP(S)
MySQL
8081
RDP
SMTP
Sub
8443
NBSS
LDAP(S)
SMB
RFB
(VNC)
8888
MS-RPC
PPTP
rpcbind
jetdirect
uPnP

12. SMTP(S) ssh
Telnet
IMAP(S)
POP3(S)
HTTP(S)
8080
MS SQL
Server DNS
FTP(S)
MySQL
8081
RDP
SMTP
Sub
8443
NBSS
LDAP(S)
SMB
RFB
(VNC)
8888
MS-RPC
PPTP
rpcbind
jetdirect
uPnP

13. SMTP(S) ssh
Telnet
IMAP(S)
POP3(S)
HTTP(S)
8080
PPTP
MS SQL
Server DNS
FTP(S)
MySQL
8081
RDP
SMTP
Sub
rpcbind
8443
NBSS
LDAP(S)
SMB
RFB
(VNC)
8888
MS-RPC
jetdirect
uPnP

15. Services nativement non chiffrés sur Internet
Exposer un service sur Internet qui n’a aucun intérêt à
l’être
Pays dont le % de services exposés est le + élevé par
rapport à l'espace d'adresses IP total attribué auront
tendance à obtenir une note + élevée sur l'exposition
nationale
Score Elévé = Not Good

16. Qu’avons-nous appris ?

17. Il y a une corrélation directe entre PIB et
allocation d’IPs fixes
Pays Position | PIB 2017 projeté Position | Allocation IP
États-Unis d'Amérique 1 1
Chine 2 2
Japon 3 3
Royaume-Uni 5 4
Allemagne 4 5
Corée du Sud 12 6
Brésil 8 7
France 7 8
Canada 10 9
Italie 9 10
#1

18. Un PIB plus important et des allocations IP fixes plus
importantes ne signifient pas une exposition accrue
Pays Position | PIB 2017 projeté Position | Allocation IP Rank | Rapid7 NEI 2017 Différence (IP vs NEI)
États-Unis d'Amérique 1 1 137 + 136
Chine 2 2 21 + 19
Japon 3 3 155 + 152
Royaume-Uni 5 4 37 + 33
Allemagne 4 5 129 + 124
Corée du Sud 12 6 105 + 99
Brésil 8 7 125 + 118
France 7 8 14 + 6
Canada 10 9 43 + 34
Italie 9 10 156 + 146
#2

19. Pas plus qu’avoir une ouverture et une
présence plus ancienne sur Internet
#3
1
2
3
4
5
Zimbabwe
Hong Kong
Samoa
République du Congo
Tadjikistan

20. Les incidents de sécurité majeurs entraînent
des changements - à la fois by design et par
mégarde
#4
14.8m
Nombre de nœuds
actifs lors d’un
scan de port pour
telnet (23) en 2016
10.0m
Nombre de nœuds
actifs lors d’un
scan de port pour
telnet (23) en 2017

21. Parfois, I just #Wannacry…….
#5
1.0m
Endpoint avérés
comme exposant
de partage de
fichiers Microsoft
(SMB, TCP Port
445)
Distribution au niveau des pays des nœuds Windows exposant SMB (port
445)

22. Le rapport National Exposure Report est
utilisé dans le monde réel pour aider à
réduire son exposition
#6
1
Classement de la
Belgique dans le
NEI en 2016
179
Classement de la
Belgique dans le
NEI en 2017
Rapid7 informe le gouvernement belge, le CERT et
les FAI des résultats du NEI
250 000 serveurs Internet publics adressables en IP
offrant des services exposés supprimés par le CERT
belge et Proxima
Il est possible de prendre des mesures pour réduire
son exposition à Internet en travaillant avec les
décideurs politiques et les fournisseurs de services
Internet

23. Mais qu’en est-il de l’Afrique du
Nord et de l’Ouest ?

24. Au global : Plutôt Bon
Pays comparés : Algerie, Tunisie, Mali
+2/3 pays classés dans le quartile inférieur
# Port 445 (SMB – utilise pour répandre) est “raisonnablement” bas
# serveurs ayant +30 ports ouverts est extrêmement bas
Ratio telnet / SSH est trop élevé
Ratio HTTP / HTTPs est en dessous de la moyenne

25. Algérie, vous gérez (plutôt) bien !
Espace IPv4 alloué : 4 791 040
IPs trouvées : 52 060
% utilisé : 1,1%

26. Algérie se classe 181è sur 183 au sein du
Rapid7 2017 National Exposure Index
~5k
Serveurs
répondants à
Telnet (port 23)
~4,5k
Serveurs
répondant à SSH
~2,5k
Serveurs sondés
répondants à SMB
(port 445)
39
Périphériques
scannés ayant +30
ports ouverts

27. Tunisie
Espace IPv4 alloué : 5 227 008
IPs trouvées : 162 037
% utilisé : 3,1%

28. Tunisie ranks 131è sur 183 au sein du Rapid7
2017 National Exposure Index
~66k
Serveurs
répondants à
Telnet (port 23)
~50k
Serveurs
répondant à SSH
1782
Serveurs sondés
répondants à SMB
(port 445)
1
Périphériques
scannés ayant +30
ports ouverts

29. Mali
Espace IPv4 alloué : 78 848
IPs trouvées : 7 304
% utilisé : 9,3%

30. Mali se classe 73è sur 183 au sein du Rapid7
2017 National Exposure Index
~1k
Serveurs
répondants à
Telnet (port 23)
~0,7k
Serveurs
répondant à SSH
161
Serveurs sondés
répondants à SMB
(port 445)
0
Périphériques
scannés ayant +30
ports ouverts

31. Recommandations
Si nous pouvons le voir, les attaquants peuvent le voir - les administrateurs
IT doivent GAGNER EN VISIBILITE, examiner ce qui est autorisé et attendu
sur Internet.
Les services de tests d’intrusion externes permettent de mieux comprendre le
risque d'attaque et sa posture de sécurité. Faites-en une partie intégrante de
votre programme de sécurité.
Les données du projet Sonar peuvent être utilisées conjointement avec votre
programme de gestion des vulnérabilités pour obtenir une « vue extérieure » de
votre organization.

32. Tod Beardsley
Director de Recherche | Rapid7
tod_beardsley@rapid7.com
@todb
Bob Rudis
Chief Security Data Scientist | Rapid7
bob_rudis@rapid7.com
@hrbrmstr
Téléchargez le rapport : https://www.rapid7.com/info/national-exposure-index/
Si vous avez le courage : scans.io
Consultez nos autres recherches sur rapid7.com

33. $ curl -o smb.csv.gz
https://scans.io/data/rapid7/sonar.tcp/2017-08-16-1502859601-
tcp_smb_445.csv.gz
$ gzcat smb.csv.gz | cut -d, -f4,4 | grep MY_COMPANY_IP_ADDRESSES

34. MERCI
‫شكرا‬
Flavien VIVIER
Security Sales Engineer,
EMEA
O : +33 1 73 29 33 75
M : +33 6 18 74 09 98
E : fvivier@rapid7.com