...de prise de contrôle à distance sur ces postes, il a trouvé des programmes qui se connectent automatiquement à la base de données NCIC (National Crime Information Center) du FBI.

Cela aurait pu être aisément éviter
« A partir de ce logiciel, couplé à un outil de capture des frappes clavier, on pourrait récupérer des droits afin de se connecter à la base du FBI, remarque-t-il. Comme la plupart des vulnérabilités, celle-ci aurait pu être aisément supprimée par quelques stratégies de sécurité basiques. Par exemple, le réseau de la Police aurait dû être isolé du réseau principal, par des pare-feux, et les postes des enquêteurs tenus à l'écart du plus grand domaine. De même, l'agence n'aurait pas dû autoriser des postes de travail à être destinés à la fois à des tâches sensibles sur la base NCIC et à un accès général au réseau. Enfin, les administrateurs systèmes auraient du effectuer le contrôle de la réutilisation des mots de passe, et les bloquer.

La conformité réglementaire n'est pas de la sécurité
Un autre consultant, Chris Nickerson, PDG de Lares Consulting, s'étonne aussi de la simplicité de la plupart des attaques, en particulier dans le domaine de la conformité. En fait, alors qu'il réalisait un test dans une très grosse société de conseil, il avait obtenu immédiatement tous les droits d'administration sur toutes les applications. "Cette société disait être conforme à Sarbanes Oxley, depuis plusieurs années. En 20 minutes, j'avais le contrôle de toute l'activité, dit-il. Il a également trouvé des problèmes chez les sociétés se revendiquant ...

. Web-profils.com, la place de marché du conseil et de l'ingénierie