La sauvegarde des données, la mise à jour régulière des logiciels et l'utilisation d'une approche de sécurité « Zero Trust » sont autant de moyens d'empêcher les infections par rançongiciel de mettre un réseau hors service.
Cet article s'articule autour des points suivants :
Contenu associé
Rançongiciel
Rançongiciel Ryuk
Rançongiciel Maze
Rançongiciel WannaCry
Sécurité des points de terminaison
Abonnez-vous à theNET, le récapitulatif mensuel par Cloudflare des informations les plus populaires sur Internet !
Copier le lien de l'article
Le rançongiciel constitue une menace toujours plus grande, mais de bonnes pratiques de sécurité, comme des mises à jour régulières des logiciels, des sauvegardes fréquentes des données et une formation à la sécurité des courriels des utilisateurs, peuvent réduire les chances qu'elle affecte une organisation.
Un rançongiciel est un type de logiciel malveillant, ou malware, qui verrouille les fichiers et les données et demande une rançon. Pour ce faire, il chiffre les fichiers et les données, et l'attaquant conserve la clé de chiffrement. Les rançongiciels peuvent s'introduire dans un réseau de différentes manières : courriers électroniques malveillants, exploitation de vulnérabilités ou encore propagation d'autres infections par des logiciels malveillants.
Il n'existe pas de méthode infaillible à 100 % pour empêcher les rançongiciels de pénétrer dans un réseau, mais les mesures ci-dessous peuvent réduire considérablement le risque d'attaque.
Un moyen courant pour les rançongiciels de pénétrer et de se propager dans un réseau consiste à exploiter les vulnérabilités des logiciels obsolètes. Une « vulnérabilité » est une faille logicielle que quelqu'un peut utiliser à des fins malveillantes. Lorsque des vulnérabilités sont découvertes, les éditeurs de logiciels publient régulièrement des correctifs sous la forme de mises à jour. Ne pas mettre à jour régulièrement les systèmes d'exploitation et les applications, c'est comme laisser la porte d'entrée d'une maison non verrouillée et permettre aux cambrioleurs d'entrer directement.
Par exemple, en mai 2017, le rançongiciel WannaCry a utilisé de façon célèbre la vulnérabilité « EternalBlue » pour se propager sur plus de 200 000 ordinateurs, alors que Microsoft avait auparavant publié un correctif pour cette vulnérabilité.
Les attaques de rançongiciel exploitent également les vulnérabilités pour se propager au sein d'un réseau une fois qu'elles y sont déjà présentes. Par exemple, le rançongiciel Maze recherche les vulnérabilités à exploiter une fois qu'il est déjà sur un réseau, puis utilise ces vulnérabilités pour infecter autant de machines que possible.
Pour prévenir les rançongiciels, ainsi que de nombreux autres types d'attaques, les entreprises peuvent mettre leurs logiciels à jour aussi souvent que possible. Cela permettra de corriger les vulnérabilités et de verrouiller à nouveau la porte d'entrée afin que les criminels (ou les attaquants par rançongiciel) ne puissent pas entrer.
De nombreuses attaques de rançongiciel commencent par une campagne de phishing : ils obtiennent les informations d'identification de l'utilisateur (nom d'utilisateur et mot de passe), puis utilisent ces informations d'identification pour entrer et se déplacer dans un réseau. Dans d'autres cas, les attaquants de rançongiciel tentent d'utiliser des informations d'identification connues par défaut jusqu'à ce qu'ils trouvent un serveur ou un réseau qui utilise ces informations d'identification et obtiennent ainsi un accès. (Les attaques de type Maze ont utilisé cette technique).
L'authentification à deux facteurs (2FA) est une approche plus sûre de l'authentification des utilisateurs. Elle consiste à vérifier un facteur supplémentaire, tel qu'un jeton matériel que seul l'utilisateur authentique possède. Ainsi, même si un attaquant parvient à voler une combinaison de nom d'utilisateur et de mot de passe, il ne peut pas accéder au réseau.
La sécurité du courrier électronique est un outil essentiel de prévention des rançongiciels. Les attaques par rançongiciel s'appuient sur diverses vecteurs pour compromettre les appareils et les réseaux, mais le courrier électronique reste l'une des plus utilisées. De nombreuses attaques de rançongiciel commencent par une attaque de phishing, une attaque de phishing ciblé ou un cheval de Troie caché dans une pièce jointe malveillante.
Recherchez des fournisseurs de solutions de sécurité pour le courrier électronique qui tiennent compte des aspects essentiels suivants :
La sécurité des point de terminaison constitue une autre mesure de prévention du rançongiciel. La sécurité des points de terminaison correspond au processus de mise en protection des appareils tels que les ordinateurs portables, les ordinateurs de bureau, les tablettes et les smartphones contre les attaques. La sécurité des points de terminaison implique les éléments suivants :
En savoir plus sur endpoint security.
La sauvegarde régulière des fichiers et des données est une bonne pratique bien connue pour se préparer à une éventuelle attaque d'entreprise par rançongiciel. Dans de nombreux cas, une entreprise peut restaurer ses données à partir d'une sauvegarde au lieu de payer la rançon pour les déchiffrer ou de reconstruire toute son infrastructure informatique à partir de zéro.
Même si la sauvegarde des données n'empêche pas les rançongiciels, elle peut aider une organisation à se remettre plus rapidement d'une attaque par rançongiciels. Cependant, la sauvegarde peut également être infectée, à moins qu'elle ne soit séparée du reste du réseau.
De nombreuses organisations considèrent leurs réseaux comme un château entouré de douves. Les mesures défensives qui protègent le périmètre du réseau, comme les pare-feux et les systèmes de prévention des intrusions (IPS), empêchent les attaquants d'entrer, tout comme les douves empêchaient les envahisseurs de pénétrer dans un château au Moyen Âge.
Cependant, les organisations qui adoptent cette approche de sécurité château et douves sont très vulnérables aux attaques de rançongiciels. En effet, les attaquants parviennent régulièrement à percer la douve par diverses méthodes et, une fois à l'intérieur, ils ont pratiquement le champ libre pour infecter et chiffrer l'ensemble du réseau.
Il peut plus judicieux d'envisager la sécurité du réseau en partant du principe qu'il existe des menaces à l'intérieur et à l'extérieur du « château ». Cette philosophie est appelée Zero Trust.
Les modèles de sécurité Zero Trust appliquent des contrôles d'accès stricts et ne font par défaut confiance à aucune personne ou machine, même aux utilisateurs et aux appareils situés dans le périmètre du réseau. La solution Zero Trust assurant une surveillance constante et des réauthentifications régulières des utilisateurs et les appareils, elle peut empêcher les attaques par rançongiciel de se propager en révoquant l'accès au réseau et aux applications dès qu'une infection est détectée. Zero Trust suit également le principe du moindre privilège pour le contrôle d'accès, il est ainsi difficile pour les rançongiciels d'élever leurs privilèges et de prendre le contrôle d'un réseau.
Cloudflare One est une plateforme de réseau en tant que service (NaaS) Zero Trust. Elle combine des services de sécurité et de mise en réseau pour connecter en toute sécurité des utilisateurs, des bureaux et des datacenters distants (un modèle connu sous le nom de SASE, ou secure access service edge).
Vous voulez en savoir plus sur les rançongiciels ? Plongez dans le sujet avec ces articles :
L’application régulière de correctifs aux systèmes d’exploitation et aux applications constitue une défense essentielle contre les exploitations de vulnérabilités.
De nombreuses attaques de rançongiciel reposent sur le phishing pour dérober les noms d’utilisateur et les mots de passe, et ainsi, accéder à des réseaux ou des appareils sécurisés. En exigeant un facteur d’authentification supplémentaire, tel qu’un jeton matériel physique, l’authentification à deux facteurs (2FA) garantit que même un attaquant en possession des informations de connexion légitimes ne pourra pas accéder au réseau sans cette preuve d’identité secondaire.
Le courrier électronique reste une méthode principale de propagation des rançongiciels via des liens de phishing ou des pièces jointes infectées. Des services robustes de sécurité de messagerie utilisent des techniques de détection avancées pour filtrer les messages provenant de sources non fiables et bloquer les fichiers malveillants avant qu’ils ne puissent atteindre la boîte de réception d’un utilisateur.
Si les équipes de sécurité détectent une infection par un rançongiciel, elles doivent déconnecter immédiatement la machine infectée de tous les réseaux afin d’empêcher la propagation du logiciel malveillant. Une fois la machine isolée, les équipes peuvent supprimer les fichiers malveillants à l’aide d’un logiciel anti-logiciel malveillant et tenter de récupérer les données de l’appareil à partir d’une sauvegarde sécurisée ou d’un outil de déchiffrement spécialisé. Il peut arriver que la restauration à partir de l’appareil lui-même ne soit pas possible ; c’est pourquoi les sauvegardes régulières des données sont essentielles pour contenir les effets d’une attaque par rançongiciel.
Si les sauvegardes n’arrêtent pas l’infection initiale, elles sont toutefois essentielles à la récupération de données. La conservation de copies d’informations à jour dans un emplacement sécurisé ou hors ligne réduit la pression exercée par le versement d’une rançon, car elle permet aux entreprises de restaurer leurs systèmes et de reprendre leurs activités normales, même si une attaque par rançongiciel met à mal leurs systèmes d’origine.
Ces technologies répondent à différentes menaces basées sur le web. Le filtrage DNS empêche les utilisateurs d’accéder aux sites web malveillants connus, tandis que l’isolement de navigateur ajoute une couche de sécurité en tenant les attaques basées sur le web et les téléchargements automatiques à l’écart de l’appareil de l’utilisateur. Les deux techniques permettent de prévenir de nombreux types d’infections par des logiciels malveillants, y compris les rançongiciels.