Serveurs d’entreprise attaqués – que faire ?

Un certain nombre de victimes de pirates informatiques connues

Le règlement européen sur la protection des données (RGPD) stipule que les cyberattaques doivent être signalées aux autorités de protection des données en cas de violation de la protection des données personnelles.

Cela signifie que les rapports des grandes entreprises sur les attaques contre les serveurs et les réseaux sont régulièrement rendus publics. Au début de l’année, par exemple, Airbus a signalé une cyberattaque. En mars, le réseau de Citrix, le célèbre fournisseur de logiciels et de virtualisation, a été piraté. Et ce n’est que récemment que l’on a appris que le siège du Parti populaire autrichien (ÖVP) avait été victime d’une cyberattaque de grande envergure.

Les serveurs des petites entreprises sont-ils plus sûrs ?

C’est ce qu’on pourrait croire. Cependant, les rapports sont trompeurs, ils prétendent que seules les grandes entreprises bien connues sont intéressantes pour les pirates. Les attaques dans les grandes entreprises visent souvent à obtenir des données intéressantes. Ou bien les hackers montrent aux entreprises que leurs serveurs ne sont pas aussi sûrs que leurs responsables informatiques le pensent.

Beaucoup plus fréquemment, cependant, les cyberattaques impliquent le serveur sur Internet comme une ressource qui est ensuite détournée. Par exemple, pour envoyer des courriels non sollicités (pourriels), pour tenter d’attaquer d’autres ordinateurs ou pour offrir du contenu illégal tel que de la musique, des logiciels ou tout autre matériel protégé par le droit d’auteur. Dans ce cas, les pirates informatiques ne se soucient pas de savoir quelles données se trouvent sur le serveur, tant qu’ils peuvent utiliser le serveur à leurs propres fins.

Comment savoir si le serveur de votre entreprise a été piraté ?

Les indices typiques sont:

• Le trafic sur le serveur augmente de manière disproportionnée
• Les temps de réponse du serveur augmentent
• Le logiciel antivirus signale les fichiers infectés.
• L’analyseur de rootkits détecte les irrégularités.
• Vous découvrez des fichiers qui vous sont inconnus, souvent dans des répertoires auxquels le serveur Web a accès.
• Des tiers se plaignent parce que leur serveur effectue des accès non désirés.
• Vous recevez des plaintes au sujet de l’envoi de courrier indésirable.

Ce que vous pouvez faire en premier

Vérifiez s’il y a des processus suspects ou des connexions réseau avec d’autres serveurs et interrompez-les.
Vérifiez les journaux d’erreurs pour détecter les messages d’erreur provenant de scripts malveillants et de logiciels malveillants.
Vérifiez le répertoire temporaire. Les attaquants y installent souvent le logiciel malveillant parce que le répertoire est généralement inscriptible.
Identifiez et supprimez les fichiers malveillants.
Vérifiez s’il y a des domaines avec des paramètres PHP non sécurisés. Si oui, fermez-les.

Mieux vaut prévenir que limiter les dommages

En tant qu’opérateur de serveur, vous êtes responsable de la protection contre les cyberattaques. Pour prévenir une attaque externe, il existe quelques règles de base qui semblent banales, mais qui sont fondamentales pour la sécurité du serveur : (Nous nous référons ici à Windows Server).

Règle 1 : Installer les mises à jour du système d’exploitation du serveur

Les pirates découvrent constamment de nouvelles vulnérabilités dans les systèmes d’exploitation. Les fabricants de logiciels comblent rapidement ces lacunes. Il est donc important que vous mainteniez toujours votre système d’exploitation serveur à jour et que vous le mettiez à jour régulièrement, idéalement à l’aide de tâches automatiques.

Règle 2 : Tenir à jour les applications Web

Si vous êtes un opérateur de serveur utilisant un système de gestion de contenu tel que Joomla, Typo3 ou WordPress, cela pose le même risque de failles de sécurité. La plupart des fournisseurs fournissent des mises à jour régulières qui ferment les vulnérabilités connues et peuvent inclure des fonctions de sécurité pertinentes. Par conséquent, vous devriez vérifier régulièrement le CMS pour les nouvelles versions disponibles et adopter les mises à jour rapidement. Tenez à jour les plug-ins installés en plus.

Règle 3 : Modifier les paramètres des ports

L’un des moyens les plus simples pour les attaquants est d’utiliser les ports standards pour l’accès à distance au serveur. Par conséquent, il est important de changer ces ports ou, mieux encore, de n’autoriser l’accès au RDP qu’à partir d’un emplacement ou d’une adresse IP spécifique.

Règle 4 : Utiliser des données d’accès complexes

Utilisez des mots de passe aussi complexes que possible. Ceux-ci doivent contenir des lettres, des chiffres et des caractères spéciaux et doivent comporter au moins huit caractères. Les mots de passe courts ou trop simples peuvent facilement être déchiffrés. Il est également très important que vous utilisiez un mot de passe distinct pour chaque accès, sinon vous risquez de perdre totalement votre mot de passe si un seul mot de passe est décrypté.
Afin de maîtriser toutes les données d’accès complexes, nous recommandons l’utilisation d’un gestionnaire de mots de passe

Règle 5 : Bloquer les fonctions PHP non sécurisées

Les fonctions PHP, souvent utilisées pour les formulaires, représentent un risque de sécurité. De nombreuses attaques sont exécutées par leur intermédiaire, car elles permettent aux commandes d’être exécutées directement au niveau racine du système d’exploitation. Pour cette raison, vous devriez bloquer les fonctions PHP non sécurisées.