[Áttá~qúés~ Zéró~ Dáý]

[Qúé s~óñt l~és vú~lñérá~bílí~tés Zé~ró-Dá~ý ¿]

[Lés vúlñérábílítés dé týpé « jóúr zéró » sóñt dés fáíllés dé sécúríté íñcóññúés óú dés bógúés dáñs úñ lógícíél, úñ mícróprógrámmé óú úñ mátéríél dóñt lé fóúrñísséúr ñ'á pás cóññáíssáñcé, óú qúí ñé díspósé pás d'úñ córréctíf óú d'úñé mísé à jóúr óffícíél póúr córrígér lá vúlñérábílíté. Sóúvéñt, lés fóúrñísséúrs ét lés útílísátéúrs ñé sóñt pás áú cóúráñt dé l'éxístéñcé d'úñé vúlñérábílíté, à móíñs qú'éllé ñé sóít sígñáléé pár úñ chérchéúr óú décóúvérté à lá súíté d'úñé áttáqúé.]

[Qúé s~óñt l~és át~táqú~és Zé~ró-Dá~ý ¿]

[\ Qúáñd lés áctéúrs málvéílláñts sóñt cápáblés dé dévélóppér ét dé déplóýér ávéc súccès málwáré qúí éxplóíté úñé vúlñérábílíté dé týpé « jóúr zéró », cé málwáré dévíéñt álórs úñé áttáqúé « jóúr zéró ». Éñ éxplóítáñt cétté vúlñérábílíté, lés áctéúrs málvéílláñts óbtíéññéñt úñ áccès ñóñ áútórísé à dés dóññéés séñsíblés ét/óú à dés sýstèmés crítíqúés.]

[Qú'é~st-cé~ qú'ú~ñ éxp~lóít~ Zéró~-Dáý ¿~]

[Úñ éxplóít zéró-dáý ést lá téchñíqúé útílíséé pár lés áctéúrs málvéílláñts póúr áttáqúér lés sýstèmés préséñtáñt cétté vúlñérábílíté. Lés chérchéúrs útílíséñt dés éxplóíts póúr démóñtrér l'ímpáct dé « l'éxplóítátíóñ » dé lá fáíllé póúr óbtéñír úñ áccès ñóñ áútórísé óú cómpróméttré lé sýstèmé sóús-jácéñt.]

[Lés éxplóíts Zéró-Dáý tíréñt léúr ñóm dú fáít qú'íls sóñt cóññús dú públíc dépúís zéró jóúr. Íl ést póssíblé qúé dés áctéúrs málvéílláñts crééñt dés éxplóíts ét áttéñdéñt dé lés útílísér dé máñíèré strátégíqúé. Dáñs cé cás, mêmé sí l'áttáqúáñt cóññáît l'éxplóít, célúí-cí ñ'ést tóújóúrs pás cóññú públíqúéméñt ét ést tóújóúrs cóñsídéré cómmé úñ éxplóít zéró-dáý.]

[Séló~ñ lé P~óñém~óñ Íñ~stít~úté, 80 % d~és ví~ólát~íóñs~ réúss~íés ét~áíéñ~t dés~ áttá~qúés~ Zéró~-Dáý.]

[Lá mé~ñácé~ d'úñ~ éxpl~óít Z~éró-D~áý]

[Íl ést très díffícílé dé sé déféñdré cóñtré lés éxplóíts, cár lés dóññéés rélátívés à l'éxplóít ñé sóñt géñéráléméñt díspóñíblés póúr áñálýsé qú'úñé fóís l'áttáqúé térmíñéé. Cés áttáqúés péúvéñt préñdré lá fórmé dé vérs pólýmórphés, dé vírús, dé chéváúx dé Tróíé ét d'áútrés prógrámmés málvéílláñts.]

[Lórs~qú'ú~ñé vú~lñérá~bílí~té ést~ réñd~úé pú~blíq~úé ét~ qúé l~és ch~érch~éúrs~ óñt d~écóúv~ért ú~ñé só~lútí~óñ óú~ qúé l~é fóú~rñís~séúr~ á dépl~óýé úñ~ córr~éctí~f, éll~é dév~íéñt~ úñé v~úlñér~ábíl~íté có~ññúé~ óú « ñ-d~áý » áú~ líéú~ d'úñ~ « éxpl~óít z~éró-d~áý ».]

[Cómm~éñt l~és éx~plóí~ts Zé~ró-Dá~ý sóñ~t-íls~ útíl~ísés l~órs d~'úñé~ áttá~qúé ¿~]

[Íl s'~ágít~ dé pl~úsíé~úrs m~éthód~és d'~éxpl~óítá~tíóñ~ pérm~éttá~ñt dé~ láñc~ér ét~ d'éx~écúté~r úñé~ áttá~qúé. V~óící~ dés é~xémp~lés d~é méth~ódés~ cóúr~áñté~s :]

• [Lé spéár phíshíñg à l'áídé dé l'íñgéñíéríé sócíálé. Cétté téchñíqúé ést útílíséé pár lés áctéúrs dé lá méñácé (géñéráléméñt lés Étáts-ñátíóñs) póúr íñcítér úñé cíblé íñdívídúéllé spécífíqúé, géñéráléméñt dé háút ráñg, à óúvrír úñ é-máíl málvéílláñt spécíáléméñt cóñçú. Cés áctéúrs péúvéñt pássér úñ cértáíñ témps à tráqúér ét à súrvéíllér lá cíblé súr lés réséáúx sócíáúx áváñt dé láñcér l'é-máíl málvéílláñt.]
• [Cóúrríéls íñdésíráblés ét phíshíñg. Dáñs cé scéñáríó, lés áttáqúáñts éñvóíéñt dés é-máíls à úñ très gráñd ñómbré dé déstíñátáírés íssús dé plúsíéúrs órgáñísátíóñs, dáñs l'éspóír qú'úñ fáíblé póúrcéñtágé óúvrírá l'é-máíl ét clíqúérá súr lé líéñ qúí ý ést íñtégré. Clíqúéz súr lé líéñ póúr téléchárgér lá chárgé málvéílláñté óú rédírígér l'útílísátéúr vérs úñ síté qúí téléchárgérá áútómátíqúéméñt lé lógícíél málvéílláñt. Cétté téchñíqúé ést sóúvéñt útílíséé pár lés órgáñísátíóñs dé cýbércrímíñálíté órgáñíséé.]
• [Íñtégrér dés kíts d'éxplóítátíóñ dáñs lés públícítés málvéílláñtés ét lés sítés málvéílláñts. Dáñs cé scéñáríó, dés áctéúrs málvéílláñts óñt réússí à cómpróméttré úñ síté Wéb ét à íñjéctér úñ códé málvéílláñt qúí rédírígéráít úñ vísítéúr vérs lé sérvéúr dú kít d'éxplóítátíóñ.]
• [Cómp~rómé~ttré~ úñ sý~stèmé~, úñ rés~éáú ó~ú úñ s~érvé~úr. Pá~r éxé~mplé~, áppl~íqúé~r lá f~órcé~ brút~é púí~s útí~lísé~r l'é~xpló~ít pó~úr éx~écúté~r l'á~ttáq~úé.]

[Qúél~s sóñ~t lés~ éxém~plés~ cóññ~ús d'~áttá~qúés~ Zéró~-Dáý r~éússí~és ¿]

• [Sáíg~ñémé~ñt cá~rdíá~qúé]
• [Shél~l shó~ck]
• [Stúx~ñét (ú~ñ vér~ qúí é~xpló~ítáí~t dé m~últí~plés~ vúlñ~érábí~lítés~)]
• [Áúró~ré (úñ~é átt~áqúé~ órgá~ñíséé~ qúí á~ éxpl~óíté p~lúsí~éúrs~ vúlñ~érábí~lítés~)]
• [Vúlñ~érábí~líté B~lúéK~éép (C~VÉ-2019-0708)]

[Qúél~lés s~óñt l~és mé~íllé~úrés~ prát~íqúé~s éñ m~átíèr~é dé p~róté~ctíó~ñ cóñ~tré l~és át~táqú~és Zé~ró-Dá~ý ¿]

[Prát~íqúé~r lé d~évéló~ppém~éñt s~écúrí~sé dú c~ýclé~ dé ví~é dés~ lógí~cíél~s póú~r gár~áñtí~r lá s~écúrí~té dú c~ódé é~t sécú~rísé~r lés~ lógí~cíél~s áfí~ñ dé m~íñím~ísér~ lés r~ísqú~és pó~téñt~íéls~ óú lé~s vúl~ñéráb~ílít~és.]

• [Dísp~óséz~ d'úñ~ sólí~dé pr~ógrá~mmé d~é gés~tíóñ~ dés v~úlñér~ábíl~ítés é~t d'ú~ñ pró~grám~mé dé~ córr~éctí~fs. Pá~r éxé~mplé~, métt~éz à jó~úr lé~ lógí~cíél~ dès qú~é pós~síbl~é, éñ p~ártí~cúlí~ér lé~s mís~és à jó~úr dé~ sécúr~íté cr~ítíq~úés.]
• [Lá fó~rmát~íóñ d~é séñ~síbí~lísá~tíóñ~ à lá cý~bérs~écúrí~té étáí~t áxéé~ súr l~'íñg~éñíér~íé só~cíál~é, lá r~écóñ~ñáís~sáñc~é dés~ cámp~ágñé~s dé p~hísh~íñg é~t dé s~péár~-phís~híñg~ ét lá~ prévé~ñtíó~ñ dés~ síté~s Wéb~ málv~éíll~áñts~.]
• [Dépló~íémé~ñt dé~ cóñt~rôlés~ dé séc~úrít~é à plús~íéúr~s ñív~éáúx~, ñótá~mméñ~t dés~ páré~-féúx~ pérím~étríq~úés, d~és sý~stèmé~s ÍPS~/ÍDS é~t d'á~útré~s cóñ~trôlé~s dé s~écúrí~té dés~ céñt~rés d~é dóñ~ñéés, á~íñsí~ qúé d~és có~ñtrôl~és dé~ sécúr~íté dé~s tér~míñá~úx.]
• [Póst~úlér~ mícr~óség~méñt~átíó~ñ ét l~é móí~ñdré~ prív~ílègé~, éñ pá~rtíc~úlíé~r dáñ~s lés~ sýst~èmés à f~órté~ válé~úr áj~óútéé~, áfíñ~ dé ré~ñdré~ plús~ díff~ícíl~é ét p~lús c~óûtéú~x póú~r lés~ áttá~qúáñ~ts d'~átté~íñdr~é léú~rs cí~blés~.]
• [Réñs~éígñ~éméñ~ts sú~r lés~ méñá~cés, á~údít~ ét sú~rvéí~lláñ~cé dé~ l'ác~tíví~té dés~ útíl~ísát~éúrs~, dé lá~ cóññ~éctí~víté é~t dé l~á dété~ctíó~ñ dés~ áñóm~álíé~s.]
• [Élábó~réz ú~ñ plá~ñ dé r~éprí~sé áp~rès sí~ñíst~ré ét~ dé sá~úvég~árdé~ bíéñ~ péñs~é.]

[Qúél~ ést l~é rôlé~ dé lá~ vísí~bílí~té éñ t~émps~ réél é~t dé l~á míc~rósé~gméñ~tátí~óñ dá~ñs lá~ répóñ~sé à úñ~é átt~áqúé~ Zéró~-Dáý ¿~]

[Mêmé s~í lé l~ógíc~íél é~st vú~lñérá~blé, ú~ñ áct~éúr m~álvé~íllá~ñt ñé~ sérá~ pás ñ~écéss~áíré~méñt~ éñ mé~súré~ dé dép~lóýé~r sóñ~ éxpl~óít á~véc s~úccès~ sí lá~ cíbl~é prés~éñtá~ít dé~s pró~blèmé~s dé c~óñtr~ôlé d'~áccès~ bíéñ~ cóñçú~s.]

• [Lá vísíbílíté éñ témps réél pérmét áúx éqúípés chárgéés dé lá sécúríté, dés ópérátíóñs íñfórmátíqúés ét dé lá mísé éñ réséáú dé módélísér ét dé cómpréñdré lé tráfíc ñórmál ét lé cómpórtéméñt dés ápplícátíóñs. Íl lés áídé à détéctér lés ñóúvéllés cóññéxíóñs ét lés téñtátívés échóúéés íñhábítúéllés dé cóññéxíóñ à úñ chárgé dé tráváíl, cé qúí póúrráít êtré lé sígñé d'úñé áttáqúé.]
• [Lá mícróségméñtátíóñ ést úñ cóñtrôlé prévéñtíf. L'áppróché dé réfús pár défáút dé lá mícróségméñtátíóñ rédúít súrfácé d'áttáqúé. Célá límíté lés vóíés d'áttáqúé d'úñ éxplóít ét áúgméñté lé cóût póúr úñ áctéúr málvéílláñt dé própágér sóñ áttáqúé áú séíñ dú réséáú dé sá cíblé.]
• [Mícróségméñtátíóñ éñ táñt qúé cómmáñdé cómpéñsátrícé éñ cás d'áttáqúé. Lórsqú'úñ jóúr zéró ést dívúlgúé públíqúéméñt ét qú'áúcúñ córréctíf ñ'ést díspóñíblé óú sí l'ápplícátíóñ dé córréctífs ñ'ést pás réálísáblé súr lé pláñ ópérátíóññél, úñé órgáñísátíóñ péút útílísér lá ségméñtátíóñ áú ñívéáú dés prócéssús póúr vérróúíllér lé tráfíc éñtré lés chárgés dé tráváíl ét éñtré lés chárgés dé tráváíl ét lés útílísátéúrs úñíqúéméñt vérs dés pórts, dés prótócólés ét dés sérvícés spécífíqúés.]