La majorité des compromissions par ransomware exploitent des vecteurs répétés : pièces jointes piégées, liens suspects, mises à jour manquantes. En pratique, les infections les plus coûteuses passent par des canaux plus discrets, notamment les accès distants mal configurés et l’absence de cloisonnement réseau. Adopter de bonnes pratiques numériques contre les ransomwares suppose de dépasser la check-list de base pour travailler sur l’architecture même du système d’information.
Désactiver ou isoler RDP pour couper le premier vecteur d’intrusion ransomware
Le protocole RDP exposé sur Internet reste un point d’entrée privilégié des opérateurs de ransomware. Un serveur RDP accessible publiquement, même protégé par mot de passe, subit des tentatives de brute force en continu.
A lire également : Les usages méconnus du chiffrement de bout en bout au quotidien
Nous recommandons de désactiver RDP sur tout poste ou serveur où il n’est pas strictement nécessaire. Quand l’accès distant est indispensable, le remplacer par une passerelle dédiée ou un modèle zero trust qui vérifie l’identité, le contexte de connexion et l’état de sécurité du terminal avant d’accorder le moindre accès.
Le port 3389 ne doit jamais être exposé directement sur l’Internet public. Placer l’accès derrière un VPN avec authentification multifacteur, ou mieux, derrière un reverse proxy applicatif qui n’ouvre la session qu’après validation de plusieurs signaux (géolocalisation, conformité du poste, certificat client).
A lire aussi : Les risques liés au partage de fichiers en entreprise
Ce durcissement des accès à distance est traité comme une priorité distincte dans les guides récents de prévention, et pour cause : il neutralise un vecteur que les campagnes de sensibilisation classiques ne couvrent pas.
Segmentation réseau : limiter le mouvement latéral après une compromission
Une infection ransomware sur un poste de travail ne devrait jamais pouvoir chiffrer un serveur de fichiers ou atteindre les sauvegardes. En pratique, l’absence de segmentation réseau transforme une infection locale en sinistre total.
Le principe est de cloisonner le système d’information en zones : postes utilisateurs, serveurs applicatifs, serveurs de sauvegardes, équipements d’administration. Chaque zone ne communique avec les autres qu’à travers des règles de pare-feu explicites et minimales.
Points de cloisonnement à vérifier en priorité
- Isoler le réseau de sauvegardes pour qu’aucun poste utilisateur ne puisse y accéder directement, y compris via des partages SMB
- Séparer les comptes d’administration du domaine des comptes utilisateurs courants, et interdire l’utilisation de comptes à privilèges depuis des postes bureautiques standard
- Bloquer le trafic SMB (port 445) entre les VLAN utilisateurs, car c’est le principal protocole qu’exploitent les ransomwares pour se propager latéralement
- Placer les serveurs critiques (contrôleur de domaine, serveur de messagerie) dans un segment dédié avec journalisation des flux entrants
Cette approche ne demande pas un budget massif. Un pare-feu interne correctement configuré et une politique de VLAN suffisent pour une PME. Le gain de protection est disproportionné par rapport à l’investissement.
Authentification des e-mails avec SPF, DKIM et DMARC contre le phishing
Le phishing reste le déclencheur initial de la plupart des attaques par ransomware. Au-delà de la vigilance individuelle, configurer SPF, DKIM et DMARC sur votre domaine réduit drastiquement les e-mails de phishing crédibles qui arrivent jusqu’aux boîtes de réception.
SPF déclare quels serveurs sont autorisés à envoyer des messages pour votre domaine. DKIM signe cryptographiquement chaque e-mail sortant. DMARC lie les deux et indique aux serveurs destinataires quoi faire en cas d’échec (quarantaine ou rejet).
Sans ces trois enregistrements DNS, un attaquant peut envoyer un e-mail qui semble provenir de votre propre domaine, avec le nom d’un dirigeant dans le champ expéditeur. Ce type d’usurpation d’identité rend le phishing considérablement plus efficace, car le message passe les filtres antispam de base et inspire confiance au destinataire.
Nous recommandons de déployer DMARC en mode « none » d’abord pour collecter les rapports, puis de passer progressivement en mode « quarantine » et enfin « reject » une fois que tous les flux légitimes sont identifiés.
Sauvegardes et tests de restauration : la dernière ligne de défense anti-ransomware
Sauvegarder ne protège contre rien si la restauration échoue le jour de l’incident. Nous observons régulièrement des entreprises qui découvrent lors d’une attaque que leurs sauvegardes sont corrompues, incomplètes, ou elles-mêmes chiffrées par le ransomware parce qu’elles étaient accessibles depuis le réseau compromis.
Règles pour des sauvegardes réellement exploitables
- Appliquer la règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site ou hors ligne
- Utiliser des sauvegardes immuables (write once, read many) qui ne peuvent pas être modifiées ou supprimées pendant une durée définie, même par un compte administrateur compromis
- Planifier des tests de restauration au moins une fois par trimestre, en simulant la perte complète d’un serveur et en mesurant le temps réel de reprise
Un exercice de reprise type cleanroom, où l’on restaure un environnement complet dans un réseau isolé, reste la méthode la plus fiable pour valider que le plan de continuité fonctionne. Sans ce test, la sauvegarde n’est qu’une promesse.
Politique de mots de passe et privilèges : réduire la surface d’attaque au quotidien
Les ransomwares modernes ne se contentent pas de chiffrer : ils exfiltrent les données et escaladent les privilèges. Un compte administrateur avec un mot de passe faible ou réutilisé donne un accès total au système d’information en quelques minutes.
La cybersécurité au quotidien passe par l’application du principe de moindre privilège. Chaque employé utilise un compte standard. Les comptes à privilèges sont nominatifs, protégés par authentification multifacteur et utilisés uniquement depuis des postes d’administration dédiés.
Auditer régulièrement les comptes à privilèges du domaine Active Directory permet de repérer les comptes orphelins, les élévations de droits non justifiées et les mots de passe qui n’ont pas été changés depuis des mois. Ce sont exactement les failles que les opérateurs de ransomware recherchent après leur intrusion initiale.
La protection contre les ransomwares ne repose pas sur un outil unique, mais sur l’empilement de mesures techniques cohérentes. Durcir les accès distants, cloisonner le réseau, authentifier les e-mails au niveau DNS, tester ses restaurations et contrôler les privilèges : chacune de ces pratiques réduit la probabilité d’infection et limite les dégâts si une compromission survient malgré tout.
