5 C’est officiel : le ransomware est désormais la cybermenace la plus importante (en anglais) pour les organisations du monde entier. Les cybercriminels sont de plus en plus sophistiqués et lancent des attaques ciblées capables de paralyser les entreprises et de perturber des opérations critiques. « Même avec une guerre qui fait rage en Ukraine, la plus grande cybermenace mondiale reste le ransomware. Cela en dit long sur l’ampleur du problème. Les attaques par ransomware frappent fort et vite. Elles évoluent rapidement, elles sont omniprésentes, et elles sont de plus en plus proposées en tant que service par des gangs, ce qui abaisse le seuil d’entrée dans la cybercriminalité. »Lindy Cameron, directrice générale du National Cyber Security Centre Face à la montée des menaces, les experts invitent les organisations à adopter un paradigme de sécurité appelé cyber-résilience. Contrairement aux stratégies de cybersécurité traditionnelles centrées sur la prévention des attaques, les principes de cyber-résilience (en anglais) mettent l’accent sur la capacité à se remettre rapidement des incidents et à en limiter l’impact. La technologie la plus prometteuse pour atteindre la cyber-résilience est le stockage de sauvegarde immuable. L’immuabilité des données empêche les attaquants de chiffrer, modifier ou supprimer les sauvegardes, ce qui garantit aux organisations de toujours disposer d’une sauvegarde saine à restaurer. Avec un accès rapide à une sauvegarde saine, la capacité de l’attaquant à extorquer une rançon à sa victime est neutralisée. 3 failles critiques du paradigme actuel de cyber-résilience centré sur l’immuabilité La promesse de données « à l’épreuve des ransomwares » a fait du stockage immuable le pilier central des stratégies de cyber-résilience dans le monde. D’ailleurs, une enquête récente (en anglais) montre que 94 % des professionnels de l’IT s’appuient désormais sur le stockage immuable pour se défendre contre les ransomwares. Mais malgré l’adoption massive de solutions de stockage prétendument « à l’épreuve des ransomwares », les rançons versées ont doublé pour dépasser 1,1 milliard de dollars en 2023 (en anglais). Cela mérite d’être répété : les solutions « à l’épreuve des ransomwares » sont désormais partout, et pourtant le ransomware n’a jamais été aussi rentable. Si vous pensez que quelque chose cloche, vous avez raison. Il s’avère que le paradigme actuel de cyber-résilience centré sur l’immuabilité présente trois failles critiques qui ont permis aux auteurs de ransomwares de continuer à prospérer malgré l’adoption massive de solutions de sauvegarde immuable (en anglais). Problème n°1 : tous les systèmes de stockage « immuables » ne sont pas vraiment immuables L’immuabilité, c’est formidable — en théorie. Malheureusement, en pratique, la plupart des solutions de stockage « immuables » sont loin de tenir la promesse d’une protection réellement à l’épreuve des ransomwares. Les raisons de ces échecs sont multiples. Certains systèmes rendent les données immuables via des snapshots périodiques planifiés, qui laissent des fenêtres de vulnérabilité. D’autres échouent parce qu’ils n’implémentent l’immuabilité qu’au niveau de l’API, et non dans l’architecture sous-jacente. En clair, ils tentent de construire un système de sauvegarde immuable au niveau logiciel, au-dessus d’une architecture qui n’est pas elle-même intrinsèquement immuable. Un attaquant compétent dispose alors de plusieurs moyens de contourner les défenses du système, avec des tactiques courantes comme l’élévation de privilèges et les attaques par décalage temporel. Vous trouverez une analyse approfondie de ces problèmes dans cet article (en anglais), mais voici l’essentiel : la véritable immuabilité ne peut être obtenue que par des solutions qui interdisent l’écrasement et la suppression des données au niveau le plus fondamental. Tout le reste laisse des failles qu’un attaquant sophistiqué peut exploiter pour contourner vos défenses et prendre vos données en otage. À mesure que les systèmes de stockage à l’immuabilité imparfaite se multiplient sur le marché, les attaquants deviennent de plus en plus habiles à exploiter leurs faiblesses. Problème n°2 : l’essor des attaques par exfiltration Si les attaques par ransomware traditionnelles visent surtout à chiffrer les données, les gangs modernes ont ajouté une nouvelle arme à leur arsenal : l’exfiltration de données. Aussi appelées « double extorsion », ces attaques consistent à voler des données sensibles sur le réseau d’une organisation et à menacer de les publier ou de les vendre au plus offrant si une rançon n’est pas payée. Aujourd’hui, 91 % des attaques par ransomware impliquent une exfiltration de données Autrefois rares, les attaques par exfiltration ont explosé ces dernières années. Aujourd’hui, un chiffre stupéfiant de 91 % des attaques par ransomware (en anglais) impliquent une exfiltration de données. Cette ascension fulgurante peut être vue comme une tentative directe des attaquants de contourner les protections offertes par l’immuabilité. Comme les attaques par exfiltration ne reposent pas sur le chiffrement, la modification ou la suppression des données pour extorquer une rançon, l’immuabilité seule ne suffit pas à les arrêter. Contrer la menace d’exfiltration exige une approche multicouche qui sécurise les données sensibles partout où elles se trouvent — dans les données de production, en transit sur le réseau, et même dans les sauvegardes stockées. Malheureusement, la plupart des fournisseurs de stockage de sauvegarde ont tardé à réagir à cette menace émergente et n’ont pas renforcé leurs solutions contre les techniques d’exfiltration courantes. Problème n°3 : les ransomwares dopés à l’IA font monter les enjeux Les problèmes n°1 et n°2 identifiés ci-dessus sont aujourd’hui considérablement amplifiés par le problème n°3 : l’essor des ransomwares dopés à l’IA. Dans la cybercriminalité, l’IA démultiplie les capacités. Des autorités comme le National Cyber Security Centre britannique (en anglais) préviennent que l’IA permettra aux attaquants de viser plus de cibles, plus efficacement, plus rapidement et avec une sophistication croissante. Parmi les usages concrets : l’utilisation de grands modèles de langage (LLM) pour augmenter fortement le volume et la précision des attaques de phishing, le développement de logiciels malveillants adaptatifs qui modifient leur propre code pour échapper aux algorithmes de détection et masquer le trafic malveillant, et même des outils d’IA capables de deviner des mots de passe à partir de données apparemment anodines comme le bruit de votre frappe au clavier (en anglais). L’IA permettra aux attaquants de viser plus de cibles, plus efficacement, plus rapidement et avec une sophistication croissante. Ce n’est pas qu’une hypothèse théorique : l’année qui a suivi la sortie publique de ChatGPT a connu une hausse stupéfiante de 1 265 % de l’activité de phishing (en anglais) et un bond de 95 % des attaques par ransomware réussies. L’ère des ransomwares dopés à l’IA n’est pas pour demain : elle est déjà là. Voici CORE5 : un nouveau standard de stockage cyber-résilient Au vu des problèmes décrits ci-dessus, il est clair que les sauvegardes immuables ne suffisent plus à elles seules à se protéger contre l’ensemble des menaces de ransomware actuelles et futures. C’est pourquoi nous appelons le secteur du stockage à dépasser le paradigme de la simple immuabilité et à adopter un nouveau standard, plus complet, de cyber-résilience de bout en bout. Cette approche englobe non seulement la forme la plus forte de véritable immuabilité, mais aussi des protections robustes et multicouches contre l’exfiltration de données et d’autres vecteurs de menace émergents, comme les logiciels malveillants dopés à l’IA. Il s’agit d’intégrer des protections à chaque niveau du système — de l’API à l’architecture — pour fermer la porte au plus grand nombre possible de vecteurs de menace. Chez Scality, nous avons identifié cinq niveaux de protection essentiels pour atteindre ce standard ambitieux de cyber-résilience. Nous les appelons CORE5. Résilience au niveau de l’APILe lancement en 2018 de l’API d’immuabilité d’Amazon (AWS S3 Object Lock) a bouleversé le secteur du stockage. Non seulement elle offrait une défense de premier niveau contre les ransomwares fondés sur le chiffrement en appliquant le modèle WORM (write once, read many), mais elle a aussi créé une interface standard de fait pour les applications de protection des données populaires comme Veeam (en anglais) Data Platform. En outre, le contrôle fin de l’immuabilité qu’offre l’API S3 permet aux organisations de respecter les réglementations de conservation des données les plus strictes. Ces capacités sont tout simplement indispensables dans un système de stockage moderne. C’est pourquoi l’immuabilité au niveau de l’API occupe le premier niveau du cadre de cyber-résilience CORE5, et pourquoi tous les produits Scality sont entièrement compatibles avec S3 Object Lock. Résilience au niveau des donnéesLe niveau 2 du cadre CORE5 vise un objectif précis — empêcher l’exfiltration des données. Cela implique d’appliquer des protocoles de sécurité stricts partout où se trouvent des données sensibles. Une solution de stockage correctement renforcée doit intégrer plusieurs couches de sécurité des données, dont une gestion complète des identités et des accès (IAM) et des fonctions cryptographiques, pour que les sauvegardes ne puissent être ni interceptées ni consultées par des tiers non autorisés. Chez Scality, cela se traduit par une architecture zero trust, une authentification compatible AWS et des fonctions IAM de type AWS, une terminaison sécurisée des endpoints S3, une configuration automatisée des règles de pare-feu et un chiffrement AES 256 bits des données au repos. Résilience au niveau du stockageSi un attaquant sophistiqué parvient à obtenir un accès root à un serveur de stockage, les protections de plus haut niveau mises en œuvre au niveau de l’API peuvent être contournées, ce qui lui donne un accès illimité à toutes les données du serveur. Des méthodes avancées, dopées à l’IA, pour déjouer les contrôles d’authentification — comme deviner des mots de passe au seul bruit des frappes — menacent de rendre ces attaques de plus en plus difficiles à contrer.Pour résister à ces menaces en évolution rapide, un système de stockage doit garantir la sécurité des données même si un attaquant pénètre jusqu’au niveau le plus profond de votre système de stockage. Les solutions Scality résolvent ce problème grâce à la technologie d’erasure coding distribué. Cette technique avancée rend non seulement les données incompréhensibles au niveau du stockage pour les attaquants (et donc sans valeur si elles sont exfiltrées), mais elle permet aussi de reconstruire entièrement toute donnée corrompue ou perdue lors d’une attaque, même si plusieurs disques ou un serveur entier sont physiquement détruits. Résilience au niveau géographiqueLes données stockées en un seul lieu sont particulièrement vulnérables aux cybermenaces. En attaquant des cibles de grande valeur comme les datacenters, les cybercriminels cherchent à extorquer plusieurs organisations à la fois, ce qui augmente leurs chances d’obtenir une rançon. Pour se protéger des vulnérabilités liées à un site unique, les bonnes pratiques actuelles préconisent plusieurs sauvegardes hors site, géographiquement séparées. Une solution de stockage moderne et cyber-résiliente doit rendre cela non seulement possible, mais simple. C’est pourquoi chaque produit Scality est conçu dès l’origine pour rendre la redondance géographique multisite simple à administrer et abordable à mettre en œuvre. Résilience au niveau de l’architectureDe même qu’un bâtiment n’est solide que si ses fondations le sont, un système de stockage n’est sûr que si l’architecture sur laquelle il repose l’est aussi. C’est pourquoi le cinquième et dernier niveau du cadre CORE5 vise à éliminer les vulnérabilités de l’architecture fondamentale du système.Lors d’une attaque par ransomware, l’une des premières priorités de l’attaquant est d’élever ses privilèges. S’il parvient à obtenir des identifiants administrateur, il peut les utiliser pour désactiver ou contourner les protections d’immuabilité au niveau de l’API. Si votre système de stockage repose sur une architecture intrinsèquement modifiable, comme un système de fichiers traditionnel, vos données seront alors totalement exposées. Avec la prolifération rapide des outils de piratage et des logiciels malveillants dopés à l’IA, tout système de stockage reposant sur une architecture aussi vulnérable est de plus en plus exposé aux attaques par ransomware au niveau de l’architecture. À l’inverse, les solutions Scality reposent sur une architecture de stockage objet native. Les données restent ainsi intrinsèquement immuables, même pour un attaquant disposant de privilèges de super-administrateur, en raison de la façon dont le système écrit les données sur le disque. Le résultat est simple — aucune suppression ni aucun écrasement, jamais. En outre, tous les produits Scality (en anglais) interdisent l’accès root par défaut, ce qui réduit l’exposition aux vulnérabilités et expositions courantes (CVE) et à un large éventail de menaces. Pour devenir inviolable, il faut aller au-delà de l’immuabilité Alimentées par les progrès de l’IA, les attaques par ransomware sont de plus en plus fréquentes et sophistiquées. Dans le même temps, les attaquants ont adopté de nouvelles stratégies comme l’exfiltration de données pour tenter de contourner les protections des solutions de sauvegarde immuable actuelles. Le cadre CORE5 est la réponse de Scality à ces menaces émergentes. Mais CORE5 (en anglais) n’est pas seulement notre façon de faire chez Scality — c’est ainsi que tout le monde devrait faire, selon nous. La nouvelle ère des ransomwares exige un nouveau standard de cyber-résilience. Partout dans le monde, des organisations luttent chaque jour contre des acteurs malveillants qui veulent voler leurs secrets, prendre leurs données en otage et paralyser leurs opérations. Et franchement, les gentils sont en train de perdre. La nouvelle ère des ransomwares exige un nouveau standard de cyber-résilience. Si nous voulons inverser la tendance dans la lutte contre les ransomwares, nous devons aller au-delà de l’immuabilité. C’est pourquoi nous mettons le secteur du stockage au défi de se hisser au niveau du standard CORE5. S’il y parvient, nous pourrons faire d’Internet tout entier un lieu plus sûr pour faire des affaires. Le gant est jeté.
