Meilleure détection de rançongiciels
Meilleurs outils de détection de rançongiciels pour FSG
Les meilleurs outils de détection de rançongiciels pour FSG repèrent la phase de préparation, c’est-à-dire les jours ou les semaines de vol d’identifiants, de reconnaissance, de déplacement latéral et de destruction des sauvegardes qui précèdent le chiffrement. Lavawall® convient aux FSG qui veulent détecter la préparation d’un rançongiciel, avec chasse aux IOC et corrélation des identités, dans le même RMM que le reste de leur pile, tandis que les options d’EDR géré comme Huntress et les EDR/XDR d’entreprise conviennent aux équipes qui veulent un SOC externalisé. Jugez chaque option selon la chasse aux IOC, la détection comportementale de la préparation, la corrélation des identités, l’échelle multilocataire, la coexistence avec l’EDR et la connaissance de l’intégrité des sauvegardes.
Commencer gratuitement, sans carte de crédit Voir les critères
Chasse aux IOC · détection de la préparation · corrélation des identités · coexiste avec votre EDR
Les groupes de rançongiciels sont passés d’attaques génériques à grande échelle à des opérations ciblées contre les FSG et leurs clients. Les rançongiciels de 2025 et de 2026 ne ressemblent plus du tout à ceux de 2020. Des groupes comme Akira, Black Basta, LockBit, BlackCat / ALPHV, Royal et Play ciblent de plus en plus les FSG (une seule intrusion chez un FSG donne accès à des dizaines de réseaux clients) et préparent leurs outils pendant des jours ou des semaines avant de déployer la charge de chiffrement. Le chiffrement est la partie facile à détecter. À ce moment-là, il est beaucoup trop tard. La fenêtre de détection utile est la phase de préparation : vol d’identifiants, commandes de reconnaissance, déplacement latéral, destruction des sauvegardes et marqueurs d’indicateurs de compromission (IOC) propres aux outils de rançongiciels connus.
Que chercher dans une détection de rançongiciels
Six critères déterminent si un outil repère un rançongiciel pendant la préparation plutôt qu’après le chiffrement.
Chasse aux indicateurs de compromission (IOC)
Recherche active de correspondances avec les IOC de groupes de rançongiciels connus (Akira, Black Basta, LockBit et d’autres) : empreintes de fichiers, domaines, adresses IP, clés de registre et modèles de comportement.
Détection comportementale de la préparation
Détection des accès massifs aux fichiers, des outils anormaux de vol d’identifiants (de type Mimikatz), des commandes de reconnaissance, des modèles de déplacement latéral et des tentatives de destruction des sauvegardes avant le début du chiffrement.
Corrélation des identités
Corrélation des signaux des postes de travail avec l’activité de M365 et d’Entra ID. Les attaques de rançongiciels modernes commencent souvent par des identifiants obtenus par hameçonnage; les signaux de la couche des identités comptent donc.
Multilocataire pour les FSG
La détection d’un FSG doit s’adapter à de nombreux locataires clients, avec le contexte propre à chacun.
Coexistence avec l’EDR
La plupart des FSG utilisent un EDR (Defender, Huntress, Sophos, SentinelOne, CrowdStrike). La couche de détection des rançongiciels doit compléter l’EDR, et non entrer en conflit avec lui.
Connaissance de l’intégrité des sauvegardes
Les groupes de rançongiciels s’en prennent expressément aux systèmes de sauvegarde pour les supprimer avant de chiffrer. La détection de l’altération du système de sauvegarde est importante.
Options à évaluer
Chasseur de rançongiciels Akira de Lavawall® + ITDR
Chasse aux IOC, détection comportementale et corrélation des identités intégrées.
Lavawall® est une plateforme RMM et de soutien à distance multilocataire pour les FSG et les équipes TI, qui intègre l’application des correctifs, la surveillance de la sécurité, la détection des intrusions dans Microsoft 365 et Google Workspace ainsi que la conformité dans le même agent et la même console. Elle comprend un chasseur d’indicateurs de rançongiciel Akira natif, qui recherche des correspondances avec les outils connus d’Akira, le déplacement latéral et les comportements de préparation. ITDR multilocataire avec corrélation des données de M365, d’Entra ID, d’Azure et de Google Workspace avec celles des postes de travail. Détection d’anomalies comportementales pour l’activité de préparation. Coexiste avec les principaux produits d’EDR. Intégré au reste de la plateforme Lavawall®.
Idéal pour : les FSG qui veulent une détection de la préparation des rançongiciels intégrée au reste de leur pile de sécurité, surtout ceux qui servent le secteur de la santé et d’autres secteurs ciblés par les rançongiciels.
Huntress
Détection gérée avec une forte détection de la persistance.
EDR géré réputé tout particulièrement pour sa détection de la persistance et des rootkits. SOC 24 h sur 24, 7 jours sur 7. Complémentaire de Lavawall® et intégré par API.
Idéal pour : les FSG qui veulent un SOC géré pour les décisions de détection et de réponse.
SentinelOne / CrowdStrike Falcon / Microsoft Defender XDR
EDR / XDR d’entreprise.
Produits d’EDR et de XDR d’entreprise éprouvés, dotés d’une détection comportementale poussée. Les prix augmentent avec le niveau de capacité, et la gestion multilocataire varie.
Idéal pour : les grands FSG qui servent des locataires d’entreprise sous E5 ou qui ont le budget pour un EDR d’entreprise.
Blackpoint Cyber
MDR axé sur les FSG.
MDR avec surveillance de M365 et SOC 24 h sur 24, 7 jours sur 7. Axé sur les services de réponse.
Idéal pour : les FSG qui veulent externaliser les décisions de réponse.
Où se situe Lavawall®
Lavawall® comprend un chasseur de rançongiciels Akira dédié, qui recherche des correspondances d’IOC avec les outils, les chemins de fichiers, les clés de registre et les modèles de comportement observés lors d’interventions réelles contre Akira.
La détection comportementale de la préparation couvre le vol d’identifiants, les commandes de reconnaissance (net.exe, whoami.exe avec contexte administrateur, activité de type PowerShell ADRecon), le déplacement latéral (activité de type PsExec) et les tentatives de destruction des sauvegardes.
L’ITDR multilocataire met en corrélation les signaux des postes de travail avec l’activité de M365 et d’Entra ID afin de repérer le scénario d’hameçonnage d’identifiants suivi d’un pivot, qui est le point de départ de tant d’incidents de rançongiciel. La plateforme coexiste avec Defender, Huntress, Sophos, SentinelOne, CrowdStrike et d’autres produits d’EDR, et présente leur état à côté de ses propres constats.
Questions fréquentes
- Lavawall® remplace-t-il mon EDR?
- Non. Lavawall® complète l’EDR en ajoutant la chasse aux IOC, la corrélation des identités, l’évaluation de la configuration et le reste de la plateforme. L’EDR demeure la couche de détection comportementale au niveau du poste de travail.
- Pourquoi se concentrer précisément sur Akira?
- Parce qu’Akira est particulièrement actif contre les cabinets de santé et de comptabilité canadiens et américains de 2024 à 2026, avec des techniques documentées que le chasseur d’IOC cible directement. Les modèles de détection se généralisent aux groupes semblables (Black Basta, LockBit) qui partagent les mêmes méthodes.
- Qu’en est-il de l’intégrité des sauvegardes?
- Lavawall® surveille l’état du système de sauvegarde et signale les tentatives d’altération. La protection du système de sauvegarde elle-même est assurée par le produit de sauvegarde du client (Veeam, Datto, Acronis, etc.). Lavawall® surveille les indicateurs de tentative de destruction.