Qu'est-ce que la détection d'entropie ?
La détection d'entropie est une technique qui repère les ransomwares en mesurant le caractère aléatoire des données. Des données chiffrées sont statistiquement proches de l'aléatoire. Une hausse soudaine du caractère aléatoire de fichiers ou de blocs de sauvegarde suggère donc que quelque chose les chiffre.
Qu'est-ce que l'entropie dans ce contexte ?
L'entropie mesure l'imprévisibilité d'une suite d'octets. Le texte, les bases de données et la plupart des documents contiennent des motifs et des répétitions, d'où une entropie faible à modérée. Les données compressées ou chiffrées ont perdu leurs motifs et approchent du maximum. Un serveur de fichiers dont les documents passent en une nuit d'une entropie modérée à une entropie proche du maximum a très probablement été chiffré.
Comment la détection d'entropie s'utilise-t-elle avec les sauvegardes ?
Le logiciel de sauvegarde voit chaque nuit tous les blocs modifiés : c'est un bon endroit pour surveiller un chiffrement. Plusieurs signaux sont en général combinés.
| Signal | Ce qu'il indique |
|---|---|
| Hausse de l'entropie des blocs modifiés | Les données sont remplacées par du contenu chiffré |
| Incrément anormalement volumineux | Bien plus de données modifiées qu'un jour normal |
| Baisse du taux de compression ou de déduplication | Les nouvelles données ne se réduisent plus, comme toute donnée chiffrée |
| Renommages massifs de fichiers ou nouvelles extensions | Typique des ransomwares qui chiffrent les fichiers |
| Notes de rançon ou noms de fichiers connus | Indicateur direct trouvé par inspection du contenu |
Quelles sont les limites de la détection d'entropie ?
L'entropie seule ne distingue pas un chiffrement malveillant de données légitimes à forte entropie. Archives compressées, images, vidéos et fichiers chiffrés volontairement se ressemblent tous. Un système qui commence à stocker ce type de données déclenche une alerte sans aucune attaque. Certains ransomwares ne chiffrent qu'une partie de chaque fichier, ou travaillent lentement, précisément pour rester sous les seuils. La détection d'entropie est donc une incitation à enquêter, et elle est la plus solide quand plusieurs signaux concordent. Elle signale aussi un chiffrement déjà survenu : c'est un contrôle de détection, pas de prévention.
En quoi aide-t-elle la reprise ?
Son intérêt pour la reprise est la chronologie. L'historique du moment où l'entropie a commencé à monter sur chaque système désigne le dernier point de restauration antérieur au chiffrement, ce qui resserre la recherche d'un point de restauration sain. Combinée à l'analyse antimalware des sauvegardes et aux conclusions de l'enquête sur l'incident, elle aide à décider à partir de quoi restaurer. L'historique de détection doit être stocké là où un attaquant ne peut pas l'effacer, et les points de restauration auxquels il renvoie doivent être immuables.
Questions fréquentes
Une entropie élevée signifie-t-elle toujours un ransomware ?
Non. Les fichiers compressés, chiffrés et multimédias ont par nature une entropie élevée. Le signal qui compte est un changement inattendu.
Le stockage peut-il détecter l'entropie dans des sauvegardes chiffrées ?
Pas utilement. Si le logiciel de sauvegarde chiffre les données avant de les écrire, tout ce que le stockage reçoit paraît aléatoire. La détection doit avoir lieu avant ce chiffrement.
La détection d'entropie arrête-t-elle une attaque ?
Elle déclenche une alerte. L'arrêt de l'attaque dépend de la réponse qui suit.