Reprise du message précédent :

Franchement, même avec ma vieille bécane de 2010, un ubuntu lts 20 ça tourne nickel.

Et puis ça permet de plus oublier les bases  

C'est bizarre quand même que sur HFR on sache mieux que d'énormes boîtes genre Colonial Pipeline assisté par le FBI

Y'a ce qu'il faut dire et ce qu'il faut faire dans la majorité des cas, et les scénarios catastrophe où tu envisages tous les scénarios. Et parfois, X millions à un gang en crypto, c'est la différence entre mettre la clé sous la porte ou pas.
Et encore, je parle même pas de quand les données impactent des vies humaines

J'ai jamais dit que je savais mieux que tout le monde.  

Mais c'est quoi le pourcentage de récupération quand on paie ? (vraie question, je suis intéressé).
Et en sorte on participe quand même à la multiplication des cas d'extorsion, forcément si les gens paient  

Quand tu as le choix entre 1% de chances de récupération et 0%, tu fait quoi ? Cramé pour cramé ?

Mais je pense pas qu'il y ai de stats là dessus. Ptete chez les assurances cyber et encore.

En réponse à "Il ne faut pas payer, il faut partir du principe que c'est perdu, point." ?  
 
   
 
Si tu ne vois pas que la seule chose importante au sein d'un SI c'est la donnée qu'il héberge, à mon avis il est grand temps que tu changes de métier.  
Mon conseil aux clients (puisque c'est mon métier, intervenir dans les crises) c'est effectivement de ne pas payer et de ne pas soutenir les mafias qui attaquent. Mais dans certains cas, la reconstruction est trop complexe / impossible, ou les données sont définitivement perdues et impossibles à retrouver. Alors oui dans ce cas, la négo avec l'attaquant est la dernière chance, donc le "principe que c'est perdu", ouais, -LOL-. Ca revient à dire "il faut partir du principe que suite à cette attaque on va fermer la boite, point".

Déjà, faudrait recenser l'ensemble des boites victimes. Et bon, la plupart doivent pas trop s'en vanter

Pour la récup, ça dépend des groupes. Les gros se sont fait leur réputation sur le fait qu'ils restauraient, par exemple Maze, même en fournissant un support technique au besoin.

Ben voilà, c'était pas compliqué au lieu de basher.

J'ai mis en gras la partie importante.
Oui ça fait sens dans ces situations là
Par contre ça concerne combien d'entreprise ?
Dans quelle proportion tu as eu à dire de payer ?

Vraiment je suis curieux, car j'ai vraiment l'impression que c'est à la marge. Et que pour la majorité des SI c'est peine perdue. Mais c'est sûr que faire all in en payant les mafieux plutôt qu'une alternative, ça se comprend mais je m'interroge.

 
Mais sans déconner, ça te semble pas évident ?

Dans ce genre d'attaque t'es clients font suffisamment confiance à leur si après une attaque pour reprendre leur prod sur leur infra corrompue ?
Le paiement de la rançon permet uniquement de récupérer les données métier et ensuite les applications sont reconstruites ?

J'ai clairement pas autant d'XP que Gloubi sur le sujet mais j'ai déjà vu des SI qui étaient reconstruits quasiment de 0 suite à ce genre d'attaque justement à cause de la perte de confiance, alors que des backup étaient dispo. Aucune idée de si c'est fréquent par contre

J'ai rajouté un édit.

Non ça ne me semble pas évident, j'ai pas les statistiques de la réussite de payer une rançon.
Ni ses conséquences.

 
Ah bah non j'envoie mon L0g4n pour qu'il les fouette.  
En gros c'est simple, soit on a pu faire un forensique à large échelle (=100% du parc), soit on les prévient que ça va revenir. On a eu le cas fin d'année dernière dans le secteur de la santé, on n'a eu le droit de faire l'étude que sur la partie du SI visiblement touchée, on a prévenu que l'attaquant serait très probablement encore dans le coin, de fait il a rattaqué grâce à une persistance dans une filiale moins d'un mois après.  
Et dans tous les cas y'a du hardening à faire, bien au delà des trucs à la mode actuellement (EDR, SOC, etc), reprendre une conception d'archi securisée, un tiering fort sur l'AD, une segmentation réseau, des sauvegardes sur bandes, un collecteur de log centralisé et protégé..

Moi je vois trois conséquences à payer - 1 pas dramatique, 1 chiante, 1 super chiante, dans l'ordre :

1 - un trou dans la tréso
2 - un potentiel emmerdement avec les américains https://www.zdnet.fr/actualites/ran [...] 910677.htm (on aura vu récemment que ça marche surtout chez les autres, leurs propres OIV ils claquent en rançon et okthxbye)
3 - être inscrit sur une liste des boites qui paient, liste qui tourne, s'échange..

Ah carrément le support derrière, propre
 

Et ca semble plutôt logique de se reconstruire un truc propre ensuite.
 
Du côté des éditeurs de logiciels de sécurité, ca se bouscule pour trouver des logiciels pour trouver des parades?

Perso une boite qui cumule les 3 points suivants:
-s'est fait avoir par crypto
-n'a pas les sauvegardes pour remettre en état même dégradé
-choisi de payer la rançon

Je ne lui accorde plus la moindre confiance et ferait tout pour que les dirigeants de ma boite et de ceux qui gravitent autour soient au courant des risques a travailler avec une telle entreprise.

Et ceux qui ont pas les moyens de payer ?
T'as déjà eu ?

DÎME =support

 
Officiellement on a fini 2020 à 192 attaques pour l'ANSSI.
Officieusement, quand je vois le nombre d'appels, le nombre de boites de forensique tout le temps chargées, y compris mon principal partenaire qui n'arrête jamais malgré une croissance de ses effectifs, je pense qu'on est largement plus. Selon Sophos, 52% des entreprises françaises auraient été touchées par une attaque.  
 
Je n'ai jamais été dans une position à dire de payer : soit on a réussi à retrouver des sauvegardes suffisantes / faire reconstruire ou récupérer les disques des stockages primaires, soit les données perdues étaient suffisamment peu importantes pour le client pour qu'il accepte la perte. Mais c'est un gros tabou, le paiement, côté infosec y'a le côté "on a perdu la partie", côté boite/assurance y'a la confidentialité pour ne pas se faire opposer l'obligation de payer par le prochain client dans le même cas.

Ca peut aussi motiver les autres victimes à payer "en toute confiance"... c'est benef pour les pirates
edit : le support

C'est assez peu, de mémoire moins de 30%

J'ai un rapport là dessus en marque page, je te donne ça lundi.

Je trouve le débat très intéressant, mais c'est sûr que pour moi, payer la rançon en dernier, ultime, all-in recours c'est loin d'être si évident.
Pour vous, qui êtes dans le cœur du métier (la sécurité), ça l'est très certainement, mais pour d'autres pas spécialement.
Si ça l'était, votre métier n'aurait pas lieu d'être.

 
C'est du gros doigt mouillé ces chiffres.  
Officiellement en France les administrations ne paient pas, dans les faits c'est plus compliqué.

Très franchement, si DSI et [sys|net|dev]ops faisaient bien leur taf, oui, 75% du nôtre n'existerait pas. Et je ne parle pas que de la réponse sur incident.
Heureusement ? pour nous, les archis même neuves sont dégueu, les patchs ne sont pas passés, les bonnes pratiques ne sont pas suivies, la flemme mêlée de la pression de la vitesse de délivrance des projets cumulée aux compétences franchement limitées d'énormément d'opérateurs nous garantissent l'achat de plein de Porsche.

Ah ben ça c'est clair, les mentalités sur ce sujet c'est une catastrophe

on est au forfait no limit chez ms, mais est ce que ca en fait partie ?

Je dirais que non puisque le mode de licensing c'est du mensuel débité de l'abonnement Azure (prix catalogue 9€/core/mois).
Abonnement qui n'inclut pas le licensing des Vm que tu fais tourner, donc qui est en plus de ta licence win datacenter

ouch

Re-ouch avec mon édit

Après c'est Microsoft, y'a toujours moyen de négocier

Faut voir aussi que si ça suit le délire "resource azure qui tourne en local", on peut aussi imaginer de la licence pay-as-you-go pour les VM... Bref pour l'instant l'intérêt est modéré mais je suis curieux de voir la suite

C'est pas le cas quand t'a de l'aAzureStack d'ailleurs ?

C'est le modèle privilégié sur Azure stack Hub oui, mais t'as aussi la possibilité de payer un coût annuel en fonction de la capacité de ton stack. C'est la seule possibilité quand t'es dans un environnement full déconnecté d'ailleurs, forcément. Et apparemment c'est cher

vu que le marché c'est l'ensemble des hopitaux de France hors paris, jpense aussi

3B. Payer après avoir négocié (là je valide )

moi, je vois chez mon client ce qui bloque le plus c'est le budget.
tu fais les archis que tu peux avec les budgets que tu as pas.

Une connaissane d'une connaissance s'est pris un crypto récemment (contexte TPE).
Les mecs (russes) le contactent pour la rançon.
Il négocie puis paie (pas le choix, sinon clé sous la porte). Mais il gratte 30%
On lui rend ses données déchiffrés via un autre gusse (asiatique). Ils prennent la main sur ses serveurs et les remettent en route.
3 semaines après, l'asiatique le recontacte et s'excuse : il avait oublié de déchiffrer quelques Go de données. Il lui indique un partage dans le cloud où elles se trouvent, et prend la main sur son poste pour vérifier qu'il puisse bien y accéder.
Puis le remercie poliment et lui souhaite une bonne journée

on le comprend. Un coup à se prendre une mauvaise review sinon

Que des fdpz de la sorte estiment ou se comportent comme s'ils avaient une activité respectable comme au bon vieux temps de la mafia partout, ça me sidère.

Avoue tu es jaloux, les cryptos génèrent plus de flouz que la sécurité