Cyber Recovery et la reprise après sinistre - sont-elles une seule et même chose ? 

Comment protégez-vous vos données contre une attaque par ransomware ou une catastrophe naturelle ? Quel est votre plan de Recovery ? Votre plan de Recovery après sinistre est-il identique à votre plan de Recovery après cyberattaque ? Les mesures que vous prenez pour protéger vos données sont peut-être les mêmes, mais vos efforts de Recovery peuvent varier. Ces deux types d’incidents peuvent avoir des conséquences dévastatrices pour votre entreprise, mais ce qui est essentiel, c’est la Recovery. Le coût moyen d’une interruption d’activité pour les grandes entreprises s’élève à plus de 11 600 dollars par minute¹, et 40 à 60 % des petites entreprises ne rouvrent pas leurs portes après une perte de données². La manière dont vous abordez la Recovery a donc toute son importance. 

• Qu’est-ce qu’une cyberattaque, une catastrophe naturelle, la Recovery après sinistre et la Recovery après cyberincident ? 
• En quoi la Recovery et la reprise après sinistre diffèrent-elles ? 
• Qu’est-ce qu’un plan d’intervention en cas d’incident ? 
• Quels sont les différents types de cyberattaques ? 
• Comment les ransomwares se propagent-ils ? 
• Comment Commvault lutte-t-il contre les ransomwares ? 
• Mesures de sécurité contre les ransomwares

Qu’est-ce qu’une cyberattaque ? 

Gartner définit une attaque par rançongiciel comme « une cyber-extorsion qui se produit lorsqu’un logiciel malveillant s’infiltre dans des systèmes informatiques et chiffre les données, les retenant en otage jusqu’à ce que la victime paie une rançon ».^³ Une cyberattaque est très différente d’une catastrophe naturelle. Dans ce cas précis, vos données sont délibérément compromises. Des acteurs malveillants ont pris l’initiative d’accéder à votre environnement et d’y implanter un logiciel malveillant, bloquant ainsi vos systèmes, s’emparant de données critiques et exigeant une rançon. On estime qu’une attaque par rançongiciel se produit toutes les 11 secondes^.⁴ 

Qu’est-ce qu’une catastrophe naturelle ? 

Lorsqu’une catastrophe survient, qu’il s’agisse d’une inondation, d’un tremblement de terre, d’un incendie ou d’une tempête, vos environnements de données sont involontairement mis hors service, voire détruits. Dans ce cas, vos données ne font pas l’objet d’une intrusion délibérée. En 2021, 401 catastrophes naturelles ont été recensées dans le monde.^⁵   

Qu’est-ce que la reprise après sinistre ? 

La reprise après sinistre désigne la capacité à rétablir l’accès et le fonctionnement des systèmes de données critiques et de l’infrastructure informatique dans les plus brefs délais après la survenue d’une catastrophe naturelle. Elle repose sur la réplication des données vers un site hors site ou un environnement cloud, où celles-ci sont sauvegardées et ne sont pas affectées par la catastrophe naturelle. Dans le cadre d’une reprise après sinistre, l’objectif est de rétablir efficacement les opérations de l’entreprise avec un temps d’indisponibilité minimal et aucune perte de données, celles-ci étant considérées comme prêtes à être récupérées. Dans une situation de reprise après sinistre, vos efforts se concentrent sur l’efficacité de la reprise des opérations. 

Qu’est-ce que la cyber-Recovery ? 

La Cyber Recovery vise à permettre de rétablir l’accès et le fonctionnement des systèmes de données critiques et de l’infrastructure informatique dès que possible après une cyberattaque, telle qu’une attaque par ransomware. Dans le cadre d’une Cyber Recovery, vos objectifs consistent à remettre votre entreprise sur pied à partir d’une copie des données physiquement isolée (air-gapped) et immuable, ce qui garantit l’intégrité des données. Les solutions de protection des données intégrant une architecture « zero trust » vous assurent une approche de défense multicouche, même pour votre environnement de sauvegarde. Cependant, « il faut le voir pour le croire », et c’est là qu’il est important de veiller à valider fréquemment la Readiness opérationnelle des données dans le cadre d’exercices de simulation de cyber-récupération. Cela peut être réalisé en effectuant une validation des données au niveau des applications à l’aide de scripts personnalisés dans un environnement sandbox mis en quarantaine par rapport au réseau. Vous pouvez ainsi prévenir toute réinfection potentielle de l’environnement et, par conséquent, limiter l’« ampleur des dégâts » après une attaque. 

En quoi la cyber-Recovery et la reprise après sinistre diffèrent-elles ? 

La reprise après un cyberincident et la reprise après sinistre sont deux choses différentes. Dans le cas de la reprise après sinistre, l’accent est mis sur le temps moyen de reprise (MTTR) des opérations et sur le bon fonctionnement de l’entreprise. Dans le meilleur des cas, les données ne sont pas compromises. Quant à la reprise après cyberincident, elle concerne avant tout la survie de votre entreprise et porte notamment sur les données, les applications et l’infrastructure. 

Caractéristiques de la Recovery après sinistre par rapport à la Recovery après une cyberattaque 

Qu’est-ce qu’un plan d’intervention en cas d’incident ? 

Disposez-vous d’un plan d’intervention en cas d’incident ? Votre entreprise et ses collaborateurs sont-ils prêts à faire face à une attaque par ransomware ou à une catastrophe naturelle ?    

Toutes les équipes concernées doivent être en mesure de jouer efficacement leur rôle dans le processus de Recovery après un incident cybernétique. 

Elles doivent être capables de mettre en œuvre les plans et disposer de l’autorisation nécessaire pour les exécuter en cas d’incident. Lors d’une attaque réelle, il faut éviter que les équipes se renvoient la responsabilité les unes aux autres. Ce phénomène, souvent qualifié de « collision informatique », peut avoir un impact significatif sur la capacité d’une organisation à répondre efficacement à une cybercrise. S’assurer que toutes les parties prenantes et les équipes clés disposent des autorisations appropriées garantit qu’elles peuvent prendre des décisions rapides en toute autorité – ce qui peut être obtenu en accordant généralement aux équipes une autorisation préalable pour mener à bien les actions prescrites. Les délais liés aux processus dans le cadre de Recovery peuvent ainsi être éliminés sans avoir à « réveiller » les personnes pour qu’elles participent à un appel Zoom afin d’obtenir une autorisation. 

En ce qui concerne les cadres dirigeants, vos responsables sont-ils sur la même longueur d’onde ? Combien d’unités opérationnelles et de partenaires différents doivent être impliqués dans un plan d’intervention en cas d’incident ? Craignez-vous les conséquences pour les actionnaires en cas d’attaque par ransomware ?  

1. Il est important que les dirigeants mènent une analyse d’impact sur l’activité portant sur l’ensemble du parc informatique et intégrant les trois piliers (personnes, processus et technologies) afin de mesurer l’impact global des temps d’arrêt consécutifs à un incident cybernétique. 
2. Déterminez les éléments qui doivent figurer dans le plan de Recovery après incident informatique. 
3. Identifiez les équipes avec lesquelles il convient de collaborer, notamment les équipes de sécurité, les équipes d’intervention en cas d’incident (IRT), les partenaires d’assurance cyber et les équipes chargées de la protection des données, car toutes doivent travailler en étroite collaboration pour que l’exercice de Recovery après incident cyber soit efficace.  
4. Il convient de définir des procédures détaillées à respecter en cas d’attaque par ransomware. 
5. Enfin, entraînez-vous, entraînez-vous et entraînez-vous encore jusqu’à ce que cela devienne une mémoire musculaire collective, afin de pouvoir réagir avec un minimum de frictions lors d’une intervention réelle en situation de crise.  

Quels sont les différents types de cyberattaques ? 

On pourrait facilement penser que tous les ransomwares se ressemblent, et il n’est pas rare de croire qu’il existe une solution universelle en matière de prévention et de préparation. Cependant, comme chaque type de ransomware est généralement conçu pour attaquer des réseaux cibles différents, leur mode de fonctionnement peut varier considérablement. Il est donc essentiel de bien comprendre les différents types actuellement utilisés (en gardant à l’esprit que les pirates sont capables de combiner plusieurs types de rançongiciels).   

L’efficacité de la protection contre toute attaque par ransomware repose sur votre stratégie de défense, notamment compte tenu de la multiplication des vecteurs d’attaque « zero-day » pour lesquels aucune tactique, technique ou procédure (TTP) n’est connue. 

Six types de rançongiciels :  

CryptoWall – est à l’origine d’un pourcentage élevé d’attaques par ransomware. En général, CryptoWall est utilisé pour attaquer des cibles par le biais d’e-mails de hameçonnage. Le virus rançongiciel WannaCry est un dérivé de la famille Crypto et a été au cœur des plus grandes cyberattaques jamais perpétrées. Malheureusement, les créateurs de CryptoWall continuent de publier de nouvelles versions conçues pour contourner les mesures de sécurité. 

Locky – comme son nom l’indique, Locky fait exactement ce que son nom suggère (il vous empêche d’accéder à vos fichiers et les remplace par des fichiers portant l’extension .lockey). Cependant, son nom ne rend pas compte de l’aspect le plus destructeur de ce type de ransomware : sa rapidité. Locky se distingue en se propageant à d’autres fichiers sur l’ensemble du réseau plus rapidement que les autres souches de ransomware. 

Crysis – porte les attaques informatiques à un tout autre niveau, en « kidnappant » littéralement vos données pour les transférer vers un nouvel emplacement virtuel. L’importance de cet aspect de l’attaque réside dans le fait qu’il s’agit d’une violation de données si votre entreprise traite des données à caractère personnel ; les organisations doivent alors contacter toute personne susceptible de disposer d’informations sur votre réseau afin de se conformer aux directives locales, régionales et nationales. 

SamSam – cible les serveurs d’applications WildFly non mis à jour situés dans la partie du réseau exposée à Internet. Une fois infiltré dans le réseau, le rançongiciel recherche d’autres systèmes à attaquer.  

Cerber – s’attaque aux processus du serveur de base de données pour y accéder, plutôt que de s’en prendre directement aux fichiers. Ses créateurs vendent ce logiciel de rançongiciel à des cybercriminels en échange d’une partie de la rançon perçue, selon le modèle « Ransomware-as-a-Service ». 

Maze – est une variante de rançongiciel qui s’inscrit dans la tendance dite du « leakware ». Une fois les données chiffrées, les cybercriminels menacent de divulguer sur le dark web les données privées faisant l’objet de la rançon si celle-ci n’est pas versée. 

La protection contre les ransomwares doit être au cœur des efforts des organisations en matière de sécurité.   

Comment les ransomwares se propagent-ils ? 

L’ingénierie sociale est une tactique clé utilisée par les cybercriminels pour inciter des utilisateurs peu méfiants à télécharger ou à cliquer sur un lien ou un site web frauduleux. Les ransomwares se propagent souvent par le biais d’e-mails de hameçonnage contenant des liens malveillants ou par « téléchargement passif » (drive-by download), qui se produit lorsqu’un utilisateur visite involontairement un site contaminé et qu’un logiciel malveillant est téléchargé sur son ordinateur ou son appareil mobile. Une fois introduits dans l’environnement informatique, les vecteurs de menace se déplacent latéralement au sein du réseau jusqu’à ce qu’ils soient détectés. Le mode opératoire d’une attaque par rançongiciel consiste généralement à se déplacer au sein de données non structurées afin de rester indétectables le plus longtemps possible. Jusqu’à récemment, on savait que les logiciels malveillants et les vecteurs de menace pouvaient rester latents au sein d’un environnement pendant jusqu’à 300 jours, tout en chiffrant progressivement des ensembles de données et en causant des ravages à grande échelle.  

Cependant, les attaques les plus récentes montrent que certains vecteurs de menace sont capables de s’introduire et de provoquer une destruction instantanée et à grande échelle en procédant à des suppressions massives ou à un chiffrement. La rapidité de ces attaques ne permet pas aux équipes de réagir assez vite. Il est donc essentiel de s’assurer que l’environnement de protection des données est protégé dès le premier jour contre tout type d’attaque, quelle que soit sa rapidité. Les professionnels de la sécurité doivent s’appuyer sur des copies de sauvegarde « physiquement isolées et immuables » comme police d’assurance. 

Comment Commvault lutte contre les ransomwares 

La protection et la Recovery des données Commvault peuvent constituer un élément précieux de votre stratégie de lutte contre les ransomwares. La sécurité multicouche de Commvault repose sur les principes du « zero trust » et s’appuie sur le cadre de cybersécurité du National Institute of Standards and Technology (NIST) afin de protéger les données et de permettre une Recovery rapide en cas d’attaque par ransomware. Commvault contribue à protéger et à isoler vos données, assure une surveillance et des alertes proactives, et permet des restaurations rapides. Des technologies avancées, basées sur l’intelligence artificielle et l’apprentissage automatique, notamment les « honeypots », permettent de détecter les attaques potentielles et d’émettre des alertes dès qu’elles se produisent, afin que vous puissiez réagir rapidement. En mettant vos sauvegardes à l’abri et en garantissant leur restauration dans le respect de vos accords de niveau de service (SLA), vous pouvez minimiser l’impact d’une attaque par ransomware et reprendre immédiatement vos activités (tout en évitant de payer des rançons exorbitantes). 

La protection et l’isolation de vos copies de sauvegarde sont essentielles pour garantir l’intégrité et la sécurité des données. C’est pourquoi Commvault a adopté une approche agnostique en matière d’immuabilité. Avec Commvault, vous n’avez pas besoin de matériel spécifique ni de comptes de stockage dans le cloud pour protéger vos données de sauvegarde contre les menaces liées aux ransomwares. Si vous disposez de matériel prenant en charge les technologies WORM (Write-Once, Read Many), le verrouillage d’objets ou les instantanés (que Commvault prend entièrement en charge), vous pouvez toujours utiliser les fonctionnalités de verrouillage intégrées de Commvault pour compléter et renforcer les contrôles de sécurité existants. La capacité de Commvault à prendre en charge une défense multicouche pour sécuriser les ensembles de données contre les ransomwares garantit à nos clients de bénéficier d’une architecture solide, prête pour la cyber-Recovery. Voici quelques éléments à intégrer à votre architecture d’immuabilité :  

• Verrouiller l’accès afin d’isoler le référentiel de copies contre les ransomwares 
• Immuabilité associée à des verrous de cycle de vie pour réduire les risques, tout en tenant compte de l’impact sur la consommation 
• Réseau d’isolation par entrefer et dispositifs de commande 
• Gouvernance de la configuration visant à protéger contre les modifications intentionnelles ou accidentelles 
• Performances de la Recovery simultanée : réduire la latence tout en tenant compte de l’impact sur la vitesse et les coûts 
• Application automatique des correctifs pour rester à jour, ce qui simplifie la gestion et la maintenance de l’infrastructure de protection des données 
• Conformité à la philosophie de protection des données « 3-2-1 » (3 copies des données, 2 supports différents, 1 copie archivée)  

Pour en savoir plus sur l’architecture d’infrastructure immuable de Commvault, cliquez ici. 

Protection multicouche de Commvault 

Chaque environnement comportant un mélange d’infrastructures diverses, il peut sembler difficile de protéger les données de sauvegarde contre des modifications non autorisées et aléatoires. Tout comme pour la sécurité de votre domicile, vous devez identifier les risques et mettre en place des dispositifs de protection et de surveillance adaptés à vos besoins. 

De nombreux experts recommandent de mettre en place une stratégie de lutte contre les logiciels malveillants et les ransomwares à plusieurs niveaux. Commvault a intégré ces fonctionnalités de sécurité dans son logiciel et ses politiques de protection des données, sans alourdir la charge de gestion. La plateforme de protection et de gestion des données de Commvault comprend cinq niveaux de sécurité : 

• Identifier  et atténuer les risques pesant sur les données de sauvegarde à partir d’une interface unique 
• Assurer la protection en mettant en œuvre des mesures de sécurité fondées sur les normes de référence du secteur 
• Surveiller les ransomwares, les menaces internes et autres menaces 
• Réagir aux menaces et prendre les mesures qui s’imposent, tout en validant en permanence les données de sauvegarde 
• Récupérez rapidement vos données dans divers environnements : sur site, dans le cloud et en mode hybride 

La sécurité multicouche de Commvault repose sur un ensemble de fonctionnalités, de directives et de bonnes pratiques visant à gérer les risques liés à la cybersécurité et à garantir la disponibilité immédiate des données. Il est essentiel de comprendre que ces capacités font partie intégrante de l’expérience offerte par la plateforme principale de Commvault, Commvault Complete™ Data Protection. Aucune licence spécifique n’est requise, aucun coût supplémentaire n’est à prévoir et aucun matériel ou logiciel n’est nécessaire. La sécurité multicouche est renforcée grâce à une intégration accrue avec Metallic™ et Commvault Grid pour les clients recherchant respectivement la simplicité d’une solution de sauvegarde en tant que service (Backup as a Service) ou d’une Appliance de protection des données.    

Mesures de sécurité contre les ransomwares 

Isolation physique : traditionnellement, les réseaux physiquement isolés ne disposent d’aucune connectivité avec les réseaux publics. La bande magnétique est un support traditionnel pour les sauvegardes physiquement isolées, car elle peut être retirée de la bibliothèque de bandes et stockée hors site. Pour isoler physiquement des cibles de sauvegarde secondaires sur disque ou dans le cloud, un certain accès est nécessaire, mais la communication est coupée lorsqu’elle n’est pas requise. Lorsque l’accès aux données isolées n’est pas nécessaire, la communication est interrompue soit en désactivant les ports de communication, soit en désactivant la commutation VLAN, soit en activant les contrôles de pare-feu de nouvelle génération, soit en mettant les systèmes hors tension.  

Authentification multifactorielle (MFA)^⁶ : Il s’agit d’une approche à plusieurs niveaux visant à sécuriser les données et les applications, dans laquelle un système exige qu’un utilisateur présente au moins deux identifiants pour vérifier son identité lors de la connexion. La MFA renforce la sécurité car, même si l’un des identifiants venait à être compromis, les utilisateurs non autorisés seraient dans l’impossibilité de satisfaire à la deuxième exigence d’authentification et ne pourraient donc pas accéder à l’espace physique, au terminal informatique, au réseau ou à la base de données ciblés. 

Accès selon le principe du « privilège minimal » : cette pratique de sécurité standard consiste à n’accorder aux utilisateurs et/ou aux comptes que les droits strictement nécessaires à l’exercice de leurs fonctions, sans rien de plus. C’est vous qui décidez qui a accès à quoi. Cela permet de minimiser les risques en cas de compromission d’un compte et de limiter les fuites d’accès aux données.   

Effectuez des sauvegardes régulières en garantissant l’inaltérabilité des données : envisagez d’augmenter la fréquence des sauvegardes et d’étendre votre stratégie de protection des données à une stratégie de sauvegarde « 3-2-1 » : 3 copies de vos données, sur 2 types de supports différents, dont une copie hors site et, de préférence, physiquement isolée (air-gapped). Parmi les autres outils essentiels de protection des données figurent le chiffrement, les supports WORM (Write Once, Read Many) et les contrôles d’accès stricts. 

Immuabilité des données : données qui ne peuvent pas être modifiées. Pour renforcer la protection contre les ransomwares, veillez à ce que les copies de sauvegarde soient immuables en recourant à des contrôles de sécurité à plusieurs niveaux, à des fonctionnalités « WORM » (écriture unique, lectures multiples) et à un stockage immuable, ainsi qu’à une protection intégrée contre les ransomwares pour les données de sauvegarde.  

Chiffrement des données et gestion des clés : technologie consistant à transformer les données en un format ou un code illisible, que seuls les utilisateurs disposant d’une clé secrète ou d’un mot de passe peuvent déchiffrer. Le chiffrement au repos et en transit garantit que les données sauvegardées, même en cas d’exfiltration, restent inutilisables pour les personnes malveillantes qui ne disposent pas des clés de déchiffrement ou du mot de passe. 

Alertes d’anomalie : elles signalent un écart par rapport au schéma attendu des données ou des événements. La détection des anomalies permet d’obtenir des informations sur les comportements, ce qui donne à votre organisation la possibilité d’identifier des schémas récurrents afin de mieux comprendre votre environnement et de repérer les comportements inhabituels avant qu’une menace n’affecte votre environnement et votre activité. 

Honeypots⁷ : Système connecté au réseau et configuré comme leurre afin d’attirer les cyberattaquants et de détecter, repousser et étudier les tentatives de piratage visant à obtenir un accès non autorisé aux systèmes d’information. La fonction d’un honeypot est de se présenter sur Internet comme une cible potentielle pour les attaquants — généralement un serveur ou un autre actif de grande valeur — et de collecter des informations ainsi que d’alerter les défenseurs de toute tentative d’accès au honeypot par des utilisateurs non autorisés. 

Renforcement des applications⁸ : terme générique désignant la protection d’une application contre les intrusions par l’élimination des vulnérabilités et le renforcement des couches de sécurité. La sécurité des données implique plusieurs couches de défense qui ne se limitent pas à l’application elle-même : le niveau de l’hôte, celui du système d’exploitation, celui de l’utilisateur, celui de l’administrateur et même le niveau physique de l’appareil présentent tous des vulnérabilités qu’un bon système de sécurité doit prendre en compte. C’est pourquoi le renforcement des applications peut également être appelé « renforcement du système » ou « renforcement du système d’exploitation ». 

Que vous soyez victime d’une cyberattaque ou confronté à une catastrophe naturelle, le fait est que votre entreprise doit être préparée et prendre les mesures nécessaires pour protéger vos données, tout en s’appuyant sur un prestataire proposant des solutions rapides en matière de cybersécurité et de Recovery après sinistre. Alors, êtes-vous suffisamment préparé ? Lisez notre e-book intitulé « Comprendre les rôles et les responsabilités de l’équipe dans la lutte contre les ransomwares ». 

Références 

1., 2. Branko K : Web tribunal : Plus de 15 statistiques alarmantes sur la perte de données à garder à l’esprit en 2022, mars 2022. – 3. Gartner, « 6 façons de se défendre contre une attaque par rançongiciel », par Manasi Sakpal, novembre 2020 – 4. Safe at Last, « 22 statistiques sur les ransomwares pour vous aider à renforcer vos modèles de cybersécurité » : janvier 2022 – 5. Statistica, Madhumitha Jaganmohan, « Nombre mondial de catastrophes naturelles entre 2007 et 2021 », février 2022 – 6. CISA – 7. TechTarget, Ben Lutkevich, Casey Clark, Michael Cobb, honeypot (informatique) – 8. Thales, Renforcement des applications