Confinement, éradication et reprise

Une fois l’incident confirmé et son périmètre défini, la réponse passe par trois phases consécutives : Containment (empêcher la propagation des dommages), Eradication (supprimer tous les points d’ancrage des attaquants dans l’environnement) et Recovery (rétablir le fonctionnement normal des systèmes et vérifier leur intégrité). Chaque phase possède des objectifs et des critères de vérification distincts. Passer à Recovery avant d’avoir terminé Eradication est une erreur fréquente qui entraîne une réinfection par les mécanismes de persistance encore présents chez l’attaquant.

Containment se déroule en deux étapes. Le Containment à court terme assure une stabilisation immédiate — en isolant du réseau les systèmes affectés, en bloquant les adresses IP des attaquants sur le pare-feu et en désactivant les comptes compromis — afin d’arrêter les dommages actifs. Le Containment à long terme met en place des contrôles plus durables qui permettent à l’organisation de poursuivre ses activités pendant l’enquête et Eradication — par exemple, en segmentant la zone réseau compromise plutôt qu’en la mettant entièrement hors ligne.

Un principe essentiel consiste à préserver les preuves avant toute remédiation. Les analystes doivent capturer les données volatiles (dump de la mémoire, processus en cours d’exécution, connexions réseau actives) et les images forensic des disques BEFORE d’effectuer toute action susceptible de modifier l’état du système. Redémarrer un système, exécuter des outils de suppression de logiciels malveillants ou réinstaller une image sans capturer les preuves détruit les éléments forensic nécessaires pour comprendre la chronologie de l’attaque et peut également détruire les preuves juridiques nécessaires pour poursuivre les attaquants ou respecter les exigences réglementaires de notification.

Eradication supprime toute présence des attaquants dans l’environnement. Cette opération est plus complexe que la simple suppression des fichiers malveillants. Les attaquants persistants établissent plusieurs points d’ancrage : tâches planifiées, clés d’exécution du registre, nouveaux comptes utilisateur, shells web sur les serveurs, micrologiciels modifiés et consentements accordés à des applications OAuth malveillantes. Une liste de contrôle complète pour Eradication doit couvrir chaque technique utilisée par l’attaquant, d’après les preuves recueillies pendant la phase d’enquête. Une Eradication incomplète entraîne une réinfection, souvent quelques heures seulement après le retour des systèmes en production.

Pour les terminaux compromis par des logiciels malveillants sophistiqués ou des rootkits, la réinstallation d’une image (effacement et réinstallation à partir d’une image connue comme saine) est souvent préférable à une tentative de nettoyage du système infecté. Les rootkits peuvent se dissimuler dans des emplacements inaccessibles aux antivirus, et les logiciels malveillants sophistiqués peuvent avoir modifié des fichiers binaires du système difficiles à identifier et à restaurer. Le choix entre le nettoyage et la réinstallation d’une image dépend de la sophistication du logiciel malveillant, de la sensibilité des données présentes sur le système et de la disponibilité d’images connues comme saines pour un redéploiement rapide.

Eradication doit inclure la fermeture de la vulnérabilité d’accès initial ; sinon, le même attaquant (ou un autre) peut entrer à nouveau par la même porte. Les vulnérabilités courantes d’accès initial comprennent : des logiciels non corrigés et des CVE exploités via des services exposés à Internet, une MFA faible ou inexistante sur les systèmes d’accès à distance (VPN, RDP), l’hameçonnage (qui nécessite une formation à la sensibilisation à la sécurité et l’amélioration du filtrage des courriels) et la compromission de la chaîne d’approvisionnement (qui nécessite un examen de la sécurité des fournisseurs). Appliquez les correctifs et renforcez la sécurité avant de remettre les systèmes en production.

Recovery rétablit le fonctionnement normal des systèmes affectés à partir d’un état connu comme sain. Les étapes de Recovery comprennent : la restauration à partir de sauvegardes saines (en vérifiant l’intégrité des sauvegardes avant la restauration), la reconstruction des systèmes à partir d’images Golden, la reconfiguration des contrôles réseau (en supprimant les restrictions temporaires de containment), la réactivation des comptes désactivés (avec réinitialisation des mots de passe) et le retour progressif des systèmes en production plutôt que leur réintégration simultanée. Le retour progressif permet de surveiller l’apparition de signes de réinfection à chaque phase.

Les rançongiciels ciblent spécifiquement les systèmes de sauvegarde afin d’empêcher Recovery sans paiement. Une défense efficace des sauvegardes nécessite : des sauvegardes hors site qui ne sont pas connectées au réseau principal, des sauvegardes immuables (Object Lock, stockage WORM) qui ne peuvent être ni chiffrées ni supprimées, des sauvegardes isolées du réseau pour les systèmes critiques et des procédures de restauration testées. L’intégrité des sauvegardes doit être vérifiée régulièrement : une sauvegarde qui ne peut pas être restaurée n’est pas une sauvegarde. Les organisations doivent connaître la date de la dernière sauvegarde saine afin de déterminer le point de Recovery.

Après Eradication et Recovery, une surveillance renforcée doit se poursuivre pendant une période prolongée (généralement de 30 à 90 jours). Certains attaquants sophistiqués installent des portes dérobées secondaires qui s’activent après la détection et la suppression de leur accès principal. La surveillance renforcée comprend : une sensibilité accrue des alertes du SIEM pour les IoCs connus de l’attaquant, la surveillance des requêtes DNS vers des domaines similaires à l’infrastructure de l’attaquant, la recherche de communications avec toute adresse IP observée pendant l’incident et le déclenchement d’alertes pour toute activité provenant de comptes nouvellement créés.

La gestion des communications pendant un incident est aussi essentielle que la réponse technique. La communication interne maintient l’organisation alignée et évite les rumeurs. La communication externe avec les clients, les partenaires, les autorités de réglementation et éventuellement les médias doit être étroitement contrôlée : des divulgations prématurées, inexactes ou juridiquement problématiques créent une responsabilité supplémentaire. Toutes les communications externes doivent être examinées par un conseiller juridique avant leur diffusion. Les notifications réglementaires (exigence de 72 heures du GDPR, exigence de 60 jours du HIPAA) sont soumises à des délais stricts qui commencent à la date de la découverte, et non à la date de la confirmation.

Un incident n’est pas clos lorsque la crise immédiate est passée : il l’est lorsque tous les critères de vérification sont remplis : tous les points d’ancrage connus de l’attaquant ont été supprimés et vérifiés, la vulnérabilité d’accès initial a été corrigée, tous les systèmes affectés ont été restaurés et vérifiés comme sains, une surveillance renforcée est en place, les notifications réglementaires requises ont été envoyées et un examen post-incident a été planifié. La clôture prématurée d’un incident est une erreur fréquente qui permet à une persistance discrète de l’attaquant de se développer jusqu’à provoquer un second incident.

Évaluez votre compréhension des concepts de CompTIA Security+ (SY0-701) abordés dans cette leçon.

Dans cette leçon, vous avez appris que : containment arrête les dommages actifs grâce à l’isolation, aux blocages du pare-feu et à la désactivation des comptes, Eradication nécessite de supprimer TOUS les points d’ancrage des attaquants, y compris les mécanismes de persistance, et pas seulement les fichiers malveillants, et Recovery doit utiliser des sauvegardes antérieures à la date de compromission et inclure une surveillance renforcée pendant au moins 30 jours. Nous allons maintenant étudier l’examen post-incident et les enseignements à en tirer.