Top 10 des meilleures pratiques d’hygiène cybernétique

Personne ne peut empêcher totalement les rançongiciels. Les acteurs malveillants font évoluer en continu leurs tactiques, exploitent des vulnérabilités nouvellement divulguées, achètent des identifiants volés et utilisent des techniques d’ingénierie sociale pour accéder aux données des organisations.  

Même les organisations disposant de programmes de sécurité matures peuvent être exposées, car un seul correctif manqué, un compte compromis, une mauvaise configuration ou une erreur humaine peut créer une opportunité pour les attaquants. 

C’est pourquoi, chez Object First, nous prônons un état d’esprit « Partir du principe d’une compromission, se préparer à la reprise ». Plutôt que de supposer que chaque attaque peut être stoppée, nous recommandons aux organisations de planifier en partant de la certitude qu’un attaquant finira par pénétrer votre système de production. « Partir du principe d’une compromission » signifie concevoir la sécurité et l’infrastructure en considérant que des identifiants peuvent être compromis, des terminaux peuvent être infectés ou des défenses peuvent être contournées. « Se préparer à la reprise » signifie s’assurer que les données de sauvegarde restent sécurisées, récupérables et prêtes au moment où elles sont le plus nécessaires. L’objectif n’est pas seulement de réduire la probabilité d’une attaque, mais aussi de minimiser l’interruption d’activité si l’une d’elles réussit. 

La prévention des rançongiciels ne peut pas être garantie. Seule la reprise le peut. Cependant, les bonnes pratiques d’hygiène cyber ci-dessous sont des moyens efficaces de réduire la surface d’attaque, d’éliminer les vulnérabilités négligées et de fermer les portes dérobées que les attaquants peuvent exploiter.  

1. Exiger l’authentification multifacteur (MFA) partout 

Les identifiants volés sont le moyen le plus courant de compromettre une organisation. Imposer la MFA sur les comptes utilisateurs, les comptes administrateurs, les VPN et les services d’accès à distance ajoute une couche de protection critique qui empêche les attaquants de transformer des mots de passe compromis en accès complet au système. Est-ce pénible de se connecter à Microsoft Authenticator 20 fois par jour ? Oui. Mais est-ce que cela réduit fortement la probabilité d’un incident de sécurité ? Oui, aussi. 

2. Appliquer le principe du moindre privilège 

Vos employés ne doivent avoir accès qu’aux systèmes et aux données dont ils ont besoin pour faire leur travail — ni plus, ni moins. Limiter les privilèges administratifs excessifs en appliquant le principe du moindre privilège réduit les possibilités pour les attaquants d’élever leurs droits et de progresser plus profondément dans l’environnement après cette compromission initiale. 

3. Corriger les vulnérabilités immédiatement 

Les cybercriminels recherchent activement les logiciels non corrigés, les systèmes d’exploitation et les équipements exposés à Internet. Mettre en place une cadence de patching cohérente permet de combler les failles de sécurité connues avant qu’elles ne puissent être exploitées. 

4. Sécurisé et surveiller les outils d’accès à distance 

Les outils d’accès à distance et de supervision/gestion à distance (RMM) peuvent devenir des vecteurs d’attaque s’ils ne sont pas contrôlés. Tenez un inventaire des outils approuvés, surveillez les activités inhabituelles et restreignez l’accès via des méthodes approuvées telles que les VPN ou le VDI. La CISA recommande également de bloquer le trafic RMM inutile au périmètre réseau et de détecter l’utilisation non autorisée de logiciels RMM. 

5. Former les employés à reconnaître les menaces 

Le phishing et l’ingénierie sociale sont des méthodes d’attaque efficaces parce qu’elles ciblent les personnes plutôt que la technologie. Certaines sont faciles à reconnaître (fautes grossières, messages prétendument envoyés par votre PDG, promesses de récompenses gratuites et formulations alarmistes), mais d’autres sont plus difficiles à repérer. Une sensibilisation continue aide les employés à identifier les e-mails, liens, pièces jointes et demandes suspects avant qu’ils ne deviennent des incidents de sécurité.   

6. Surveiller les activités suspectes 

Plus une activité suspecte est détectée tôt, plus elle peut être contenue rapidement. La surveillance continue, la détection sur les terminaux, la chasse aux menaces et l’analytique comportementale peuvent aider à identifier une activité liée aux rançongiciels avant le début d’un chiffrement à grande échelle.  

Les appliances Ootbi d’Object First intègrent une fonctionnalité de honeypot qui aide à détecter plus tôt les menaces potentielles dans le cycle de vie de l’attaque. En plaçant des fichiers leurres conçus pour attirer l’activité des rançongiciels, le honeypot peut identifier des tentatives de chiffrement non autorisées et générer des alertes avant que les attaquants n’aient l’occasion d’impacter les données de sauvegarde en production. Des capacités d’alerte précoce comme celles-ci peuvent aider les équipes de sécurité à investiguer plus vite les comportements suspects et à agir avant qu’un incident ne s’aggrave. 

7. Segmenter les systèmes et les données critiques 

La segmentation réseau limite la distance qu’un attaquant peut parcourir après avoir obtenu un accès. Séparer les applications critiques, l’infrastructure de sauvegarde et les données sensibles peut aider à contenir les menaces et à réduire l’impact d’une compromission réussie. 

8. Tester la reprise avant d’en avoir besoin 

Une stratégie de sauvegarde n’est efficace que si la restauration fonctionne quand cela compte le plus. Des tests de reprise réguliers vérifient l’intégrité des sauvegardes, valident les objectifs de reprise et donnent aux équipes la confiance nécessaire pour restaurer rapidement des données saines après un incident. Réalisez des simulations sur table afin de vous assurer que les équipes peuvent travailler ensemble sous la pression d’une attaque. 

9. Créer et maintenir un Plan de Reprise d’Activité (PRA) 

Contrairement aux exercices sur table, qui valident la prise de décision et les processus de réponse via des scénarios simulés, un PRA se concentre sur les détails opérationnels de la reprise : ce qui doit être restauré, dans quel ordre, par qui et avec quelles ressources. Un PRA bien maintenu permet de transformer la reprise, d’une improvisation stressante, en un processus reproductible. 

Un plan reprise après sinistre (PRA) fournit une feuille de route claire pour restaurer les systèmes et les données critiques après une interruption. Il doit définir les priorités de reprise, les objectifs de reprise, les rôles, les circuits de communication et les procédures de reprise étape par étape afin que les équipes puissent exécuter efficacement lorsqu’un incident survient. 

10. Protéger les données de sauvegarde avec l’Immuabilité absolue 

Les acteurs malveillants ciblent de plus en plus les référentiels de sauvegarde, car les données de reprise sont ce sur quoi les organisations s’appuient exclusivement pour rétablir les opérations après une attaque. Les attaquants tentent régulièrement de chiffrer, supprimer ou autrement compromettre les données de sauvegarde afin d’augmenter l’impact d’un incident. 

L’Immuabilité absolue de Object First contribue à garantir que les données de sauvegarde restent sécurisées pendant toute leur période de rétention. Avec des données de sauvegarde protégées contre la modification ou la suppression, les organisations peuvent conserver une source de reprise fiable quand cela compte le plus. 

Lors de l’évaluation d’une infrastructure de sauvegarde, concentrez-vous sur l’intégrité et la fiabilité des données de reprise. La reprise dépend de la disponibilité de copies de sauvegarde qui restent intactes, disponibles et prêtes à être restaurées, quelles que soient les actions menées par les attaquants ailleurs dans l’environnement. L’Immuabilité absolue apporte l’assurance que les données de sauvegarde protégées seront présentes au démarrage de la reprise.