Repérer les rançongiciels dans le stockage: entropie, sauvegardes et retour rapide

Je détiens vos données et je ne les rendrai pas sans rançon: cette voix est celle d'un disque chiffré, pas d'un vilain de cinéma. Le rançongiciel est d'abord une crise de propriété des données , où les fichiers deviennent une masse illisible, le travail s'arrête et la négociation commence. L'intervenant part de là pour défendre une détection au plus près du lieu de vie des données.

L'échelle est documentée. Selon Verizon et son rapport 2025, les rançongiciels figurent dans 44 pour cent des violations, contre 32 pour cent un an plus tôt, soit une hausse annuelle de 37 pour cent. Le paiement médian tombe à 115 000 dollars, 64 pour cent des victimes refusent de payer, mais côté petites et moyennes structures la part grimpe à 88 pour cent. La menace grandit pendant que le rapport de force passe aux mieux préparés.

L'hygiène de base reste obligatoire mais ne suffit plus. Des correctifs à jour ferment les failles, le refus des pièces inconnues coupe l'hameçonnage, l'antivirus et la détection sur poste freinent l'intrus. Chaque couche peut pourtant être contournée, un seul clic suffit, et l'attaquant progresse ensuite en silence. D'où l besoin d'un second regard au niveau des données.

Le stockage à la barre des témoins

Les vecteurs changent mais la preuve atterrit au même endroit: le stockage. Tantôt un maliciel se propage au contact, tantôt l'opérateur s'installe, se déplace latéralement et chiffre sans bruit. Dès que le chiffrement démarre, la baie devient un témoin fiable , qui voit la dégradation des écritures avant que les applications se plaignent. L'intervenant y voit donc la dernière ligne de défense plutôt qu'une étagère passive.

Tout commence par la sauvegarde, mais toute sauvegarde ne sauve pas. La formule 4R est nette: récente, redondante, restaurable et en lecture seule. Une copie datée restaure le passé, une copie unique invite la panne unique, une copie jamais testée stocke du rebut, une copie modifiable se chiffre avec la production. La démarche 3-2-1-1-0 décrite par Veeam mène au même cap: trois copies, deux supports, une copie externe, plus une copie immuable et une restauration prouvée sans erreur.

Sentir la fumée avant l'incendie

La pire notification reste la note de rançon à l'écran; la meilleure est une alerte stockage précoce. Le système apprend d'abord la vie normale: quels volumes reçoivent quelles écritures, à quel rythme, avec quelle intensité. Puis il signale l'écart. Cette base de comportement vaut mieux qu'un seuil fixe parce qu'elle respecte le rythme des charges. L'objectif est de capter la fumée plutôt que le feu, afin d'ouvrir une fenêtre de réaction.

Le signal isolé le plus fort est l'entropie, la mesure du désordre dans les données. Une table bien rangée de noms et de soldes qui devient un tas d'octets aléatoires mérite le soupçon. Comme le souligne l'étude publiée sur MDPI, les données chiffrées se répartissent uniformément et poussent l'entropie vers le haut, donc les seuils doivent varier selon le type de fichier. La formule de l'entropie de Shannon , hommage au père de la théorie de l'information, convertit ce désordre en nombre.

Le second signal est intuitif: si les données ne se compressent plus, quelque chose a changé. Un ensemble ordonné passant de 100 téraoctets à 20 pendant que le lot suspect reste proche de 98 raconte un échec de compression. La chute des ratios de déduplication dit la même histoire. Ajoutez les rafales d'écrasement massif et les renommages en masse. Dans l'architecture décrite par IBM, chaque opération d'entrée-sortie est observée, ces signaux sont fusionnés par apprentissage automatique, et les fausses alertes isolées sont filtrées.

La tactique la plus rusée ne chiffre qu'une partie de chaque fichier: en-têtes, blocs espacés ou tranches aléatoires, afin de répandre le dommage sans tout réécrire. Les seuils grossiers la ratent. La parade consiste à examiner chaque entrée-sortie dans son contexte de système de fichiers. L'étude SHIELD publiée sur arXiv teste précisément cela avec des mesures indépendantes de l'hôte: 97,29 pour cent de précision binaire, 95,97 pour cent avec les seuls signaux matériels, et au plus 0,4 pour cent de fichiers touchés sur des souches inédites. Même le chiffrement partiel devient ainsi saisissable par la sémantique du système de fichiers.

Une réponse rapide, coordonnée et automatisée

Après l'alerte, la vitesse tranche car les données brûlent en quelques secondes. La réponse se prépare à l'avance, les rôles sont attribués, les exercices sont répétés. Les alertes stockage rejoignent le SIEM pour le contexte et la priorité, puis le SOAR prend le relais: verrouiller les systèmes, isoler le foyer, choisir le point de reprise sain le plus proche avant l'infection, restaurer les données critiques. Des copies immuables isolées, à la manière des Safeguarded Copy, gardent le chemin du retour propre. Le cap reste fixe: voir tôt, protéger l'essentiel, revenir vite.