Préparation au ransomware pour les supply chains : prévention, confinement et récupération

Le ransomware est au cœur des préoccupations de nombreux acteurs de la cybersécurité, alors que nous voyons un nombre croissant d'attaques touchant les réseaux hospitaliers, les gouvernements locaux et la supply chain au sens large. Une attaque par ransomware sur une entreprise entraîne généralement une perte d'accès aux données et systèmes pendant un certain temps, avec un impact financier par la perte de revenus et l'argent dépensé pour les efforts de récupération. Lorsqu'une attaque vise une entreprise qui fait partie de la supply chain, l'impact peut être bien plus large, car un seul fournisseur de services peut avoir un effet direct sur des centaines ou des milliers d'entreprises.

Une approche structurée en trois piliers

Comprendre la préparation de votre organisation face à la menace du ransomware est impératif, et savoir comment les fournisseurs de votre supply chain s'intègrent dans votre préparation est une pièce critique de votre stratégie globale.

Il peut être accablant d'essayer de s'assurer que toutes vos défenses sont couvertes et que vous avez fait tout ce qui est possible pour prévenir ou atténuer l'impact d'une attaque. Une stratégie solide est étendue et multicouche — englobant l'architecture, les terminaux, les utilisateurs et bien plus.

Par où commencer ? Une approche structurée et logique peut aider à apporter de l'ordre dans la compréhension de la préparation au ransomware de votre organisation. Examinons trois catégories principales : prévention, confinement et récupération.

Prévention

Notre objectif principal est de garder le ransomware hors de notre environnement, en l'empêchant d'y entrer dès le départ. De cette posture défensive, nous devons examiner votre infrastructure, des contrôles de périmètre jusqu'aux utilisateurs finaux. Bien que nous puissions couvrir ce sujet longuement, nous nous concentrerons sur les failles où le ransomware est le plus couramment introduit.

Protocole de bureau à distance (RDP)

Bien que ce ne soit ni une nouvelle technologie ni un nouveau vecteur d'attaque, le RDP a été une cible régulière en raison de vulnérabilités, de mauvaises configurations ou de sensibilité aux attaques par force brute. Avec la récente hausse du travail à distance et la hausse correspondante de l'utilisation du RDP, les attaquants ont un champ d'action élargi. Les activités de prévention ici incluent la limitation du nombre de ports ouverts, des contrôles d'authentification forts (y compris l'authentification multi-facteurs) et un programme solide de gestion des vulnérabilités.

Hameçonnage (Phishing)

Les emails d'hameçonnage peuvent être particulièrement dangereux car ils peuvent contourner nombre de vos contrôles de sécurité, permettant la livraison de contenu malveillant directement vers ce qui est souvent votre maillon de sécurité le plus faible — l'utilisateur final. Ces emails tentent généralement d'obtenir les identifiants de l'utilisateur ou contiennent des pièces jointes ou liens malveillants, offrant finalement aux attaquants un chemin direct dans votre environnement. Les activités de prévention incluent l'utilisation d'une solution de sécurité email, la formation à la sécurité et à la sensibilisation pour les utilisateurs finaux, et des solutions de détection et réponse aux endpoints.

En fin de compte, les techniques de prévention recommandées ne sont pas nouvelles. Ce sont les mêmes principes clés que la communauté de la sécurité de l'information discute depuis un certain temps — restreindre ce qui est accessible depuis Internet, scanner les vulnérabilités, appliquer les correctifs et avoir des contrôles d'authentification forts.

Confinement

Donc, malgré vos meilleurs efforts, le ransomware entre dans votre environnement. Comment arrêter la propagation ? Considérez un incendie dans un bâtiment : la stratégie de confinement précède l'incendie réel grâce à l'utilisation de pare-feu, de matériaux ignifuges, etc. C'est la même chose pour des attaques comme le ransomware. Voici deux stratégies de confinement clés :

Gestion des comptes privilégiés

Les attaquants adorent cibler les comptes privilégiés car ils offrent des niveaux d'accès élevés aux systèmes et données ainsi que les permissions nécessaires pour exécuter du code malveillant. La réutilisation de mots de passe, les mots de passe de comptes de service stockés en clair, les mots de passe facilement devinables, etc. sont tous des problèmes courants contribuant à la compromission des comptes.

Une approche holistique de la gestion des comptes privilégiés est la clé ici. Cela inclut la compréhension des comptes privilégiés que vous avez et de ce à quoi ils ont accès ; comment ils sont utilisés (ex: admin de domaine vs compte de service) ; et comment ces comptes sont accédés et gérés (ex: l'utilisation d'une solution de gestion des comptes privilégiés).

Segmentation du réseau

Les réseaux plats sont un scénario de rêve pour un attaquant. Une fois les identifiants obtenus, ils peuvent se déplacer librement dans l'ensemble du réseau de l'organisation et avoir un accès sans entrave aux systèmes et données. Au minimum, vous devriez utiliser la segmentation pour restreindre le mouvement latéral autant que possible, de sorte qu'un attaquant aurait beaucoup plus de difficulté à traverser votre réseau et à accéder à des systèmes et données supplémentaires.

Récupération

Outre un plan de réponse aux incidents, le plan le plus critique pour aider vos efforts de récupération est un plan de résilience d'entreprise. Comment l'entreprise continuera-t-elle à fonctionner ? Un plan de résilience solide aidera à restaurer la fonctionnalité de vos systèmes d'entreprise critiques.

Risque des fournisseurs tiers

Les vecteurs d'attaque courants pour les organisations incluent les fournisseurs tiers dans la supply chain. Comment pouvons-nous identifier et réduire les risques que nos fournisseurs présentent ? D'abord, répondez à ces questions critiques :

• Qui sont vos fournisseurs ?
• Quel service chaque fournisseur fournit-il à votre organisation ?

Identifier réellement qui sont vos fournisseurs n'est pas une tâche simple. Est-il possible que vous ayez des fournisseurs qui ont accès à votre réseau ou vos données et que vous ne le sachiez pas ? Absolument. La réalité est qu'il est possible d'accéder directement à une solution cloud et, avec rien de plus qu'une carte de crédit et quelques clics, vous avez maintenant un fournisseur avec accès à vos données. Si vous ne savez pas qui ils sont, il est impossible d'évaluer leur risque pour votre organisation. Quant à ce qu'ils font, les fournisseurs de votre supply chain peuvent fournir toutes sortes de services. Certains présentent intrinsèquement un risque plus élevé pour votre entreprise en fonction des données ou systèmes internes auxquels ils ont accès.

Répondre à ces questions est un excellent point de départ pour effectuer des activités d'évaluation adéquates contre ces fournisseurs. L'objectif est d'acquérir une assurance suffisante que les fournisseurs ont les contrôles appropriés en place pour protéger vos systèmes ou données en fonction des services qu'ils vous fournissent. Il existe de nombreuses stratégies d'évaluation à exploiter, y compris la revue de certifications comme SOC ou ISO, des questionnaires d'évaluation comme le SIG, des résultats de tests de pénétration, etc. Quelle que soit votre approche, valider que vos fournisseurs ont ces contrôles en place peut réduire le risque pour votre organisation d'être impactée en cas d'attaque.

Alors que les systèmes deviennent plus connectés et complexes, les attaquants peuvent encore trouver un moyen de traverser vos défenses. Mais être préparé à une attaque par ransomware peut réduire significativement l'impact et l'interruption pour votre organisation. Avec une stratégie de défense en profondeur, accompagnée de plans de confinement et de résilience appropriés, la force cyber de votre organisation ne peut que s'accroître.

Gary Brickhouse est directeur de la sécurité de l'information (CISO) chez GuidePoint Security.