Introduction

Depuis que le monde a repris ses activités commerciales à pleine capacité après la COVID-19, une autre perturbation est apparue. Cette fois-ci, elle est entièrement d'origine humaine. Les rançongiciels sont devenus une arme redoutable dans le monde numérique. Peu importe que vous dirigiez une petite start-up ou une grande entreprise manufacturière, un seul mauvais clic peut vous mettre à genoux. Dès que vous êtes ciblé, vous remarquez de la lenteur, des messages et des billets s'accumulant, des employés qui s’appellent les uns les autres pour comprendre ce qui se passe. Cette expérience vous bouleversera. Les premières heures suffisent à savoir si l’organisation pourra prendre la barre face à la tempête ou sombrera dans celle-ci.

Nous avons vu de nombreuses organisations piloter ce navire d'une façon ou d'une autre. Mais elles ont toujours un point en commun : la pratique. La cyberrésilience ne consiste pas à prévenir ou à détecter une attaque, mais bien à traverser la situation et à garder les lumières allumées pendant toute la durée. Mais souvent, les professionnels se demandent comment s’entraîner.

C’est là que l’on accueille un exercice ou une simulation de rançongiciel, soit un forum structuré, basé sur des discussions, qui présente un scénario d’attaque réaliste et permet aux équipes de se préparer, de réagir, d'intervenir et de se rétablir. Tout cela sans toucher à aucun système de production. Pensez-y comme à une séance d’entraînement pour le pire match de cricket de tous les temps.

Pourquoi répéter la récupération après un rançongiciel est plus crucial que les politiques

Le rançongiciel d’aujourd’hui ne se limite pas au chiffrement des fichiers ou à attaquer les trois piliers de la sécurité de l’information (CIA). Les cybercriminels volent des données, ciblent les sauvegardes, menacent de tout exposer publiquement et perturbent les processus d’affaires et opérationnels de tout l’écosystème. La continuité des affaires ou la reprise après sinistre vous permet d’avoir un système parallèle redondant fonctionnant à partir d’un autre site. Toutefois, dans la plupart des scénarios d’attaque, le site de reprise est aussi compromis, ce qui empêche l’activation de ces plans de continuité. C’est là que des technologies comme l’air gap, l’immutabilité des données ou le WORM deviennent essentielles.

Souvent, les professionnels et les entreprises commencent par investir du temps dans la création de politiques ou de cadres. Or, tout cela ne sert à rien lorsque :

• La moitié de l’équipe ne connaît pas clairement son rôle.
• Les canaux de communication ne sont pas clairs.
• Les sauvegardes sont configurées en théorie, mais la restauration n’est pas pratiquée.
• La direction ne sait pas comment prendre des décisions.
• Les responsabilités légales et de conformité ne sont pas totalement comprises.

Pourquoi les exercices de simulation cyber ou rançongiciel sont nécessaires aujourd’hui.

Un exercice de simulation règle la plupart des défis énumérés ci-dessus. Il montre comment vos gens réagissent, interviennent sous pression (sans la pression réelle). Il met également en lumière le type de décisions prises par la direction, et leurs dépendances. Il aide à ouvrir la perspective d’affaires, alors que les équipes TI ne pensent souvent qu’aux systèmes, à la connectivité, à l’accès et à la restauration des données. Les exercices de simulation aident les organisations à se préparer à de tels incidents en validant les stratégies de réponse, en améliorant la coordination et en assurant la préparation face aux menaces évolutives. Voici quelques éléments pouvant être explorés ou évalués lors d’un exercice de simulation :

• Qui est le décideur ?
• Quels rapports d’évaluation des dommages sont requis et qui les fournira ?
• Quelles équipes éprouvent des difficultés à fournir les résultats attendus ?
• Quels sont les SLA selon les différentes étapes ?

Rôle de l’AI : une arme à double tranchant ?

La plupart des entreprises croient que la dernière vague d’adoption de l’AI les aidera à combattre ce type de menace. Toutes ces solutions de nouvelle génération proposent différentes techniques et mécanismes pour détecter ces attaques au premier point de contact et pour aider à évaluer les points d’entrée vulnérables. Toutefois, cette même capacité est exploitée de l’autre côté par les acteurs malveillants pour contourner vos mesures de sécurité. Les techniques AI aident tout autant les attaquants à explorer de nouveaux modes d’exploitation, là où les mesures d’atténuation sont encore en développement. Par exemple, une menace émergente est le cryptojacking. Cette attaque cible spécifiquement les détenteurs de cryptomonnaie et amorce le minage de crypto à leur insu. Ainsi, l’AI peut jouer un rôle problématique des deux côtés.

On croit souvent, à tort, que si une organisation est victime de rançongiciel, c’est qu’elle n’a pas su adopter la toute dernière technologie ou capacités AI. Mais la véritable cause réside dans le comportement et la mentalité des employés. Investir des millions pour adopter la nouvelle technologie ne sert à rien si les employés ne respectent pas les bonnes pratiques de sécurité de l’information, ce qui rend la technologie impuissante face à l’attaquant.

Comment mener un exercice de simulation qui a de la valeur et pas seulement pour cocher une case

Il existe plusieurs façons de conduire un exercice de simulation cyber qui fournira une preuve aux auditeurs recherchant des éléments classiques d’essais, toutefois il est recommandé d’exécuter la simulation de façon structurée, car elle n’est efficace que si elle est bien préparée. Voici des éléments qui doivent être bien définis et acceptés pour l’exercice :

1. Définir clairement le but et l’objectif : L’aspect principal est de déterminer ce que vous souhaitez valider ou observer dans la simulation. Cherchez-vous à valider les procédures de récupération des données après une attaque ou la direction veut-elle plutôt évaluer la préparation des équipes pendant l’attaque ? Bien souvent, le conseil d’administration voudra comprendre le flux de communication entre les équipes, la prise de décision et la clarté des rôles plutôt que la restauration et les aspects techniques. Il faut donc définir et expliquer clairement le but de la simulation.
2. Inclure les bonnes équipes : Dans plusieurs organisations, dès que l’on mentionne la cybersécurité ou les rançongiciels, tous pointent du doigt les équipes de cybersécurité ou de continuité des affaires. Mais un rançongiciel n’est pas qu’un enjeu de cybersécurité, c’est beaucoup plus vaste. Cela touche tous les canaux de la technologie de l’information et des communications, incluant centres de données, cloud, outils, plateformes et systèmes utilisateurs. Un exercice de simulation ne doit donc pas être mené que par la cybersécurité, mais aussi par toutes les autres équipes. Un exercice équilibré doit inclure les équipes d’infrastructure, d’applications (du moins les systèmes cruciaux), de sécurité, de gestion des incidents majeurs, de continuité/reprise après sinistre, ainsi que les équipes non TI comme le juridique, la conformité, les RH et les communications corporatives, sans oublier la direction et la haute direction. On peut aussi se demander si les fournisseurs et partenaires doivent y participer, ce qui dépendra de l’objectif à atteindre comme mentionné précédemment.
3. Choisir un scénario représentatif d'une situation réelle : C’est l’étape clé de l’exercice. Il n’est pas pertinent d’en choisir un qui soit facile à exécuter, car le but n’est pas de cocher une case. Une fois le scénario choisi, il faut développer des éléments perturbateurs qui modifient le déroulement, ajouter des développements imaginaires de pires cas pouvant changer la trajectoire de l’exercice. Énumérez les points d’accès possibles à l’environnement et cartographiez tous les systèmes TI susceptibles d’être touchés. Voici le déroulement recommandé à valider pendant l’exercice :

• Détection d’incident : Les employés ou le SOC signalent des comportements suspects ou multiples. Par exemple, des plateformes de surveillance de la sécurité indiquent des schémas de chiffrement anormaux.
• Analyse d’incident : Lancement du triage, classification de l’incident, convocation des équipes sur le pont.
• Confinement d’incident : Les équipes tentent d’isoler des systèmes, de segmenter les réseaux, d’intervenir sur les comptes, points d’accès et dispositifs OT.
• Réponse à l’incident : Communications avec les clients/médias/FSC/fournisseurs, décisions de la direction.
• Rétablissement après incident : Reconstruction des salles propres, vérifications de l’intégrité des données, salle de récupération, plans de reprise, durcissement de la sécurité.
• Restauration : Les équipes valident l’environnement assaini, vérifient d’éventuelles anomalies futures, utilisent des environnements alternatifs ou reconstruisent entièrement.

4. Prévoir une séance de retour sur expérience et des prochaines étapes : Les activités post-exercice doivent comprendre ce qui a bien ou mal fonctionné ou ralenti la prise de décision, comment les incidents simulés ont modifié la réponse des employés, quels processus ou documents sont à jour, obsolètes ou absents, et élaborer un plan de mitigation avec responsables, échéanciers et idées de scénarios pour le prochain exercice afin qu’il soit encore plus réaliste.

Conclusion

Un exercice de simulation de rançongiciel peut certes être loin de la réalité et ne pas simuler parfaitement le comportement réel d’une cyberattaque, mais il renforce la confiance de la direction et des employés à faire face à pareille situation. Les activités clés telles que la prise de décision, la communication et les stratégies de rétablissement méritent d’être pratiquées à répétition selon divers scénarios. L’essentiel est d’intégrer tous les apprentissages lors des prochains exercices, afin d’être prêt à affronter l’avenir.