Guide sur les rançongiciels (ITSM.00.099)

1.1.1 Comment fonctionne un rançongiciel?

Lorsqu’un rançongiciel infecte un dispositif, il verrouille l’écran ou chiffre les fichiers, empêchant ainsi l’accès à l’information et aux systèmes sur vos dispositifs. Les auteurs de menace peuvent aussi utiliser votre réseau compromis pour propager le rançongiciel dans d’autres systèmes et dispositifs connectés.

Vos réseaux et dispositifs peuvent être infectés par un rançongiciel à la suite de l’une ou l’autre des situations suivantes :

• consulter des sites Web non sécurisés, suspects ou compromis (téléchargement furtif);
• ouvrir des courriels ou des fichiers provenant de sources connues ou inconnues (hameçonnage);
• cliquer sur des liens dans des courriels, des médias sociaux et des réseaux pair à pair;
• insérer un périphérique infecté (p. ex. une clé USB) dans un dispositif;
• exposer vos systèmes à Internet inutilement ou sans avoir mis en place des mesures robustes en matière de sécurité et de maintenance, comme la correction des vulnérabilités et l’authentification multifacteur.

Si un rançongiciel infecte votre dispositif, vous recevrez un avis à votre écran vous indiquant que vos fichiers ont été chiffrés et qu’ils seront inaccessibles jusqu’à ce que vous payiez une rançon. Vous pourriez également recevoir sur votre écran verrouillé un message indiquant que votre dispositif est verrouillé et inaccessible jusqu’à ce que vous payiez une rançon. Le message vous ordonnera de payer la rançon pour pouvoir déverrouiller le dispositif et récupérer les fichiers. On demande habituellement la rançon en monnaie numérique, comme des bitcoins, parce que le transfert est difficile à retracer. Des cartes de crédit prépayées ou des cartes-cadeaux peuvent également être demandées. Vous aurez à respecter un délai déterminé pour payer la rançon, après quoi les auteurs de menace pourraient augmenter le montant de la rançon, détruire vos fichiers de façon permanente ou provoquer la fuite de vos données. À titre de méthode d’extorsion supplémentaire, un tel auteur pourrait menacer de rendre publiques vos données si vous ne versez pas la rançon.

Les rançongiciels sont devenus plus sophistiqués et leurs auteurs emploient souvent une combinaison de vecteurs d’attaque, comme l’envoi à votre organisation d’un courriel d’hameçonnage combiné à des attaques par force brute, au cours desquelles ils y vont de nombreuses tentatives de connexion ou de supposition de mot de passe pour accéder à vos systèmes et réseaux. Un rançongiciel peut également être propagé dans les systèmes et réseaux d’organisations connectées par l’entremise de leur chaîne d’approvisionnement. Par exemple, une organisation qui fournit des services à ses clients au moyen de réseaux interconnectés et de systèmes de gestion client pourrait être ciblée par un rançongiciel. L’auteur de menace pourrait alors se servir des réseaux interconnectés ou des systèmes de gestion client pour infecter d’autres organisations au sein de la chaîne d’approvisionnement à l’aide d’un rançongiciel. Ces organisations n’auraient donc plus accès à leurs systèmes, et leurs opérations seraient perturbées.

Le schéma suivant (Figure 1) illustre les manières dont un rançongiciel peut affecter vos réseaux et dispositifs. On y retrouve les trois principaux vecteurs d’accès fréquemment utilisés dans les incidents liés aux rançongiciels, soit les attaques par force brute (attaques par dictionnaire), l’exploitation des vulnérabilités dans vos logiciels et les attaques par hameçonnage.

La figure 1 démontre également les trois étapes d’un incident par rançongiciel : l’auteur de menace parvient à accéder à votre réseau; il prend le contrôle de vos systèmes et de vos dispositifs interconnectés; puis il déploie la charge du maliciel et infecte vos systèmes et dispositifs interconnectés au moyen du rançongiciel.

Lorsque l’auteur de menace obtient le plein contrôle de votre réseau, de vos systèmes et de vos dispositifs, il chiffre vos données, supprime les fichiers de sauvegarde connectés et risque de voler les données de votre organisation. L’auteur peut menacer de divulguer ces données si vous refusez de payer la rançon, ou il peut vous laisser croire qu’il déchiffrera vos données et rétablira votre accès si vous payez la rançon.

Figure 1 : Déroulement des incidents liés aux rançongiciels

 

Description détaillée - Déroulement des incidents liés aux rançongiciels

La figure 1 illustre la méthodologie qu’utilise habituellement un auteur de menace pour accéder à votre réseau, à vos systèmes et à vos dispositifs connectés. Un incident de rançongiciel se produit en trois étapes : l’auteur de menace parvient à accéder à votre réseau, à vos systèmes ou à vos dispositifs; l’auteur de menace prend le contrôle et déploie le rançongiciel; l’auteur de menace chiffre vos données, détruit vos sauvegardes et vole les données de votre organisation pour ensuite demander le paiement d’une rançon pour vous permettre de récupérer vos accès.

Un auteur de menace trouve en général le point d’entrée dans votre réseau au moyen d’une attaque par force brute (attaque par dictionnaire), de vulnérabilités qui se trouvent dans vos logiciels et d’attaques par hameçonnage (au cours desquelles l’auteur de menace tente de solliciter de l’information confidentielle appartenant à une personne, à un groupe ou à une organisation en les usurpant ou en imitant une marque commerciale connue, souvent dans le but de réaliser des gains financiers. Les hameçonneurs tentent d’inciter les utilisateurs à divulguer des données personnelles, comme des numéros de carte de crédit, des identifiants de connexion bancaire en ligne ainsi que d’autres renseignements sensibles, qui peuvent ensuite servir à commettre des actes frauduleux).

Après avoir obtenu l’accès à votre réseau, l’auteur de menace prend le contrôle de vos systèmes et de vos dispositifs connectés. Il déploie ensuite la charge du maliciel et infecte vos systèmes et dispositifs connectés au moyen du rançongiciel.

Lorsque l’auteur obtient le plein contrôle, il chiffre vos données, supprime les fichiers de sauvegarde connectés et, souvent, vole les données de votre organisation. L’auteur peut menacer de divulguer ces données si vous refusez de payer la rançon, ou il peut vous laisser croire qu’il déchiffrera vos données et rétablira votre accès si vous payez la rançon.

1.1.2 Quelles sont les cibles des cybercriminels?

Dans l’Évaluation des cybermenaces nationales 2020 (ECN) ^{Note de bas de page 4}, nous avons déterminé que les activités de rançongiciel dirigées contre le Canada continueront probablement à cibler les grandes entreprises ainsi que les grands fournisseurs d’infrastructures essentielles. Cependant, cette observation ne signifie pas que d’autres organisations ou personnes sont nécessairement à l’abri des rançongiciels. N’importe quelle organisation peut en être victime si elle compte sur des données pour mener à bien ses activités.

Comme pour la majorité des cybercriminels, les auteurs de rançongiciel sont motivés par l’appât du gain. Ils ciblent des organisations de toutes tailles, et ils exigent un montant en rançon basé sur ce qu’ils croient que l’organisation sera prête à payer pour récupérer ses données chiffrées.

Les attaques par rançongiciel peuvent avoir de graves répercussions, notamment des atteintes à la protection des données et à la vie privée, des atteintes à la réputation, des pertes de productivité, des répercussions juridiques, des dépenses liées à la reprise de même que des dommages à l’infrastructure et aux opérations. Les organisations qui ne peuvent pas se permettre de subir des perturbations prolongées sont plus susceptibles de verser des millions de dollars pour rétablir leurs opérations.

Les petites et moyennes organisations sont également des cibles puisque les auteurs de menace jugent que leurs mesures de sécurité et de protection sont faibles et qu’elles sont donc prédisposées aux attaques. Il est probable que les victimes canadiennes de rançongiciel continuent d’acquiescer aux demandes de rançon en raison des coûts élevés liés aux pertes commerciales et à la reconstruction de leurs réseaux ainsi qu’aux conséquences potentiellement dévastatrices du refus de payer.

Les auteurs de cybermenace volent souvent des renseignements parallèlement à l’attaque par rançongiciel. Ils gardent les données en attendant le paiement de la rançon, les vendent ou les utilisent pour obtenir un avantage concurrentiel inéquitable en tirant profit de renseignements exclusifs ou brevetés. Le vol de renseignements organisationnels, dont la propriété intellectuelle et les données des clients, peut avoir des répercussions financières à court et à long termes pour les victimes, notamment en ce qui a trait à la compétitivité à l’échelle internationale et à la réputation des victimes.

1.1.3 Faut-il payer la rançon?

La décision de payer un auteur de cybermenace pour qu’il vous redonne l’accès à vos fichiers et à vos dispositifs est difficile, et vous vous sentirez probablement pressé de répondre à ses demandes. Avant de payer, communiquez avec votre service de police local et signalez le cybercrime. Payer la somme demandée ne garantit pas pour autant l’accès à vos données chiffrées ou à vos systèmes. Toute réflexion faite, c’est à votre organisation que revient la décision de payer ou non la rançon. Cependant, il est important que votre organisation comprenne bien les risques associés au paiement de la rançon. Par exemple, il est possible que les auteurs de menace utilisent un effaceur. Il s’agit d’un maliciel qui altère ou supprime de façon permanente vos fichiers une fois la rançon payée. Le paiement peut également servir à financer et à appuyer d’autres activités illicites. Même si vous payez, les auteurs de menace peuvent quand même décider de faire ce qui suit :

• demander plus d’argent;
• continuer d’infecter vos dispositifs ou d’autres dispositifs de l’organisation;
• attaquer votre organisation à nouveau;
• copier, divulguer ou vendre vos données.

Le tableau suivant (figure 2) tiré de l’ECN 2020 illustre l’augmentation de la moyenne des montants payés en rançon au cours des dernières années. Après une augmentation marquée en 2020 comparativement à 2019, les montants connus payés en rançon semblent s’être stabilisés en 2021 à environ 200 000 $, ce qui représente une légère baisse comparativement aux montants observés en 2020. Le marché des rançons a probablement atteint un point d’équilibre : les auteurs de menace arrivent de mieux en mieux à adapter leurs demandes aux montants que leurs victimes sont sujettes à payer compte tenu de l’augmentation des coûts de reprise et du risque de subir une atteinte à la réputation si leurs données étaient divulguées.

Figure 2 : Moyenne des montants payés en rançon au fil du temps

 

Description détaillée - Moyenne des montants payés en rançon au fil du temps

Le tableau suivant (figure 2) tiré de l’ECN 2020 illustre l’augmentation de la moyenne des montants payés en rançon au cours de la période de 2019 au troisième trimestre de 2021. La moyenne des montants payés en rançon varie d’environ 25 000 $ à un peu plus de 300 000 $. Après une augmentation marquée en 2020 comparativement à 2019, les montants connus payés en rançon semblent s’être stabilisés en 2021 à environ 200 000 $, ce qui représente une légère baisse comparativement aux montants observés en 2020. Le marché des rançons a probablement atteint un point d’équilibre : les auteurs de menace arrivent de mieux en mieux à adapter leurs demandes aux montants que leurs victimes sont sujettes à payer compte tenu de l’augmentation des coûts de reprise et du risque de subir une atteinte à la réputation si leurs données étaient divulguées.

2.1.1 Élaborer un plan de sauvegarde

Élaborez et mettez en œuvre un plan de sauvegarde pour votre organisation. Une copie de sauvegarde vous permettra de récupérer vos données et systèmes dans l’éventualité d’un incident.

Il existe divers types de sauvegarde que vous pouvez mettre en œuvre pour protéger les données de votre organisation. La figure 3 explique les différents types de sauvegarde.

Figure 3 : Types de sauvegarde

 

Description détaillée - Types de sauvegarde

La figure 3 présente les trois types de sauvegarde que votre organisation peut mettre en œuvre. Ces trois types sont les sauvegardes complètes, différentielles et incrémentielles.

Complète

Il vaut mieux faire une sauvegarde complète de façon périodique (chaque semaine ou chaque mois) et avant chaque mise à niveau majeure du système. Une sauvegarde complète est l’option la plus coûteuse et la plus longue, selon le volume d’informations sauvegardées et vos besoins en matière de stockage.

Différentielle

Une sauvegarde différentielle consiste à faire seulement une copie des données qui ont changé depuis votre dernière sauvegarde complète.

Incrémentielle

Ce type de sauvegarde consiste à stocker uniquement les données qui ont changé depuis la dernière sauvegarde complète ou différentielle. Chaque incrément est sauvegardé en tant que volume incrémentiel. Toutefois, si vous devez restaurer des données, vous devez traiter chaque incrément, ce qui peut prendre du temps.

Comme le montre figure 4, trois options sont offertes pour stocker vos sauvegardes : en ligne, hors ligne et dans le nuage. Les sauvegardes en ligne sont stockées sur un serveur ou un ordinateur distant connecté à votre réseau. Contrairement aux sauvegardes en ligne, les sauvegardes hors ligne (« sauvegardes à froid ») ne supposent aucune connexion à votre réseau et à vos dispositifs. Les sauvegardes dans le nuage sont stockées sur une plateforme infonuagique gérée par un fournisseur de services.

Figure 4 : Options de sauvegarde

 

Description détaillée - Options de sauvegarde

Comme le montre la figure 4, trois options sont offertes pour stocker vos sauvegardes : en ligne, hors ligne et dans le nuage. Les sauvegardes en ligne sont stockées sur un serveur ou un ordinateur distant connecté à votre réseau. Contrairement aux sauvegardes en ligne, les sauvegardes hors ligne (« sauvegardes à froid ») ne supposent aucune connexion à votre réseau et à vos dispositifs. Les sauvegardes dans le nuage sont stockées sur une plateforme infonuagique gérée par un fournisseur de services.

En ligne

Les sauvegardes sont stockées dans l’espace physique de votre organisation.

Elles sont facilement disponibles si vous devez lancer votre processus de récupération.

Vous courez toutefois le risque de subir une perte de données en cas de catastrophe naturelle ou de panne d’électricité.

Les sauvegardes connectées à vos systèmes ou à vos réseaux vous rendent vulnérables aux rançongiciels.

Hors ligne

Les sauvegardes sont stockées à des emplacements physiques distincts, à l’extérieur des installations principales de votre organisation.

Elles ne sont pas connectées à vos réseaux.

Le vol ou la perte de données demeure une possibilité, mais le stockage hors ligne peut empêcher les auteurs de menace d’accéder à vos sauvegardes et de les infecter à l’aide d’un rançongiciel.

Dans le nuage

Les sauvegardes sont stockées sur une plateforme infonuagique, qui est souvent gérée par un fournisseur de services infonuagiques (FSI).

Elles sont accessibles au moyen du serveur de votre FSI, à partir de n’importe quel endroit.

Les sauvegardes sont chiffrées dans le nuage par mesure de sécurité supplémentaire, mais la perte de données et les cyberattaques (y compris les rançongiciels) ne sont pas exclues.

Beaucoup de variantes de rançongiciel ont été conçues de façon à repérer, à atteindre et à supprimer les sauvegardes de vos systèmes. Par ces actions, les auteurs de menace augmentent la probabilité que votre organisation paie la rançon demandée. Si le rançongiciel se propage dans vos sauvegardes, vous ne serez pas en mesure de récupérer vos systèmes et vos données et, en fin de compte, cette situation entraînera l’arrêt de vos activités. Les sauvegardes les plus courantes, soit celles stockées en ligne ou dans le nuage, sont exposées aux rançongiciels. Le recours au stockage des sauvegardes de votre organisation hors ligne est la méthode qui offre la plus grande protection contre les incidents liés aux rançongiciels.

Votre organisation doit pouvoir mettre en œuvre un processus de sauvegarde hors ligne. Ainsi, vos sauvegardes ne seront pas connectées à vos réseaux ou dispositifs, ce qui signifie que le rançongiciel ne peut pas repérer et supprimer vos sauvegardes. Votre organisation doit veiller à stocker plusieurs copies des sauvegardes hors ligne. Le processus de sauvegarde doit être effectué fréquemment afin de garantir que les données sont, dans la mesure du possible, en temps réel. Tester les sauvegardes est aussi un élément essentiel du processus de sauvegarde et de reprise. Il est recommandé de chiffrer les sauvegardes pour ainsi profiter d’une couche supplémentaire de protection.

Il est aussi recommandé d’avoir une deuxième sauvegarde dans le nuage pour améliorer votre capacité de reprise. Ces sauvegardes seront idéalement gérées par un fournisseur de services infonuagiques (FSI) à même son infrastructure infonuagique. Les FSI offrent à votre organisation une couche de sécurité supplémentaire. Notez que votre organisation est en tout temps légalement responsable de la protection de ses données. Vous devez vous assurer que le fournisseur de services que vous sélectionnez peut prendre en charge vos exigences de sécurité, de sauvegarde et de reprise avec des garanties appropriées. Vous devriez également envisager la résidence des données, ce qui fait référence à l’emplacement géographique où vos données sont stockées. Il est possible que votre organisation ait des exigences réglementaires et politiques qui exigent que les données soient stockées au Canada. Si vous envisagez de faire appel à un fournisseur pour le stockage hors site, assurez-vous qu’il dispose de mesures de sécurité, de processus de gestion des incidents et d’un plan de reprise après sinistre.

Remarque : Votre FSI peut aussi être victime d’un rançongiciel, ce qui pourrait avoir indirectement des répercussions sur votre organisation. Ne pas avoir accès aux données qui sont stockées dans le nuage peut avoir une incidence considérable sur la gestion de vos activités. Vous pourriez également être aux prises avec des problèmes d’intégrité et de confidentialité des données.

Recommandation : L’approche recommandée pour sauvegarder votre information est d’avoir plusieurs sauvegardes à plusieurs endroits. Vous devriez avoir au moins deux sauvegardes stockées hors ligne auxquelles il est impossible d’accéder au moyen d’une connexion réseau ou Internet. Vous pourriez ensuite avoir une sauvegarde secondaire dans le nuage gérée par votre FSI. Par ailleurs, vous devriez établir un calendrier pour tester régulièrement vos processus de sauvegarde (p. ex. tous les mois). En ayant au moins une copie de sauvegarde de vos fichiers, votre organisation a davantage de chances de se remettre d’une attaque par rançongiciel, ou de tout autre cyberincident, et de reprendre rapidement ses activités

Pour obtenir de plus amples renseignements sur l’élaboration d’un plan de sauvegarde, consultez l’ITSAP.40.002, Sauvegarder et récupérer vos données ^{Note de bas de page 5}.

2.1.2 Élaborer un plan d’intervention en cas d’incident

Élaborer un plan d’intervention en cas d’incident pour votre organisation est la clé de votre stratégie de cyberdéfense. Vous devriez également envisager d’élaborer un plan de reprise après sinistre pour votre entreprise. À l’aide de ces deux plans, votre organisation tient compte des événements majeurs qui pourraient provoquer une panne imprévue et l’obliger à activer son plan d’intervention. Le plan d’intervention en cas d’incident vous aide à détecter des incidents de cybersécurité et à intervenir. Le plan de reprise après sinistre est axé sur les moyens que doit prendre votre organisation pour se remettre d’un incident et rependre ses activités essentielles.

Il existe de nombreux avantages à l’élaboration d’un plan d’intervention en cas d’incident :

• une gestion efficace des incidents diminue l’impact d’un cyberincident;
• un plan qui aura été mis en pratique au préalable vous aidera à prendre de bonnes décisions sous la pression d’un réel incident;
• comme les mesures principales sont approuvées à l’avance, vous disposez immédiatement des ressources et pouvoirs financiers requis pour intervenir en cas d’incident;
• une intervention bien gérée, accompagnée d’une communication claire tout au long du processus, met en confiance les intervenants et les clients;
• les leçons tirées des incidents permettent de déterminer les lacunes et les problèmes en ce qui a trait à votre capacité d’intervention.

Votre plan d’intervention en cas d’incident compte plusieurs éléments clés. L’objectif principal est de se remettre d’un incident le plus rapidement possible. La liste de vérification suivante (tableau 1) donne un aperçu des éléments clés à inclure dans votre plan d’intervention en cas d’incident. Il ne s’agit pas d’une liste complète d’exigences en matière d’intervention en cas d’incident, mais elle fournit une approche structurée ainsi que des mesures que votre organisation peut mettre en œuvre. En incorporant les éléments du tableau 1 aux phases d’élaboration initiales de votre plan d’intervention, vous pouvez déterminer vos risques, concevoir un plan d’action pour les atténuer, et préparer votre organisation à une reprise efficace qui lui permettra de se remettre en marche plus rapidement.

Pour obtenir plus de détails sur l’élaboration de votre plan d’intervention en cas d’incident, consultez l’ITSAP.40.003, Élaborer un plan d’intervention en cas d’incident ^{Note de bas de page 6}.

Votre processus d’intervention en cas d’incident suivra le cycle en quatre étapes décrit à la figure 5. Vous pouvez vous servir de ces étapes pour structurer votre plan et votre intervention. Au moment de mettre votre plan à exécution, vous devriez d’abord signaler le cybercrime aux organismes d’application de la loi (c.-à-d. au service de police local ou au Centre antifraude du Canada et en ligne au Centre canadien pour la cybersécurité dans Mon Cyberportail.

Figure 5 : Phases d’intervention en cas d’incident

 

Description détaillée - Phases d’intervention en cas d’incident

La figure 6 montre la même méthodologie qu’utilise un auteur de menace pour mener une attaque par rançongiciel, mais elle met également en relief les endroits où des contrôles de sécurité peuvent être mis en œuvre afin d’atténuer la menace et de tenter d’empêcher que se produise une attaque par rançongiciel.

Dans la première étape d’un incident lié à un rançongiciel, sous la section Gain d’accès du présent schéma, certaines mesures préventives d’atténuation peuvent être mises en place pour protéger votre organisation. La liste suivante énumère les contrôles de cybersécurité pouvant être mis en œuvre au premier plan de votre environnement de cybersécurité.

• Donnez à vos employés une formation en cybersécurité adaptée pour qu’ils soient bien au courant des vecteurs d’attaque comme l’hameçonnage et qu’ils sachent comment détecter les courriels ou les liens suspects.
• Utilisez des mots de passe forts, ou de préférence des phrases de passe, pour empêcher que se matérialisent les attaques par force brute des auteurs de menace.
• Mettez en œuvre l’authentification multifacteur sur les dispositifs de votre organisation.
• Créez une liste d’applications autorisées pour contrôler qui ou quoi est autorisé à accéder à vos réseaux et à vos systèmes. Les listes d’applications autorisées vous permettent d’éviter le téléchargement et l’infection d’applications malveillantes sur votre serveur.
• Balayez votre matériel, vos logiciels et votre système d’exploitation pour déceler des vulnérabilités, et appliquez des correctifs et des mises à jour afin d’atténuer le risque de voir un auteur de menace tirer profit de vulnérabilités.
• Segmentez votre réseau pour vous assurer que l’information sensible et de grande valeur se trouve dans une zone différente de votre réseau.
• Configurez une fonctionnalité de vérification pour vos systèmes et réseaux, et assurez-vous de recevoir des alertes en cas de détection d’anomalies.
• Désactivez les macros pour diminuer le risque de propager un rançongiciel par des pièces jointes de Microsoft Office.

Dans le cadre de la deuxième étape d’un incident lié à un rançongiciel, sous la section Prise de contrôle du présent schéma, certaines mesures d’atténuation peuvent être mises en place pour améliorer la protection de vos systèmes et de vos réseaux et empêcher la propagation du rançongiciel dans votre réseau et vos dispositifs connectés.

• Mettez en œuvre des outils de sécurité dans vos réseaux, comme un antivirus et un antimaliciel, ainsi que des coupe-feu pour ajouter des couches de protection aux points d’entrée que pourraient utiliser les auteurs de menace.
• Appliquez le principe du droit d’accès minimal selon lequel vous accordez à des personnes l’accès minimal dont elles ont besoin pour effectuer les tâches qui leur sont autorisées.

Dans le cadre de la troisième étape d’un incident lié à un rançongiciel, sous la section Répercussions sur l’organisation, la plus importante mesure d’atténuation que vous pouvez mettre en œuvre pour votre organisation est votre plan de sauvegarde. Assurez-vous de stocker plusieurs copies de vos sauvegardes hors ligne et, si cela est possible, dans le nuage par l’entremise d’un fournisseur de services infonuagiques. Lorsque vos sauvegardes sont déconnectées de votre réseau, les auteurs de menace sont incapables de les supprimer ou de les infecter d’un rançongiciel. Assurez-vous de tester souvent vos processus de sauvegarde et de rétablissement et faites immédiatement les ajustements nécessaires pour faire en sorte que vos fichiers de sauvegarde sont prêts pour que votre organisation puisse se remettre rapidement en cas d’incident lié à un rançongiciel.

2.1.3 Élaborer un plan de reprise

Votre plan de reprise devrait venir appuyer vos plans d’intervention et de sauvegarde. Lors de l’élaboration de votre plan de reprise, vous devez non seulement tenir compte de nombreux facteurs, mais il vous faut aussi définir et documenter clairement ce qui doit être récupéré, par qui, quand et où. Respectez les lignes directrices présentées dans le tableau 2 au moment d’élaborer votre plan de reprise :

Pour élaborer un plan efficace, vous devez déterminer les données, les applications et les fonctions organisationnelles qui sont essentielles. Parmi les informations essentielles, on peut retrouver des dossiers financiers, des actifs exclusifs et des données personnelles. Quant aux applications essentielles, ce sont les systèmes qui exécutent les principales fonctions organisationnelles et qui sont indispensables aux opérations. Ces systèmes sont ceux que vous devez rétablir immédiatement pour assurer la continuité des activités dans l’éventualité d’une panne imprévue ou d’un incident. Vous devriez envisager la possibilité de faire une évaluation des risques pour aider à déterminer les fonctions opérationnelles essentielles ainsi que les risques pertinents liés aux menaces et aux vulnérabilités.

Pour élaborer un plan efficace, vous devez déterminer les données, les applications et les fonctions organisationnelles qui sont essentielles. Parmi les informations essentielles, on peut retrouver des dossiers financiers, des actifs exclusifs et des données personnelles. Quant aux applications essentielles, ce sont les systèmes qui exécutent les principales fonctions organisationnelles et qui sont indispensables aux opérations. Ces systèmes sont ceux que vous devez rétablir immédiatement pour assurer la continuité des activités dans l’éventualité d’une panne imprévue ou d’un incident. Vous devriez envisager la possibilité de faire une évaluation des risques pour aider à déterminer les fonctions opérationnelles essentielles ainsi que les risques pertinents liés aux menaces et aux vulnérabilités.

Pour en apprendre davantage sur l’élaboration de votre plan de reprise, consultez ITSAP.40.004. Élaboration d’un plan de reprise informatique personnalisé ^{Note de bas de page 7}.

2.1.4 Gérer les comptes d’utilisateur et d’administrateur

Supervisez la création et l’attribution de comptes d’administrateur et d’utilisateur en gardant à l’esprit l’accès sécurisé. Envisagez la création de comptes distincts pour des fonctions non administratives (p. ex. un accès au courriel et un accès limité aux systèmes internes) afin de réduire le risque qu’un rançongiciel infecte vos comptes d’administrateur et l’accès au système associé à ces comptes. Vous devez limiter les comptes d’administrateur aux personnes qui ont besoin d’un accès complet ou d’un accès spécialisé au réseau, aux systèmes et aux dispositifs de votre organisation.

Si un auteur de menace obtient l’accès à un compte administratif, il peut utiliser les privilèges élevés pour nuire à l’environnement opérationnel de votre organisation, attaquer votre réseau et accéder à de l’information sensible. Les auteurs de menace peuvent aussi découvrir quels mécanismes de détection et de reprise sont en place sur vos systèmes, ce qui les aide à les contourner et vous empêche de prévenir d’autres attaques.

Afin de gérer l’accès à vos systèmes et à vos données, appliquez le principe du droit d’accès minimal selon lequel il convient de n’accorder aux employés que les autorisations d’accès dont ils ont besoin pour accomplir leurs tâches. Vous devriez également utiliser ce principe pour accorder un accès à distance à vos dispositifs. Assurez-vous d’activer l’authentification multifacteur (MFA pour Multi-Factor Authentication) pour tous les points d’accès menant à votre réseau et envisagez le recours à un accès à authentification unique, si possible, pour renforcer la sécurité de vos dispositifs et de vos réseaux connectés. Restreignez les privilèges administratifs et exigez une confirmation pour chaque action qui nécessite des droits d’accès et des autorisations de niveau élevé.

Votre organisme doit prendre les mesures suivantes lorsqu’il assigne des comptes administratifs ou des privilèges d’accès aux utilisateurs :

• Utiliser des méthodes d’authentification robustes pour vos comptes :
  • utiliser l’authentification multifacteur pour tous les comptes d’administrateur;
  • utiliser un mot de passe unique pour chaque compte privilégié;
  • modifier les mots de passe par défaut pour les applications et les dispositifs;
  • authentifier les utilisateurs avant qu’ils obtiennent l’accès aux applications ou aux dispositifs;
• Veiller à ce que des comptes uniques et identifiables soient remis à chaque utilisateur;
• Consigner et surveiller les activités effectuées sur les comptes privilégiés;
• Offrir de la formation sur les comportements attendus aux utilisateurs de comptes privilégiés;
• Retirer les privilèges d’accès spéciaux dès que les utilisateurs n’en ont plus besoin;
• Mettre hors service et supprimer les comptes d’utilisateur lorsque quelqu’un quitte l’organisation.

Outre la gestion de vos comptes, il est aussi impératif de gérer la mise hors service et la déconnexion de systèmes et de dispositifs désuets ou qui ne sont plus utilisés. Ces systèmes et dispositifs doivent être enlevés de votre réseau, leur contenu doit être effacé et ils doivent être éliminés de manière sécurisée.

Pour obtenir de plus amples renseignements sur la gestion de l’accès et des comptes d’administrateur, consultez ITSAP.10.094, Gestion et contrôle des privilèges administratifs ^{Note de bas de page 8} et l’ITSAP.30.032, Pratiques exemplaires de création de phrases de passe et de mots de passe ^{Note de bas de page 9}.

2.2.1 Établir un périmètre de défense

La protection de votre réseau et de vos systèmes et dispositifs connectés contre les cybermenaces peut paraître complexe à réaliser. Établissez un périmètre de défense pour protéger la frontière entre deux zones de sécurité de réseau à travers laquelle le trafic est acheminé. Si cette défense est possible en ayant recours à des protocoles de sécurité de base comme un coupe-feu, un antivirus et un antimaliciel, votre protection globale est alors grandement renforcée. L’installation d’un logiciel antihameçonnage est aussi une option à envisager pour renforcer la cybersécurité de votre organisation. Les logiciels antihameçonnage bloquent les courriels d’hameçonnage dans le but de prévenir les attaques et leur propagation.

Assurez-vous que vos utilisateurs se servent de votre réseau privé virtuel (RPV) pour accéder à votre réseau. Le RPV sert de tunnel sécurisé par l’entremise duquel on peut envoyer et recevoir des données dans un réseau physique existant. Utiliser un RPV assure une connexion sécurisée entre deux points, comme un ordinateur portable et le réseau d’une organisation.

Pour obtenir de plus amples renseignements sur les RPV, consultez ITSAP.80.101, Les réseaux privés virtuels ^{Note de bas de page 13}.

2.2.2 Mettre en œuvre un mécanisme de journalisation et d’alerte

La mise en œuvre de la surveillance continue de vos réseaux vous aidera à établir la base de référence des tendances acceptables suivies par les activités au sein de votre organisation. En outre, l’établissement des capacités de surveillance pour vos réseaux et vos systèmes peut aider votre organisation à gérer les risques. Votre système de surveillance devrait générer des journaux que les spécialistes en TI et la direction peuvent examiner au besoin. L’accès aux journaux devrait être limité aux personnes qui ont besoin de les examiner.

Il est également nécessaire d’intégrer un mécanisme d’alerte automatique à vos capacités de surveillance pour que les anomalies dans les tendances suivies par les activités soient signalées et examinées, et pour que les mesures d’atténuation des risques nécessaires soient prises en réaction à des vulnérabilités et événements potentiels. Les alertes indiqueront toute activité hors de l’ordinaire qui a eu lieu et votre organisation peut ensuite examiner l’anomalie pour établir ce qui s’est passé, si elle présente un risque pour l’organisation et les mesures pouvant être prises pour atténuer le risque. Le système de journalisation et d’alerte de votre organisation ne devrait pas permettre la modification des journaux une fois que ceux-ci ont été reçus du système. Il devrait comprendre une estampille temporelle et vous aider à comprendre les circonstances de l’événement ou de l’incident.

Si votre organisation est victime d’un rançongiciel ou de tout autre type de cyberincident, vos journaux pourraient vous fournir de l’information sur la façon dont s’est déroulé l’incident et sur les contrôles ou mesures d’atténuation pouvant être appliqués pour mieux protéger vos réseaux et systèmes et ainsi éviter d’autres incidents.

2.2.3 Effectuer des tests de pénétration

Les tests de pénétration permettent de vérifier le niveau d’assurance de la sécurité d’un système. Lors d’un test de pénétration, le testeur tente de porter atteinte à la sécurité d’une partie ou de tout le système, en se servant des mêmes outils et techniques que peut utiliser un adversaire. Ce test n’est pas en soi la principale méthode d’établissement des vulnérabilités, mais plutôt une méthode permettant de s’assurer de l’efficacité des processus de gestion et d’évaluation des vulnérabilités de l’organisation.

2.2.4 Segmenter les réseaux

Lors de la segmentation de votre réseau, vous divisez celui-ci en sections ou en zones plus petites. La segmentation de réseau fait en sorte de diriger le trafic et de le faire passer dans les différentes sections du réseau. La segmentation de votre réseau vous permet de suspendre le flux du trafic dans certaines zones et de l’empêcher de passer dans d’autres secteurs de votre réseau. De même, la segmentation vous permet aussi d’isoler et d’arrêter la propagation de maliciel dans différentes sections de votre réseau, ainsi que de contrôler et de restreindre l’accès à vos renseignements.

Lors de la segmentation de votre réseau, assurez-vous que les réseaux de technologies de l’information (TI) et de technologies opérationnelles (TO) sont définis, séparés et surveillés. Outre la segmentation de vos réseaux TI et TO, vous devez également détecter les interdépendances entre ceux-ci et mettre en œuvre des mesures à appliquer durant un cyberincident afin de protéger les fonctions et les données essentielles.

2.2.5 Limiter les environnements de scripts et désactiver les macros

Si votre organisation utilise Windows, vous pourriez envisager de limiter vos environnements de scripts. Spécifiquement pour une utilisation Windows, Microsoft a conçu une application automatisée d’administration système par l’entremise d’une interface optimisée par le langage de script de son interpréteur de ligne de commande (PowerShell). Il s’agit d’une partie très importante de la boîte à outils d’administration système. L’application peut être utilisée pour contrôler entièrement les systèmes Windows de Microsoft, et elle apporte de nombreux avantages aux organisations ^{Note de bas de page 14}. Les auteurs de menace peuvent exploiter PowerShell et injecter du code malveillant dans la mémoire de vos dispositifs. Le plus inquiétant, c’est que PowerShell est une source fiable. Par conséquent, l’antivirus ou l’antimaliciel ne bloquera généralement pas l’injection de code malveillant, et les journaux d’événement de vos systèmes ne signaleront pas d’anomalie.

Les macros que l’on trouve dans les applications Microsoft Office sont un autre élément dont il faut tenir compte en utilisant Windows. Les macros sont des séquences écrites qui imitent les frappes et les commandes de souris des utilisateurs pour automatiquement répéter les tâches dans les applications. Les macros sont utilisées dans de nombreux produits Office pour automatiser les processus et les flux de données. Elles sont intégrées au code des fichiers, ce qui permet aux utilisateurs de créer des raccourcis pour des tâches précises (p. ex. trier des feuilles de travail par ordre alphabétique, défusionner toutes les cellules fusionnées, afficher toutes les rangées et les colonnes cachées). Les auteurs de menace peuvent créer des macros malveillantes et les intégrer dans des documents qu’ils peuvent ensuite envoyer à des employés de votre organisation. Afin de réduire le risque de voir un rançongiciel se propager par l’entremise de pièces jointes Office, il est recommandé de régler les valeurs implicites utilisateur de façon à désactiver les macros et de s’assurer que les utilisateurs ne sont pas en mesure de réactiver ces macros. Vous devez également vous assurer que les macros ne contiennent pas de renseignements sensibles, comme des justificatifs personnels, et utiliser des macros signées ou créées par l’organisation, et qui ont été vérifiées par les responsables techniques de votre organisation.

Pour obtenir de plus amples renseignements sur les macros, consultez ITSAP.00.200, Protection d’un organisme contre les macros malveillantes ^{Note de bas de page 15}.

2.2.6 Appliquer les correctifs et mises à jour

Pour protéger vos dispositifs connectés contre les rançongiciels, assurez-vous de vérifier régulièrement si de nouvelles mises à jour sont offertes pour le système d’exploitation, les logiciels et le micrologiciel, et d’installer les correctifs de sécurité nécessaires. Il existe divers correctifs sur le marché; toutefois, les trois types suivants sont les plus répandus :

1. Correctif de bogue : Règle les problèmes liés aux fonctionnalités des logiciels (p. ex. une erreur qui amène un dispositif à réagir de façon inattendue);
2. Correctif de sécurité : Rectifie les vulnérabilités de sécurité dans le but de protéger le système contre les menaces (p. ex. un maliciel qui infecte les dispositifs en exploitant les failles de sécurité);
3. Mise à jour des fonctions : Ajoute de nouvelles fonctions à un logiciel déjà installé (p. ex. une amélioration du rendement ou de la rapidité de traitement d’une application).

Pour obtenir de plus amples renseignements sur l’application de correctifs et de mises à jour à vos dispositifs, consultez ITSAP.10.096, Application des mises à jour sur les dispositifs ^{Note de bas de page 16}.

2.2.7 Créer une liste d’applications autorisées

L’autorisation des applications consiste en la création d’une liste de contrôles d’accès qui précise qui ou quoi peut obtenir un accès autorisé, afin d’assurer une protection contre un danger. Une liste d’applications autorisées permet de sélectionner et d’établir les applications et les composants d’applications (p. ex. programmes exécutables, bibliothèques de logiciels, fichiers de configuration) qui sont autorisés à s’exécuter sur des systèmes organisationnels. Les listes d’applications autorisées vous permettent d’éviter le téléchargement et l’infection d’applications malveillantes sur votre serveur.

Votre organisation peut créer une liste des applications dont l’utilisation est autorisée dans les lieux de travail ou qui proviennent d’un fournisseur digne de confiance. Lorsqu’une application est lancée, elle est comparée à la liste d’applications autorisées. L’application n’est autorisée que si elle se trouve sur cette liste. Le hachage est utilisé pour vérifier l’intégrité de l’application (confirmer que l’application est vraiment ce qu’elle prétend être). Le hachage génère une valeur à partir d’une chaîne de textes et cette valeur est unique pour chaque application. Si une application est mise à jour ou a été corrigée, le hachage change pour vous permettre d’exécuter uniquement la plus récente version de l’application.

En mettant en œuvre une liste d’applications autorisées, votre organisation sera en mesure de renforcer sa stratégie défensive contre les auteurs de cybermenace et de prévenir des incidents comme ceux liés aux rançongiciels.

2.2.8 Utiliser un système d’adressage par domaine (DNS) protégé

Un système d’adressage par domaine (DNS pour Domain Name System) est un protocole qui établit une correspondance entre les noms de domaine lisibles par l’humain et les adresses IP lisibles par la machine. Il est souvent appelé le carnet d’adresses d’Internet. Un DNS est utilisé à la fois pour les actions lancées par l’humain (comme consulter un site Web) et pour les actions lancées par la machine (comme exécuter une mise à jour).

Un DNS protégé est un outil que votre organisation peut employer pour bloquer l’accès des dispositifs organisationnels des employés à des domaines potentiellement malveillants sur Internet. Il détecte les domaines malveillants en les comparant à la liste de blocage de votre organisation, laquelle comprend les domaines et adresses IP qu’il est interdit de consulter sur le réseau organisationnel ou au moyen de biens organisationnels.

Vous devriez également envisager d’installer un filtre DNS de protection sur les appareils mobiles qu’utilisent les employés de votre organisation, surtout s’ils peuvent se connecter à vos systèmes et à votre réseau à distance. Pour ce faire, vous pouvez configurer manuellement les paramètres DNS sur les appareils de votre organisation, à l’aide d’un outil de gestion des postes mobiles (MDM pour Mobile Device Management). Les Canadiennes et Canadiens peuvent se servir du Bouclier canadien, une application DNS publique offerte gratuitement par l’Autorité canadienne pour les enregistrements Internet (ACEI) pour veiller à ce que les appareils personnels utilisent toujours un DNS approuvé et filtrent les adresses IP malveillantes ^{Note de bas de page 17}. Le Bouclier canadien peut être configuré sur votre routeur ou votre passerelle afin d’assurer une meilleure protection de l’ensemble de votre réseau. Il est recommandé d’appliquer le résolveur DNS « protégé » de l’ACEI puisqu’il est conçu pour offrir une fonctionnalité améliorée de blocage des maliciels et des tentatives d’hameçonnage. En remplaçant les paramètres par défaut du serveur DNS sur vos dispositifs par un serveur DNS fiable, vous serez mieux outillé pour protéger vos appareils.

2.2.9 Appliquer la gestion des mots de passe

Lorsque les systèmes le permettent, votre organisation devrait songer à mettre en œuvre des phrases de passe au lieu de mots de passe. Cependant, la plupart des systèmes sont configurés de façon à exiger la saisie d’un nom d’utilisateur et d’un mot de passe aux fins d’accès. Le recours à des mots de passe robustes est un bon moyen de protection, mais il ne permet pas à lui seul d’empêcher les auteurs de menace d’accéder à vos systèmes et à votre information sensible. Une attaque par dictionnaire est une tactique courante qu’emploient les auteurs de menace pour pénétrer dans vos systèmes et réseaux.

La section 2.1.4 contient de plus amples détails sur l’adoption de l’authentification multifacteur dans vos pratiques de gestion de l’accès et des comptes. Parallèlement à l’authentification multifacteur, un gestionnaire de mots de passe peut permettre aux membres de votre personnel de se souvenir de leurs mots de passe système et réseau, et de les sécuriser. Il peut également permettre à votre organisation d’assurer le suivi des nombreux mots de passe associés aux comptes personnels et administratifs.

En outre, votre organisation devrait considérer la mise en œuvre de coffres-forts de mots de passe pour les comptes administratifs. Ces coffres-forts procurent un niveau supérieur de protection puisque les mots de passe sont soumis à des cycles et sont synchronisés avec vos systèmes. Ainsi, un mot de passe ne peut être utilisé qu’une seule fois et peut être retracé de manière à déterminer qui a utilisé le mot de passe quand et pour accéder à quoi.

Pour obtenir plus d’information sur la mise en œuvre et l’utilisation des gestionnaires de mots de passe, veuillez consulter ITSAP.30.025, Conseils de sécurité sur les gestionnaires de mots de passe ^{Note de bas de page 18}.

2.2.10 Utiliser la protection du domaine de courriel

Évaluez la possibilité de mettre en œuvre des mesures de sécurité techniques pour cerner l’infrastructure utilisée par les auteurs de menace et protéger les domaines de votre organisation contre l’usurpation d’adresses électroniques, empêchant ainsi la réception de messages malveillants envoyés au nom de votre domaine. Ces mesures vous permettront également de bloquer les courriels d’hameçonnage envoyés à votre organisation. Vous pouvez réduire les risques liés aux campagnes d’envoi de courriels malveillants en appliquant les trois protocoles de sécurité suivants qui agissent conjointement pour empêcher l’usurpation des domaines de courriel :

• Sender Policy Framework (SPF) : Le protocole SPF permet de préciser les adresses IP à partir desquelles les courriels peuvent être envoyés au nom d’un domaine. Lors de la réception d’un message, un système de courriel qui prend en charge le protocole SPF récupère l’enregistrement SPF associé à l’envoi d’un domaine et vérifie que l’adresse IP utilisée pour envoyer le message a été autorisée à le faire.
• DomainKeys Identified Mail (DKIM) : Vous pouvez utiliser le protocole DKIM pour offrir un mécanisme d’authentification des courriels au moyen d’une signature cryptographique. Lorsqu’un système de courrier qui prend en charge le protocole DKIM reçoit un message comportant une signature DKIM, il récupère l’enregistrement associé à l’en-tête DKIM du message et vérifie la signature à l’aide de la clé publique publiée. Cette vérification confirme sur le plan cryptographique que le message a été envoyé par un expéditeur autorisé et qu’il n’a pas été modifié pendant sa transmission. Si la signature n’est pas valide ou si aucun enregistrement DKIM n’est trouvé, le message échouera à la vérification DKIM. Le message qui ne répondra pas aux critères de vérification DKIM pourrait être rejeté.
• Protocole DMARC (pour Domain-based Messaged Authentication, Reporting and Conformance) : La mise en œuvre d’une politique et d’une vérification du protocole DMARC peut renforcer vos protocoles de sécurité et empêcher l’usurpation de votre domaine de courriel. Si un courriel passe par la validation DMARC, il sera acheminé au destinataire prévu. Toutefois, si le courriel échoue à la validation DMARC, le système de courriel récepteur applique la politique précisée dans l’enregistrement DMARC du domaine, puis il choisira alors d’acheminer le courriel, de l’acheminer en le marquant comme suspect ou de le rejeter.

Votre organisation doit comprendre ces politiques et leur fonctionnement. Seule une politique de rejet peut empêcher la réception de messages illégitimes. Pour obtenir de plus amples renseignements sur la protection du domaine de courrier, consultez l’ITSP.40.065, Directive de mise en œuvre : protection du domaine de courrier ^{Note de bas de page 19}.

3.1.1 Mesures d’intervention immédiates

Les auteurs de menace peuvent infiltrer votre réseau et continuer d’observer vos systèmes, dispositifs connectés et communications. Vous devez présumer que l’auteur de menace s’est introduit dans votre organisation et, par conséquent, vous devez mettre en œuvre une autre méthode de communication (p. ex. un accès aux courriels externes par un dispositif non connecté à votre réseau) à laquelle l’auteur n’a pas accès. Cette méthode permettra également d’empêcher l’auteur de menace de prendre connaissance de vos plans d’intervention en cas d’incident et de vos mesures de reprise. Vous trouverez ci-dessous une liste de vérification (tableau 2) que votre organisation peut employer lorsqu’elle prend des mesures de protection immédiates, idéalement dans les premières heures suivant une attaque par rançongiciel.

3.1.2 Mesures de reprise

Malgré les perturbations temporaires que subiront vos activités, la marche à suivre la plus importante est d’isoler votre infrastructure d’Internet. L’isolation empêchera temporairement l’auteur de menace d’accéder à votre infrastructure, ce qui vous permettra de prendre le contrôle de la situation et d’avancer dans votre processus d’enquête, d’intervention et de reprise.

Lorsque vous aurez effectué les étapes indiquées dans tableau 2, et que vous serez certain que les sauvegardes et les dispositifs ne présentent aucun maliciel ou virus, vous devrez commencer le processus de reprise, tel qu’il est précisé dans les sous-sections 3.1.2.1 à 3.1.2.4.