Contre les ransomwares, combiner préparation, prévention et détection

Introduction

Les cyberattaques avec ransomware se sont imposées comme l’une des principales menaces de ces quatre dernières années, sinon la première. Elles s’avèrent d’autant plus graves que la détonation de la charge de chiffrement n’est en fait que la partie visible d’attaques qui, désormais, s’étendent en profondeur dans le système d’information, avec des assaillants empruntant largement aux APT.

Elle peut avoir eu pour point de départ une campagne de hameçonnage, l’exploitation de vulnérabilités graves sur des équipements de périphérie du système d’information, ou le détournement d’identifiants compromis par des malwares spécialisés comme les infostealers. D’où l’importance de l’application des correctifs – même si celle-ci n’est pas nécessairement suffisante, surtout si elle s’avère tardive – et de l’authentification à facteurs multiples (MFA).

Dès lors, il est essentiel de travailler sur trois axes : la prévention, la détection et la préparation.

Pour le premier, il s’agit de restreindre les possibilités d’intrusion initiale. Le second se concentre sur la mise en place de contrôles visant à permettre de repérer les signaux faibles d’une attaque engagée, à l’instar de comportements anormaux de comptes (utilisateurs comme techniques) susceptibles de trahir des opérations de déplacement latéral et des tentatives d’élévation de privilèges.

Quant au troisième axe, il consiste surtout à se préparer à l’éventualité d’une attaque et, surtout, à son succès, afin de savoir gérer la crise efficacement et, autant que possible, rebondir au plus vite. Une crise cyber qui présente une spécificité : il est nécessaire de considérer que le système d’information est compromis en profondeur, à savoir que l’assaillant est susceptible de suivre les activités de remédiation. Des canaux tiers de communication sont alors nécessaires, mais encore faut-il qu’ils aient été prévus et que les points de contact soient disponibles immédiatement, sans dépendance à un système d’information potentiellement indisponible.

Chacun de ces trois axes a une composante technique et une composante humaine, organisationnelle, qu’il convient de ne pas négliger. Rien de tout cela n’est trivial, mais quelques conseils d’experts de la cybersécurité peuvent réduire rapidement et considérablement le risque, sans nécessiter d’efforts insurmontables ni pénaliser significativement la productivité des collaborateurs. Et certains de ces conseils n’ont rien de neuf. Il est peut-être temps de les suivre… pour ne pas venir allonger la frise chronologique ci-dessous des attaques connues, en France, depuis plus de deux ans.

1Prévention-

Se prémunir des tactiques courantes

2Détection-

Traquer les signaux faibles

3Préparation-

Réduire le risque