Ransomware, sauvegardes et test de votre plan

Ces derniers temps, les gros titres de l'actualité semblent être saturés d'attaques de rançongiciels. Les chefs d'entreprise en prennent acte et demandent à leurs fournisseurs de services gérés (MSP) et à leurs services informatiques d'améliorer leurs programmes de cybersécurité et d'élaborer des plans de reprise d'activité (BCDR) pour se remettre rapidement d'une violation. Cependant, la triste réalité est que beaucoup de MSP et de services informatiques n'effectuent que la moitié du travail.

Bien que les sauvegardes constituent certainement la première étape pour se remettre d' attaques de ransomware , de nombreuses entreprises ne comprennent pas l'importance de tester leurs sauvegardes et leurs plans de continuité d'activité et de reprise après sinistre afin d'identifier les faiblesses et les erreurs qui peuvent souvent être commises.

Les sauvegardes sont difficiles à réaliser correctement

Il n'existe qu'une seule façon de réussir ses sauvegardes. Avoir les données souhaitées, accessibles quand vous en avez besoin et dans les délais impartis est essentiel. Il existe des dizaines de raisons d'erreurs de sauvegarde. Lisez ce qui suit pour découvrir les points de défaillance les plus courants.

Sauvegardes non testées

Malheureusement, de nombreuses entreprises victimes de ransomware pensent disposer de sauvegardes fiables, mais n'ont pas testé leurs sauvegardes. Certaines réalisent alors qu'elles ont sauvegardé les mauvaises données ou ont oublié des serveurs critiques situés dans des emplacements inhabituels.

Sauvegardes réussies qui n'ont pas fonctionné

D'autres ne se rendent compte que lorsqu'ils effectuent une restauration à partir d'une sauvegarde que les sauvegardes n'ont pas fonctionné malgré le signalement d'une réussite. 

Des restaurations qui prennent une éternité

Enfin, à mesure que la quantité de données que nous utilisons tous pour gérer nos entreprises augmente de manière exponentielle, certaines entreprises déterminent que leurs temps de restauration sont inacceptablement longs.

Les experts en cybersécurité affirment que la raison la plus fréquente pour laquelle les victimes de rançongiciels paient malgré des sauvegardes fiables est que « personne au sein de l'organisation victime n'a pris la peine de tester au préalable la durée du processus de restauration des données ». Trop d'entreprises pensent, à tort, qu'en sauvegardant leurs données quotidiennement, elles sont à l'abri du risque de devoir payer la clé de déchiffrement. Le problème, c'est qu'elles ne se rendent pas compte de la durée de la restauration, faute d'avoir testé leur procédure de sauvegarde.

Fabian Wosar, directeur technique d' Emsisoft, interrogé sur les difficultés rencontrées par les entreprises pour restaurer leurs données après une attaque de ransomware :

Soudain, la victime se rend compte qu'elle a quelques pétaoctets de données à restaurer via Internet et réalise que, même avec sa connexion rapide, il lui faudra trois mois pour télécharger tous ces fichiers de sauvegarde. Beaucoup d'équipes informatiques ne calculent même pas le temps nécessaire à une restauration en termes de débit.

Échecs de la gestion des clés de sauvegarde

Wosar a ensuite expliqué que la situation suivante la plus courante concerne les entreprises qui disposent de sauvegardes chiffrées de leurs données hors site, mais qui réalisent que la clé numérique nécessaire pour déchiffrer leurs sauvegardes était stockée sur le même réseau local qui a été chiffré par un ransomware.

Bill Siegel, PDG et cofondateur de Coveware , une entreprise qui négocie des paiements de rançon pour les victimes de logiciels malveillants, a déclaré :

Il se peut qu'ils aient 50 pétaoctets de sauvegardes… mais qu'elles se trouvent dans une installation à 30 kilomètres… Et puis ils commencent [la restauration via un câble en cuivre à partir de ces sauvegardes distantes], et ça va très lentement… et quelqu'un sort une calculatrice et réalise qu'il lui faudra 69 ans pour restaurer ce dont il a besoin. Ou alors, il y a beaucoup d'applications logicielles que vous utilisez pour effectuer une restauration, et certaines de ces applications sont sur votre réseau et ont été chiffrées. Alors vous vous dites : « Super. Nous avons des sauvegardes, les données sont là, mais l'application qui effectue la restauration est chiffrée. » Donc, tous ces petits détails peuvent vous empêcher d'effectuer une restauration si vous ne vous entraînez pas.

Avec autant de façons d'éviter les erreurs de sauvegarde, il est temps de mettre de l'ordre dans vos affaires, avant qu'un incident critique n'ajoute le stress d'une urgence à vos efforts de dépannage pour récupérer vos données. Voici les recommandations de CyberHoot concernant les sauvegardes.

Alors, que pouvez-vous faire?

Il est essentiel que les organisations mettent en pratique leurs plans de continuité d'activité et de reprise après sinistre (PCA/PRA), notamment par des exercices de simulation de crise. Nombreuses sont les victimes qui se retrouvent contraintes de reconstruire leurs données d'une manière imprévue. C'est pourquoi ces exercices sont particulièrement importants. CyberHoot recommande d'élaborer un plan PCA/PRA complet afin de définir votre objectif de point de reprise (RPO) et votre objectif de temps de reprise (RTO). CyberHoot recommande également la méthode de sauvegarde 3-2-1 : conserver trois copies de vos données (une copie principale et deux copies de sauvegarde), les fichiers étant enregistrés sur deux types de supports et une copie stockée hors site (en ligne, par exemple). Tester votre plan PCA/PRA au moins une fois par an vous permettra d'éviter bon nombre des erreurs courantes commises par les entreprises.

Au-delà des sauvegardes : conseils de prévention contre les ransomwares

En plus de tester et de documenter votre BCDR avec la méthode de sauvegarde 3-2-1, CyberHoot recommande les meilleures pratiques suivantes pour protéger les particuliers et les entreprises contre les cyberattaques en ligne et limiter les dommages causés par celles-ci :

• Adopter authentification à deux facteurs sur tous les services critiques accessibles sur Internet
• Adoptez un Password Manager pour une meilleure hygiène des mots de passe personnels/professionnels
• Exiger des mots de passe de 14 caractères ou plus dans votre Politiques de gouvernance
• Former les employés pour repérer et éviter les e-mails phishing attaques
• Vérifiez que les employés peut repérer et éviter les e-mails de phishing en les testant
• Effectuer une évaluation des risques tous les deux à trois ans

Conclusions sur les ransomwares et les sauvegardes

Le moment idéal pour résoudre tous les problèmes de votre plan BCDR est celui où vous êtes le moins stressé. Une attaque de rançongiciel est le moment le moins propice pour résoudre les problèmes de sauvegarde. Tester votre plan BCDR à votre rythme, et non à celui d'un pirate informatique, est une excellente idée. Vous ne le regretterez pas.

Commencez dès aujourd'hui à élaborer votre plan de cybersécurité robuste et à défense en profondeur avec CyberHoot.

Pour en savoir plus sur les sauvegardes et la restauration des données, regardez cette courte vidéo :

Source: 

Krebs sur la sécurité

Lectures supplémentaires : 

Un ransomware arrête le pipeline

Le Trésor américain interdit les paiements par rançongiciel