Trois mois après WannaCry, je pense aux faiblesses ordinaires qu’il a reliées. Le rançongiciel a exploité SMB sur des machines Windows vulnérables, s’est propagé sur le réseau, puis a chiffré des fichiers. Le correctif existait avant l’épidémie; encore fallait-il connaître les machines, pouvoir les mettre à jour et limiter leurs communications.

Un ver n’attend pas que l’utilisateur ouvre une pièce jointe sur chaque poste. Une machine compromise cherche d’autres hôtes, envoie l’exploitation et lance le code. Un réseau plat transforme une vulnérabilité locale en incident d’entreprise.

Casser la chaîne à plusieurs endroits

Je voudrais :

1. inventaire des versions et responsables;
2. analyse rapide des correctifs critiques;
3. déploiement pilote puis général avec preuve;
4. désactivation de SMBv1 lorsque possible;
5. segmentation entre postes, serveurs et équipements;
6. filtrage des ports inutiles latéralement;
7. détection de balayages et créations massives de fichiers;
8. sauvegardes immuables et restauration testée.

Un scan de vulnérabilité ne suffit pas si les appareils absents ou anciens n’y apparaissent jamais. L’inventaire compare annuaire, DHCP, réseau et outil de gestion. Chaque exception de correctif possède propriétaire, justification, isolation et date.

Pendant l’incident, on isole les segments, bloque les indicateurs, préserve quelques systèmes pour l’enquête et communique un canal sûr. Éteindre tous les postes peut arrêter le chiffrement, mais perdre mémoire et preuves; la décision suit un plan. Les comptes compromis et clés sont renouvelés avant remise en ligne.

Restaurer sans réinfecter

La restauration commence sur une image saine et corrigée. On vérifie la sauvegarde, remet les données par priorité et surveille. Répliquer les fichiers chiffrés ne les sauve pas. Une copie hors ligne ou immuable, avec RPO et RTO, résiste mieux au compte administrateur compromis.

Le paiement ne garantit ni clé ni suppression de l’accès attaquant. La décision implique juridique, direction et autorités, mais ne remplace pas la reconstruction. Les journaux doivent permettre de dater la première infection et de chercher les mouvements antérieurs.

Réduire le temps d’exposition au correctif

Je mesurerais quatre horloges : publication de l’avis, identification des actifs, déploiement et confirmation. La médiane peut être bonne alors qu’un serveur oublié reste vulnérable cent jours; le 95e percentile et les exceptions ouvertes montrent la queue. Un correctif urgent passe un anneau pilote réduit, puis des vagues avec arrêt si les erreurs dépassent un seuil. Les machines hors ligne sont bloquées ou placées en quarantaine à leur retour jusqu’à conformité. Le tableau relie chaque échec à un propriétaire. Cette mécanique ne garantit pas zéro panne, mais raccourcit la fenêtre pendant laquelle un ver peut transformer une seule machine en propagation générale.

Je ferais un exercice avec une machine vulnérable simulée, un partage chiffré de test et un objectif de restauration. On mesure temps de détection, isolation, inventaire et retour. La protection contre le rançongiciel est moins un produit qu’une chaîne de capacités prêtes avant que le premier écran apparaisse.