#StopRansomware Guide

La JRTF (Joint Ransomware Task Force, la task force américaine de lutte contre les rançongiciels) a publié le guide #StopRansomware, dont nous partageons quelques bonnes pratiques dans cet article. Pour consulter le guide complet : #StopRansomware Guide

Le recours aux rançongiciels ne cesse de progresser, et les attaquants adaptent leurs techniques pour les rendre toujours plus destructrices. On a récemment vu se développer la technique de la « double extorsion », par laquelle les pirates chiffrent les données de leur victime et les exfiltrent pour exiger une rançon.

L’impact de ces rançongiciels dépasse le seul coût financier de la rançon et comprend à la fois :

• l’incapacité de l’organisation à accéder aux données nécessaires à son activité ;
• une atteinte à la réputation de l’organisation.

La JRTF a publié le guide « #StopRansomware Guide », qui se compose de deux parties :

• Partie 1 : bonnes pratiques pour prévenir les rançongiciels et l’extorsion de données.
• Partie 2 : liste de contrôle pour réagir face à un rançongiciel ou à une extorsion de données.

Dans cet article, nous revenons sur quelques points clés du guide, consacrés à la préparation, aux identifiants compromis, aux infogéreurs et aux bonnes pratiques.

Se préparer

• Conservez toutes vos sauvegardes de données critiques hors ligne, chiffrées et en lieu sûr.
• Élaborez, maintenez et testez régulièrement un plan de réponse aux cyberincidents, ainsi que toutes les procédures de communication et de notification associées.
• Déployez une architecture Zero Trust fondée sur le moindre privilège. Soyez aussi précis que possible pour limiter les zones d’incertitude, en maximisant le contrôle et la visibilité.

Prévenir et atténuer

A. Identifiants compromis

• Authentification multifacteur : mettez en place une authentification multifacteur pour tous les services et assurez-vous que tous les utilisateurs l’utilisent. Si possible, déployez une MFA sans mot de passe, qui remplace les mots de passe par différentes méthodes de vérification d’identité.
• Abonnez-vous à des services de surveillance des identifiants.
• Déployez des solutions de gestion des identités et des accès (IAM) : contrôlez et surveillez les droits d’accès aux applications cloud et sur site avec une solution IAM.
• Mettez en place un contrôle d’accès Zero Trust : il est essentiel d’établir des politiques d’accès robustes qui appliquent une approche Zero Trust, en particulier pour la gestion des ressources cloud. Cela passe par la restriction des accès utilisateur-ressource comme ressource-ressource.
• Modifiez les noms d’utilisateur et mots de passe administrateur par défaut pour renforcer la sécurité.
• N’utilisez pas les comptes root pour les opérations courantes : appliquez une séparation des responsabilités en créant des utilisateurs, des groupes et des rôles distincts.
• Réduisez le risque d’accès non autorisé en stockant les mots de passe dans une base de données sécurisée et en utilisant des fonctions de hachage robustes.
• Désactivez l’enregistrement des mots de passe dans les navigateurs web.
• Utilisez une solution LAPS pour les administrateurs.
• Proposez à tous les utilisateurs des formations à la sécurité des mots de passe.
• Utilisez des solutions d’accès distant adaptées, avec le mode Admin restreint.
• Les comptes administrateurs doivent être strictement réservés aux fonctions d’administration. Les comptes à privilèges doivent être créés à la demande, en ne donnant accès qu’au strict nécessaire, sans accès aux autres hôtes.

B. Tiers et infogéreurs (MSP)

Les pirates exploitent la relation de confiance entre votre organisation et des tiers ou infogéreurs pour diffuser des logiciels malveillants et des rançongiciels. Ils se servent des accès de ces infogéreurs ou tiers pour atteindre le réseau et les données sensibles de votre organisation.

Comment protéger votre organisation des risques liés aux accès externes ?

• Assurez-vous que vos tiers et infogéreurs appliquent une bonne hygiène cyber et disposent d’une gestion des risques robuste. De nombreuses attaques ont pour origine la compromission d’un tiers ou d’un infogéreur.
• Appliquez les principes du moindre privilège et de la séparation des tâches. Les droits d’accès doivent être limités aux rôles et responsabilités concernés.

Bonnes pratiques générales

• Mettez en place une gestion complète des actifs : réalisez un inventaire exhaustif de tous les actifs informatiques, identifiez les données et systèmes critiques, sécurisez le stockage de la documentation des actifs et conservez des sauvegardes hors ligne.
• Appliquez le principe du moindre privilège à tous les systèmes et services, en limitant les accès au strict nécessaire pour chaque tâche. Auditez par ailleurs régulièrement les accès distants, les comptes administrateurs et les accès des tiers.
• Mettez à jour tous les hyperviseurs et l’infrastructure informatique associée.
• Appliquez les bonnes pratiques, comme des sauvegardes régulières des données et l’activation des journaux sur toutes les ressources.
• Réduisez les risques liés aux accès distants en réalisant des audits réguliers, en surveillant les journaux et en déployant des logiciels de sécurité robustes.
• Mettez en place une architecture Zero Trust pour assurer une segmentation réseau adaptée, qui sépare l’administration informatique des technologies opérationnelles (OT).
• Centralisez la gestion des journaux des équipements réseau, des hôtes locaux et des services cloud. Conservez les journaux pendant au moins un an, en particulier ceux des systèmes critiques.
• Configurez les équipements réseau pour détecter tout comportement suspect et tout déplacement latéral.
• Évaluez régulièrement les processus pour garantir à la fois la sécurité et la facilité d’utilisation. Vos utilisateurs pourront ainsi suivre aisément les procédures qui protègent votre organisation.

En résumé, le guide #StopRansomware couvre un large éventail d’aspects de sécurité pour que les organisations soient à la fois protégées et prêtes à réagir face à tout rançongiciel. Il apparaît clairement qu’aujourd’hui, la mise en place d’une architecture Zero Trust fondée sur le principe du moindre privilège est essentielle pour protéger votre organisation, face aux accès internes comme externes. Cela ne se fait pas en une ou deux actions : c’est un processus continu, qui inclut des évaluations régulières et l’adaptation des mesures de sécurité pour couvrir tous les aspects de la cybersécurité. Il est par ailleurs important de tenir compte de la facilité d’utilisation des mesures, pour qu’elles puissent être aisément appliquées par vos utilisateurs.