Service de test de sécurité sur équipements IoT
Être connecté à l'internet n'est plus un privilège réservé aux ordinateurs. Des objets d'usage courant tels que les ampoules électriques, les compteurs d'électricité, les équipements médicaux, peut-être même votre machine à café et votre réfrigérateur, ont aujourd'hui des capacités améliorées, en tirant parti d'une connexion à l'internet.
Ces « objets » envoient des données relatives à l'utilisateur dans le Cloud, où elles sont analysées et stockées. Il est évident que ces systèmes peuvent exister tant que le concept de sécurité leur est lié. Dans certains cas, les informations envoyées peuvent être extrêmement confidentielles et donc très susceptibles de faire l'objet de cyber-attaques.
Certains dispositifs IoT fonctionnent dans des environnements où leur bon fonctionnement peut être une question de vie ou de mort. Les hôpitaux, par exemple, sont de plus en plus modernes et utilisent des dispositifs IoT pour plusieurs raisons. Dans certains cas, il est vital de s'assurer que ces appareils fonctionnent correctement et que les données sont transmises et livrées en toute sécurité.
Le monde de l'IoT est, le plus souvent, composé de protocoles et de règles de communication propriétaires. Par conséquent, le concept de conformité en matière de sécurité n'est pas quelque chose qui est minutieusement suivi par chaque appareil.
C'est pourquoi wizlynx group propose une évaluation personnalisée de la sécurité de l'Internet des objets, dans le cadre de laquelle nos spécialistes de la cybersécurité vérifieront vos appareils connectés IoT par rapport à l'ensemble de la surface d'attaque applicable aux équipements IoT. Nos services s'appuient sur des analystes en cybersécurité et des testeurs d'intrusion hautement qualifiés ayant une grande expérience, à la fois en défense et en attaque.
Quels sont les éléments testés lors d'une évaluation de sécurité d'un équipement IoT ?
Mots de passe faibles, devinables ou codés en dur
Utilisation de mots de passe faciles à casser, codés en dur, accessibles au public et/ou non modifiables dans les logiciels/micrologiciels côté client qui peuvent permettre un accès non autorisé aux dispositifs déployés.
Services et protocoles réseau non sécurisés
Services de réseau actifs inutiles et/ou non sécurisés - en particulier ceux qui sont exposés à l'internet - qui compromettent la confidentialité, l'intégrité ou la disponibilité des informations ou qui permettent un contrôle à distance non autorisé (par exemple Telnet, Wi-Fi, ZigBee, Bluetooth, etc.).
Interfaces d'accès non sécurisées
Interfaces web, backend API, cloud ou mobiles non sécurisées qui permettent de compromettre l'appareil et/ou ses écosystèmes. Les problèmes les plus courants sont l'absence d'authentification et d'autorisation, l'absence ou la faiblesse du chiffrement, ainsi que l'absence de validation des entrées et de codage des sorties.
Absence de mécanisme de mise à jour sécurisé
Absence de capacité à mettre à jour le dispositif/écosystème en toute sécurité, absence de validation du micrologiciel sur le dispositif, absence de livraison sécurisée (non chiffrée en transit), absence de mécanisme anti-retour, absence de notification des modifications de sécurité dues aux mises à jour.
Protection insuffisante de la vie privée
Les informations personnelles des utilisateurs sont stockées de manière non sécurisée sur l'appareil, utilisées de manière non sécurisée, inappropriée et/ou sans autorisation dans les journaux d'évènements et autres artefacts, transmises de manière non sécurisée sur le réseau ou sur l'internet, absence de divulgation adéquate de la vie privée avant l'utilisation.
Transfert et stockage de données non sécurisés
Manque de sécurité des données sensibles au repos, en transit ou pendant le traitement (par exemple, cryptographie insuffisante ou inexistante, mauvaise gestion des clés, contrôles d'accès inefficaces aux plateformes, etc.)
Manque de durcissement physique
Absence de défenses physiques contre la falsification et/ou absence de contrôle de l'intégrité du système, ce qui permet à des attaquants potentiels d'obtenir des informations sensibles susceptibles de contribuer à une future attaque à distance.
Personnalisation des paramètres de sécurité insuffissante
Absence de fonctions de produit fournies par le fournisseur pour aider l'utilisateur à sécuriser l'appareil par le biais de la configuration (par exemple, authentification plus forte, journalisation, surveillance, gestion de la force de chiffremetn, etc.)
Êtes-vous à la recherche de
Services de Cybersécurité?
Laissez-nous vous aider à sécuriser votre entreprise dès aujourd'hui !
Qu'obtiendrez-vous ?
Toutes les conclusions seront consignées dans un rapport final, puis comparées à un profil forces/faiblesses par rapport aux normes internationales en matière de sécurité informatique et de cybersécurité. Les faiblesses identifiées seront évaluées et complétées par des recommandations et des mesures correctives, et classées par ordre de priorité en fonction du risque associé. Le rapport final sera discuté lors d'une présentation avec vous. Le rapport comprendra un résumé complet et significatif destiné aux cadres dirigeants de l'évaluation de la sécurité effectuée. En outre, il comprendra tous les résultats détaillés avec les preuves respectives et les recommandations pour les mesures de sécurité futures.
Nos certifications en matière de sécurité et de test d'intrusion
Les consultants en sécurité et les testeurs d'intrusion de wizlynx group détiennent les certifications les plus reconnues dans le secteur de la cybersécurité et des tests d’intrusion, telles que : CREST CRT, SANS/GIAC GXPN, GPEN, GWAPT, GCIH, GMOB, OSCP, CEH, CISSP, CISA et plus encore !
