Les ransomwares sont de plus en plus rapides, tout comme la réponse. Microsoft a détaillé comment sa technologie d’isolement automatique des appareils peut stopper une attaque de ransomware rapidement, en coupant une machine compromise du reste du réseau en seulement 128 secondes. Cette annonce intervient alors que de multiples rapports confirment que la menace des ransomwares continue d’augmenter, rappelant que la vitesse de détection compte désormais autant que la solidité d’une défense unique.
Pour les équipes de sécurité d’entreprise, 128 secondes représentent une étape à célébrer. Pour les utilisateurs quotidiens qui n’ont pas de centre opérationnel de sécurité surveillant leur trafic 24 heures sur 24, cela soulève une question plus difficile : que se passe-t-il lorsqu’il n’y a pas de système automatisé entre vous et un attaquant ?
Ce que fait concrètement l’isolation d’appareil en 128 secondes de Microsoft
L’approche de Microsoft repose sur l’identification automatique d’un appareil se comportant comme s’il avait été compromis, par exemple une activité de chiffrement de fichiers inhabituelle, et sur la coupure de son accès réseau avant que le malware ne puisse se propager à d’autres machines. Le chiffre de 128 secondes représente la fenêtre entre la détection et l’isolement complet, un intervalle pendant lequel l’appareil infecté est essentiellement mis en quarantaine pendant que les enquêteurs déterminent ce qui s’est passé.
Ce type de réponse automatisée n’est possible que parce que les grandes organisations disposent de l’infrastructure nécessaire pour surveiller les terminaux en continu et agir sur les signaux de menace en temps réel. C’est une avancée significative pour les réseaux d’entreprise, où un seul ordinateur portable infecté peut autrement devenir le point d’entrée d’un chiffrement généralisé. Mais cela souligne aussi à quel point la défense moderne contre les ransomwares dépend d’outils auxquels la plupart des particuliers n’ont tout simplement pas accès.
Pourquoi les ransomwares se déplacent plus vite que la plupart des utilisateurs domestiques ne peuvent réagir
Les ransomwares modernes ne restent pas tranquillement sur un système en attendant d’être découverts. Une fois activés, le chiffrement peut se propager aux fichiers et aux lecteurs connectés en quelques minutes, parfois plus vite qu’une personne ne pourrait remarquer un problème, sans parler de débrancher un routeur ou d’éteindre un appareil. C’est précisément pourquoi les défenses d’entreprise sont construites autour de l’automatisation plutôt que du temps de réaction humain.
Les utilisateurs domestiques et les petites entreprises manquent généralement de tout système d’alerte précoce équivalent. Il n’y a pas d’équipe de sécurité surveillant les activités anormales des fichiers à 2 heures du matin, ni d’interrupteur d’arrêt automatique qui isole un appareil dès que quelque chose semble anormal. Lorsqu’une note de rançon apparaît à l’écran, le chiffrement est généralement déjà terminé. Cet écart entre la réponse automatisée de niveau entreprise et le temps de réaction des consommateurs est le défi central pour quiconque ne dispose pas d’un support informatique dédié.
Ce que cela signifie pour vous : des mesures pratiques sans outils d’entreprise
Vous n’avez pas besoin d’un budget de sécurité d’entreprise pour mettre en place des défenses efficaces contre les ransomwares. L’objectif est de réduire à la fois les probabilités d’infection et les dégâts si elle survient malgré tout.
Commencez par les sauvegardes. Des sauvegardes régulières, hors ligne ou dans le cloud, qui ne sont pas constamment connectées à votre appareil principal, signifient que même une attaque de ransomware réussie ne vous coûtera pas vos fichiers. Maintenez vos systèmes d’exploitation et vos logiciels à jour, car de nombreuses infections par ransomware exploitent des vulnérabilités connues que les correctifs corrigent déjà. Soyez prudent avec les pièces jointes et les liens dans les courriels, et traitez avec méfiance toute demande non sollicitée d’accès à distance ou d’installation de logiciel, en particulier si elle prétend provenir du support informatique.
Un bon antivirus ou un outil de protection des terminaux avec une surveillance en temps réel peut détecter les comportements suspects, même sans systèmes d’isolement de niveau entreprise. La segmentation du réseau à domicile, par exemple en gardant les appareils intelligents sur un réseau distinct des ordinateurs contenant des fichiers sensibles, peut également limiter la propagation d’une infection si un appareil est compromis. Aucune de ces mesures ne reproduit une réponse automatisée de 128 secondes, mais ensemble, elles réduisent considérablement la surface d’attaque.
Comment les gangs de ransomwares s’introduisent avant même que l’isolement n’entre en jeu
Aucun système d’isolement, automatisé ou non, n’a d’importance si les attaquants ne déclenchent jamais d’événement détectable en premier lieu. De plus en plus, les groupes de ransomwares cherchent à s’introduire discrètement et à désactiver les défenses avant que quiconque ne remarque quoi que ce soit. Une campagne récente a montré des attaquants se faisant passer pour un faux support informatique sur Microsoft Teams pour alimenter une vague de ransomwares, incitant les employés à donner accès directement. D’autres groupes sont allés plus loin, en utilisant des techniques comme celle observée avec le ransomware GodDamn, qui a abusé d’un pilote signé pour carrément désactiver les outils antivirus, supprimant les protections mêmes qui déclencheraient normalement une réponse d’isolement automatisée.
Ces tactiques sont importantes parce qu’elles ciblent les hypothèses intégrées dans les systèmes de défense modernes. Si un attaquant peut désactiver les logiciels de sécurité ou convaincre un utilisateur de donner volontairement accès, les systèmes de détection qui permettent un isolement rapide n’ont jamais l’occasion de s’activer.
L’essentiel
La capacité d’isolement en 128 secondes de Microsoft est un excellent exemple de la façon dont une réponse automatisée et rapide peut stopper rapidement une attaque de ransomware une fois détectée. Mais la détection n’est que la moitié de l’équation. Alors que les groupes de ransomwares s’améliorent dans l’ingénierie sociale et la désactivation des outils de sécurité avant même que le chiffrement ne commence, la prévention et la défense en profondeur restent tout aussi essentielles pour les utilisateurs quotidiens que la vitesse de réponse pour les grandes organisations.
Si vous voulez comprendre comment les attaquants prennent réellement pied avant qu’un système d’isolement n’intervienne, il vaut la peine de lire comment les groupes ont utilisé de fausses demandes de support et des techniques de désactivation d’antivirus pour contourner totalement les défenses. Se tenir informé de ces tactiques d’entrée est l’une des mesures les plus pratiques que tout lecteur puisse prendre pour éviter les ransomwares en premier lieu.
