EXPERT – Les multiples tensions au niveau global ont fait de la capacité de résilience, la priorité numéro 1 de nombreux DSI et RSSI en 2023. Face à une situation d’urgence causée par une cyberattaque, il faut à la fois pouvoir s’appuyer sur des sauvegardes de données fiables, mais surtout réagir de manière efficace et rapide sous une pression maximale.
Vous estimez disposer de solution de protection performante, de sauvegardes de données fiables, mais alors que les attaques informatiques se multiplient, la vraie question à se poser, c’est est-ce que je suis prêt à faire face à une attaque de ransomware ? Beaucoup d’entreprises qui se croyaient suffisamment protégées se sont retrouvées à terre à la suite d’un simple clic sur un email de phishing.
La donnée, l’actif clé de toute entreprise
Face à un ransomware qui peut potentiellement bloquer toute votre production informatique et par ricochet toute l’activité de votre entreprise, protéger les données est absolument capital. Lorsque tous les systèmes de protection en place ont échoué à repousser l’attaquant, l’ultime rempart, c’est la sauvegarde. Beaucoup d’entreprises françaises se reposent encore sur des solutions de sauvegarde archaïques. La sauvegarde est trop souvent la dernière ligne du budget d’un nouveau projet et c’est lorsque l’on doit aller chercher une donnée perdue en dernier recours que l’on se rend compte des piètres performances et parfois même du manque de fiabilité des systèmes en place. Face à la multiplication des attaques de ransomware, il est absolument nécessaire de pouvoir compter sur ses sauvegardes. Dans son Guide d’hygiène informatique, l’ANSSI évoque à de nombreuses reprises ce besoin de sauvegardes fiables dans les 42 mesures de sécurité à prendre.
Les approches en termes de protection de la donnée sont bien connues : l’entreprise détermine le système dont elle a besoin selon le RPO (Recovery Point Objective), le volume de donnée qu’elle est prête à perdre en cas de problème et du RTO (Recovery Time Objective), le délai maximal d’attente avant de pouvoir disposer de nouveau de l’accès aux données. En fonction de ces 2 paramètres techniques, le coût de la solution pourra être relativement faible si l’entreprise est prête à perdre 24 heures de données, ou bien élevé si elle souhaite ne pas être impactée du tout par un incident. Une bonne pratique veut que la sauvegarde suive la règle des 3 – 2 – 1 – 1 – 0 : il faut disposer de trois copies de chaque donnée, sur au moins deux technologies de sauvegarde différentes, avec au moins un site de stockage distinct du premier et une copie des données hors-ligne, le tout avec zéro corruption de celles-ci.
Au-delà de la sauvegarde, la résilience
Disposer de systèmes de sauvegarde pour toutes les données critiques est un pré-requis, mais ce n’est clairement plus suffisant. Les attaques Cyber récentes ont montré que les ransomwares les plus évolués commencent avant tout par détruire les sauvegardes avant même de chiffrer les données et demander une rançon. Une victime qui ne dispose ni de ses bases de données de production, ni de ses sauvegardes n’a plus d’autre issue que payer… Pour améliorer sa résilience en cas d’attaque, il faut doter les sauvegardes d’une protection toute particulière. La bonne nouvelle est qu’il existe des solutions conçues pour protéger les sauvegardes et les constructeurs de solution de ce type embarquent de plus en plus fréquemment des capacités de protection
Il est important de sanctuariser les sauvegardes. Un attaquant ne doit pas pouvoir effacer ou altérer les sauvegardes lors des premières phases de son attaque. En outre, une solution de type XDR ou un SIEM doivent être à même de détecter une tentative d’attaque sur les serveurs de sauvegardes et en bloquer immédiatement l’accès. Il est à noter que face à cette menace renforcée qui pèse sur les sauvegardes, les bandes magnétiques sont redevenues populaires auprès de certaines entreprises. Outre les grandes capacités de stockage de LTO9, des dispositifs de protection matérielle apportent un niveau de sécurité supplémentaire de protection des cartouches en cas d’attaque.
Il faut être prêt à réagir dès que l’attaque est détectée
La résilience passe aussi par une soigneuse préparation de la réaction au moment du déclenchement de l’attaque. La pression du ComEx et des Business Unit dont l’activité est immobilisée est alors maximale sur le DSI et le RSSI or nous avons souvent constaté un délai de 24 à 72 heures entre le déclenchement de l’attaque et les premières actions de défense. Outre la sidération provoquée par l’immobilisation du système d’information, les équipes cyber ont besoin d’évaluer précisément l’ampleur de l’attaque. En pleine attaque, le niveau de stress est au plus haut et ce n’est plus le temps de la réflexion : toute la cellule de crise doit pouvoir s’appuyer sur un plan de remédiation détaillé où toutes les actions à prendre sont clairement scriptées.
Déconnexion des accès Internet, listes des personnes à prévenir en interne, appel à l’assureur, information obligatoire des autorités compétentes, appel à un prestataire spécialisé dans la gestion de crise et à la remédiation cyber, ce plan va permettre de gagner énormément de temps et ne pas commettre d’erreurs préjudiciables par la suite. L’équipe de remédiation doit alors travailler main dans la main avec la DSI afin de notamment de disposer de plateformes de reprise isolées du système d’information afin de vérifier que les sauvegardes ne sont pas altérées et que le malware ne se trouve pas à l’état dormant. Avec de bons systèmes de sauvegarde, des solutions de protection efficaces sur ces sauvegardes et un plan de remédiation régulièrement testé l’entreprise peut espérer sortir de la crise sans trop de casse. Ces différentes dispositions doivent enfin être testées avec des exercices d’attaques par ransomwares ou hackers. Celles-ci permettront d’estimer le temps de bascule d’un système à un autre ainsi que de juger de la capacité des différents services (SOC, infrastructure, réseaux, cybersécurité) à véhiculer l’information et agir tous ensemble pour la remédiation. Alors que l’on considère que toute entreprise sera, un jour ou l’autre, attaquée, c’est le seul moyen d’assurer sa résilience.
Gilles SEGAR, ingénieur avant-vente en charge des solutions Cloud d’Exclusive Networks
