Aperçu de la sécurité de la base utilisateur

Les bases de données d’inscription des électeurs (VRDB) sont des cibles riches et peuvent constituer une cible attrayante pour les intrusions informatiques. Ce problème n’est pas propre à certains États – il est partagé par l’ensemble de la nation. Les clés d’une bonne cybersécurité sont la sensibilisation et une vigilance constante.

Quelles sont les menaces qui peuvent mettre en danger les données des électeurs ?

Les acteurs malveillants peuvent utiliser une variété de méthodes pour interférer avec les sites Web et les bases de données d’inscription des électeurs. Certaines méthodes d’attaque sont énumérées ci-dessous et fournissent des conseils applicables aux VRDB et à de nombreux autres réseaux informatiques.

• Les tentatives de phishing sont des courriels, des textes et d’autres messages falsifiés utilisés pour inciter les utilisateurs à cliquer sur des liens malveillants ou à télécharger des pièces jointes malveillantes. Les attaques par hameçonnage peuvent entraîner le vol d’informations d’identification (mots de passe, par exemple) ou servir de point d’entrée aux acteurs de la menace pour diffuser des logiciels malveillants dans une organisation, voler les informations des électeurs ou perturber les opérations de vote. Pour des conseils sur la défense contre le hameçonnage, voir Éviter les attaques d’ingénierie sociale et de hameçonnage.
• Les failles d’injection sont une vaste technique d’attaque des applications Web qui tente d’envoyer des commandes à un navigateur, une base de données ou un autre système, permettant à un utilisateur régulier de contrôler le comportement. L’exemple le plus courant est l’injection de langage de requête structuré (SQL), qui subvertit la relation entre une page web et la base de données qui la soutient, généralement pour obtenir des informations contenues dans la base de données d’inscription des électeurs. Une autre forme est l’injection de commandes, qui permet à un utilisateur non autorisé d’envoyer des commandes à un système d’exploitation prenant en charge une application Web ou une base de données. Voir Injection SQL pour plus d’informations.
• Les vulnérabilités XSS (cross-site scripting) permettent aux acteurs de la menace d’insérer et d’exécuter du code non autorisé dans les applications web. Les attaques XSS réussies sur les sites Web d’inscription des électeurs peuvent fournir à l’attaquant un accès non autorisé aux informations des électeurs. Pour les stratégies de prévention et d’atténuation des vulnérabilités XSS, voir Serveurs Web et Web Shells compromis.
• Les attaques par déni de service (DoS) empêchent les utilisateurs légitimes d’accéder aux informations ou aux services. Une attaque DoS peut rendre un site Web d’inscription des électeurs indisponible ou empêcher l’accès aux données d’inscription des électeurs. Contactez votre fournisseur d’accès Internet (FAI) pour discuter de la manière dont il peut contribuer à bloquer les attaques par déni de service visant votre organisation. Pour plus d’informations sur les attaques DoS, voir Comprendre les attaques par déni de service.
• Les vulnérabilités des serveurs peuvent être exploitées pour permettre un accès non autorisé à des informations sensibles. Une attaque contre un serveur mal configuré qui gère un site Web d’inscription des électeurs peut permettre à un adversaire d’accéder à des informations critiques et à la base de données d’inscription des électeurs elle-même. Voir Sécurité des sites Web pour de plus amples informations.
• Un rançongiciel est un type de logiciel malveillant qui infecte un système informatique et restreint l’accès des utilisateurs aux ressources ou aux données du système jusqu’à ce qu’une rançon soit payée pour le débloquer. Il est déconseillé aux organisations touchées de payer la rançon, car cela ne garantit pas le rétablissement de l’accès à une VRDB compromise. Pour plus d’informations sur les rançongiciels, consultez la page de ressources sur les rançongiciels de la Cybersecurity and Infrastructure Security Agency (CISA).

Quelles mesures de prévention dois-je employer pour me protéger contre ces menaces ?

Le CISA encourage les responsables électoraux et les administrateurs de réseau à mettre en œuvre les recommandations ci-dessous, qui peuvent prévenir jusqu’à 85 % des cyberattaques ciblées. Ces stratégies relèvent du bon sens pour beaucoup, mais le CISA continue de constater des intrusions parce que les organisations n’utilisent pas ces mesures de base :

• Corriger les applications et les systèmes d’exploitation. Les applications et les systèmes d’exploitation vulnérables sont les cibles de la plupart des attaques. S’assurer qu’ils sont corrigés avec les dernières mises à jour réduit considérablement le nombre de points d’entrée exploitables pour un attaquant.
• Mettez en place une liste d’autorisations pour les applications. La liste d’autorisations est l’une des meilleures stratégies de sécurité, car elle permet uniquement l’exécution de programmes spécifiques et bloque tous les autres, y compris les logiciels malveillants.
• Limitez les privilèges administratifs. Cela peut empêcher l’exécution de logiciels malveillants ou limiter leur capacité à se propager sur le réseau.
• Mettez en œuvre la validation des entrées. La validation des entrées est une méthode d’assainissement des entrées non fiables fournies par les utilisateurs d’une application Web et peut prévenir de nombreux types de failles de sécurité des applications Web, comme SQLi, XSS et l’injection de commandes.
• Mettez en place des pare-feu. Lorsque n’importe qui ou n’importe quoi peut accéder à votre réseau à tout moment, votre réseau est plus susceptible d’être attaqué. Les pare-feu peuvent être configurés de manière à bloquer les données provenant de certains endroits (liste de protocoles Internet [IP] autorisés) ou de certaines applications, tout en laissant passer les données pertinentes et nécessaires.

Un engagement en faveur d’une bonne cybersécurité et des meilleures pratiques est essentiel pour protéger les données d’inscription des électeurs. Voici quelques questions que vous pouvez poser à votre organisation pour aider à prévenir les attaques contre les sites Web et les bases de données d’inscription des électeurs :

• Sauvegardes : Sauvegardons-nous toutes les informations critiques ? Les sauvegardes sont-elles stockées hors ligne ? Avons-nous testé notre capacité à revenir aux sauvegardes en cas d’incident ?
• Analyse des risques : Avons-nous effectué une analyse des risques de cybersécurité de l’organisation ?
• Formation du personnel : Avons-nous formé le personnel aux meilleures pratiques en matière de cybersécurité ?
• Analyse et correction des vulnérabilités : avons-nous mis en place des analyses régulières de notre réseau et de nos systèmes et des corrections appropriées des vulnérabilités connues du système ?
• Liste des applications autorisées : N’autorisons-nous que les programmes approuvés à fonctionner sur nos réseaux ?
• Réponse aux incidents : Avons-nous un plan de réponse aux incidents et l’avons-nous mis en pratique ?
• Continuité des activités : Sommes-nous en mesure de poursuivre nos activités sans avoir accès à certains systèmes ? Pendant combien de temps ? L’avons-nous testé ?
• Tests de pénétration : Avons-nous tenté de pirater nos propres systèmes pour tester la sécurité de nos systèmes et notre capacité à nous défendre contre les attaques ?

Comment dois-je réagir en cas d’accès non autorisé aux données d’inscription des électeurs ?

Mettez en œuvre votre plan de réponse aux incidents de sécurité et de continuité des activités. Il se peut que les professionnels des technologies de l’information (TI) de votre organisation aient besoin de temps pour isoler et éliminer les menaces qui pèsent sur vos systèmes et pour rétablir le fonctionnement normal. Dans l’intervalle, vous devez prendre des mesures pour maintenir les fonctions essentielles de votre organisation conformément à votre plan de continuité des activités. Les organisations doivent maintenir et tester régulièrement les plans de sauvegarde, les plans de reprise après sinistre et les procédures de continuité des activités.