Les incidents liés aux ransomwares sont en hausse et, comme l’ont montré les gros titres du journal « » , aucun secteur n’est épargné.
L'Agence américaine de sécurité informatique ( , ) a exhorté les responsables des agences et des entreprises à se protéger en mettant en œuvre les bonnes pratiques fondamentales en matière de cyberhygiène, disponibles à l'adresse .
Revenir aux principes fondamentaux de l'exploitation informatique et de la sécurité constitue la première étape pour aider votre organisation à éviter le pire scénario.
Regardez ce court webcast pour en savoir plus sur les attaques par ransomware et sur les moyens de les prévenir.
https://youtu.be/41n5NaBgF5o
Qu'est-ce qu'un ransomware ?
Un ransomware est un type de logiciel malveillant conçu, dans la plupart des cas, pour chiffrer les données et les fichiers présents sur les réseaux des victimes. Les organisations victimes d'un rançongiciel se voient en réalité imposer un ultimatum par leurs attaquants : payer pour obtenir la clé de déchiffrement ou perdre définitivement leurs données essentielles à leur activité.
Comme de nombreuses organisations suivent les recommandations en matière de bonnes pratiques en sauvegardant leurs données hors ligne, leurs maîtres chanteurs ont récemment pris l'habitude de voler des informations sensibles avant de les chiffrer. Cela exerce une pression supplémentaire sur eux pour qu'ils s'acquittent de leur dette, sous peine de voir les données personnelles de leurs clients et de leurs employés, ainsi que leurs secrets d'affaires, publiés en ligne. Certains groupes sont même allés jusqu'à étendre leurs tactiques d'extorsion aux attaques DDoS et à contacter des clients, des actionnaires et d'autres personnes afin d'accentuer encore davantage la pression.
Le défi auquel sont confrontées les organisations aujourd’hui réside dans le fait que le modèle « ransomware-as-a-service » (RaaS) a considérablement abaissé les barrières à l’entrée pour les groupes malveillants « affiliés ». Tant que les victimes continueront à payer, souvent grâce au remboursement prévu par leurs polices d'assurance contre la cybercriminalité, le nombre de cybercriminels se lançant dans cette activité ne fera qu'augmenter.
Comment ces attaques se produisent-elles ?
Bien que les différents groupes malveillants aient des préférences qui leur sont propres, une attaque par rançongiciel typique comporte globalement quatre étapes clés. Il s'agit des éléments suivants :
- Les ransomwares font leur apparition dans l'environnement d'entreprise.
Cela se produit souvent par le biais d'un e-mail de hameçonnage de type « » qui parvient à contourner votre fournisseur de passerelle. Une autre tactique courante consiste à rechercher des ports RDP (Remote Desktop Protocol) ouverts, puis à prendre le contrôle de serveurs distants à l'aide d'identifiants déjà compromis ou en procédant à des attaques par force brute sur les mots de passe.
- Le ransomware est exécuté.
Cela implique souvent qu'un utilisateur clique sur un document Microsoft Office malveillant contenant des macros.
- Les ransomwares exploitent les terminaux et/ou le réseau en disposant d'un certain niveau d'autorisations.
Si l'utilisateur ou la machine ciblée ne dispose pas des autorisations suffisantes pour permettre un déplacement latéral à grande échelle, cela limitera considérablement l'impact potentiel de l'attaque. C'est pourquoi l'auteur de la menace tentera généralement d'élever ses privilèges, le plus souvent en exploitant une vulnérabilité du système. Les déplacements latéraux sont souvent réalisés à l'aide d'outils légitimes et de binaires « tirés de l'environnement » afin de rester indétectables.
- Il est temps que les services de sécurité informatique réagissent
Si une attaque a réussi à contourner les mesures de sécurité de l'entreprise, il incombe aux équipes d'intervention en cas d'incident d'en limiter rapidement l'impact. Un plan d'intervention en cas d'incident bien conçu et régulièrement testé peut faire toute la différence dans ce domaine.
Comment puis-je me prémunir contre les ransomwares ?
Si votre organisation s'est bien préparée aux étapes susmentionnées, elle sera bien placée pour atténuer les risques cybernétiques liés aux ransomwares. Plus vous parvenez à stopper l'attaque tôt dans la phase d'exécution, mieux c'est.
Voici une brève liste de contrôle reprenant les mesures administratives, opérationnelles et techniques susceptibles d'améliorer la résilience de votre organisation.
- Conserver des sauvegardes hors ligne
- Conservez des images de référence des systèmes critiques afin de pouvoir les restaurer
- Assurer la mise à jour et tester un plan d'intervention en cas d'incident
- Mettez régulièrement à jour et organisez des programmes de sensibilisation à la sécurité à l'intention du personnel
- Effectuez régulièrement des analyses de vulnérabilité
- Veillez à ce que vos terminaux soient toujours mis à jour et disposent des derniers correctifs
- Bloquez le port SMBv1 et utilisez uniquement le protocole SMBv3+
- Bloquer les connexions externes vers les ports SMB
- Sécuriser les points d'accès RDP exposés à Internet
- Déployez un antivirus à jour partout
- Envisagez la mise en place d'une liste blanche d'applications
- Gérer les prestataires tiers dans le cadre d'un programme de gestion des risques liés aux fournisseurs
- Utilisez l'authentification multifactorielle (MFA) dans la mesure du possible
- Utilisez des mots de passe forts et uniques
- Sachez de quels équipements vous disposez et où ils se trouvent, grâce à des schémas de réseau mis à jour
- Limitez l'utilisation de PowerShell ; utilisez la dernière version (5,0)
- Sécuriser et mettre à jour les contrôleurs de domaine
Comment Tanium peut vous aider
Selon le rapport « » de Verizon sur les données , 2021, 10 % des violations de données impliquaient des ransomwares, soit le double du chiffre de l'année dernière. Heureusement, Tanium propose toute une gamme de fonctionnalités permettant d'améliorer la résilience de votre organisation face aux attaques, de renforcer la visibilité et le contrôle, et d'accélérer la réponse aux incidents. Voici comment procéder :
Gestion d'actifs
On ne peut pas gérer ce qu’on ne voit pas. Un seul poste vulnérable suffit à offrir aux auteurs de ransomware un point d'entrée dans le réseau. La solution Tanium « » vous aide à identifier ces systèmes.
Application de correctifs
Tanium aide votre organisation à s'assurer que les terminaux de son infrastructure « » sont correctement mis à jour, ce qui réduit la surface d'attaque de l'entreprise. Si des cybercriminels exploitent de nouvelles vulnérabilités, comme ce fut le cas avec le tristement célèbre « ransomware » WannaCry, Tanium est en mesure d'appliquer des correctifs rapidement et à grande échelle afin de limiter leurs possibilités d'action.
Gestion de la configuration
Les ransomwares exploitent souvent des partages ouverts ou des erreurs de configuration. Tanium peut vous aider de manière proactive à identifier et à résoudre ces problèmes, tandis que Tanium Enforce permet de limiter les risques en contribuant à garantir que les terminaux sont sécurisés contre les attaques et conformes à la politique de l’entreprise.
Limiter les mouvements latéraux
La solution « Tanium Impact » aide les organisations à limiter les mouvements latéraux au sein d'un environnement. Les systèmes affectés, y compris les appareils situés hors site, peuvent être mis en quarantaine à partir de la couche des terminaux sans qu'il soit nécessaire de recourir à une technologie de pare-feu spécifique. Nous assurons également l'intégration avec des périphériques réseau afin de mettre en place des blocages via Cisco ISE ou Palo Alto. Tanium Enforce peut contribuer à limiter l'accès au réseau en configurant les pare-feu des postes de travail.
Limitation/divulgation des données sensibles
La solution « Tanium Reveal » vous aide à identifier où se trouvent les données sensibles au sein de votre environnement, ce qui vous permet de prendre des mesures supplémentaires pour réduire votre exposition aux ransomwares.
Identification
Tanium Signals permet d'identifier toute activité potentielle liée à un rançongiciel et d'alerter les administrateurs afin qu'ils prennent les mesures qui s'imposent.
Prévention
Tanium Enforce permet de mettre en place une liste blanche à l'aide d'AppLocker afin d'empêcher l'exécution de fichiers exécutables non autorisés sur les terminaux.
Définition du périmètre
Si votre entreprise a déjà été infectée par un rançongiciel, Tanium peut déterminer le nombre de fichiers chiffrés et limiter les dégâts supplémentaires grâce à Tanium Live Response et Tanium Index.
Demandez une évaluation gratuite des risques proposée par « » à l'adresse.
