Comment sécuriser vos postes Windows contre les ransomwares en 7 étapes

En 2026, les ransomwares continuent de frapper les entreprises françaises avec une fréquence et une sophistication croissantes. Les techniques de phishing se perfectionnent, les payloads échappent aux antivirus classiques, et les groupes comme LockBit, BlackCat/ALPHV et Akira ciblent désormais explicitement les PME et ETI européennes. Pourtant, la grande majorité des attaques réussies exploitent des faiblesses de configuration corrigeables sur les postes Windows.

Ce guide détaille 7 étapes concrètes et priorisées pour durcir vos postes Windows contre les ransomwares. Chaque étape est calibrée pour une PME ou ETI française disposant d’un parc de 50 à 500 postes Windows gérés via Active Directory. Les mesures sont cumulatives : c’est la superposition des 7 couches qui crée une défense efficace.

— Étape 1 : Mettre en place un patch management rigoureux

La première couche de défense est aussi la plus fondamentale : maintenir à jour l’ensemble des composants logiciels de vos postes Windows. Selon les données de l’ANSSI, plus de 60 % des ransomwares réussis en France en 2025-2026 ont exploité une vulnérabilité connue pour laquelle un correctif existait depuis plus de 30 jours.

Actions immédiates :

• Windows Update : configurez WSUS ou Windows Update for Business pour déployer les mises à jour de sécurité dans les 72 heures suivant leur publication (Patch Tuesday). Les correctifs critiques (CVSS ≥ 9.0) doivent être déployés en 24 heures sur un premier anneau de test, puis généralisés sous 48 heures.
• Applications tierces : WinRAR, 7-Zip, Adobe Reader, navigateurs, Java — ces logiciels sont souvent les premiers ciblés. Utilisez un outil de patch management tiers (PDQ Deploy, ManageEngine, Intune) pour couvrir ce périmètre. L’attaque Gamaredon via WinRAR CVE-2025-8088 illustre parfaitement ce risque.
• Firmware et drivers : ne négligez pas les mises à jour BIOS/UEFI et les drivers réseau et stockage, qui peuvent contenir des vulnérabilités exploitées pour obtenir une persistance au niveau firmware.

Piège à éviter : ne désactivez jamais les mises à jour automatiques « pour éviter les redémarrages ». Configurez plutôt des fenêtres de maintenance en dehors des heures ouvrables (typiquement 2h-5h du matin) et activez les redémarrages automatiques différés.

— Étape 2 : Durcir la configuration via GPO

Les Group Policy Objects (GPO) sont l’outil natif de durcissement des postes Windows en environnement Active Directory. Bien configurées, elles éliminent la majorité des vecteurs d’exécution utilisés par les ransomwares sans nécessiter de logiciel supplémentaire.

GPO prioritaires anti-ransomware :

• Bloquer l’exécution de scripts dans les dossiers temporaires : créez des règles Software Restriction Policies (SRP) ou AppLocker bloquant l’exécution de .exe, .vbs, .js, .wsf, .hta depuis %TEMP%, %APPDATA%, et les dossiers de téléchargement. C’est là que 80 % des payloads ransomware atterrissent avant exécution.
• Désactiver Windows Script Host : pour les utilisateurs standards, désactivez wscript.exe et cscript.exe via GPO. Cela bloque la quasi-totalité des downloaders VBScript utilisés par les ransomwares (et par GammaLoad/GammaWorm).
• Désactiver les macros Office non signées : configurez la GPO Block macros from running in Office files from the Internet et activez Disable VBA for Office applications sauf pour les utilisateurs ayant un besoin métier documenté.
• Activer les règles ASR de Microsoft Defender : les Attack Surface Reduction rules bloquent les comportements typiques des ransomwares : création de processus enfants par les applications Office, exécution de contenu téléchargé par les navigateurs, etc.
• Désactiver SMBv1 : le protocole SMBv1 est exploité par de nombreux ransomwares (WannaCry, NotPetya). Désactivez-le définitivement via Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol.
• Restreindre PowerShell : configurez le mode ConstrainedLanguage pour les utilisateurs non-administrateurs, bloquez les scripts non signés, et activez la journalisation PowerShell complète (ScriptBlockLogging, TranscriptionLogging).

Piège à éviter : ne déployez jamais une GPO de durcissement sur tout le domaine sans phase de test. Créez une OU « Pilote Sécurité » avec 10-20 postes représentatifs, validez pendant 2 semaines, puis généralisez progressivement.

— Étape 3 : Déployer un EDR sur tous les postes

Un antivirus classique basé sur les signatures ne suffit plus. Les ransomwares modernes utilisent des techniques d’évasion avancées : fileless malware (exécution en mémoire sans fichier sur disque), living-off-the-land (utilisation d’outils Windows légitimes comme PowerShell, certutil, bitsadmin), et chiffrement en mémoire (le binaire de chiffrement n’est jamais écrit sur disque). Un EDR (Endpoint Detection and Response) est désormais indispensable.

Ce que l’EDR apporte contre les ransomwares :

• Détection comportementale : identification des patterns de chiffrement massif de fichiers, suppression des shadow copies (vssadmin delete shadows), élévation de privilèges anormale.
• Isolation automatique : dès détection d’un ransomware, l’EDR peut isoler le poste du réseau en quelques secondes, empêchant la propagation latérale.
• Rollback : certains EDR (SentinelOne, CrowdStrike) intègrent une fonction de rollback qui restaure les fichiers chiffrés à leur état pré-attaque.
• Visibilité forensique : logs détaillés de l’activité du poste permettant de retracer l’infection et d’identifier le patient zéro.

Solutions adaptées aux PME françaises : Microsoft Defender for Endpoint Plan 1 (à partir de 2,50 €/poste/mois, inclus dans Microsoft 365 Business Premium), CrowdStrike Falcon Go (~5 €/poste/mois), SentinelOne Singularity (~5 €/poste/mois). Pour les budgets plus contraints, Microsoft Defender avec les règles ASR activées offre déjà un niveau de protection significativement supérieur à un antivirus classique.

— Étape 4 : Appliquer le principe de moindre privilège

Les ransomwares ont besoin de privilèges élevés pour désactiver les protections, supprimer les sauvegardes et chiffrer les fichiers système. Restreindre les privilèges est l’une des mesures les plus efficaces pour limiter l’impact d’une compromission initiale.

Actions immédiates :

• Supprimer les droits admin locaux : aucun utilisateur standard ne doit être administrateur local de son poste. Utilisez LAPS (Local Administrator Password Solution) pour gérer des mots de passe admin locaux uniques et rotatés sur chaque poste.
• Segmenter les comptes administrateurs : créez des comptes admin dédiés (tiering model) — Tier 0 pour les contrôleurs de domaine, Tier 1 pour les serveurs, Tier 2 pour les postes de travail. Un admin Tier 2 ne doit jamais se connecter à un contrôleur de domaine.
• Déployer la MFA partout : authentification multifacteur obligatoire pour les accès VPN, RDP, les consoles d’administration et les accès cloud. La compromission d’un mot de passe seul ne doit pas suffire à prendre le contrôle d’un système.
• Restreindre les GPO de connexion : bloquez les connexions interactives et RDP des comptes à privilèges sur les postes de travail standard. Utilisez des PAW (Privileged Access Workstations) dédiées pour l’administration.

Piège à éviter : le tiering model ne fonctionne que s’il est strictement appliqué. Un seul admin Tier 0 qui se connecte à un poste utilisateur compromis offre au ransomware un accès direct au contrôleur de domaine — c’est le scénario « game over » classique.

— Étape 5 : Mettre en place des sauvegardes immutables et testées

Les sauvegardes sont votre dernier rempart contre le ransomware. Mais attention : les groupes ransomware modernes ciblent systématiquement les sauvegardes avant de lancer le chiffrement. Veeam, Acronis, les snapshots VSS — tout est visé. Vos sauvegardes doivent être immutables et hors d’atteinte du réseau compromis.

La règle 3-2-1-1 :

• 3 copies de vos données (production + 2 sauvegardes).
• 2 types de supports différents (disque + cloud, ou disque + bandes LTO).
• 1 copie hors site (datacenter distant ou cloud répliqué).
• 1 copie immutable (S3 Object Lock, Veeam Hardened Repository, ou bande LTO physiquement déconnectée).

L’immutabilité est non négociable. Configurez vos sauvegardes cloud avec S3 Object Lock en mode Compliance (même un admin AWS ne peut pas supprimer les objets avant expiration du verrou) ou utilisez un Veeam Hardened Repository sur un serveur Linux dédié sans accès SSH régulier. Les sauvegardes accessibles depuis le réseau Windows via un partage SMB seront chiffrées par le ransomware — c’est une certitude, pas un risque.

Tester, tester, tester. Une sauvegarde non testée est une sauvegarde qui n’existe pas. Planifiez un exercice de restauration complète chaque trimestre couvrant trois scénarios : restauration d’un fichier individuel (cible : <15 minutes), restauration d’un serveur complet (cible : <4 heures), restauration de l’infrastructure critique (cible : <24 heures). Documentez les résultats et corrigez les écarts par rapport à vos objectifs RTO/RPO.

— Étape 6 : Segmenter le réseau pour contenir la propagation

La segmentation réseau est la mesure qui limite l’impact quand toutes les autres ont échoué. Sans segmentation, un ransomware qui compromet un seul poste peut chiffrer l’ensemble du réseau en quelques heures. Avec une segmentation correcte, l’attaquant est confiné à un segment — et vous gagnez le temps nécessaire pour réagir.

Actions immédiates :

• Isoler les serveurs critiques : contrôleurs de domaine, serveurs de fichiers, serveurs de sauvegarde dans des VLAN dédiés avec des règles de pare-feu strictes. Les postes de travail ne doivent pas pouvoir communiquer directement entre eux (bloquer le trafic est-ouest latéral).
• Segmenter par métier : séparez les réseaux comptabilité/finance, production, R&D et invités. Un ransomware entré par un poste comptable ne doit pas pouvoir atteindre les serveurs de production industrielle.
• Désactiver les protocoles inutiles : bloquez SMB, RDP et WinRM entre les VLAN utilisateurs. Si un utilisateur a besoin d’accéder à un serveur de fichiers, il passe par un chemin contrôlé et monitoré, pas par une connectivité réseau directe.
• Micro-segmentation : pour les entreprises les plus matures, déployez une solution de micro-segmentation (Illumio, Akamai Guardicore) qui applique des politiques de sécurité au niveau de chaque workload, indépendamment de la topologie réseau.

Piège à éviter : la segmentation réseau n’est utile que si les règles de pare-feu sont effectivement appliquées. Trop d’entreprises créent des VLAN sans configurer les ACL inter-VLAN, ce qui revient à n’avoir aucune segmentation. Vérifiez régulièrement avec des tests de pénétration internes que le trafic latéral est effectivement bloqué.

— Étape 7 : Préparer un plan de réponse incident ransomware

Même avec les 6 couches précédentes parfaitement déployées, vous devez partir du principe qu’une attaque finira par réussir. La différence entre une entreprise qui se relève en 48 heures et une qui met 3 semaines tient à la préparation du plan de réponse incident.

Contenu minimum du plan :

• Fiches réflexes : pour chaque rôle (RSSI, admin système, support N1, direction), une fiche A4 détaillant les 5 premières actions à exécuter dans les 15 premières minutes. Exemple pour l’admin système : 1) isoler les postes affectés du réseau, 2) préserver les preuves (ne pas éteindre les machines), 3) vérifier l’intégrité des sauvegardes, 4) bloquer les comptes compromis dans AD, 5) alerter le RSSI et le prestataire CERT.
• Arbre décisionnel de paiement : décidez à l’avance de la position de votre entreprise sur le paiement de rançon. L’ANSSI et les autorités françaises recommandent de ne jamais payer, mais cette décision doit être validée par la direction générale et le conseil juridique avant l’incident.
• Contacts d’urgence : coordonnées du prestataire CERT, de l’assureur cyber, du conseil juridique spécialisé, de l’ANSSI (reporting NIS2 sous 24h), de la CNIL (notification violation de données sous 72h), et du commissariat pour dépôt de plainte.
• Communication de crise : modèles de communication pré-rédigés pour les clients, les partenaires et les médias. En cas de ransomware, la communication externe doit être maîtrisée dès la première heure pour éviter les rumeurs et les dommages réputationnels.

Exercices de crise. Le plan n’a de valeur que s’il est pratiqué. Organisez au minimum un exercice tabletop par semestre : réunissez les parties prenantes autour d’un scénario ransomware réaliste et déroulez le plan étape par étape. Chronométrez chaque phase, identifiez les blocages, et mettez à jour le plan en conséquence. Pour les entreprises les plus matures, complétez par un exercice de simulation technique avec restauration réelle depuis les sauvegardes immutables.

— Récapitulatif : les 7 étapes en un coup d’oeil

L’ensemble de ces 7 étapes peut être déployé en 4 à 8 semaines pour une PME de 50 à 200 postes, avec un budget de l’ordre de 5 000 à 15 000 € en prestations externes (hors coût des licences EDR). C’est une fraction du coût moyen d’une attaque ransomware (180 000 à 450 000 €). L’investissement est non seulement rentable, il est indispensable pour la survie de l’entreprise.

— Questions fréquentes