Glossaire

Flux

Un flux représente une communication entre une adresse IP locale (un périphérique du réseau tel qu'un ordinateur) et une adresse IP publique / distante (un serveur dans le monde).

Un flux peut être entrant (IN) ou sortant (OUT). La direction du flux indique par quelle IP la communication a été initiée :

• L'adresse IP publique / distante / WAN -> IN

• L'adresse IP locale / périphérique / LAN -> OUT

La distinction de la direction des flux permet le calcul du la cybermétéo.

Flux toxique

Un flux toxique est une communication avec une adresse IP publique évaluée comme toxique par Serenicity.

Adresse IP toxique

Les adresses IP toxiques sont les adresses IP publiques / distantes qui ont été évaluées comme malveillantes pour votre système d'information par CerbèreIPDB.

Une adresse IP peut être qualifiée dans différents types de menaces.

Dangerosité des menaces

Menace	Dangerosité	Icône
Attaquant connu	Critique ‼️
Centre de commande	Critique ‼️
Cheval de troie	Critique ‼️
Compromission supply chain	Critique ‼️	Aucune icône
Militaire	Critique ‼️
Nœud tor	Critique ‼️
SIP	Sévère ❗
Vidéo	Sévère ❗
Bruteforce	Modérée ❕	Aucune icône

Si une adresse IP apparaît comme toxique mais ne présente aucune menace, cela signifie qu'elle n'a pas encore été qualifiée.

Définition des menaces

Bruteforce

L'attaque bruteforce (force brute en français) d'un système d'information représente une attaque visant à effectuer un grand nombre de tentative de connexion à un service.

Par exemple, sur un protocole peu sécurisé, une attaque bruteforce peut viser à essayer de nombreuses combinaisons identifiant - mot de passe parmi les combinaisons les plus communes (admin / password par ex.)

Centre de commande

Un centre de commande est une IP avec laquelle les rançongiciels communiquent et dont l reçoivent les ordres.

Un rançongiciel (ou ransomware en anglais) est un logiciel malveillant qui bloque l’accès à un ordinateur et/ou à ses fichiers, et qui réclame à la victime le paiement d’une rançon pour en obtenir de nouveau l’accès. Le blocage de l'accès à la victime se fait via le chiffrement des ses données.

Le centre de commande permet donc d'installer le rançongiciel dans un réseau, puis de commander le chiffrement des données à distance.

Rançongiciel ou ransomware : que faire si votre organisation est victime d’une attaque ?Assistance aux victimes de cybermalveillance

Informations supplémentaire à propos des rançongiciels

Attaquant connu

Un attaquant connu signifie que l'adresse IP en question a été reconnu, détectée à plusieurs reprises et évaluée comme très dangereuse par Serenicity.

Militaire

Une menace militaire représente une adresse IP provenant d'un état, d'une institution ou d'une armée.

Nœud tor

Le réseau Tor est un réseau informatique superposé mondial et décentralisé. Il est très utilisé pour se rendre sur le darknet. Un nœud tor représente un serveur de ce réseau, et donc une porte d'entrée vers le darknet.

Cheval de troie

Un cheval de Troie est un type de logiciel malveillant, qui ne doit pas être confondu avec les virus ou autres parasites. Le cheval de Troie est un logiciel en apparence légitime, mais qui contient une fonctionnalité malveillante.

Une adresse IP toxique de menace cheval de troie signifie que l'adresse IP a été repéré comme le point de provenance de ces logiciels malveillant, par exemple l'adresse IP derrière un lien d'un téléchargement d'un cheval de troie.

Compromission supply chain

Les menaces compromission supply chain (ou supply chain attacks en anglais) se concentrent sur les fournisseurs de logiciels et les fabricants de matériel.

Les attaquants recherchent du code non sécurisé, des pratiques d'infrastructure non sécurisées et des procédures de réseau non sécurisées qui permettent l'injection de composants malveillants. Lorsqu'un processus de construction nécessite plusieurs étapes, du développement (ou de la fabrication) à l'installation, un attaquant (ou un groupe d'attaquants) a plusieurs occasions d'injecter son propre code malveillant dans le produit final.

Rapport menaces et incidents - CERT-FRwww.cert.ssi.gouv.fr

Informations supplémentaires sur les Supply chain attacks

SIP (Session Initiation Protocol)

Session Initiation Protocol, abrégé SIP, est un protocole de communication standard ouvert de gestion de sessions souvent utilisé dans les télécommunications multimédia. Il est le plus courant pour la téléphonie par internet.

Une menace de ce type va essayer d'attaquer un réseau informatique via ce protocole.

Vidéo

De la même manière que SIP, ces menaces vont essayer d'attaquer les réseaux informatique en utilisant les protocoles de flux vidéo.