Veille Technologique
Sujet : Les ransomwares et les mécanismes techniques pour s'en protéger
Mon dispositif de veille
J'ai choisi ce sujet car il est directement lié à mon option SISR. En tant que futur administrateur systèmes et réseaux, je dois comprendre non seulement comment fonctionnent les ransomwares, mais surtout quels outils et architectures techniques permettent de s'en défendre. C'est exactement ce qu'on a mis en place en cours : pfSense, Suricata, ELK/SIEM, segmentation réseau, sauvegardes avec Bacula.
Pour rester informé, j'utilise plusieurs sources complémentaires, avec une préférence pour les contenus techniques plutôt que les articles grand public.
Google Alertes
Mots-clés : "ransomware Active Directory", "pfSense IDS ransomware", "SIEM detection"
ANSSI
Bulletins officiels, guides techniques et alertes de l'agence nationale de sécurité
LeMagIT / ZDNet
Actualités et analyses techniques sur les cybermenaces et les solutions de protection
Reddit / GitHub
r/netsec, r/cybersecurity et dépôts GitHub pour les retours d'expérience techniques
Articles et analyses techniques
Selon l'ANSSI, les intrusions via Active Directory ont augmenté de 37 % en un an. Les ransomwares ne ciblent plus directement les fichiers : ils compromettent d'abord un compte utilisateur standard, escaladent les privilèges via des failles AD (Pass-the-Hash, Kerberoasting), puis se propagent latéralement sur tout le domaine avant de déclencher le chiffrement. Une fois un compte administrateur de domaine compromis, l'attaquant peut déployer le ransomware sur toutes les machines en quelques minutes via GPO.
Mon analyse technique
En cours, on a configuré Active Directory avec des GPO et la gestion des droits utilisateurs. Cette attaque illustre pourquoi le principe du moindre privilège est critique : un utilisateur standard ne doit jamais avoir les droits administrateur local. La mise en place d'une politique de mots de passe robuste via GPO, la désactivation des comptes inutilisés et la séparation des comptes admin/utilisateur sont des contremesures directes contre ce type d'attaque.
Lien avec mes activités
TP Windows Server (AD, GPO, habilitations) — Chapitre 6 PowerShell & Active Directory — Habilitation des comptes d'un domaine
Une des principales raisons pour lesquelles les ransomwares se propagent rapidement dans un réseau est l'absence de segmentation. Sans VLANs, une machine compromise peut atteindre tous les autres équipements du réseau. La segmentation par VLANs couplée à des règles de filtrage strictes sur un pare-feu comme pfSense permet de contenir l'attaque dans un seul segment. Selon l'ANSSI, une PME qui segmente correctement son réseau réduit de 85 % le périmètre accessible en cas de compromission d'un poste.
Mon analyse technique
On a configuré pfSense avec des VLANs et des règles ACL en cours. Concrètement, si un poste client est infecté dans le VLAN 10 (utilisateurs), les règles pfSense bloquent toute communication vers le VLAN 20 (serveurs) et le VLAN 30 (sauvegardes). Le ransomware reste donc isolé au segment compromis. La DMZ isole également les serveurs accessibles depuis internet pour éviter qu'ils ne deviennent un vecteur d'attaque interne.
Lien avec mes activités
TP Cisco (VLANs, ACL, routage inter-VLAN) — Cluster pfSense HA/CARP — AP3 Port de Cherbourg (DMZ, VLAN, IDS)
Suricata, intégré à pfSense, analyse le trafic réseau en temps réel et compare les flux aux signatures d'attaques connues. En mode IPS (inline), il peut bloquer automatiquement les paquets malveillants. Les règles Emerging Threats couvrent notamment les communications C2 (Command & Control) des ransomwares. Les logs sont générés au format EVE JSON, un format structuré facilement intégrable dans un SIEM comme ELK ou Wazuh pour la corrélation d'événements.
Mon analyse technique
On a déployé Suricata en cours dans le cadre de la sécurisation du SI. Concrètement, un ransomware qui tente de contacter son serveur C2 via HTTP/HTTPS génère un trafic anormal détectable par les règles de signatures. En mode IPS, pfSense peut dropper ces paquets automatiquement. La configuration du format EVE JSON permet ensuite d'envoyer les alertes vers ELK pour les visualiser et créer des tableaux de bord de détection.
Lien avec mes activités
Sécurisation SI (pfSense, Stormshield, Suricata, ELK/SIEM) — AP3 Port de Cherbourg (IDS)
La règle 3-2-1 reste la meilleure protection contre les ransomwares : 3 copies des données, sur 2 supports différents, avec 1 copie hors site. La variante 3-2-1-1 ajoute une copie "air-gapped", c'est-à-dire déconnectée du réseau, inaccessible depuis internet. Cette précaution a sauvé des centaines d'entreprises lors de la vague NotPetya. Une sauvegarde isolée dans un VLAN dédié sans accès internet (comme un VLAN 60 bloqué par pfSense) offre une protection équivalente en environnement virtualisé.
Mon analyse technique
En cours, on a mis en place Bacula pour la sauvegarde client/serveur. Pour résister aux ransomwares, la sauvegarde doit être dans un VLAN isolé, sans accès bidirectionnel : le serveur de sauvegarde peut accéder aux clients, mais pas l'inverse. Un ransomware qui compromet un serveur ne peut pas atteindre les sauvegardes. La planification des sauvegardes (quotidienne, hebdomadaire) et les tests de restauration réguliers sont aussi essentiels.
Lien avec mes activités
Chapitre 2 – Sauvegarde client/serveur avec Bacula — Cluster pfSense HA/CARP (isolation réseau) — VMware vCenter (PRA/PCA)
En 2025, les ransomwares ont évolué vers un modèle de triple extorsion : chiffrement des données (AES-256 + RSA-4096 pour la clé), exfiltration et menace de publication, puis attaques DDoS sur l'infrastructure de la victime pour forcer le paiement. LockBit 4.0 intègre désormais des vitesses de chiffrement optimisées par multithreading. Les wipers (HermeticWiper, CaddyWiper) vont plus loin en détruisant les données de façon irréversible. 86 % des attaques de 2024 ont entraîné des interruptions opérationnelles majeures.
Mon analyse technique
La combinaison AES (chiffrement symétrique des données) + RSA (chiffrement de la clé AES) utilisée par les ransomwares modernes est mathématiquement incassable sans la clé privée. Cela rend les sauvegardes encore plus critiques. La détection précoce via un SIEM (ELK) est essentielle : une augmentation anormale des opérations d'écriture sur le système de fichiers ou des connexions vers des IPs inconnues sont des indicateurs de compromission (IoC) détectables avant le chiffrement complet.
Lien avec mes activités
Sécurisation SI (ELK/SIEM, Kali Linux) — Stormshield VPN (chiffrement des communications) — Lab 12 & 13 VPN IPsec PKI (chiffrement asymétrique)
Un SIEM (Security Information and Event Management) comme la stack ELK (Elasticsearch, Logstash, Kibana) centralise les logs de tous les équipements (pare-feu pfSense, serveurs Windows/Linux, Suricata) et permet de corréler des événements qui semblent anodins séparément mais révèlent une attaque combinés. Par exemple : un échec d'authentification RDP suivi d'une connexion réussie depuis une IP externe, puis une augmentation des écritures disque — ces trois événements corrélés indiquent une compromission en cours. Les entreprises qui détectent et isolent une machine dans les 30 premières minutes contiennent l'incident dans 78 % des cas.
Mon analyse technique
En cours, on a déployé ELK/SIEM pour centraliser les logs et créer des alertes. La puissance du SIEM réside dans la corrélation : Logstash ingère les logs EVE JSON de Suricata, les journaux Windows Event (connexions, GPO), les logs pfSense. Kibana permet de créer des dashboards et des règles d'alerte automatiques. Par exemple, une règle qui déclenche une alerte si plus de 1000 fichiers sont modifiés en moins de 5 minutes peut détecter un ransomware en phase de chiffrement.
Lien avec mes activités
Sécurisation SI (pfSense, Stormshield, Suricata, ELK/SIEM, Kali Linux) — Outil de supervision Zabbix/Centreon — Scripts Shell Linux (automatisation des logs)