Un ransomware est une attaque complexe qui se déroule en plusieurs étapes.
Il n'existe pas de solution miracle pour protéger les professionnels de santé.
Ils doivent au contraire mettre en place un ensemble complet de mesures de sécurité pour faire face à cette menace.
Et ils doivent développer ces capacités rapidement.
Cet article expliquera aux professionnels de santé comment s'y prendre.
Cet article de blog constitue la 2 e partie d'une série en trois volets consacrée à la menace que représentent les ransomwares pour le secteur de la santé.
Dans la première partie de cette série intitulée « » (), disponible à l'adresse, nous avons abordé les points suivants :
- Pourquoi les cybercriminels ciblent-ils les prestataires de soins de santé avec des logiciels de rançon ?
- Pourquoi l'approche actuelle de lutte contre les ransomwares ne fonctionne pas.
- Pourquoi les professionnels de santé doivent adopter une approche proactive face aux ransomwares.
Dans cet article, nous aborderons les points suivants :
- À quoi ressemble une attaque par ransomware typique et comment se déroule-t-elle ?
- Quelles mesures un prestataire doit-il mettre en œuvre pour résoudre un problème de ransomware sans payer ?
- Comment les prestataires peuvent mettre en place une défense efficace contre les ransomwares en cinq étapes.
Poursuivons notre conversation.
Comprendre les ransomwares : aller au-delà de la demande de rançon
À première vue, une attaque par ransomware semble simple.
Un professionnel de santé tente de se connecter à son poste de travail.
Leurs systèmes sont bloqués. Ils ne parviennent pas à se connecter. Au lieu de cela, ils voient s'afficher une notification.
Cette notification provient d'un pirate. Le message indique au fournisseur qu'il peut restaurer ses systèmes et sauvegarder ses données s'il verse une rançon à l'attaquant.
Soit le prestataire paie la rançon, soit il tente de rétablir les services à partir d'une sauvegarde récente, ce qui pose des difficultés supplémentaires, telles que l'ancienneté de la dernière sauvegarde ou la possibilité de restauration.
Ce type d'attaque par rançongiciel est courant, mais la méthode peut évoluer, car l'attaquant peut être amené à effectuer un nombre important d'étapes supplémentaires pour atteindre son objectif final.
Dans certains cas, nous avons constaté que des pirates poursuivaient leur campagne d'attaques même après avoir reçu le paiement de la rançon demandée.
Voici à quoi ressemble le déroulement détaillé d'une attaque par ransomware.
Avant l'attaque « Low & Slow »
L'attaquant acquiert les informations, le contrôle et l'influence dont il a besoin pour mettre le fournisseur dans une situation délicate.
Pour ce faire, ils :
- Analysez le réseau du fournisseur à la recherche de vulnérabilités.
- Lancer des attaques classiques — telles que les tentatives d'hameçonnage de type « » — ou exploiter des vulnérabilités connues — comme les ressources non mises à jour.
- Déplacez-vous latéralement au sein de leurs systèmes vulnérables.
- Prenez pied dans leur environnement.
- Recueillez des informations sur leurs systèmes critiques.
- Exfiltrer autant de données sensibles que possible.
- Développer leur capacité à prendre le contrôle de leurs systèmes.
Pendant l'attaque
L'attaquant cause autant de problèmes que possible au fournisseur et lui envoie sa demande de rançon.
Pour ce faire, ils :
- Verrouillez tous les systèmes critiques dont ils ont pris le contrôle.
- Menacer de divulguer les données sensibles qu'ils ont volées.
Après l'attaque
L'attaquant pourrait lancer d'autres attaques. Dans de nombreux cas, le fait de payer une rançon augmente le risque que l'attaquant récidive.
Pour ce faire, ils :
- Conservez une présence discrète dans cet environnement.
- Exploitez les autres vulnérabilités qu'ils ont découvertes sur le réseau.
- Exfiltrer davantage de données.
- Au final, ces systèmes de verrouillage menacent à nouveau de détruire les données et d'exiger une nouvelle rançon.
En résumé : lorsque le pirate exige une rançon, il est souvent déjà trop tard.
Ils ont déjà passé des jours, des semaines, voire des mois à se préparer pour ce moment.
Et à ce moment-là, le professionnel de santé doit faire face à une dure réalité.
Ils ne disposaient pas des informations nécessaires pour comprendre comment se défendre au fur et à mesure que l'attaque progressait.
Ils ne disposent très probablement ni de la visibilité ni des données exploitables nécessaires pour expulser l'attaquant en toute confiance.
Et ils devront payer, en espérant que le pirate ne frappe pas à nouveau.
Voici comment les professionnels de santé peuvent éviter que cela ne se produise.
Se protéger contre les ransomwares : il n'existe pas de solution miracle
Aucune stratégie ne permet à elle seule de se prémunir contre les ransomwares.
Toute défense efficace doit être aussi complexe et comporter autant d'étapes que l'attaque elle-même.
Les prestataires de soins de santé doivent mettre en place et exploiter un large éventail de mesures de contrôle offensives et défensives à chaque étape de la campagne menée par l'attaquant.
Une stratégie de sécurité efficace contre les ransomwares doit inclure les éléments suivants :
Avant l'attaque
Le fournisseur doit renforcer les conditions d'accès à son réseau et réduire le risque d'être victime d'une attaque opportuniste.
Pour ce faire, ils doivent :
- Assurez-vous de disposer à tout moment d'une visibilité complète sur tous les terminaux — y compris leurs applications — ainsi que sur l'ensemble des activités qui s'y déroulent.
- Éliminez toutes les vulnérabilités connues sur l'ensemble des ressources en appliquant régulièrement des correctifs, en les mettant à jour et en les configurant.
- Recherchez de manière proactive les indicateurs de compromission liés aux attaques en cours avant qu'elles ne progressent trop loin.
Pendant l'attaque
Ils doivent remédier à l'attaque et expulser l'agresseur suffisamment rapidement pour ne pas se sentir contraints de payer la rançon.
Pour ce faire, ils doivent :
- Menez une enquête sur l'attaque afin d'en identifier la cause première, sa propagation latérale et tout ce à quoi l'attaquant a eu accès.
- Corrigez toutes les vulnérabilités restantes dans l'environnement afin d'empêcher la propagation de l'attaque.
- Remédiez à l'attaque, expulsez l'attaquant et reprenez le contrôle de vos systèmes sans perte significative de données.
Après l'attaque
Ils doivent renforcer la sécurité de leur environnement et s'assurer que l'attaquant a bel et bien disparu et qu'il ne pourra plus jamais compromettre leur réseau.
Pour ce faire, ils doivent :
- Identifiez tous les cas de chaque vulnérabilité exploitée par le pirate et corrigez-les sur l'ensemble de vos ressources.
- Identifiez tout point d'ancrage résiduel dont l'attaquant pourrait encore disposer dans son environnement et éliminez-le complètement.
- Améliorer en permanence la santé et la sécurité globales de leur environnement de terminaux afin de prévenir de nouvelles attaques.
En résumé : les professionnels de santé ont encore beaucoup à faire pour se prémunir contre les ransomwares.
De nombreux professionnels de santé ne sont pas en mesure de mettre en œuvre au moins certaines de ces stratégies.
Certains professionnels de santé ne sont en mesure d'en pratiquer aucune.
Mais tous les prestataires de soins de santé doivent — à tout le moins — prendre quelques instants pour s'assurer qu'ils disposent de toutes les ressources nécessaires pour se prémunir contre les ransomwares.
Voici comment les professionnels de santé peuvent entamer ce processus.
Que faire : cinq étapes pour mettre en place une défense efficace contre les ransomwares
Si vous suivez ces étapes, vous pourrez :
- Identifiez les lacunes de vos capacités actuelles de protection contre les ransomwares.
- Comblez les lacunes les plus importantes que vous pourriez constater.
- Élaborez une stratégie solide de protection contre les ransomwares, même si vous partez de zéro.
Commençons.
Première étape : Évaluez vos mesures de protection actuelles contre les ransomwares
Commencez par vous poser quelques questions afin d'évaluer votre capacité actuelle à vous défendre contre les menaces liées aux ransomwares à chaque étape de leur attaque.
Posez-vous la question suivante :
- Disposons-nous d'un inventaire précis de tous les actifs présents dans notre environnement ?
- Pouvons-nous surveiller ces ressources et y rechercher des indicateurs de compromission (IOC) spécifiques ?
- Ces équipements sont-ils à tout moment dotés de tous les correctifs, mis à jour et correctement configurés ?
- En combien de temps pouvons-nous détecter un actif compromis ou toute autre menace ?
- Pouvez-vous identifier l'ensemble des ressources et des données auxquelles un pirate a eu accès ?
- Dans quels délais pourrions-nous maîtriser et remédier à un incident ?
- Pouvez-vous éliminer un attaquant en étant sûr à 100 % qu'il a complètement disparu ?
- À quelle vitesse pourrions-nous renforcer la sécurité de notre environnement contre des attaques similaires ?
Enfin, posez-vous la question suivante :
- Serions-nous en mesure de détecter et de remédier à une attaque par ransomware avant qu’elle ne compromette notre capacité à prodiguer des soins aux patients — ou devrions-nous payer la rançon ?
Deuxième étape : Bénéficier d'une visibilité complète sur vos actifs
En termes de priorité, vous devez tout d'abord combler les lacunes en matière de visibilité que vous identifiez.
La visibilité constitue un fondement et un multiplicateur d'effets pour toutes les autres activités.
Concrètement, vous devez renforcer votre visibilité afin de :
- Identifiez tous les terminaux de votre environnement ainsi que les logiciels qui y sont installés.
- Identifiez l'état actuel des correctifs, des versions logicielles, des paramètres de configuration, des droits d'administration et des vulnérabilités connues sur chacun de ces actifs.
- Surveillez en permanence le comportement de ces ressources et de vos utilisateurs.
- Définissez le risque mesurable associé à chaque actif et évaluez l'évolution potentielle et l'impact d'une attaque par rançongiciel qui aurait abouti.
Vous devez acquérir la capacité de le faire tant pour les actifs gérés que pour les actifs non gérés, et pour tous les actifs, qu'ils soient hébergés sur site ou à distance.
Troisième étape : Renforcez votre hygiène informatique
Vous devez ensuite vous attacher à améliorer votre hygiène informatique.
La plupart des attaques par ransomware exploitent des failles de sécurité connues dans l'environnement.
Vous devez respecter les bonnes pratiques en matière de sécurité informatique et mettre en place des mesures de protection rigoureuses.
Concrètement, pour maintenir une bonne hygiène informatique, vous devez être capable de :
- Assurer un niveau élevé de conformité en matière de correctifs et appliquer rapidement les nouveaux correctifs à l'ensemble des ressources.
- Veillez à ce que tous les logiciels et systèmes d'exploitation soient à jour, avec les versions les plus récentes.
- Appliquer les politiques, les droits d'accès et les configurations à l'ensemble des actifs.
- Veillez à respecter l'ensemble de vos obligations réglementaires.
Une organisation doit mener ces actions à distance, à grande échelle et dans le cadre d'un système de vérification en boucle fermée garantissant que vos contrôles sont correctement mis en œuvre.
Étape n° 4 : Mettre en place vos capacités de réaction aux incidents
Veillez ensuite à ce que vos mécanismes de visibilité et de contrôle ne se limitent pas à la prévention.
Vous devez également être en mesure de les exploiter pour bloquer les attaques et expulser rapidement les attaquants.
Concrètement, pour faire face à un incident lié à un rançongiciel, vous devez être en mesure de :
- Mettez en place des normes d'hygiène rigoureuses afin d'améliorer la surveillance de l'ensemble des systèmes et de détecter tout signe éventuel d'attaques en cours.
- Combinez les données en temps réel et les données à long terme afin de définir des chaînes d'attaque complètes.
- Remédiez aux incidents avant que l'attaquant ne verrouille les systèmes et ne s'empare des données.
- Tirez les leçons des incidents et renforcez de manière proactive vos défenses contre des schémas similaires.
Vous devez être en mesure d'effectuer chacune de ces actions en temps quasi réel afin de réagir efficacement à la propagation rapide de la plupart des attaques par ransomware modernes.
Étape n° 5 : Réévaluez votre outillage
Enfin, examinez attentivement vos outils de gestion des terminaux.
Vos outils constituent le moteur essentiel de toutes les capacités abordées dans cet article.
Si vous présentez des lacunes dans l'une de ces compétences, il est fort probable que vous :
- Nous n'avons déployé aucun outil permettant d'offrir cette fonctionnalité.
Ou bien
- Vous avez déployé un outil inadapté à votre environnement moderne.
Examinez les outils que vous mettez en œuvre pour assurer la visibilité, l'hygiène informatique et la gestion des incidents.
Dressez la liste de tous les outils qui n'apportent aucune valeur ajoutée dans le cadre de votre travail quotidien.
Ensuite, pour chaque outil, posez-vous une dernière question :
« Si ces outils ne parviennent pas à apporter de la valeur dans des circonstances normales, seront-ils en mesure de m'apporter la valeur dont j'ai besoin en pleine attaque par ransomware ? »
Tout outil qui suscite un « non » en guise de réponse mérite d'être remplacé.
Mettez en place les outils adaptés pour contrer les attaques par ransomware
Dans le prochain — et dernier — article de cette série, nous aborderons ces outils de manière approfondie.
Nous vous expliquerons pourquoi les outils traditionnels ne parviennent généralement pas à bloquer les ransomwares et quels types d'outils vous devez utiliser pour vous protéger efficacement contre cette menace moderne.
Si vous avez besoin d'une aide immédiate et personnalisée pour mettre en place vos mesures de protection contre les ransomwares, rendez-vous dès aujourd'hui sur , contactez-nous à l'adresse et pour planifier une consultation gratuite et une analyse des lacunes.
