Points clés
- La technique de DLP (Data Loss Prevention) réseau peut détecter des transferts de données sensibles vers des destinations non autorisées dans les flux réseau — Equifax (États-Unis, 2017) avait une solution DLP en place mais une règle d'inspection SSL désactivée pour les flux de son serveur Apache Struts compromis, permettant l'exfiltration de 147 millions de dossiers sans détection.
- Le rapport MITRE ATT&CK sur les techniques d'exfiltration indique que 68 % des exfiltrations de données dans les incidents documentés utilisent des canaux de communication légitimes (HTTPS, DNS, cloud storage) rendant leur détection impossible sans inspection des contenus et analyse comportementale des flux.
- L'analyse des flux réseau (NetFlow) a permis dans l'incident Marriott (États-Unis/UE, 2018) de reconstruire a posteriori la chronologie complète de l'exfiltration des données de 383 millions de clients — illustrant que les flux réseau sont une source forensique de premier ordre, même quand ils n'ont pas permis la détection en temps réel.
Les flux de données réseau sont un miroir des processus organisationnels : chaque application communique, chaque utilisateur interagit avec des services, chaque service appelle des dépendances. Cette richesse d'information rend l'analyse des flux réseau particulièrement précieuse pour identifier les failles organisationnelles — des processus inefficaces, des accès non maîtrisés, des comportements anormaux — qui ne seraient pas visibles autrement.
Ce que les flux réseau révèlent sur les failles organisationnelles
Les flux réseau révèlent plusieurs catégories de failles organisationnelles : (1) flux non documentés entre systèmes — deux systèmes qui ne devraient pas communiquer directement selon l'architecture documentée révèlent une dépendance non cartographiée ou un contournement d'architecture, (2) volumes d'accès anormaux — un serveur qui transfère soudainement 100 Go de données vers une destination externe inhabituelle révèle une exfiltration potentielle ou une erreur de configuration, (3) résolution DNS vers des domaines inhabituels — les requêtes DNS vers des domaines nouvellement créés ou non catégorisés peuvent indiquer une communication avec de l'infrastructure C2, (4) communications en dehors des heures ouvrées vers des destinations externes — des communications nocturnes régulières vers des adresses IP géolocalisées dans des pays sans relation commerciale avec l'organisation peuvent indiquer une backdoor.
Outils d'analyse des flux réseau
L'analyse des flux réseau s'appuie sur plusieurs sources complémentaires : les journaux de pare-feu (source d'information sur les connexions autorisées et bloquées), les flux NetFlow/IPFIX (résumés de connexions sans contenu mais avec métadonnées complètes — source, destination, volume, durée), les logs DNS (requêtes DNS comme indicateur précoce de beaconing C2 et DGA), et l'inspection profonde de paquets (DPI) pour les flux où le contenu est nécessaire à l'analyse (dans le respect des contraintes légales sur la surveillance des communications).
Les solutions NDR (Network Detection and Response) combinent l'analyse des flux avec des modèles comportementaux pour détecter automatiquement les anomalies — une approche complémentaire au SIEM qui se concentre sur les flux réseau plutôt que sur les logs applicatifs et systèmes.
Corrélation flux réseau et incidents organisationnels
Plusieurs catégories d'incidents organisationnels se manifestent dans les flux réseau avant de devenir visibles autrement : les accès non autorisés d'employés à des systèmes hors de leur périmètre de travail (accès à des partages réseau RH depuis un poste de développeur), les connexions de systèmes de test vers des systèmes de production (violant la séparation des environnements), et les communications de services cloud non approuvés initiées depuis le réseau interne (shadow IT cloud détectable via les flux DNS et les connexions sortantes).
Cas opérationnel : Equifax — exfiltration non détectée via flux HTTPS chiffrés (États-Unis, 2017)
La compromission d'Equifax a exposé les données personnelles et financières de 147 millions d'Américains. L'exfiltration a duré 76 jours. L'analyse post-incident du Comité du Congrès américain a établi qu'Equifax disposait d'une solution DLP réseau capable de détecter les exfiltrations, mais que l'inspection des flux HTTPS avait été désactivée sur le segment réseau du serveur Apache Struts compromis en raison d'un certificat SSL expiré sur l'appliance d'inspection. Cette configuration défaillante rendait le trafic d'exfiltration invisible pour les outils de détection. L'analyse des journaux de flux réseau bruts post-incident a permis de reconstituer l'intégralité des données exfiltrées, démontrant que l'information était disponible mais non analysée en temps réel. L'incident a conduit à l'obligation légale pour Equifax d'investir 1,38 milliard de dollars en mesures de sécurité, incluant la correction des configurations d'inspection réseau.
L'exfiltration de données de 383 millions de clients Marriott sur quatre ans n'a pas été détectée en temps réel malgré l'existence de journaux de flux réseau. La reconstruction forensique post-incident a utilisé ces journaux pour établir précisément la chronologie des accès et des exfiltrations. L'incident a conduit les équipes sécurité à revoir leurs configurations d'alerte sur les volumes de trafic sortant vers des destinations inhabituelles — une amélioration directement corrective.
Les campagnes Trickbot détectées dans de nombreuses organisations européennes utilisaient le DNS comme canal de communication C2 (DNS tunneling) — en encodant des données dans des requêtes DNS qui semblaient légitimes aux firewalls traditionnels. La détection n'était possible qu'avec une analyse des patterns de requêtes DNS (fréquence, longueur des sous-domaines, entropie) que les solutions d'analyse de flux DNS dédiées permettent d'identifier automatiquement.
Le groupe APT41 (lié à la Chine) utilise systématiquement des flux HTTPS vers des domaines légitimes (GitHub, Google, Microsoft) pour ses communications C2 — rendant la détection par filtrage d'URL ou d'adresse IP inefficace. L'ACSC et les CERT d'Asie-Pacifique ont documenté que seules les organisations ayant déployé des analyses comportementales des flux (fréquence, timing, taille des communications) vers ces domaines ont pu détecter les infections APT41 avant exfiltration complète.