Alerte risque de ransomware reçue sur notre serveur : comment se préparer avant que ça ne frappe ?

Changer le port RDP 3389 pour un autre numéro ne sert à rien, ça retarde juste les bots automatiques de quelques heures. La vraie solution : fermez complètement le RDP depuis l'extérieur, n'autorisez l'accès que par VPN avec filtrage IP et MFA. Rien que ça, ça élimine la majorité des risques.

Sauvegarder sur un NAS branché sur le même réseau local, c'est presque comme ne pas avoir de sauvegarde du tout. Dès que le ransomware entre sur le serveur, il scanne le réseau, repère les partages Windows et commence par supprimer ou chiffrer les fichiers de backup. Votre unité de sauvegarde ne doit avoir aucune connexion directe avec le réseau de prod.

L'année dernière, ils sont entrés exactement comme ça via RDP sur le serveur d'entrepôt d'un de nos clients. Attaque lancée à 2 h du matin ; quand la compta est arrivée le matin, toutes les bases de factures étaient en « .locked ». Ils avaient aussi détruit un an de sauvegardes sur le NAS. Résultat : 4 jours d'arrêt total des expéditions et des centaines de milliers de riyals de pertes.

Ce qu'il faut faire aujourd'hui sans attendre : faites une image système complète et un backup de la base de données sur un disque dur USB externe, puis rangez ce disque dans un coffre-fort débranché. Même si vous vous faites attaquer cette nuit, c'est votre seule garantie de repartir avec au pire une journée de perte de données.

si vous avez eu une alerte c'est que les attaquants ont déjà repéré le port et bruteforcent les mdp. perdez pas de temps changez les mots de passe admin par du 16 caractères mini bien complexe et renommez direct le compte 'administrator' par défaut.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Sur le plan organisationnel, il est indispensable de formaliser un plan de réponse à incident. Qui est habilité à intervenir en cas de soupçon d'infection, quelle est la procédure pour couper internet et quel est le protocole de restauration : tout cela doit être écrit et prêt à l'emploi.

Ne faites surtout pas une confiance aveugle à l'antivirus. Les ransomwares récents ne se déclenchent qu'après avoir récupéré les privilèges nécessaires pour désactiver l'antivirus en douce. Une protection logicielle est un bouclier mais si vous laissez la porte grande ouverte, le bouclier ne sert à rien.

Il y a un point que je ne comprends pas. Les décisions hâtives finissent par être corrigées six mois plus tard.

Je suis aussi curieux de savoir si d'autres font autrement.

Merci beaucoup, cela m'a été très utile. Plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

Voilà, désolé si je me suis étendu.

La solution qui semble bon marché finit souvent par coûter cher. Les décisions hâtives finissent par être corrigées six mois plus tard.

Bon courage.

Chez nous aussi. Tout point non écrit est un point que les deux parties se rappelleront différemment plus tard.

Il faut y aller étape par étape. Une sauvegarde non testée n'est pas une sauvegarde.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Résumé rapide pour les nouveaux : Ce qui nous faisait perdre le plus de temps c'était l'absence de clarté sur qui prenait les décisions.

Bon courage.

je me pose aussi la question.

Merci beaucoup, je teste dès aujourd'hui.

Merci beaucoup, cela m'a été très utile.

Je partage mon expérience. Le temps que vous mettez à détecter un problème détermine directement son coût.

Pour entrer dans le détail : Essayer de faire cela seul est la voie la plus coûteuse.