Les ransomwares sont des logiciels malveillants qui chiffrent vos données professionnelles, provoquant des interruptions de service, des fuites de données et une perte de données. Ces attaques présentent des risques majeurs pour votre activité. Cette rubrique explique comment renforcer les capacités anti-ransomware de vos instances.
Contexte
Avec l'évolution technologique, de nouveaux types de logiciels malveillants apparaissent et les ransomwares constituent désormais une menace courante. Alibaba Cloud met à profit sa vaste expérience en matière de sécurité cloud et ses technologies de pointe pour proposer des solutions de sécurité complètes. Pour plus d'informations sur la défense contre les ransomwares, consultez la rubrique Présentation du service anti-ransomware.
Symptômes
Lorsqu'une instance est attaquée par un ransomware, ses fichiers système sont chiffrés et une note de rançon apparaît dans le répertoire de travail de l'utilisateur. Par exemple, sur une instance Windows, une note de rançon similaire à celle ci-dessous s'affiche généralement.
::: Greetings :::
Little FAQ:
.1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible
.2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.
.3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefit
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg
.4.
Q: How to contact with you?
A: You can write us to our mailboxes: data***@cyberfear.com or back***@swismail.com
.5.
Q: How will the decryption process proceed after payment?
A: After payment we will send to you our scanner-decoder program and detailed instructions for use
.6.
Q: If I don't want to pay bad people like you?
A: If you will not cooperate with our service - for us, its does not matter. But you will lose you
:::BEWARE:::
DON`T try to change encrypted files by yourself!
If you will try to use any third party software for restoring your data or antivirus solutions - p
Après le chiffrement ou le verrouillage des fichiers système par un ransomware, l'instance peut ne pas démarrer ou vous pouvez ne pas pouvoir vous y connecter à distance. Il s'agit souvent de l'un des premiers signes d'anomalie. Si vous ne parvenez soudainement plus à vous connecter à votre instance, vérifiez s'il s'agit d'une éventuelle attaque par ransomware.
Présentation de la solution
Bien que les mesures préventives puissent réduire le risque d'infection, elles ne l'éliminent pas totalement. En cas de ransomware, la sauvegarde des données constitue votre dernière ligne de défense. Toutefois, lorsque vous restaurez des données à partir d'une sauvegarde ou d'un snapshot, toutes les données générées entre la création du snapshot et la restauration du disque sont perdues. Vous devez donc élaborer une stratégie de sauvegarde adaptée à votre activité afin de protéger vos données critiques.
Voici les stratégies courantes pour se protéger contre les ransomwares.
Stratégie 1 : Utiliser Security Center pour renforcer les capacités anti-ransomware
Stratégie 2 : Utiliser une politique de snapshot automatique pour créer des sauvegardes
Vous pouvez mettre en œuvre ces stratégies de protection en parallèle et sélectionner celles qui correspondent le mieux à vos besoins professionnels. Par exemple, si votre activité exige une continuité élevée, vous pouvez appliquer les trois stratégies. Notez toutefois que cela peut entraîner des frais liés aux sauvegardes ou aux snapshots.
Stratégie 1 : Utiliser Security Center pour la protection anti-ransomware
Flux de travail
Procédure
-
Activez le service anti-ransomware et achetez de la capacité anti-ransomware.
Pour utiliser la fonctionnalité anti-ransomware dans Security Center, vous devez activer le service et acheter de la capacité anti-ransomware. Pour plus d'informations, consultez la rubrique Activer et acheter le service anti-ransomware.
RemarqueVous pouvez souscrire aux services anti-ransomware en fonction de vos besoins professionnels.
-
Créez une politique de protection.
Après avoir activé le service, suivez les étapes ci-dessous pour créer une politique de protection.
-
(Facultatif) Restaurez les données à partir d'une sauvegarde valide dans Security Center.
Créez un snapshot du disque système et des disques de données de l'instance infectée. Pour plus d'informations, consultez la rubrique Créer un snapshot manuel.
-
Si votre instance est attaquée par un ransomware, vous pouvez utiliser une sauvegarde de Security Center pour restaurer rapidement vos services. Suivez les étapes ci-dessous pour restaurer vos données.
Connectez-vous à la console Security Center.
Dans le volet de navigation de gauche, accédez à . Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.
-
Sous l'onglet Anti-ransomware for Servers, recherchez le serveur pour lequel vous souhaitez créer une tâche de restauration dans la liste des politiques.
RemarqueUtilisez la zone de recherche située au-dessus de la liste des politiques pour trouver le serveur cible par nom de politique ou nom de serveur.
Cliquez sur
pour développer la liste déroulante. Recherchez le serveur cible et cliquez sur Restore dans la colonne Actions.-
Dans le panneau Create Restoration Task, configurez les paramètres suivants, puis cliquez sur OK.
Paramètre
Description
Version de sauvegarde
Sélectionnez la version de sauvegarde à restaurer. Tous les fichiers récupérables de la version sélectionnée s'affichent dans la liste des fichiers. Vous pouvez sélectionner les fichiers selon vos besoins.
Fichiers à restaurer
Sélectionnez les fichiers à restaurer.
Dossier de destination
Saisissez le chemin de destination sur le serveur cible. Le dossier doit exister et disposer des autorisations d'écriture. Sinon, la tâche de restauration échoue.
Serveur cible
Sélectionnez le serveur vers lequel restaurer les données. Vous pouvez sélectionner n'importe quel serveur protégé dans le même compte, sans vous limiter au serveur initialement attaqué.
Un message Restoration task created. s'affiche. Connectez-vous au serveur cible et accédez au dossier de destination pour vérifier que les fichiers de sauvegarde sont restaurés et accessibles.
Stratégie 2 : Utiliser des snapshots automatiques
Flux de travail
Procédure
La création de sauvegardes pour une instance à l'aide de snapshots vous permet de récupérer des données après une attaque par ransomware. Notez que cette stratégie offre uniquement des capacités de récupération post-incident et ne remplace pas les mesures de protection proactives.
Créez une politique de snapshot automatique pour l'instance. Pour plus d'informations, consultez la rubrique Créer une politique de snapshot automatique.
-
(Facultatif) Restaurez les données à partir d'un snapshot valide créé avant l'infection de l'instance.
-
Créez un snapshot du disque système et des disques de données de l'instance infectée. Pour plus d'informations, consultez la rubrique Créer un snapshot manuel.
ImportantLa restauration d'un disque est irréversible. Les données générées entre la création du snapshot et la restauration sont perdues. Pour éviter la perte de données due à des opérations accidentelles, nous vous recommandons de créer un snapshot pour sauvegarder vos données avant de restaurer un disque.
Pour plus d'informations sur la réinitialisation du disque système d'une instance, consultez la rubrique Réinitialiser un disque système (réinstaller le système d'exploitation).
Pour savoir comment utiliser un snapshot pour restaurer des données sur un disque système ou un disque de données, consultez la rubrique Restaurer un disque à l'aide d'un snapshot.
-
Stratégie 3 : Utiliser des groupes de sécurité et des pare-feu
Flux de travail
Procédure
Les politiques de sécurité, telles que celles des groupes de sécurité et des pare-feu, peuvent renforcer la protection d'une instance contre les ransomwares. Toutefois, cela nécessite une expertise technique en matière de sécurité réseau.
Pour les bonnes pratiques relatives aux politiques de groupes de sécurité et de pare-feu, consultez les rubriques Bonnes pratiques pour les groupes de sécurité ECS (règles entrantes) et Guide de configuration des politiques du pare-feu Windows.
-
(Facultatif) Contactez une société tierce pour déchiffrer et restaurer les données.
Créez un snapshot pour le disque système et les disques de données de l'instance infectée par un ransomware. Pour plus d'informations, consultez la rubrique Créer un snapshot manuel.
Pour plus d'informations sur la réinitialisation du disque système d'une instance, consultez la rubrique Réinitialiser un disque système (réinstaller le système d'exploitation).
-
Après avoir réinitialisé le disque système de l'instance compromise, si vous n'avez pas sauvegardé les données importantes ou créé de snapshot, vous pouvez contacter une société tierce pour déchiffrer et restaurer les données.
AvertissementLes capacités de déchiffrement des données fournies par les sociétés tierces après une attaque par ransomware sont indépendantes d'Alibaba Cloud. Alibaba Cloud n'est pas responsable du succès de la récupération des données ni d'éventuelles corruptions de données.
Documentation connexe
Pour résoudre les exceptions liées au client anti-ransomware et aux tâches de sauvegarde, consultez la rubrique Résoudre les exceptions anti-ransomware.
Pour les solutions concernant l'utilisation élevée de l'espace disque causée par les sauvegardes anti-ransomware, consultez la rubrique Solutions pour une utilisation élevée de l'espace disque par les sauvegardes anti-ransomware.
Pour les solutions concernant l'utilisation élevée de la mémoire causée par les sauvegardes anti-ransomware, consultez la rubrique Solutions pour une utilisation élevée de l'espace disque ou de la mémoire par les sauvegardes anti-ransomware.
Pour savoir comment gérer les politiques de protection après avoir modifié le système d'exploitation d'un serveur, consultez la rubrique Créer une politique de protection et gérer les clients.