Aider les webmasters à resécuriser leurs sites

Mardi 19 avril 2016

Publié à l’origine sur le
Google Security Blog.

Chaque semaine,
plus de 10 millions d’utilisateurs rencontrent des sites web malveillants
qui diffusent des logiciels malveillants et des arnaques. Bon nombre de ces sites sont des blogs personnels piratés ou de petites pages professionnelles qui ont été victimes d’un mot de passe faible ou d’un logiciel obsolète. Safe Browsing et la Recherche Google protègent les visiteurs contre les contenus dangereux en affichant des avertissements dans le navigateur et en étiquetant les résultats de recherche avec la mention
‘ce site peut endommager votre ordinateur’. Bien que cela contribue à assurer la sécurité des utilisateurs sur le moment, le site compromis reste un problème qui doit être corrigé.

Malheureusement, de nombreux webmasters de sites piratés ne se doutent de rien. Pire encore, même lorsqu’ils apprennent qu’un incident s’est produit, ils peuvent manquer d’expertise en matière de sécurité pour agir et s’attaquer à la cause profonde du piratage. Pour citer un webmaster issu d’une enquête que nous avons menée, « nos sauvegardes quotidiennes et hebdomadaires étaient toutes les deux infectées » et même après avoir fait appel à un spécialiste, après « beaucoup d’heures/jours perdus », le webmaster a abandonné toute tentative de restauration du site pour se consacrer plutôt à « la reconstruction du site à partir de zéro ».

Afin de trouver le meilleur moyen d’aider les webmasters à nettoyer un site piraté, nous nous sommes récemment associés à l’Université de Californie à Berkeley pour étudier comment contacter rapidement les webmasters et accélérer le rétablissement tout en minimisant la détresse impliquée. Nous avons résumé nos principales leçons ci-dessous. L’étude complète, que vous pouvez lire
étude complète sur la résolution des détournements de sites web, a été présentée récemment lors de la
International World Wide Web Conference.

.

Lorsque Google travaille directement avec les webmasters lors de moments critiques tels que des failles de sécurité, nous pouvons aider 75 % d’entre eux à resécuriser leur contenu. L’ensemble du processus prend une médiane de 3 jours. C’est une meilleure expérience pour les webmasters et leur public.

Nombre de sites nouvellement piratés que Google détecte chaque semaine.
Au cours de l’année écoulée, Google a détecté près de 800 000 sites web piratés, soit environ 16 500 nouveaux sites chaque semaine dans le monde entier. Les visiteurs de ces sites sont exposés à des contenus d’arnaque de faible qualité et à des logiciels malveillants viades téléchargements piégés (drive-by downloads)

. Bien que les avertissements des navigateurs et de la recherche aident à protéger les visiteurs contre les dangers, ces avertissements peuvent parfois sembler punitifs pour les webmasters qui apprennent seulement après coup que leur site a été piraté. Pour concilier la sécurité de nos utilisateurs et l’expérience des webmasters, nous avons entrepris de trouver la meilleure approche pour aider les webmasters à se remettre de failles de sécurité et, en fin de compte, à reconnecter les sites web avec leur public.

1. Trouver les moyens les plus efficaces d’aider les webmasters
   Entrer en contact avec les webmasters :
   L’une des étapes les plus difficiles sur la voie du rétablissement est d’abord d’entrer en contact avec les webmasters. Nous avons essayé trois canaux de notification : l’e-mail, les avertissements du navigateur et les avertissements de recherche. Pour les webmasters qui ont enregistré de manière proactive leur site dansSearch Console
2. , nous avons constaté que la communication par e-mail a incité 75 % des webmasters à resécuriser leurs pages. Lorsque nous ne connaissions pas l’adresse e-mail d’un webmaster, les avertissements du navigateur et de la recherche ont permis de nettoyer respectivement 54 % et 43 % des sites.
   Fournir des conseils pour nettoyer les contenus malveillants :
3. Les attaquants s’appuient sur des fichiers cachés, des redirections faciles à manquer et des inclusions distantes pour diffuser des arnaques et des logiciels malveillants. Cela rend le nettoyage de plus en plus délicat. Lorsque nous avons envoyé des e-mails aux webmasters, nous y avons inclus des conseils et des exemples indiquant exactement quelles pages contenaient du contenu malveillant. Cela, combiné à une notification accélérée, a permis aux webmasters de nettoyer leur site 62 % plus rapidement qu’en l’absence de conseils, généralement en l’espace de 3 jours.
   Veiller à ce que les sites restent propres :

Une fois qu’un site ne diffuse plus de contenu malveillant, il est important de s’assurer que les attaquants ne reprennent pas le contrôle. Nous avons surveillé des sites web récemment nettoyés et avons constaté que 12 % d’entre eux étaient à nouveau piratés dans les 30 jours. Cela illustre la difficulté qu’il y a à identifier la cause profonde d’une faille plutôt qu’à traiter ses effets secondaires.

Rendre les problèmes de sécurité moins pénibles pour les webmasters et pour tout le monde
Nous espérons que les webmasters n’auront jamais à faire face à un incident de sécurité. Si vous êtes webmaster, vous pouvez prendre quelques mesures rapides pour réduire votre risque. Nous avons simplifié la possibilité de
recevoir des notifications de sécurité via Google Analytics
ainsi que viaSearch Console
. Veillez à vous inscrire aux deux services. En outre, nous avons élaboré des conseils utiles pour
mettre à jour le logiciel de votre site et
ajouter une authentification supplémentaire

afin de rendre votre site plus sûr.

Si vous êtes un fournisseur d’hébergement ou si vous créez un service qui doit notifier les victimes d’un piratage, comprenez que l’ensemble du processus est éprouvant pour les utilisateurs. Établissez un canal de communication fiable avant qu’un incident de sécurité ne se produise, veillez à fournir aux victimes des étapes de rétablissement claires et répondez rapidement aux demandes afin que le processus soit perçu comme utile et non comme punitif.

Alors que nous nous efforçons de faire du web un endroit plus sûr, nous pensons qu’il est essentiel de donner aux webmasters et aux utilisateurs les moyens de prendre de bonnes décisions en matière de sécurité. Il est facile pour la communauté de la sécurité d’être pessimiste en pensant que la gestion des incidents est « trop complexe » pour les victimes, mais comme le démontrent nos conclusions, le simple fait d’amorcer un dialogue peut accélérer considérablement le rétablissement.