Avant les plateformes, les protocoles de télémétrie eux-mêmes sont attaquables. SNMP est le plus riche : un protocole largement déployé, fréquemment faiblement authentifié, qui révèle l'état complet d'un équipement et, avec un accès en écriture, le reconfigure. Syslog est une voie d'ingestion confiante, généralement non authentifiée, qu'un attaquant usurpe, falsifie et inonde pour empoisonner l'enregistrement sur lequel s'appuient les opérateurs et les SIEM. Et les collecteurs NetFlow/IPFIX détiennent la carte de qui parle à qui à travers le réseau, une reconnaissance précieuse et une cible pour les enregistrements falsifiés. Ce sont des attaques au niveau du protocole, indépendantes de la plateforme qui les consomme.
Sous-thèmes#
- SNMP : divulgation des données d'équipement, chaînes de communauté faibles et abus de l'accès en écriture.
- Syslog : usurpation, injection et inondation du flux de journaux.
- NetFlow et IPFIX : récolte et falsification de la télémétrie des flux réseau.