4 conseils sur la façon de répondre à une attaque Ransomware

Dans le monde de la cybersécurité, il est en effet essentiel que les organisations prennent des mesures pour empêcher les rançongiciels d'attaquer leurs organisations et de prendre leurs données en otage. Cependant, malgré les préparations les plus extravagantes et les plus précautionneuses, certaines attaques peuvent encore passer. Savoir quoi faire, comment réagir, dans le cas où votre organisation serait victime d'un ransomware, et quels outils utiliser pour aider à identifier et contenir une attaque peuvent faire la différence entre perdre un ordinateur et détruire tout votre réseau pendant des heures, des jours , ou même des semaines pendant que vous réparez les dommages.

Les meilleures pratiques suivantes peuvent vous aider à résoudre efficacement une attaque ransomware contre votre organisation et à revenir aux opérations commerciales normales le plus rapidement possible.

1. Bloquer la communication ransomware

De nombreux types de rançongiciels (mais pas tous) nécessitent une connexion avec un serveur de commande et de contrôle (serveur C & C) pour obtenir une clé de chiffrement afin de fonctionner. L'implémentation de la technologie Anti-Bot pour bloquer les ransomwares et autres formes de logiciels malveillants de la connexion et de la communication avec les serveurs de commande et de contrôle peut limiter, voire éliminer, la possibilité pour le rançongiciel de fonctionner.

2. Contenir les infections pour l'empêcher de s'étendre, en minimisant l'impact sur les entreprises

Alors que certains rançongiciels nécessitent des communications avec un serveur C & C pour obtenir une clé de cryptage, d'autres variantes ne le font pas. Certains sont en train de regrouper la clé de chiffrement publique avec le logiciel malveillant lui-même, en cryptant les fichiers avant même qu'ils n'atteignent leur réseau de commande et de contrôle. Cela rend plus difficile d'empêcher le cryptage, car ces variantes n'ont même pas besoin d'une connexion initiale à activer.Mais, même si le ransomware parvient à chiffrer les fichiers sur le périphérique infecté, tout espoir n'est pas perdu. La technologie Anti-Bot peut identifier et mettre en quarantaine les processus et communications malveillants et verrouiller automatiquement les périphériques infectés. Le confinement rapide peut potentiellement empêcher la propagation du rançongiciel au stockage réseau, aux emplacements de partage de fichiers ou à d'autres systèmes. Cela peut réduire considérablement les dommages causés par le ransomware et limiter l'impact sur votre entreprise.

Il est essentiel de déployer une approche forte pour prévenir de manière proactive l'infection en premier lieu. L'intégration d'outils comme Anti-Bot dans vos stratégies de sécurité peut aider à détecter et à contenir les ransomwares et autres infections de logiciels malveillants.

3. Ne paniquez pas, il peut y avoir une solution existante

Si vous devenez victime d'un ransomware, ne paniquez pas. Il peut y avoir une solution existante. Contactez immédiatement vos professionnels de l'informatique, car ils sont les mieux placés pour déterminer une réponse appropriée. Dans certains cas, il ne vous reste plus que deux options: restaurer les fichiers cryptés à partir d'une sauvegarde ou payer la rançon. Cependant, ce n'est pas toujours le cas. Ransomware évolue rapidement, et les professionnels de la sécurité sont constamment à la poursuite des attaquants et des moyens de désactiver leurs attaques. Dans plusieurs cas, comme TeslaCrypt et Shade ransomware par exemple, les clés de décryptage peuvent être disponibles sur Internet. Une recherche rapide pourrait permettre à votre équipe de gagner beaucoup de temps et d'argent pour faire face à l'attaque. 

4. Analysez et comprenez l'attaque et déterminez une réponse appropriée

Une fois que vous avez réussi à contenir le ransomware, il est important de faire les recherches nécessaires pour bien le comprendre. Quelle était la cause première? Comment est-il entré? Était-ce une erreur de l'utilisateur? Qu'est-ce qui s'est réellement passé? Faire la recherche est critique afin de bien comprendre toute l'attaque, de sorte que vous pouvez développer un plan pour traiter l'infection entière et l'empêcher de se reproduire dans une semaine ou des mois à partir de maintenant, ou encore dans un avenir lointain.

Votre équipe d'intervention en cas d'incident (IRT) doit utiliser des données médico-légales pour analyser complètement tous les aspects de l'attaque, depuis le point d'entrée et le trajet, jusqu'à l'étendue des dégâts. Cette information devrait être compilée manuellement ou agrégée à l'aide d'outils automatisés. Dans le cas d'une attaque par rançongiciel, gardez à l'esprit que la plupart des équipes d'intervention en cas d'incident devraient extraire toutes les informations et créer un rapport manuellement. Cela prend du temps.

Ces dernières années, des solutions automatisées sont devenues disponibles pour permettre aux organisations de répondre à cette limitation. La mise en œuvre d'outils automatisés d'analyse médico-légale améliore grandement la capacité de l'équipe d'intervention en cas d'incident à comprendre une vue complète de l'attaque, et certaines solutions fournissent même des conseils pour la correction. Ces outils réduisent considérablement le temps nécessaire à l'analyse des événements, en prenant ce qui auparavant prenait des heures ou des jours et en les réduisant à quelques minutes, permettant ainsi au personnel de sécurité informatique de mieux comprendre et répondre à une attaque beaucoup plus efficacement.

Pour en savoir plus sur les rançongiciels, : Comprendre et protéger contre les menaces et les tactiques les plus récentes.