Le "pouvoir des deux" pour lutter contre les ransomwares

En matière de ransomware, impossible d’échapper aux gros titres de l’actualité. On entend chaque jour parler d’entreprises prises en otage contre des rançons exorbitantes. Selon un récent rapport de Gartner, « d’ici 2025, au moins 75 % des services informatiques seront confrontés à une ou plusieurs attaques », les chercheurs indépendants ayant constaté une augmentation spectaculaire des attaques par ransomware en 2020, avec des taux de croissance multipliés par sept, voire davantage.

Par ailleurs, le rapport 2021 de Verizon sur les enquêtes relatives aux fuites de données révèle que les serveurs constituent la cible n° 1 des attaques. Étant donné que c'est sur les serveurs (ou les machines virtuelles fonctionnant sous Windows Server) que s'exécute la majorité des applications critiques pour l'activité, les entreprises peuvent se retrouver pratiquement paralysées à la suite d'attaques par ransomware.

Les fournisseurs de services gérés (MSP) sont confrontés au défi de trouver une approche complète pour protéger leurs clients contre les attaques de ransomware. De la surveillance en temps réel 24/7 à l'atténuation et à la récupération, le fardeau repose sur le MSP.

Datto se concentre uniquement sur la fourniture aux MSP des meilleures solutions de leur catégorie, c'est pourquoi la combinaison de Datto RMM avec la détection et l'atténuation des ransomwares en temps réel et la récupération Datto BCDR offre la " puissance des deux " pour lutter contre les ransomwares. Cette combinaison répond à quatre étapes pour combattre avec succès cette cyber-menace omniprésente.

1. Alerte
2. Isoler
3. Mitigate
4. Récupérer

Bien qu'il n'existe pas de méthode infaillible pour prévenir une attaque de ransomware, vous pouvez en réduire l'impact et vous rétablir rapidement. Cela dit, examinons les quatre étapes à suivre pour faire face à une attaque de ransomware et s'en remettre.

Étape 1 : Alerte

Les attaques de ransomware peuvent passer inaperçues si vous ne disposez pas d'une sentinelle qui veille 24 heures sur 24 et 7 jours sur 7. Lorsqu'un utilisateur final signale quelque chose de suspect, comme des fichiers inaccessibles ou une fenêtre pop-up contenant une note de ransomware, il est trop tard.

Que recherchez-vous ? En général, les solutions de surveillance et de détection des ransomwares en temps réel recherchent la présence de crypto-ransomwares à l’aide d’une analyse comportementale des fichiers, puis envoient une alerte lorsqu’un appareil est infecté. L’analyse des fichiers consiste notamment à rechercher les extensions de fichiers connues telles que .crypt, à détecter une augmentation de la fréquence des changements de nom et des suppressions de fichiers, à mesurer l’entropie, ainsi que de nombreux autres événements de modification. Mais cela ne s’arrête pas là : pour s’assurer qu’un serveur n’est pas attaqué et infecté par un rançongiciel, il convient de surveiller le lancement de nouveaux processus sous Windows, notamment les événements au démarrage.

En outre, une augmentation du trafic réseau ou des connexions inhabituelles entre systèmes peuvent indiquer qu'une attaque par ransomware est active ou sur le point de commencer. L'une des façons dont les attaquants exploitent les systèmes Windows est de cibler la signature unique (SSO). Lorsqu'un mot de passe est créé dans Windows, il est haché et stocké dans le gestionnaire de comptes de sécurité (SAM), dans Active Directory (AD) ou ailleurs. Lorsqu'un administrateur se connecte à Windows Server, les informations d'identification de son mot de passe sont laissées sur place. Les attaquants capturent le hachage du mot de passe et l'utilisent pour passer à d'autres systèmes sur le réseau. Cette technique est appelée "pass-the-hash" (PtH).

Le RMM de Datto assure une surveillance 24 heures sur 24 et 7 jours sur 7 de tous les terminaux, y compris les serveurs Windows. Il recherche les anomalies et envoie immédiatement une alerte lorsqu'il détecte une activité possible de ransomware. Comme Datto RMM surveille collectivement tous les ordinateurs, il peut rapidement se rendre compte des attaques de ransomware.

Étape 2 : Isoler

Dès qu'une attaque par ransomware est détectée, il est essentiel d'isoler le serveur affecté afin de contenir l'attaque avant qu'elle ne se propage. Les attaques de type PtH se propagent rapidement d'un appareil à l'autre sur le réseau et surviennent souvent en dehors des heures de bureau, à un rythme trop rapide pour que les techniciens d'astreinte et les centres d'exploitation réseau (NOC) puissent réagir.

Datto RMM La détection des ransomwares permet d’isoler les appareils infectés et d’empêcher la propagation du ransomware vers d’autres appareils du réseau, tout en conservant l’accès à distance aux appareils affectés via la console RMM. Cette étape est essentielle pour soutenir les activités de DFIR (criminalistique numérique et réponse aux incidents), car elle offre aux ingénieurs et aux équipes du SOC davantage de temps pour recueillir des preuves et mettre en œuvre les mesures suivantes dans le cadre de vos efforts d’atténuation et de reprise.

Interface basée sur le cloud pour Datto RMM permettant d'isoler un appareil infecté.