Les logiciels malveillants sont plus redoutables que jamais. Ils ne se contentent plus de corrompre quelques fichiers. Ils infiltrent des entreprises entières, bloquent l’accès des utilisateurs aux systèmes, exigent des rançons et facilitent la vente de la propriété intellectuelle au plus offrant.
Voici quelques-unes des principales tendances du marché de l’antimalware :
1. Automatisation de la gestion des correctifs
Paul Caiazzo, conseiller stratégique chez Avertium, a déclaré que la gestion des correctifs était quelque peu négligée depuis le passage au télétravail.
« Une stratégie efficace de gestion des correctifs est l’un des fondements de la stratégie de cybersécurité d’une organisation », a déclaré Caiazzo.
« Aussi bien comprise soit-elle en théorie, la mise en place d’un bon programme de gestion des correctifs pose problème à de nombreuses organisations. »
Les correctifs sont généralement publiés après qu’une vulnérabilité exploitable a été découverte par la communauté ou signalée par l’éditeur à l’origine d’un logiciel ou d’un micrologiciel.
Une fois une vulnérabilité reconnue, il n’est pas rare que des acteurs malveillants tentent de l’exploiter pendant la période comprise entre le moment où ils en prennent connaissance grâce à sa divulgation publique et celui où la majorité du public a appliqué les correctifs.
Réduire autant que possible cette période est essentiel pour la cybersécurité des organisations. Il convient de mettre en œuvre des outils automatisés de gestion des correctifs et des suites de sécurité intégrant cette fonctionnalité afin de disposer de cette protection essentielle contre les logiciels malveillants.
2. Détection fondée sur les comportements
À mesure que l’industrie des rançongiciels se commercialise et devient plus rentable, les adversaires peuvent consacrer davantage de moyens à la recherche et au développement et affiner leurs méthodes.
Il est désormais courant que les groupes de rançongiciels utilisent des sociétés-écrans pour acheter des logiciels antivirus et EDR, puis tester leurs variantes de logiciels malveillants contre ces solutions afin d’affiner leurs tactiques d’évasion. La détection fondée sur les signatures ne suffit donc plus. Quoi qu’il en soit, elle est relativement inutile face aux vulnérabilités zero-day, découvertes et exploitées à un rythme soutenu.
« La détection des signatures connues comme malveillantes reste importante pour assurer un niveau de sécurité de base, mais elle doit être associée à une détection fondée sur les comportements afin de se concentrer sur les comportements potentiellement plus menaçants », a déclaré Matthew Warner, cofondateur et directeur technique de Blumira.
« Il est plus important de se concentrer sur les comportements suspects, sur ce qui les a provoqués et sur la probabilité qu’ils se reproduisent, car il s’agit d’indicateurs plus fiables d’une menace potentielle ou d’une attaque grave par rançongiciel imminente — et d’une méthode plus efficace pour détecter les menaces avancées et en constante évolution. »
3. Protection contre les rançongiciels
L’une des tendances les plus importantes dans le domaine des logiciels malveillants concerne les rançongiciels — plus précisément, la prise de conscience croissante que les logiciels antimalware et les autres défenses traditionnelles ne suffisent pas à se protéger contre les attaques par rançongiciel et que les organisations doivent donc accorder davantage d’attention à leur capacité à récupérer rapidement en cas d’attaque, sans avoir à payer de rançon.
Selon Jon Toor, directeur marketing de Cloudian, trois facteurs clés expliquent ce changement.
- Les attaques par rançongiciel sont de plus en plus sophistiquées et difficiles à prévenir, même lorsqu’une organisation est préparée. Aujourd’hui, la question n’est plus de savoir si vous serez touché, mais quand.
- Les rançongiciels peuvent pénétrer rapidement dans un système et avoir un impact considérable sur les finances, les opérations, les clients, les employés et la réputation d’une organisation.
- Même si vous payez la rançon, d’autres coûts associés peuvent être importants et rien ne garantit que vous récupérerez l’intégralité de vos données.
« Tout cela signifie que, s’il est important pour les organisations de maintenir à jour leurs logiciels antimalware et leurs autres défenses de sécurité périmétrique, elles doivent disposer d’une stratégie de cybersécurité complète qui va au-delà de la simple détection et prévention », a déclaré Toor.
« Pour réduire au minimum les conséquences d’une attaque par rançongiciel, il faut disposer des technologies et des processus nécessaires pour récupérer rapidement ses données et reprendre ses activités de manière autonome. »
Toor recommande aux organisations de conserver une copie de sauvegarde immuable de leurs données. L’immuabilité empêche les cybercriminels de chiffrer ou de supprimer ces données pendant une période déterminée, ce qui permet aux victimes de rançongiciels de restaurer la copie de sauvegarde non chiffrée sans payer de rançon. En outre, l’immuabilité des données peut désormais être intégrée à un processus automatisé de sauvegarde, ce qui rend la récupération rapide et simple. Comme l’a récemment indiqué un rapport de Gartner, « disposer d’une copie immuable de la sauvegarde est l’élément le plus important pour commencer à protéger les données de sauvegarde [contre les rançongiciels]. »
« En adoptant l’immuabilité des données, les organisations peuvent non seulement réduire les coûts financiers et les perturbations opérationnelles causés par les rançongiciels, mais aussi contribuer à briser le cycle des paiements de rançons qui financent de nouvelles attaques », a déclaré Toor.
4. Intrusions sans logiciels malveillants
Bien que l’antimalware soit un élément essentiel d’une cybersécurité complète, il ne constitue plus une solution universelle.
Comme l’indique le « Global Threat Report » 2022 de CrowdStrike, 62 % des détections récentes de l’année dernière concernaient des tentatives d’intrusion sans logiciels malveillants. Cela signifie que les acteurs de la menace recourent souvent à d’autres moyens que le déploiement de logiciels malveillants pour s’introduire dans le réseau de la victime et y obtenir un accès.
En outre, le breakout time des adversaires — le temps dont ils ont besoin entre leur point d’entrée et leur déplacement latéral dans le réseau d’une victime — s’est établi à 98 minutes, laissant aux équipes de sécurité un peu plus d’une heure et demie pour détecter, enquêter et réagir avant que l’adversaire ne compromette leur réseau.
« Les solutions antimalware traditionnelles fondées sur les signatures ne sont plus à la hauteur, et les solutions fondées sur le machine learning doivent désormais constituer le nouveau socle pour donner aux organisations une chance de garder une longueur d’avance sur des adversaires toujours plus rapides », a déclaré Patrick McCormack, vice-président senior de l’ingénierie de la plateforme chez CrowdStrike.
« Pour se défendre contre une plus grande variété de vecteurs d’attaque, les organisations devraient associer leurs solutions antimalware à des solutions EDR/XDR, à la chasse aux menaces et au renseignement sur les menaces, à des architectures zero trust et à d’autres fonctionnalités de pointe afin de couvrir tous les fronts. »
5. Authentification multifacteur
Le vol d’identifiants ne cesse d’augmenter depuis le passage au télétravail. Lorsque cela est possible, les entreprises devraient utiliser l’authentification multifacteur (MFA) comme couche de sécurité supplémentaire.
« Cela peut faire la différence entre une attaque réussie et un accès refusé à votre réseau », a déclaré Caiazzo, d’Avertium.